Contrat de sous-traitance (DPA)

Le présent contrat de sous-traitance (« DPA ») est conclu entre l'hébergeur ayant revendiqué sa fiche sur la plateforme RackList, en qualité de responsable de traitement, et RackList, en qualité de sous-traitant. Il complète et fait partie intégrante des conditions générales d'utilisation et des conditions générales de vente acceptées lors de la revendication de la fiche.

Responsable de traitement

L'hébergeur identifié dans l'espace de revendication de la fiche, représenté par la personne physique ayant validé le présent DPA à l'étape du claim.

Sous-traitant

Monsieur Alexandre ETEOCLE, entrepreneur individuel (EI) de droit français, SIRET 910 906 841 00010, 20 rue Samaritaine, 01000 Bourg-en-Bresse, France. Contact : contact@racklist.eu

Le présent DPA est accepté par le responsable de traitement au moyen d'une case à cocher explicite au moment de la revendication de la fiche, avec horodatage et conservation de la version acceptée en base de données. Un exemplaire PDF est mis à disposition sur demande écrite.

Les termes employés au présent DPA reçoivent le sens que leur donne l'article 4 du RGPD. Sont notamment retenues, à titre de rappel non exhaustif, les définitions suivantes :

• « Données à caractère personnel » : toute information se rapportant à une personne physique identifiée ou identifiable (art. 4.1).
• « Traitement » : toute opération ou ensemble d'opérations effectuées sur des données à caractère personnel (art. 4.2).
• « Responsable du traitement » : l'entité qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement (art. 4.7).
• « Sous-traitant » : l'entité qui traite des données pour le compte du responsable du traitement (art. 4.8).
• « Sous-traitant ultérieur » : tout sous-traitant engagé par le sous-traitant initial pour exécuter des activités de traitement spécifiques pour le compte du responsable du traitement.
• « Personne concernée » : la personne physique identifiée ou identifiable à laquelle se rapportent les données à caractère personnel.
• « Violation de données à caractère personnel » : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel, ou l'accès non autorisé à de telles données (art. 4.12).
• « EEE » : l'Espace économique européen.
• « Instructions documentées » : les instructions données par le responsable du traitement au sous-traitant par écrit ou par tout moyen équivalent permettant d'en conserver la trace (courriel, ticket, paramétrage de compte, contrat).
• « MTO » : mesures techniques et organisationnelles destinées à garantir la sécurité du traitement (art. 32).

Le présent DPA a pour objet de définir les conditions dans lesquelles RackList, en qualité de sous-traitant, traite les données à caractère personnel pour le compte de l'hébergeur, en qualité de responsable du traitement, dans le cadre strict des fonctionnalités B2B de la plateforme.

Pour les flux hors du présent DPA, le traitement est régi par la politique de confidentialité publiée sur la plateforme.

Conformément au chapeau de l'article 28.3 du RGPD, l'objet, la durée, la nature et la finalité du traitement, les types de données à caractère personnel et les catégories de personnes concernées sont décrits à l'Annexe 1 du présent DPA.

L'Annexe 1 constitue une stipulation contractuelle à part entière. Toute modification substantielle fait l'objet d'un avenant ou d'une nouvelle version du DPA portée à la connaissance du responsable du traitement.

RackList traite les données à caractère personnel exclusivement sur instructions documentées du responsable du traitement, y compris en ce qui concerne les transferts vers un pays tiers ou une organisation internationale.

Les instructions initiales du responsable du traitement résultent du présent DPA, des conditions générales et du paramétrage du compte de l'hébergeur sur la plateforme (périmètre de la fiche, sub-users autorisés, webhooks configurés).

Toute instruction complémentaire est transmise par écrit, à l'adresse contact@racklist.eu ou via un canal de support authentifié conservant la trace horodatée de la demande.

Si une obligation légale de l'Union européenne ou d'un État membre impose à RackList un traitement non couvert par les instructions, RackList en informe préalablement le responsable du traitement, sauf interdiction légale de le faire pour motifs importants d'intérêt public.

RackList veille à ce que toute personne physique agissant sous son autorité qui a accès aux données à caractère personnel ne les traite qu'à partir d'instructions documentées du responsable du traitement.

Les personnes autorisées sont soumises à une obligation de confidentialité contractuelle, ainsi qu'aux obligations légales applicables.

RackList sensibilise son personnel aux exigences du RGPD, à la politique de sécurité, aux procédures de gestion des incidents et aux bonnes pratiques de gestion des secrets. La trace de cette sensibilisation est conservée et peut être communiquée au responsable du traitement sur demande.

Les accès sont révoqués sans délai en cas de départ ou de changement de fonction d'une personne autorisée, selon une procédure documentée et journalisée.

RackList met en œuvre et maintient les mesures techniques et organisationnelles appropriées détaillées à l'Annexe 2, afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD.

Ces mesures font l'objet d'une revue régulière et sont mises à jour pour tenir compte de l'évolution de l'état de l'art, du coût de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement.

Toute modification substantielle des mesures est portée à la connaissance du responsable du traitement dans un délai raisonnable permettant l'évaluation de son impact.

RackList peut recourir à des sous-traitants ultérieurs pour la réalisation d'activités de traitement spécifiques pour le compte du responsable du traitement, dans le cadre d'une autorisation générale. La liste des sous-traitants ultérieurs initialement autorisés figure à l'Annexe 3.

Toute modification envisagée concernant l'ajout ou le remplacement d'un sous-traitant ultérieur est notifiée au responsable du traitement au moins trente (30) jours avant sa mise en œuvre, par courrier électronique à l'adresse de contact renseignée au compte de l'hébergeur et par publication de la mise à jour de l'Annexe 3 sur la présente page.

Le responsable du traitement dispose d'un droit d'objection motivé pendant ce délai. En cas d'objection sérieuse et motivée, les parties recherchent de bonne foi une solution alternative. À défaut d'accord, le responsable du traitement peut résilier sans frais la partie du contrat concernée par la modification.

RackList impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles fixées au présent DPA, notamment celles consistant à fournir des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées (« clause miroir »).

RackList assiste le responsable du traitement, par des mesures techniques et organisationnelles appropriées, pour lui permettre de s'acquitter de son obligation de donner suite aux demandes dont les personnes concernées la saisissent en vue d'exercer leurs droits (articles 12 à 23 du RGPD).

Les demandes d'assistance sont transmises à l'adresse contact@racklist.eu. Elles sont tracées et font l'objet d'un accusé de réception.

SLA

Délai standard d'assistance : soixante-douze (72) heures ouvrées à compter de la réception de la demande complète.

SLA critique

Délai d'assistance en cas d'urgence caractérisée (risque d'atteinte aux droits et libertés, demande assortie d'un délai impératif imposé à l'autorité par le responsable du traitement) : vingt-quatre (24) heures.

Un volume raisonnable de demandes, proportionné au contrat principal, est inclus dans l'abonnement. Au-delà d'un seuil convenu et notifié à l'avance, un coût de traitement peut être appliqué, sans préjudice des droits des personnes concernées.

RackList aide le responsable du traitement à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à sa disposition.

• Au titre de l'article 32, RackList fournit au responsable du traitement, sur demande, une description actualisée des mesures techniques et organisationnelles mises en œuvre (Annexe 2).
• Au titre des articles 33 et 34, la procédure de notification des violations est détaillée à la section 11 du présent DPA.
• Au titre de l'article 35 (AIPD), RackList fournit au responsable du traitement les informations relatives aux traitements effectués pour son compte qui sont nécessaires à la réalisation d'une analyse d'impact relative à la protection des données.
• Au titre de l'article 36 (consultation préalable de l'autorité), RackList coopère avec le responsable du traitement en lui communiquant toute information utile à la consultation de l'autorité de contrôle.

La notification est adressée à l'adresse de contact DPO ou privacy renseignée au compte de l'hébergeur, avec copie au canal dédié contact@racklist.eu, et par ouverture d'un incident tracé.

Lorsque toutes ces informations ne peuvent être communiquées en même temps, elles sont transmises de manière échelonnée, dans les meilleurs délais, sans retard indu supplémentaire. RackList coopère avec le responsable du traitement pour lui permettre, le cas échéant, de notifier la violation à l'autorité de contrôle compétente dans les soixante-douze (72) heures prévues à l'article 33.1, et de communiquer la violation aux personnes concernées au titre de l'article 34.

Au terme du contrat principal, pour quelque cause que ce soit, RackList procède, au choix du responsable du traitement exprimé par écrit dans les trente (30) jours suivant la résiliation :

À défaut d'option exprimée dans le délai prévu, la suppression s'applique par défaut.

Sur demande écrite, une attestation de suppression ou de restitution, datée et signée, est délivrée au responsable du traitement.

Par exception, RackList peut conserver certaines données lorsque le droit de l'Union ou d'un État membre l'exige (obligations comptables, prescriptions civiles ou pénales). Dans ce cas, la durée et la base légale de la conservation sont communiquées au responsable du traitement, et les données concernées demeurent soumises aux obligations de sécurité et de confidentialité du présent DPA.

RackList met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD et pour permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un auditeur tiers qu'il mandate.

• Par principe, les audits sont réalisés de manière documentaire, par la communication de rapports, certifications, résultats de pentests, politiques internes et attestations des sous-traitants ultérieurs.
• Des inspections sur site peuvent être organisées, sous réserve d'un préavis écrit de trente (30) jours, pendant les heures ouvrées, dans des conditions compatibles avec la continuité du service et le respect de la confidentialité due aux autres clients de RackList.
• Le responsable du traitement peut mandater un auditeur tiers indépendant, sous réserve qu'il ne soit pas un concurrent direct de RackList et qu'il signe un engagement de confidentialité équivalent à celui applicable au responsable du traitement.
• Sauf incident de sécurité avéré ou demande de l'autorité de contrôle, la fréquence des audits est limitée à une (1) fois par période de douze (12) mois.
• Les coûts des audits sont supportés par le responsable du traitement, sauf en cas de non-conformité substantielle constatée et documentée, auquel cas ils sont pris en charge par RackList, sans préjudice d'autres droits et recours.

RackList ne procède à aucun transfert de données à caractère personnel en dehors de l'Espace économique européen, sauf dans le cadre strict des bases légales prévues au chapitre V du RGPD.

Conformément à l'arrêt Schrems II de la Cour de justice de l'Union européenne (C-311/18, 16 juillet 2020) et aux Recommandations 01/2020 du Comité européen de la protection des données, RackList réalise et tient à jour une analyse d'impact des transferts (« Transfer Impact Assessment ») par destination, et met en œuvre les mesures supplémentaires nécessaires (chiffrement, pseudonymisation).

La liste actualisée des sous-traitants ultérieurs et le pays de traitement associé figurent à l'Annexe 3.

Chacune des parties assume la responsabilité du dommage causé par un traitement qui constituerait une violation du RGPD, dans les conditions de l'article 82. Le sous-traitant n'est tenu pour responsable du dommage que s'il n'a pas respecté les obligations du RGPD spécifiquement incombant aux sous-traitants ou s'il a agi en dehors des instructions licites du responsable du traitement ou contrairement à celles-ci.

Ce plafond ne s'applique pas en cas de faute lourde, de faute intentionnelle, de violation délibérée du présent DPA, ni lorsqu'une règle impérative interdit une telle limitation, notamment au titre de l'article 82 du RGPD ou des articles applicables du Code civil.

RackList déclare être titulaire d'une assurance de responsabilité civile professionnelle couvrant les risques liés au traitement de données à caractère personnel. Une attestation peut être communiquée sur demande écrite.

Le présent DPA entre en vigueur à la date d'acceptation par le responsable du traitement, lors de la revendication de la fiche, et demeure applicable pendant toute la durée du contrat principal.

Par exception, survivent à la résiliation du contrat principal les stipulations relatives à la confidentialité, à la notification de violation en cours, à l'assistance aux droits des personnes, au sort des données (section 12) et aux audits, pour la durée strictement nécessaire à leur exécution.

RackList peut faire évoluer le présent DPA pour tenir compte d'une évolution réglementaire, d'une décision ou d'une ligne directrice d'une autorité de contrôle, ou d'une modification substantielle de l'architecture du service. La nouvelle version est notifiée au responsable du traitement au moins trente (30) jours avant son entrée en vigueur. Le responsable du traitement dispose d'un droit d'objection motivé dans ce délai. À défaut d'objection, la nouvelle version lui est opposable.

Le présent DPA est régi par le droit français. Les dispositions impératives du RGPD et du droit de l'Union européenne s'appliquent en toutes circonstances, sans pouvoir être écartées par les stipulations du présent contrat.

Tout litige relatif à la formation, à l'exécution, à l'interprétation ou à la résiliation du présent DPA qui n'aurait pu être résolu par voie amiable dans un délai raisonnable est soumis à la compétence exclusive des tribunaux du ressort de la Cour d'appel de Lyon, sous réserve des règles impératives de compétence territoriale applicables en matière de protection des consommateurs et des règles du droit de l'Union européenne.

Le présent DPA est rédigé en langue française, qui fait seule foi entre les parties. Une traduction anglaise de courtoisie peut être fournie à titre informatif et n'est pas opposable.