Accord de sous-traitance des données

1. Objet et parties

Le présent accord encadre, conformément à l’article 28 du règlement (UE) 2016/679 (RGPD), les traitements de données personnelles que MEMORY RITUALS, Unipessoal Lda (« le sous-traitant ») réalise pour le compte de chaque artisan client de Studio Métiers (« le responsable du traitement »).

Il fait partie intégrante du contrat conclu entre l’artisan et MEMORY RITUALS, Unipessoal Lda : il est accepté en même temps que les CGV et les CGU, et s’applique pendant toute la durée du service.

2. Rôle de chacun

L’artisan est responsable du traitement des données de ses visiteurs et de ses clients : c’est lui qui décide de recueillir des demandes de devis ou de rendez-vous sur son site, et qui les utilise pour y répondre.

MEMORY RITUALS, Unipessoal Lda est sous-traitant : nous hébergeons ces données, les affichons dans l’espace artisan et les conservons, uniquement pour le compte de l’artisan et selon ses instructions.

Pour les données de son propre compte (nom, e-mail, facturation), l’artisan est notre client et MEMORY RITUALS, Unipessoal Lda est responsable du traitement : voir la politique de confidentialité.

3. Description du traitement

4. Instructions documentées

Nous traitons les données uniquement sur instruction documentée de l’artisan. Constituent ces instructions : le présent accord, les CGU, les réglages de l’espace artisan et les demandes écrites de l’artisan. Si une instruction nous paraît contraire au RGPD ou à une autre règle de protection des données, nous en informons immédiatement l’artisan. Nous ne traitons pas ces données pour nos propres besoins, ne les vendons pas et ne les utilisons pas à des fins de prospection.

5. Confidentialité et sécurité

Les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité, et l’accès est limité à ce qui est nécessaire (assistance demandée par l’artisan, maintenance, sécurité). Nous mettons en œuvre des mesures techniques et organisationnelles appropriées (article 32 du RGPD), notamment :

• chiffrement des échanges (HTTPS / TLS) ;
• chiffrement des données au repos par notre prestataire de base de données ;
• authentification par mot de passe, conservé sous forme d’empreinte, et cloisonnement des données entre comptes ;
• sauvegardes régulières et procédures de restauration ;
• protection contre les robots et les envois automatisés sur les formulaires ;
• mises à jour de sécurité et choix de prestataires présentant des garanties suffisantes.

6. Sous-traitants ultérieurs

L’artisan nous autorise de manière générale à faire appel aux sous-traitants ultérieurs suivants :

Nous imposons à chacun des obligations de protection des données équivalentes à celles du présent accord et restons responsables de leur respect. Nous informons l’artisan, par e-mail ou dans son espace, au moins 30 jours avant tout ajout ou remplacement d’un sous-traitant ultérieur. L’artisan peut s’y opposer pour un motif légitime ; à défaut d’accord, il peut résilier le service et obtenir le remboursement de la part d’hébergement non consommée.

7. Droits des personnes et assistance

L’espace artisan permet à l’artisan de consulter, corriger, archiver et supprimer définitivement chaque demande reçue, et donc de répondre lui-même aux demandes d’accès, de rectification et d’effacement de ses visiteurs. Si une personne nous adresse directement une demande concernant les données d’un artisan, nous la transmettons à l’artisan sans délai, sans y répondre nous-mêmes sauf instruction de sa part.

Dans la mesure du possible et compte tenu des informations dont nous disposons, nous aidons l’artisan à respecter ses obligations en matière de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable de l’autorité de contrôle.

8. Violation de données

Nous notifions à l’artisan toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l’adresse de son compte, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou envisagées. Cela permet à l’artisan, s’il y a lieu, de notifier l’autorité de contrôle dans les 72 heures et d’informer les personnes concernées.

9. Fin du service : restitution et suppression

Pendant le service, l’artisan peut consulter et recopier à tout moment les demandes reçues depuis son espace. À la fin du service, les données sont conservées 90 jours au total après la mise hors ligne du site (délai de grâce de 30 jours compris), comme prévu par les CGV, avant d’être supprimées définitivement, sauf obligation légale de conservation. Les copies de sauvegarde sont effacées selon leur cycle de rotation. Sur demande écrite de l’artisan, la suppression peut intervenir plus tôt.

10. Documentation et audits

Nous mettons à la disposition de l’artisan, sur demande à [email protected], les informations nécessaires pour démontrer le respect du présent accord. L’artisan peut faire réaliser, à ses frais, une fois par an au plus et avec un préavis de 30 jours, un audit par un auditeur indépendant tenu à la confidentialité, dans des conditions qui ne perturbent pas le service et ne compromettent pas la sécurité ni les données des autres clients.

11. Transferts hors de l’Union européenne

Les données sont hébergées en priorité dans l’Union européenne. Lorsqu’un sous-traitant ultérieur peut y accéder depuis un pays tiers, le transfert est encadré par une décision d’adéquation (notamment le cadre de protection des données UE–États-Unis) ou par les clauses contractuelles types de la Commission européenne.

12. Obligations de l’artisan

En tant que responsable du traitement, l’artisan s’engage à :

• traiter les demandes reçues uniquement pour y répondre et pour la gestion de sa relation client ;
• informer ses visiteurs dans la page « Mentions légales et confidentialité » de son site, que l’espace artisan lui permet de compléter : son identité, la finalité (répondre aux demandes), la base légale (mesures précontractuelles à la demande de la personne), la durée de conservation qu’il retient (par exemple 3 ans après le dernier contact pour un prospect) et les droits des personnes, en mentionnant MEMORY RITUALS, Unipessoal Lda comme hébergeur ;
• répondre aux demandes d’exercice des droits de ses visiteurs et supprimer les demandes devenues inutiles ;
• ne pas demander de données sensibles dans les échanges, et protéger les données qu’il recopie ou exporte hors de la plateforme (messagerie, logiciel de devis) ;
• publier des avis clients uniquement avec l’accord de leurs auteurs.

13. Sites téléchargés et version d’essai

Site téléchargé : lorsqu’un artisan publie la copie téléchargée de son site chez un autre hébergeur, les demandes envoyées par ce site ne passent plus par MEMORY RITUALS, Unipessoal Lda : elles sont transmises au service d’envoi de formulaires ou à la messagerie choisis par l’artisan. Le présent accord ne s’applique pas à ces traitements ; il revient à l’artisan d’encadrer sa relation avec ces prestataires.

Version d’essai actuelle : les demandes reçues sont enregistrées uniquement dans le navigateur de l’artisan, sur son appareil ; MEMORY RITUALS, Unipessoal Lda n’y a pas accès.

Les demandes affichées dans l’espace de démonstration sont fictives.

14. Durée, responsabilité et droit applicable

Le présent accord s’applique tant que nous traitons des données pour le compte de l’artisan. La responsabilité de chaque partie est régie par les CGV et par l’article 82 du RGPD. L’accord est soumis au droit portugais ; en cas de contradiction avec d’autres documents contractuels sur la protection des données, il prévaut.