Accord de sous-traitance

01Objet et champ d’application

Le présent Accord de sous-traitance (ci-après, l’"Accord") régit le traitement de données à caractère personnel qu’Innovageo Software SLU, immatriculée sous le CIF B70993019 et domiciliée Plaza Vicente Andrés Estellés nº2 Bajo, 46950 Xirivella (Spain) (ci-après, "Innovageo Software" ou le "Sous-traitant"), réalise pour le compte du Client (ci-après, le "Responsable du traitement") à l’occasion de la fourniture des services de l’application neobora.ai.

Le présent Accord fait partie intégrante des Conditions de service et est conclu en application de l’article 28 du Règlement (UE) 2016/679 (RGPD) et de la loi organique espagnole 3/2018 relative à la protection des données à caractère personnel et à la garantie des droits numériques. L’acceptation des Conditions de service implique l’acceptation du présent Accord.

02Description du traitement

Conformément à l’article 28, paragraphe 3, du RGPD, le traitement confié est décrit dans les termes suivants :

Il appartient exclusivement au Responsable du traitement de déterminer quelles données personnelles il intègre à l’Application. Innovageo Software n’intervient pas dans cette décision et ne procède pas à un examen préalable du contenu des données que le Responsable du traitement téléverse.

03Instructions du Responsable du traitement

Innovageo Software traitera les données à caractère personnel uniquement en suivant les instructions documentées du Responsable du traitement. Constituent des instructions documentées le présent Accord, les Conditions de service et les ordres que le Responsable du traitement donne au moyen du paramétrage et de l’utilisation des fonctionnalités de l’Application.

Innovageo Software n’utilisera pas les données à caractère personnel à des fins propres, ne les communiquera pas à des tiers sauf dans les cas prévus au présent Accord ou en vertu d’une obligation légale, et ne prendra pas de décisions sur leur traitement autres que celles nécessaires à la fourniture des services.

Si Innovageo Software estimait qu’une instruction du Responsable du traitement enfreint la réglementation en matière de protection des données, elle le lui communiquera sans retard injustifié, étant habilitée à suspendre l’exécution de cette instruction jusqu’à ce que le Responsable du traitement la confirme ou la modifie.

Le Responsable du traitement garantit qu’il dispose de la base juridique nécessaire au traitement qu’il confie, qu’il a informé les personnes concernées conformément aux articles 13 et 14 du RGPD, et qu’il a apprécié, le cas échéant, la nécessité de réaliser une analyse d’impact. Le Responsable du traitement répondra envers Innovageo Software des conséquences du manquement à ces garanties.

04Confidentialité et personnel autorisé

Innovageo Software préservera la confidentialité des données à caractère personnel auxquelles elle accède à l’occasion de la sous-traitance, obligation qui subsistera après la cessation de la relation.

L’accès aux données à caractère personnel sera limité au personnel qui a besoin d’en connaître pour fournir les services. Innovageo Software garantit que ce personnel a été informé de ses obligations et est soumis à une obligation de confidentialité de nature contractuelle ou légale.

05Mesures de sécurité

Innovageo Software appliquera les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD, en tenant compte de l’état de la technique, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement.

Ces mesures comprennent, entre autres, le contrôle d’accès au moyen d’une authentification individuelle et d’une gestion des autorisations par Projet, le chiffrement des communications, la séparation logique des informations de chaque client, la journalisation de l’activité pertinente, et la réalisation de sauvegardes dans les termes prévus aux Conditions de service.

Il appartient au Responsable du traitement de configurer de manière adéquate les autorisations de ses Projets et le caractère public ou restreint des géoportails qu’il publie, ainsi que d’apprécier au préalable l’opportunité de publier des données pouvant contenir des informations personnelles. Innovageo Software ne répond pas des conséquences d’une configuration de visibilité décidée par le Responsable du traitement.

06Sous-traitants ultérieurs

Le Responsable du traitement autorise de manière générale Innovageo Software à recourir à d’autres sous-traitants (sous-traitants ultérieurs) pour la fourniture des services. Innovageo Software imposera à ces sous-traitants ultérieurs, par voie contractuelle, des obligations de protection des données équivalentes à celles prévues au présent Accord, et répondra de leur action dans les termes de l’article 28, paragraphe 4, du RGPD.

À la date du présent Accord, les sous-traitants ultérieurs sont les suivants :

Innovageo Software communiquera au Responsable du traitement, par avis adressé à l’adresse électronique associée au Compte ou par notification dans l’Application, tout ajout ou remplacement de sous-traitants ultérieurs, avec un préavis minimal de trente (30) jours calendaires. Pendant ce délai, le Responsable du traitement pourra s’y opposer pour des motifs raisonnables relatifs à la protection des données ; à défaut de solution, le Responsable du traitement pourra résilier les Conditions de service sans pénalité, avec remboursement de la part proportionnelle des sommes acquittées et non consommées, ce qui constituera son recours unique à ce titre.

07Localisation des données et transferts internationaux

Le Responsable du traitement sélectionne, lors de la création de son compte, la région dans laquelle il souhaite que soient hébergées les données de ses Projets. Innovageo Software ne transférera pas les données hébergées vers une région différente de celle sélectionnée sans l’avoir préalablement communiqué au Responsable du traitement.

Lorsque la région sélectionnée par le Responsable du traitement se trouve au sein de l’Espace économique européen, le traitement sera réalisé sur ce territoire, sans préjudice des accès à distance ponctuels de l’assistance technique nécessaires à la fourniture du service.

08Assistance au Responsable du traitement

Droits des personnes concernées. Il appartient au Responsable du traitement de répondre aux demandes d’exercice de droits qu’il reçoit des personnes concernées. Innovageo Software mettra à sa disposition les fonctionnalités de l’Application permettant d’accéder aux données hébergées, de les rectifier, de les exporter et de les effacer. Si une personne concernée adressait sa demande directement à Innovageo Software, celle-ci la transmettra au Responsable du traitement sans retard injustifié, sans y répondre elle-même.

Innovageo Software fournira au Responsable du traitement, compte tenu de la nature du traitement et des informations dont elle dispose, l’assistance raisonnable que celui-ci lui demande pour l’accomplissement de ses obligations en matière de sécurité, de notification de violations de données, d’analyses d’impact et de consultations préalables de l’autorité de contrôle. Lorsque cette assistance excède la mise à disposition des informations et des fonctionnalités déjà existantes dans l’Application, Innovageo Software pourra répercuter sur le Responsable du traitement un coût raisonnable, préalablement communiqué et accepté.

09Violations de données à caractère personnel

Innovageo Software notifiera au Responsable du traitement, sans retard injustifié dès qu’elle en aura effectivement connaissance, toute violation de la sécurité des données à caractère personnel traitées pour le compte du Responsable du traitement, par avis adressé à l’adresse électronique associée au Compte.

La notification comprendra les informations dont Innovageo Software dispose à ce moment sur la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements affectés, les conséquences probables et les mesures adoptées ou proposées pour remédier à la violation et atténuer ses effets. Lorsqu’il n’est pas possible de fournir ces informations simultanément, elles seront complétées de manière échelonnée sans retard injustifié.

10Information et audit

Innovageo Software mettra à la disposition du Responsable du traitement les informations raisonnablement nécessaires pour démontrer le respect des obligations de l’article 28 du RGPD, au moyen de la documentation décrivant ses mesures techniques et organisationnelles et, le cas échéant, des rapports ou certifications dont elle dispose concernant son infrastructure et ses sous-traitants ultérieurs.

Le droit d’audit du Responsable du traitement sera réputé satisfait par la remise de la documentation qui précède. Ce n’est que lorsque cette documentation s’avère objectivement insuffisante, ou lorsqu’une autorité de contrôle compétente l’exige, que le Responsable du traitement pourra réaliser un audit, lequel sera soumis aux conditions suivantes : préavis minimal de trente (30) jours calendaires ; un seul audit par année civile, sauf exigence de l’autorité de contrôle ou violation de sécurité établie ; portée limitée aux traitements objet du présent Accord ; réalisation pendant les heures de travail et sans affecter la disponibilité du service ni la confidentialité des informations d’autres clients ; soumission du personnel auditeur à une obligation de confidentialité ; et prise en charge par le Responsable du traitement de ses propres coûts et des coûts raisonnables que l’audit génère pour Innovageo Software.

11Effacement et restitution des données

À la cessation de la fourniture des services, Innovageo Software effacera les données à caractère personnel traitées pour le compte du Responsable du traitement, conformément aux délais prévus aux Conditions de service : pendant les trente (30) jours calendaires suivant la fin de la dernière période de facturation, les données seront conservées en mode lecture seule, afin que le Responsable du traitement puisse les télécharger ou les exporter au moyen des fonctionnalités de l’Application, et à l’issue de ce délai elles seront supprimées définitivement.

Les sauvegardes existantes seront supprimées conformément à leur cycle ordinaire de rotation, dans les trente (30) jours calendaires suivants, sans qu’Innovageo Software procède à des suppressions sélectives au sein de ces sauvegardes.

Nonobstant ce qui précède, Innovageo Software pourra conserver les données à caractère personnel nécessaires au respect d’une obligation légale, ou à la constatation, à l’exercice ou à la défense de droits en justice, dûment bloquées et pendant le délai de prescription des actions correspondantes.

12Responsabilité

La responsabilité des Parties dans le cadre du présent Accord est régie par l’article 82 du RGPD et, s’agissant de la relation contractuelle entre elles, par les limites et exclusions prévues à la clause "Garanties et responsabilité" des Conditions de service, lesquelles s’appliquent de manière conjointe et cumulée aux Conditions de service et au présent Accord.

Chaque Partie répondra des sanctions et indemnisations qui lui seraient imposées pour des causes qui lui sont exclusivement imputables.

13Durée, modification et prévalence

Le présent Accord entre en vigueur avec l’acceptation des Conditions de service et demeurera en vigueur tant qu’Innovageo Software traitera des données à caractère personnel pour le compte du Responsable du traitement.

Innovageo Software pourra modifier le présent Accord afin de l’adapter à des évolutions réglementaires, à des décisions des autorités de contrôle ou à des changements des services, en le communiquant avec un préavis minimal de trente (30) jours calendaires conformément à la procédure prévue aux Conditions de service.

En cas de contradiction entre le présent Accord et les Conditions de service en matière de protection des données à caractère personnel, les dispositions du présent Accord prévaudront. Pour ce qui n’est pas expressément prévu, les dispositions des Conditions de service s’appliqueront.