Accord de sous-traitance

La présente annexe encadre les traitements de données à caractère personnel que Happy Music Event (« l'Éditeur ») effectue pour le compte de l'Utilisateur dans le cadre du service FlexKonta.

L'Utilisateur agit en qualité de responsable de traitement. L'Éditeur agit en qualité de sous-traitant.

Elle ne couvre pas les traitements dont l'Éditeur est lui-même responsable — données du compte, facturation de l'abonnement, sécurité du service, mesure d'audience — qui relèvent de la politique de confidentialité.

Le service n'est pas conçu pour traiter des données visées à l'article 9 du RGPD. Le responsable s'interdit d'en saisir, notamment dans les champs libres.

L'Éditeur ne traite les données que sur instruction documentée du responsable. Le contrat, la présente annexe et l'usage des fonctions du service constituent ces instructions.

Il informe le responsable s'il estime qu'une instruction constitue une violation du RGPD, et peut alors en suspendre l'exécution.

Il veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité, et limite les accès à ce qui est nécessaire.

Il ne traite les données à aucune fin propre et ne les utilise pas pour entraîner des modèles d'intelligence artificielle.

L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées, notamment :

• chiffrement des échanges en transit et cloisonnement des espaces au niveau de la base de données ;
• authentification par mot de passe haché, double authentification disponible et exigible pour les accès d'administration ;
• journalisation des connexions et des actions sensibles ;
• sauvegardes quotidiennes conservées 30 jours, et procédure de restauration éprouvée ;
• mise à jour régulière des composants et hébergement dans l'Union européenne.

Ces mesures peuvent évoluer, sans que le niveau de protection puisse être abaissé.

Le responsable autorise l'Éditeur à recourir aux sous-traitants suivants :

L'Éditeur informe le responsable de tout ajout ou remplacement de sous-traitant 30 jours avant qu'il ne devienne effectif. Le responsable peut s'y opposer par écrit dans ce délai ; à défaut de solution, il peut résilier sans frais ni pénalité, avec remboursement au prorata.

L'Éditeur impose à chaque sous-traitant des obligations équivalentes aux siennes et demeure pleinement responsable de leur exécution.

L'Éditeur met à disposition du responsable les fonctions lui permettant de répondre lui-même aux demandes d'exercice des droits : accès, rectification, effacement, export dans un format structuré.

Lorsqu'une demande adressée directement à l'Éditeur concerne des données traitées pour le compte du responsable, l'Éditeur ne répond pas lui-même : il transmet la demande sans délai et n'y donne suite que sur instruction.

Il assiste le responsable, dans la limite des informations dont il dispose, pour la sécurité des traitements, la notification des violations et, le cas échéant, l'analyse d'impact.

L'Éditeur notifie au responsable toute violation de données à caractère personnel dans les 48 heures suivant sa prise de connaissance, par message électronique à l'adresse du compte.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées.

La notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées, incombe au responsable.

Les données sont hébergées dans l'Union européenne. Aucun transfert vers un pays tiers n'intervient au titre du socle du service.

Les fonctions optionnelles activées par l'utilisateur peuvent impliquer un transfert. Celui-ci est alors encadré par une décision d'adéquation ou par les clauses contractuelles types de la Commission européenne, assorties des mesures complémentaires nécessaires.

Jusqu'à la fin de la prestation, le responsable peut à tout moment exporter les données dans un format exploitable, depuis le service. La prestation prend fin à la suppression de l'espace : à la demande du responsable, ou automatiquement 21 jours après la fin de l'essai ou de la dernière période payée sans souscription, après deux relances adressées 7 et 15 jours après cette date (conditions générales de vente, article 4).

Instruction documentée de conservation. Par son acceptation de la présente annexe, le responsable donne instruction à l'Éditeur, lorsque l'espace est supprimé automatiquement ou par l'Éditeur, de conserver ses pièces comptables — factures, avoirs et factures d'acompte émis avec leur exemplaire Factur-X, livre des recettes, registre des achats et justificatifs d'achat — dans une archive hors de l'espace, pendant 10 ans à compter de la clôture de l'exercice au cours duquel la suppression intervient, aux seules fins de les lui remettre sur demande et de lui permettre de satisfaire à son obligation de conservation (article L123-22 du code de commerce). L'Éditeur ne les traite à aucune autre fin et les efface au terme de ce délai. Lorsque le responsable supprime lui-même son espace, aucune archive n'est conservée.

Toutes les autres données traitées pour le compte du responsable sont effacées à la fin de la prestation, sans archive. La suppression des sauvegardes intervient au terme du cycle de rotation, soit 30 jours au plus.

Il en atteste par écrit sur demande.

L'Éditeur tient le registre des catégories de traitements effectués pour le compte du responsable, prévu à l'article 30.2 du RGPD, et met à disposition les informations nécessaires pour démontrer le respect de ses obligations.

Le responsable peut demander un audit, une fois par an au plus, moyennant un préavis de trente jours, à ses frais, par un auditeur indépendant tenu au secret et n'étant pas concurrent de l'Éditeur. L'audit ne porte que sur les traitements couverts par la présente annexe.

Toute demande relative à la présente annexe est adressée à support@flexkonta.fr.