Projet : ce texte n'a pas encore été vérifié par un juriste.

Accord de sous-traitance (DPA)

Cet accord de sous-traitance fait partie du contrat relatif à Peppol-check. Le client est responsable du traitement. Angelista Enterprise B.V. est sous-traitant.

1. Objet et durée

Le sous-traitant traite des données personnelles uniquement pour fournir Peppol-check, pendant la durée du contrat.

2. Nature, finalité et données

Les cabinets comptables vérifient si leurs clients sont correctement inscrits sur Peppol et trouvent les éventuelles factures d'achat en double.

• L'adresse e-mail avec laquelle vous vous connectez
• Votre liste de clients : nom et numéro d'entreprise par client
• Le résultat de la recherche dans le registre Peppol public par client, avec un journal des changements
• Pour les exports d'achats, uniquement le résultat : fournisseur, numéro de facture, date et montant des doublons possibles. Nous ne conservons pas les fichiers.
• Un cookie de session pour que vous restiez connecté

Personnes concernées : salariés, clients ou relations du client, dans la mesure où ils figurent dans les fichiers du client.

3. Instructions

Le sous-traitant traite les données uniquement sur instruction documentée du client. L'utilisation du service conformément à sa destination vaut instruction.

4. Confidentialité

Toute personne ayant accès aux données chez le sous-traitant est tenue à la confidentialité.

5. Sécurité

Le sous-traitant prend des mesures appropriées (RGPD art. 32) : connexions chiffrées (HTTPS), accès uniquement après connexion, serveurs dans l'EEE, accès administrateur limité et sauvegardes.

6. Sous-traitants ultérieurs

Le client autorise de manière générale ces sous-traitants ultérieurs :

• OVHcloud SAS, Roubaix, France (hébergement du serveur et de la base de données)
• Heinlein Hosting GmbH (mailbox.org), Berlin, Allemagne (envoi et réception des e-mails)

Le sous-traitant annonce tout nouveau sous-traitant ultérieur 30 jours à l'avance. Le client peut s'y opposer et, dans ce cas, résilier le contrat.

7. Assistance

Le sous-traitant aide le client à répondre aux demandes des personnes concernées et à respecter les obligations des articles 32 à 36 du RGPD.

8. Violations de données

Le sous-traitant notifie au client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après sa découverte (RGPD art. 33).

9. Fin du contrat

Après la fin du contrat, le client peut exporter les données pendant 30 jours. Le sous-traitant les supprime ensuite, y compris des sauvegardes dans un délai de 30 jours, sauf si la loi impose leur conservation.

10. Audits

Le sous-traitant fournit au client toutes les informations nécessaires pour démontrer sa conformité et collabore à des audits raisonnables.

11. Transferts

Aucune donnée n'est transférée vers des pays situés hors de l'EEE.