Accord de Sous-Traitance — DPA

Le présent Accord de Sous-Traitance (« DPA » pour Data Processing Agreement) constitue une annexe contractuelle automatique aux Conditions Générales de Vente (« CGV ») de la plateforme L’Atelier by Cloudship.

En acceptant les CGV, l’Artisan (« le Responsable de Traitement ») et Cloudship (« le Sous-Traitant ») concluent le présent DPA, qui régit les modalités de traitement par Cloudship, en qualité de sous-traitant au sens de l’article 28 du Règlement (UE) 2016/679 (« RGPD »), des données personnelles dont l’Artisan est responsable de traitement.

Le présent DPA prévaut sur les CGV en cas de contradiction relative au traitement des données personnelles pour le compte du Responsable de Traitement.

Les termes employés au présent DPA ont le sens qui leur est donné par le RGPD. Les définitions des CGV s’appliquent par défaut. En complément :

• DPA : le présent Accord de Sous-Traitance.
• Responsable de Traitement : l’Artisan utilisateur de la Plateforme, au sens de l’article 4.7 du RGPD, pour les traitements visés à l’Annexe 1.
• Sous-Traitant : Cloudship, au sens de l’article 4.8 du RGPD.
• Personne concernée : toute personne physique dont les données personnelles sont traitées dans le cadre du présent DPA, notamment les Leads.
• Sous-Traitant ultérieur : tiers à qui le Sous-Traitant confie tout ou partie du traitement, dans les conditions de l’article 28.4 du RGPD.
• Lead : visiteur du Site généré ayant complété le formulaire de contact, ainsi que les données associées (nom, email, téléphone, message).
• Violation de données : violation de la sécurité au sens de l’article 4.12 du RGPD.

2.1 — Le présent DPA encadre les traitements de données personnelles réalisés par Cloudship pour le compte de l’Artisan dans le cadre de la fourniture du Service L’Atelier by Cloudship.

2.2 — La description détaillée du traitement (finalité, nature, durée, catégories de données et de personnes concernées) figure à l’Annexe 1.

2.3 — Le présent DPA ne couvre pas les traitements pour lesquels Cloudship agit en qualité de responsable de traitement (gestion du Compte de l’Artisan, facturation, support, prospection commerciale, sécurité de la Plateforme), lesquels relèvent de la Politique de Confidentialité de Cloudship.

L’Artisan, en sa qualité de Responsable de Traitement, s’engage à :

3.1 — Licéité des traitements : s’assurer que les traitements qu’il fait réaliser par Cloudship reposent sur une base légale valable (art. 6 RGPD) et qu’il dispose des droits nécessaires sur les données qu’il fait traiter.

3.2 — Information des personnes concernées : informer les Leads, conformément aux articles 13 et 14 du RGPD, des conditions de traitement de leurs données, notamment de son identité en tant que Responsable de Traitement, des finalités, du recours à Cloudship en qualité de Sous-Traitant, des durées de conservation et des droits dont ils disposent.

3.3 — Recueil des consentements lorsqu’ils sont requis (notamment pour la prospection commerciale, l’envoi de newsletters, etc.).

3.4 — Réponse aux exercices de droits : traiter directement les demandes d’exercice de droits formulées par les Leads (accès, rectification, effacement, opposition, portabilité, limitation).

3.5 — Instructions : fournir à Cloudship des instructions licites, documentées et conformes au RGPD. Les CGU, les CGV et la Politique de Confidentialité, ainsi que la configuration choisie par l’Artisan dans son tableau de bord, valent instructions documentées.

3.6 — Garantie : garantir Cloudship contre toute réclamation, action ou condamnation résultant du non-respect par l’Artisan de ses obligations propres en matière de protection des données.

Cloudship s’engage à respecter les obligations qui suivent, conformément à l’article 28 du RGPD.

4.1 — Traitement sur instructions documentées

Cloudship ne traite les données personnelles que sur instructions documentées du Responsable de Traitement, y compris pour les transferts hors UE. Les présentes CGV, le présent DPA et la configuration de la Plateforme valent instructions documentées.

Si Cloudship est tenu de procéder à un traitement en vertu du droit de l’Union ou d’un État membre, il en informe le Responsable de Traitement avant le traitement, sauf si le droit applicable interdit cette information pour des motifs importants d’intérêt public.

4.2 — Confidentialité

Cloudship veille à ce que les personnes autorisées à traiter les données personnelles soient soumises à une obligation de confidentialité légale ou contractuelle.

4.3 — Mesures de sécurité (article 32 RGPD)

Cloudship met en œuvre les mesures techniques et organisationnelles appropriées détaillées à l’Annexe 2, afin de garantir un niveau de sécurité adapté au risque.

4.4 — Recours à des Sous-Traitants ultérieurs (article 28.2 et 28.4 RGPD)

Le Responsable de Traitement autorise Cloudship à faire appel aux Sous-Traitants ultérieurs listés à l’Annexe 3, dans les conditions prévues par l’article 28 du RGPD.

Cloudship :

• Impose contractuellement à chacun de ses Sous-Traitants ultérieurs des obligations équivalentes à celles du présent DPA
• Demeure pleinement responsable devant le Responsable de Traitement de l’exécution par le Sous-Traitant ultérieur de ses obligations
• Informe le Responsable de Traitement de toute modification substantielle de la liste des Sous-Traitants ultérieurs par notification email ou publication sur la page https://atelier-cloudship.fr/sous-traitants, avec un préavis minimal de 30 jours avant la prise d’effet
• Permet au Responsable de Traitement, en cas d’objection légitime à un nouveau Sous-Traitant ultérieur, de résilier le Service sans pénalité avant la prise d’effet

4.5 — Assistance aux droits des personnes concernées (article 28.3.e RGPD)

Compte tenu de la nature du traitement, Cloudship aide le Responsable de Traitement, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes d’exercice de droits (accès, rectification, effacement, limitation, opposition, portabilité).

Concrètement, le Responsable de Traitement dispose dans son tableau de bord d’outils pour rechercher, exporter, modifier ou supprimer les données des Leads. Pour toute demande complémentaire, Cloudship intervient dans un délai raisonnable et dans la limite de 7 jours ouvrés à compter de la réception de la demande.

4.6 — Assistance aux obligations RGPD (article 28.3.f RGPD)

Cloudship aide le Responsable de Traitement à se conformer à ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification de violations, analyse d’impact, consultation préalable), compte tenu de la nature du traitement et des informations à la disposition de Cloudship.

4.7 — Notification des violations de données (article 33 RGPD)

Cloudship notifie au Responsable de Traitement, dans les meilleurs délais et au plus tard sous 48 heures à compter de la connaissance d’une violation de données affectant les données traitées dans le cadre du présent DPA, par email à l’adresse du Compte de l’Artisan.

La notification comprend, dans la mesure des informations disponibles :

• La nature de la violation
• Les catégories et le nombre approximatif de personnes concernées
• Les conséquences probables
• Les mesures prises ou envisagées pour y remédier et en atténuer les effets

Il appartient au Responsable de Traitement, le cas échéant, d’effectuer la notification à la CNIL dans les 72 heures (art. 33 RGPD) et l’information des Personnes concernées (art. 34 RGPD).

4.8 — Sort des données à la fin du Service (article 28.3.g RGPD)

Conformément aux CGU (article 13.2) et aux CGV (article 12), à l’issue de l’Abonnement ou sur instruction du Responsable de Traitement :

• Le Responsable de Traitement dispose d’un délai de 30 jours calendaires pour demander la restitution des données traitées (export au format CSV par email à contact@cloudship.fr)
• Passé ce délai, Cloudship procède à la suppression définitive des données du Compte et des Leads associés sur l’environnement de production
• Les sauvegardes chiffrées sont automatiquement écrasées dans le délai maximal de 30 jours suivant la suppression en production
• Cloudship conserve uniquement les données nécessaires au respect de ses obligations légales propres (comptables, fiscales, prévention des abus), pour les durées prévues par la Politique de Confidentialité

Sur demande, Cloudship fournit une attestation de suppression dans un délai raisonnable.

4.9 — Documentation et audit (article 28.3.h RGPD)

Cloudship met à la disposition du Responsable de Traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent DPA et à l’article 28 du RGPD.

Le Responsable de Traitement peut demander un audit, par lui-même ou par un auditeur indépendant qu’il mandate, dans les conditions suivantes :

• Demande écrite formulée par email à contact@cloudship.fr avec un préavis raisonnable d’au moins 30 jours
• Fréquence : une fois par an au maximum, sauf incident
• Audit réalisé à distance par défaut (revue documentaire, questionnaire, visioconférence) ; audit sur site possible en cas d’incident avéré
• Coûts de l’audit à la charge du Responsable de Traitement, sauf si l’audit révèle un manquement substantiel imputable à Cloudship
• L’auditeur signe un engagement de confidentialité préalable

Cloudship peut également fournir, en lieu et place d’un audit, des rapports d’audit ou certifications détenues par lui ou ses Sous-Traitants ultérieurs (ISO 27001, SOC 2, etc.).

5.1 — Les principales infrastructures utilisées par Cloudship pour le traitement des Leads sont localisées en Union européenne.

5.2 — Certains Sous-Traitants ultérieurs pourraient être amenés à effectuer des transferts hors UE, conformément aux mécanismes décrits dans la Politique de Confidentialité de Cloudship (Data Privacy Framework pour les sous-traitants américains certifiés, Clauses Contractuelles Types pour les autres, mesures supplémentaires post-Schrems II).

5.3 — Pour le traitement spécifique des Leads visé par le présent DPA, les transferts hors UE sont à ce jour limités aux situations strictement nécessaires (cf. Annexe 3) et encadrés par les garanties précitées.

6.1 — La responsabilité de chaque partie au titre du présent DPA est régie par les dispositions de l’article 82 du RGPD et par les CGV.

6.2 — La responsabilité cumulée de Cloudship au titre du présent DPA est soumise au plafond global prévu à l’article 14 des CGV, sauf en cas de dol, faute lourde, atteinte aux personnes ou manquement à une obligation essentielle.

Le présent DPA prend effet à compter de l’acceptation des CGV par l’Artisan et demeure en vigueur pendant toute la durée de l’Abonnement, ainsi que pour la durée nécessaire à la restitution ou à la suppression des données conformément à l’article 4.8.

Le présent DPA est soumis au droit français. Les litiges relatifs à son interprétation ou à son exécution relèvent du Tribunal de commerce de Lille Métropole, dans les conditions prévues à l’article 19 des CGV.

Cloudship met en œuvre les mesures suivantes pour assurer un niveau de sécurité adapté au risque :

Confidentialité

• Chiffrement TLS des communications (HTTPS systématique)
• Chiffrement des données au repos sur les serveurs de stockage et les sauvegardes
• Authentification sécurisée des Artisans
• Gestion centralisée des secrets applicatifs
• Accès aux données restreint aux personnels habilités, journalisé et tracé

Intégrité

• Sauvegardes chiffrées quotidiennes, conservées 30 jours
• Mécanismes de contrôle d’intégrité applicatifs
• Cloisonnement des environnements (production / pré-production / développement)

Disponibilité et résilience

• Infrastructure hébergée chez OVH (UE) avec haute disponibilité
• Monitoring et alerting actifs 24/7
• Procédures de reprise documentées

Tests et résilience

• Mises à jour de sécurité régulières des composants logiciels
• Revues de code et de configuration pour les développements impactant les données personnelles

Gouvernance

• Procédure documentée de notification de violation de données conforme à l’article 33 du RGPD (notification à la CNIL sous 72 heures, information des personnes concernées en cas de risque élevé)
• Inventaire à jour des Sous-Traitants ultérieurs
• Politique interne de gestion des accès et habilitations

À la date du présent DPA, les Sous-Traitants ultérieurs intervenant dans le traitement des Leads sont les suivants :

Évolution de la liste : la liste actualisée des Sous-Traitants ultérieurs est consultable à l’adresse https://atelier-cloudship.fr/sous-traitants. Toute modification substantielle est notifiée au Responsable de Traitement avec un préavis minimal de 30 jours, conformément à l’article 4.4 du présent DPA.