Accord de traitement des données

L’entreprise cliente agit comme responsable du traitement et DSI comme sous-traitant pour les données confiées aux modules. Cet accord s’intègre à la commande lorsqu’il est accepté avec ses annexes. Il couvre l’hébergement, l’organisation, la consultation, l’export et la suppression pendant la prestation puis pendant la restitution et la suppression convenues. Les traitements propres à DSI relèvent de sa notice de confidentialité.

Selon les modules retenus, le périmètre peut comprendre les contacts, clients, fournisseurs, collaborateurs et candidats, leurs coordonnées, fonctions, pièces, données de facturation, comptables ou de recrutement. Le client décrit dans l’annexe les catégories exactes, finalités, volumes et données sensibles autorisées. Aucun traitement sensible supplémentaire n’est autorisé par la seule présence d’une fonctionnalité.

DSI traite les données uniquement sur instructions documentées du client, sauf obligation légale contraire signalée lorsque la loi le permet. DSI informe le client d’une instruction qu’il estime contraire au droit. Les personnes autorisées sont soumises à une obligation de confidentialité et à des accès limités à leur mission. Le client reste responsable de la licéité de ses instructions et de l’information des personnes.

L’annexe opérationnelle doit définir les mesures adaptées au risque : contrôle des accès, isolation des entreprises, protection des échanges, gestion des vulnérabilités, sauvegarde et restauration, journalisation et gestion des incidents. Les mesures et leur portée doivent être confirmées avant le traitement concerné. DSI maintient le niveau de protection convenu et documente les évolutions substantielles.

Les sous-traitants ultérieurs et lieux de traitement sont identifiés dans une liste annexée et soumis à l’autorisation écrite spécifique ou générale du client. En cas d’autorisation générale, DSI annonce les changements avant leur mise en œuvre et laisse un délai raisonnable pour une objection motivée. Des obligations équivalentes sont imposées au prestataire ; DSI reste responsable de ses obligations. Les transferts nécessitent les garanties légales appropriées.

DSI assiste le client, compte tenu du traitement et des informations disponibles, pour répondre aux personnes, réaliser les analyses d’impact et consultations nécessaires et satisfaire ses obligations de sécurité. Les demandes reçues concernant les données du client lui sont transmises. DSI ne répond pas à sa place sans instruction, sauf obligation légale. Les modalités et coûts d’une assistance spécifique sont convenus à l’avance.

DSI informe le client sans délai indu après avoir connaissance d’une violation de données confiées. Il communique les faits disponibles, les conséquences probables, les mesures prises ou proposées et un contact, puis complète l’information à mesure de l’enquête. Le client détermine les notifications aux personnes et autorités selon la loi ; DSI coopère et préserve les éléments utiles.

DSI met à disposition les informations nécessaires pour démontrer le respect de cet accord et permet les contrôles appropriés, y compris par un auditeur mandaté et tenu à la confidentialité. Les modalités protègent les autres clients et la sécurité, sans empêcher les droits de contrôle prévus par la loi. La coopération avec une autorité compétente reste réservée.

À la fin de la prestation, les données sont restituées ou supprimées au choix documenté du client, sauf conservation exigée par la loi. L’annexe précise format d’export, délai, cycle de purge des sauvegardes et preuve de suppression. Avant mise en service, les parties complètent identité et contacts, modules et finalités, catégories de données et personnes, mesures de sécurité, durées, prestataires et pays.