Accord de sous-traitance

Cet accord est conclu entre le client, responsable du traitement (ci-après « le client »), et GL Digital (Lusty Goset), établi Rue Ivienne 29, 6511 Strée, Belgique, BCE BE 1041.371.313 (ci-après « GL Digital »), sous-traitant au sens de l'article 28 du règlement (UE) 2016/679 (ci-après « RGPD »).

Il fait partie de tout contrat conclu avec GL Digital, au même titre que les conditions générales de vente (article 15) : il est accepté avec le devis, sans autre signature. Il encadre les traitements de données personnelles que GL Digital effectue pour le compte du client dans le cadre des services décrits au devis. Il est consultable à tout moment à l'adresse gldigital.be/accord-sous-traitance ; la version applicable est celle en vigueur à la date du devis.

En cas de contradiction sur la protection des données personnelles, cet accord prime les conditions générales de vente.

L'accord s'applique pendant toute la durée des services qui amènent GL Digital à traiter des données pour le client, et jusqu'à la suppression ou la restitution de ces données (article 11).

GL Digital ne traite les données que pour fournir les services commandés, et pour rien d'autre. Selon le devis, il s'agit de :

• l'hébergement des sites, boutiques et applications du client, de leurs bases de données et de leurs sauvegardes, et leur maintenance ;
• la gestion de boîtes mail : création, configuration, tri ou réponse selon ce que prévoit le devis ;
• la gestion des réseaux sociaux : publication, lecture et modération des messages et commentaires reçus sur les pages du client ;
• l'assistance administrative : classement et préparation des pièces, notamment comptables, que le client confie.

Les opérations effectuées sont la collecte pour le compte du client, l'enregistrement, la conservation, la consultation, l'organisation, la modification à sa demande, la sauvegarde, la transmission aux destinataires qu'il désigne et l'effacement.

Personnes concernées : les clients, prospects, utilisateurs, abonnés, patients, fournisseurs, salariés et autres correspondants du client, ainsi que les visiteurs de son site, de sa boutique ou de son application.

Catégories de données : identité et coordonnées, identifiants de compte, contenu des messages et commentaires, données de commande et de facturation, pièces comptables, données techniques de connexion, et toute autre donnée que le client choisit d'enregistrer dans les outils hébergés.

Si le client confie des données sensibles (par exemple des données de santé, au sens de l'article 9 du RGPD), il le signale à GL Digital avant de les confier, et il lui appartient de disposer d'une base légale pour les traiter.

• GL Digital ne traite les données que sur instruction documentée du client. Le devis, les conditions générales de vente et cet accord constituent ces instructions ; le client peut les compléter par écrit (courriel ou espace client).
• Si GL Digital estime qu'une instruction enfreint le RGPD ou une autre règle de protection des données, il en informe immédiatement le client et peut suspendre son exécution.
• Aucune donnée n'est transférée hors de l'Union européenne sauf sur instruction du client ou par l'un des sous-traitants ultérieurs de l'article 8, et toujours dans le respect du chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types). Si le droit de l'Union ou d'un État membre impose un transfert, GL Digital en informe le client avant le traitement, sauf si ce droit l'interdit.
• GL Digital tient un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD).

GL Digital garde les données confidentielles, pendant l'accord et après sa fin. Toute personne qu'il autoriserait à les traiter serait tenue à la même confidentialité, par contrat ou par la loi. Il ne les utilise jamais pour son propre compte : ni prospection, ni revente, ni profilage.

GL Digital met en œuvre des mesures techniques et organisationnelles adaptées au risque (article 32 du RGPD), notamment :

• chiffrement des échanges (connexions HTTPS) et des sauvegardes ;
• sauvegardes régulières chiffrées, conservées hors du serveur principal, pour pouvoir rétablir les données après un incident ;
• accès limités aux seules personnes qui en ont besoin pour fournir le service, protégés par mot de passe ou par clé ;
• mises à jour de sécurité des serveurs et des logiciels maintenus par GL Digital.

Le client autorise GL Digital à recourir aux sous-traitants ultérieurs suivants :

• OVH SAS (2 rue Kellermann, 59100 Roubaix, France) : hébergement des serveurs, des sites, boutiques et applications et de leurs données, et messagerie électronique. Les données sont hébergées en France.
• Cloudflare (service de stockage R2) : conservation des sauvegardes, chiffrées.

GL Digital impose à chacun des obligations de protection des données au moins équivalentes à celles de cet accord, et reste responsable envers le client de leur respect. Il informe le client par écrit de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 1 mois à l'avance. Le client peut s'y opposer pour un motif raisonnable lié à la protection des données ; à défaut de solution, il peut mettre fin au service concerné sans frais avant le changement.

• Si une personne s'adresse à GL Digital pour exercer ses droits (accès, rectification, effacement, opposition, limitation, portabilité), GL Digital transmet sa demande au client sans tarder, sans y répondre lui-même sauf instruction du client.
• GL Digital aide le client, dans la mesure du possible et compte tenu de la nature du service, à répondre à ces demandes : extraction, correction ou suppression des données concernées.
• Il l'aide aussi à respecter ses obligations de sécurité, de notification des violations, et, le cas échéant, d'analyse d'impact et de consultation préalable de l'autorité de contrôle (articles 32 à 36 du RGPD). Une aide qui sort du cadre normal du service peut être chiffrée au préalable, comme le prévoient les conditions générales de vente.

GL Digital notifie au client toute violation de données personnelles le concernant, sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance, par courriel. La notification décrit, dans la mesure où ces informations sont connues, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou proposées. Les informations qui ne sont pas encore disponibles sont communiquées dès qu'elles le deviennent.

C'est au client, responsable du traitement, de notifier la violation à l'Autorité de protection des données et, le cas échéant, aux personnes concernées ; GL Digital l'y aide.

À la fin des services, GL Digital, au choix du client, lui restitue ses données dans un format courant, puis les supprime, ou les supprime directement, y compris les copies qu'il détient. Les copies présentes dans les sauvegardes disparaissent au fil de leur renouvellement. Seules restent conservées les données que le droit de l'Union ou d'un État membre l'oblige à garder, et seulement le temps de cette obligation.

GL Digital met à la disposition du client les informations nécessaires pour démontrer le respect de cet accord. Il permet la réalisation d'audits, y compris d'inspections, par le client ou par un auditeur qu'il mandate et qui est tenu à la confidentialité, moyennant un préavis raisonnable et sans perturber les services rendus aux autres clients. Les frais de l'audit sont à la charge du client.

Le client, responsable du traitement, garantit qu'il dispose d'une base légale pour les traitements qu'il confie à GL Digital, qu'il informe les personnes concernées et que ses instructions sont conformes au RGPD. Il reste l'interlocuteur des personnes concernées et de l'autorité de contrôle.

Cet accord est soumis au droit belge, dans les mêmes conditions que les conditions générales de vente (article 22). Pour toute question à son sujet, ou pour signaler un incident : support@gldigital.be.

Les données que GL Digital traite pour son propre compte (celles de ses clients et des personnes qui le contactent) sont décrites dans la politique de confidentialité.