Accord de Sous-traitance RGPD (DPA)

Le présent accord s'inscrit dans le cadre de l'article 28 du Règlement Général sur la Protection des Données (RGPD).

Parties :

• Le Responsable de traitement : Le Cabinet client utilisant DigiTran (ci-après "le Client")
• Le Sous-traitant : DigiTran (ci-après "le Sous-traitant")

1.1 Objet

Le Sous-traitant s'engage à traiter les données à caractère personnel pour le compte du Responsable de traitement, uniquement dans le cadre de la fourniture du service SaaS DigiTran.

1.2 Durée

Le présent accord prend effet dès la souscription au service et reste en vigueur pendant toute la durée du contrat commercial.

Le Sous-traitant s'engage à :

1. Traiter les données uniquement sur instruction documentée du Responsable
2. Garantir la confidentialité des données et s'assurer que les personnes autorisées sont soumises à une obligation de confidentialité
3. Mettre en œuvre des mesures techniques et organisationnelles appropriées (voir Article 5)
4. Respecter les conditions de recours à un sous-traitant ultérieur (voir Article 4)
5. Aider le Responsable à répondre aux demandes d'exercice des droits des personnes
6. Aider le Responsable à garantir le respect de ses obligations (sécurité, notification de violation, AIPD)
7. Supprimer ou restituer les données à la fin du contrat
8. Mettre à disposition toutes les informations nécessaires pour démontrer la conformité

4.1 Sous-traitants autorisés

Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants suivants :

4.2 Notification des changements

Le Sous-traitant informera le Client de tout changement concernant l'ajout ou le remplacement de sous-traitants ultérieurs avec un préavis de 30 jours.

Le Sous-traitant met en œuvre les mesures de sécurité suivantes :

5.1 Mesures techniques

• ✅ Chiffrement des communications (HTTPS/TLS 1.2+)
• ✅ Chiffrement des mots de passe (hashing PBKDF2/bcrypt)
• ✅ Authentification forte
• ✅ Journalisation des accès et actions
• ✅ Sauvegardes quotidiennes chiffrées
• ✅ Cloisonnement des données (multi-tenant)
• ✅ Pare-feu et protection anti-intrusion

5.2 Mesures organisationnelles

• ✅ Accès limité au strict nécessaire (principe du moindre privilège)
• ✅ Obligation de confidentialité du personnel
• ✅ Procédure de notification de violation de données
• ✅ Tests de sécurité réguliers
• ✅ Plan de continuité d'activité

5.3 Localisation

Toutes les données sont hébergées en France / Union Européenne.

Aucun transfert hors UE.

En cas de violation de données personnelles, le Sous-traitant s'engage à :

1. Notifier le Client dans les 48 heures suivant la découverte de la violation
2. Fournir toutes les informations nécessaires au Client pour notifier la CNIL si requis
3. Documenter l'incident (nature, données concernées, mesures correctives)
4. Coopérer pleinement avec le Client dans la gestion de l'incident

7.1 Droits des personnes

Le Sous-traitant met à disposition du Client les outils nécessaires pour répondre aux demandes d'exercice des droits (accès, rectification, effacement, portabilité).

7.2 Analyse d'impact (AIPD)

Le Sous-traitant fournira au Client, sur demande, les informations nécessaires pour réaliser une AIPD.

À la fin du contrat, le Client peut choisir :

• Export des données : Le Client dispose d'un délai de 30 jours après résiliation pour exporter ses données (format PDF, Word, Excel, JSON)
• Suppression définitive : Après ce délai, ou sur demande explicite, toutes les données sont supprimées de manière irréversible sous 30 jours

Exception : Les données de facturation sont conservées 10 ans (obligation légale).

Le Client a le droit de :

• Demander des informations sur les mesures de sécurité mises en œuvre
• Réaliser des audits (ou faire réaliser par un tiers mandaté)
• Consulter les logs d'accès à ses données

Les audits doivent être notifiés avec un préavis de 15 jours.