Accord de sous-traitance (article 28 RGPD)

Cet accord (l'« Accord de sous-traitance » ou « DPA ») encadre le traitement, par Batitrak, des données à caractère personnel que le Client dépose ou saisit dans la Plateforme dans le cadre de son activité. Il fait partie intégrante des Conditions Générales de Vente et s'applique dès lors que le Client crée un compte. Il ne concerne pas les données que Batitrak traite pour son propre compte (gestion du compte, facturation, sécurité), décrites dans la Politique de confidentialité.

Article 1 - Objet et répartition des rôles

1. Dans le cadre de l'utilisation de la Plateforme, le Client détermine les finalités et les moyens du traitement des Données de Plateforme qu'il y dépose (données de ses salariés, sous-traitants, contacts de chantier et clients finaux). Le Client agit à ce titre en qualité de responsable de traitement.
2. Batitrak traite ces données pour le seul compte du Client, aux fins de fournir la Plateforme. Batitrak agit à ce titre en qualité de sous-traitant au sens de l'article 28 du RGPD.
3. Le présent Accord définit les conditions dans lesquelles Batitrak s'engage à effectuer ces opérations de traitement pour le compte du Client. Il prévaut sur toute stipulation contraire relative à la protection des données figurant dans les autres documents contractuels.

Article 2 - Description du traitement

Les caractéristiques du traitement effectué par Batitrak pour le compte du Client sont décrites en Annexe 1.

Article 3 - Instructions documentées

1. Batitrak ne traite les données que sur instruction documentée du Client, y compris en matière de transfert hors de l'Union européenne. Les présentes CGV, l'Accord et l'utilisation des fonctionnalités de la Plateforme constituent les instructions initiales du Client. Toute instruction complémentaire est adressée par écrit à [email protected].
2. Si Batitrak estime qu'une instruction constitue une violation du RGPD ou de toute autre disposition du droit de l'Union ou d'un État membre relative à la protection des données, elle en informe immédiatement le Client.
3. Si Batitrak est tenue de procéder à un transfert de données vers un pays tiers en vertu du droit de l'Union ou d'un État membre auquel elle est soumise, elle en informe le Client avant le traitement, sauf si ce droit l'interdit pour des motifs d'intérêt public.
4. Interventions du support dans le compte du Client. Le Client autorise expressément le personnel habilité du support de Batitrak à accéder à son compte sur la Plateforme et à y agir en son nom, aux seules fins de diagnostic d'un dysfonctionnement, de correction de données, d'assistance à la prise en main ou de traitement d'une demande du Client. Cette autorisation constitue une instruction documentée au sens du point 1 du présent article. Elle s'exerce dans les conditions suivantes, que Batitrak s'engage à maintenir :
   • chaque session est subordonnée à la saisie d'un motif, conservé au journal et communiqué au Client ;
   • le Client est informé de l'ouverture de chaque session par une notification dans la Plateforme, conservée dans son compte ;
   • le Client dispose dans la Plateforme de la liste des sessions de support intervenues sur son compte, avec pour chacune l'identité de l'agent, le motif invoqué, la date et l'heure d'ouverture et l'issue de la session ;
   • une notice signale la session au Client pendant toute sa durée ;
   • le Client peut mettre fin à la session à tout moment, avec effet immédiat, sans préavis ni justification ;
   • chaque session est bornée dans le temps et expire automatiquement ;
   • le périmètre accessible exclut la facturation, l'abonnement, les paramètres de la société, l'export global des données, la suppression du compte et la modification des identifiants ;
   • chaque action réalisée est journalisée dans les conditions prévues à l'Annexe 2.
5. Le Client reconnaît qu'il lui appartient, en sa qualité de responsable du traitement, d'informer ses propres salariés et intervenants de cette possibilité d'accès, conformément aux articles 13 et 14 du RGPD.

Article 4 - Confidentialité

Batitrak veille à ce que les personnes autorisées à traiter les données en vertu du présent Accord :

• s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• reçoivent la formation nécessaire en matière de protection des données ;
• n'accèdent aux données que dans la stricte mesure nécessaire à l'exécution de leurs missions.

Article 5 - Sécurité du traitement

1. Batitrak met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites en Annexe 2, afin de garantir un niveau de sécurité adapté au risque.
2. Batitrak évalue régulièrement l'efficacité de ces mesures et les adapte en fonction de l'évolution des risques et de l'état de l'art, sans que le niveau de sécurité offert au Client puisse en être diminué.

Article 6 - Recours à des sous-traitants ultérieurs

1. Le Client autorise de manière générale Batitrak à recourir aux sous-traitants ultérieurs listés en Annexe 3 pour l'exécution d'activités de traitement spécifiques.
2. Batitrak impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations de protection des données que celles fixées par le présent Accord, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Batitrak demeure pleinement responsable, à l'égard du Client, de l'exécution par le sous-traitant ultérieur de ses obligations.
3. Batitrak informe le Client de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, par un moyen durable (email ou notification dans la Plateforme), au moins trente (30) jours avant la mise en œuvre du changement. Le Client dispose de ce délai pour former une objection légitime et motivée. En cas d'objection persistante que les Parties ne parviennent pas à résoudre, le Client peut résilier son Abonnement, sans pénalité, pour la partie du service concernée, par dérogation aux préavis de l'Article 13 des CGV.

Article 7 - Droits des personnes concernées

1. Dans la mesure du possible, Batitrak aide le Client, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition).
2. La Plateforme met à la disposition du Client les fonctionnalités d'export, de rectification et de suppression lui permettant de répondre lui-même à la plupart de ces demandes.
3. Lorsqu'une personne concernée adresse directement à Batitrak une demande d'exercice de ses droits portant sur des Données de Plateforme, Batitrak ne répond pas elle-même mais transmet la demande au Client dans les meilleurs délais.

Article 8 - Assistance du Client

Compte tenu de la nature du traitement et des informations à sa disposition, Batitrak aide le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact et consultation préalable de l'autorité de contrôle).

Article 9 - Notification des violations de données

1. Batitrak notifie au Client toute violation de données à caractère personnel la concernant dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les quarante-huit (48) heures, afin de permettre au Client de respecter son propre délai de notification de 72 heures à l'autorité de contrôle.
2. Cette notification est accompagnée de toute documentation utile permettant au Client, si nécessaire, de notifier la violation à l'autorité de contrôle compétente : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables et mesures prises ou proposées.

Article 10 - Sort des données en fin de contrat

1. Au terme de la prestation, Batitrak met à la disposition du Client, pendant une durée de trente (30) jours calendaires, l'accès à ses Données de Plateforme afin qu'il puisse les exporter dans un format standard (CSV, Excel, PDF), conformément à l'Article 14 des CGV.
2. À l'expiration de ce délai, Batitrak procède à la suppression définitive des Données de Plateforme, sauf obligation légale de conservation. Les données présentes dans les sauvegardes sont supprimées à l'expiration du cycle de rétention des sauvegardes (30 jours glissants).
3. Batitrak atteste par écrit de cette suppression sur demande du Client.

Article 11 - Registre et documentation

1. Batitrak tient un registre de toutes les catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30.2 du RGPD.
2. Batitrak met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD.

Article 12 - Audit

1. Batitrak permet la réalisation d'audits, y compris des inspections, par le Client ou un auditeur mandaté par lui, et y contribue.
2. Le Client peut, en premier lieu, satisfaire son droit d'audit par la communication, par Batitrak, de la documentation pertinente : rapports d'audit de tiers indépendants (notamment le rapport d'audit TÜV Rheinland de l'hébergeur), certifications, et description des mesures techniques et organisationnelles.
3. Lorsque cette documentation est insuffisante, un audit sur pièces ou sur site peut être organisé, aux conditions suivantes : préavis écrit raisonnable d'au moins trente (30) jours, une fois par an au maximum sauf incident de sécurité avéré, pendant les heures ouvrées, sans perturbation disproportionnée de l'activité de Batitrak, et dans le respect de la confidentialité des données des autres clients. Les frais d'un audit sur site sont à la charge du Client, sauf si l'audit révèle un manquement substantiel de Batitrak.

Article 13 - Transferts hors Union européenne

1. Le stockage principal des Données de Plateforme est réalisé au sein de l'Union européenne (voir l'Annexe 3 et la Politique de confidentialité).
2. Lorsqu'un sous-traitant ultérieur est susceptible d'accéder à des données depuis un pays tiers, le transfert est encadré par les Clauses Contractuelles Types de la Commission européenne (décision d'exécution (UE) 2021/914) et, le cas échéant, par des mesures techniques et organisationnelles complémentaires.

Article 14 - Durée

Le présent Accord produit ses effets pendant toute la durée de l'Abonnement du Client et aussi longtemps que Batitrak traite des Données de Plateforme pour le compte du Client.

Annexe 1 - Description du traitement

Annexe 2 - Mesures techniques et organisationnelles (article 32)

• Chiffrement : chiffrement des communications en transit (TLS) ; chiffrement des mots de passe par fonction de hachage à sens unique.
• Contrôle d'accès : accès fondé sur des rôles et des permissions ; cloisonnement strict des données entre clients (multi-tenance) ; authentification individuelle des utilisateurs.
• Journalisation : journalisation des accès et des actions sensibles ; conservation 12 mois.
• Journalisation des interventions du support : chaque action réalisée pendant une session de support dans un compte client est enregistrée (identité de l'agent, horodatage, compte concerné, opération, résultat, adresse IP) ; le journal est inaltérable, aucune écriture ne pouvant être modifiée ni supprimée après coup, y compris par les administrateurs techniques ; sa lecture est réservée aux administrateurs de la plateforme, les agents de support n'y ayant pas accès ; conservation 12 mois.
• Disponibilité et résilience : sauvegardes automatiques quotidiennes conservées 30 jours ; objectif de disponibilité de 99,5 %.
• Hébergement : serveurs et bases de données hébergés dans l'Union européenne (Allemagne) ; documents stockés dans un espace soumis à la restriction de juridiction « Union européenne ».
• Minimisation : les données transmises aux outils de mesure et de supervision sont réduites au strict nécessaire et pseudonymisées ; masquage des champs sensibles et anonymisation des adresses IP dans les rapports d'erreurs.
• Gestion des incidents : procédure de détection, de qualification et de notification des violations de données.
• Évaluation : réexamen régulier de l'efficacité des mesures.

Annexe 3 - Liste des sous-traitants ultérieurs autorisés

La liste à jour des sous-traitants ultérieurs est disponible dans la Politique de confidentialité. Toute modification est notifiée au Client conformément à l'Article 6 du présent Accord.