Accord de Sous-Traitance (DPA)

Dernière mise à jour :

Le présent Accord de Sous-Traitance (Data Processing Agreement, « DPA ») est conclu entre :

  • Le Client, agissant en qualité de Responsable de traitement des données personnelles qu'il importe ou fait traiter via le service Zen Parking ;
  • Breizh Zen Home (Zen Parking), entrepreneur individuel, SIREN 924891013, dont le siège est 1336 route de Ploëren, 56300 Plescop, France, agissant en qualité de Sous-traitant.

Cet accord fait partie intégrante des Conditions Générales de Vente et s'applique dès la souscription au service.

Le présent accord a pour objet de définir les conditions dans lesquelles le Sous-traitant traite les données personnelles pour le compte du Responsable de traitement dans le cadre de la fourniture du service Zen Parking.

Il entre en vigueur à la date de souscription au service et reste en vigueur pendant toute la durée du contrat principal, puis pendant la période de conservation légale éventuelle.

Le Sous-traitant est autorisé à traiter les données personnelles pour les seules finalités suivantes :

  • Gestion des comptes utilisateurs et accès au service ;
  • Attribution équitable des places de parking ;
  • Gestion des réservations et des conflits ;
  • Support technique et résolution d'incidents ;
  • Amélioration et maintenance du service.

Le Sous-traitant s'interdit d'utiliser les données pour toute autre finalité, notamment à des fins commerciales, sans instruction écrite du Responsable de traitement.

Les données traitées peuvent inclure :

  • Données d'identification des utilisateurs (nom, prénom, email professionnel) ;
  • Données relatives au véhicule (immatriculation, type, électrique ou non) ;
  • Indicateur de nécessité de place PMR (donnée fonctionnelle, sans donnée médicale) ;
  • Historique des attributions et score d'équité ;
  • Logs de connexion et d'utilisation.

Les personnes concernées sont les employés du Client et tout utilisateur autorisé du service.

Le Sous-traitant s'engage à traiter les données personnelles uniquement selon les instructions documentées du Responsable de traitement, y compris en ce qui concerne les transferts de données vers un pays tiers, sauf obligation légale contraire. Le Sous-traitant informera le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD.

Le Sous-traitant garantit que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité appropriée, contractuelle ou légale.

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque. Ces mesures comprennent notamment :

  • Chiffrement des communications (TLS) ;
  • Contrôle d'accès et authentification renforcée ;
  • Isolation logique des données par tenant ;
  • Journalisation des accès ;
  • Procédures de sauvegarde et de restauration ;
  • Mises à jour de sécurité régulières.

Seules les personnes dûment autorisées par le Sous-traitant, liées par une obligation de confidentialité, peuvent accéder aux données, dans la stricte mesure nécessaire à l'exécution du service.

Le Sous-traitant peut faire appel à des sous-traitants ultérieurs pour fournir certaines parties du service. Le seul sous-traitant ultérieur actuellement engagé est :

Infomaniak Network SA

Rue Eugène-Marziano 25, 1227 Les Acacias, Genève, Suisse

Services : hébergement applicatif, bases de données, messagerie électronique.

Le Sous-traitant s'engage à informer le Responsable de traitement de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs, et à lui donner la possibilité d'émettre des objections. Le Sous-traitant veillera à ce que tout sous-traitant ultérieur respecte des obligations au moins équivalentes à celles du présent accord.

En cas de violation de données à caractère personnel, le Sous-traitant informera le Responsable de traitement dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, afin de permettre au Responsable de respecter ses obligations de notification auprès de l'autorité de contrôle.

Le Sous-traitant fournit une assistance au Responsable de traitement, dans la mesure du possible, pour :

  • Répondre aux demandes d'exercice des droits des personnes concernées ;
  • Réaliser des analyses d'impact relatives à la protection des données ;
  • Notifier les violations de données ;
  • Coopérer avec les autorités de contrôle.

Le Sous-traitant s'engage à notifier au Responsable de traitement toute demande d'exercice de droits reçue directement d'une personne concernée (accès, rectification, effacement, opposition, limitation, portabilité) et à ne pas y répondre lui-même, sauf instruction contraire du Responsable.

Le Responsable de traitement peut réaliser un audit, ou mandater un auditeur indépendant, pour vérifier le respect du présent accord. L'audit doit être notifié au moins 30 jours à l'avance et ne pas perturber le service. Le Sous-traitant s'engage à fournir les informations nécessaires pour démontrer sa conformité.

À l'issue du contrat, le Sous-traitant restituera au Responsable de traitement, sur demande, les données personnelles traitées, ou les supprimera. La suppression aura lieu au plus tard 30 jours après la fin de la relation contractuelle, sauf obligation légale de conservation.

Lorsque la loi impose une conservation au-delà de la durée du contrat (par exemple, facturation), le Sous-traitant peut conserver les données strictement nécessaires à cette fin, en limitant l'accès et en assurant leur sécurité.

Les données sont hébergées exclusivement en Suisse. La Suisse fait l'objet d'une décision d'adéquation de la Commission européenne, ce qui garantit un niveau de protection équivalent au RGPD. Aucun autre transfert vers un pays tiers sans décision d'adéquation n'est effectué.

Pour toute question relative au présent accord, vous pouvez contacter : contact@breizhzenhome.fr.