Accord de sous-traitance des données personnelles

Cet accord, prévu par l’article 28 du règlement général sur la protection des données (RGPD), fait partie des conditions d’utilisation. Il lie l’entreprise cliente (le « Client »), responsable du traitement, et Samy Salah-Dine, éditeur de Galva (le « Sous-traitant »).

1. Objet et durée

Le Sous-traitant traite des données personnelles pour le compte du Client, dans le seul cadre du service Galva, pour la durée du contrat.

2. Description des traitements

• Nature et finalité : hébergement, enregistrement, consultation et envoi (emails, SMS, documents) des données nécessaires à la gestion de la clientèle et des dossiers de réparation de la carrosserie.
• Personnes concernées : clients et prospects du Client, conducteurs, interlocuteurs (assureurs, experts, apporteurs), salariés et Utilisateurs du Client.
• Données : identité et coordonnées ; véhicules (immatriculation, numéro de série, kilométrage) ; dossiers de réparation et de sinistre ; photos et états des lieux ; signatures ; devis, factures et règlements ; messages échangés ; avis de satisfaction. Aucune donnée sensible au sens de l’article 9 du RGPD : le Client s’engage à ne pas en enregistrer.

3. Obligations du Sous-traitant

• Traiter les données uniquement sur instruction documentée du Client : les fonctions du service et les réglages choisis par le Client valent instructions. Il informe le Client si une instruction lui paraît contraire à la réglementation.
• Veiller à la confidentialité : seules les personnes qui exploitent le service accèdent aux données, et elles y sont tenues.
• Garantir la sécurité (article 32) : chiffrement des connexions, cloisonnement de chaque carrosserie, double authentification, chiffrement des données sensibles, journal d’audit, sauvegardes quotidiennes.
• Ne recourir qu’aux sous-traitants ultérieurs listés dans la politique de confidentialité, liés par des obligations équivalentes. Le Client, qui les autorise de façon générale, est prévenu trente jours avant tout changement et peut s’y opposer en résiliant.
• Aider le Client à répondre aux demandes des personnes : Galva permet d’exporter les données d’un client et de l’anonymiser.
• Notifier au Client toute violation de données personnelles dans les meilleurs délais, au plus tard quarante-huit heures après en avoir pris connaissance, avec les informations utiles à sa propre notification.
• Aider le Client, si besoin, pour une analyse d’impact ou une consultation de la CNIL.
• À la fin du contrat : laisser les données exportables trente jours, puis les supprimer avec leurs copies ; les sauvegardes s’effacent par rotation dans les quatre-vingt-dix jours. Sauf obligation légale de conservation.
• Tenir à disposition du Client les informations qui démontrent le respect de ces obligations, et permettre des audits sur demande écrite raisonnable, aux frais du Client.
• Héberger les données dans l’Union européenne ; tout transfert éventuel hors de l’Union est encadré par les garanties prévues par le RGPD.

4. Obligations du Client

• Disposer d’une base légale pour chaque traitement et informer les personnes concernées.
• Donner des instructions conformes à la réglementation.
• Gérer les accès de ses Utilisateurs et la sécurité de leurs identifiants.

5. Contact

Pour toute question relative aux données personnelles : samy.salahdine@gmail.com.