Accord de sous-traitance (DPA) — Institeo

1. Objet

Le présent accord définit les conditions dans lesquelles le Sous-traitant s'engage à traiter, pour le compte du Responsable de traitement, les données à caractère personnel des clients finaux du Responsable de traitement, dans le cadre de la fourniture du logiciel de gestion de rendez-vous Institeo.

2. Durée

Cet accord s'applique pendant toute la durée du contrat principal liant les parties, et jusqu'à la suppression ou la restitution complète des données conformément à l'article 7.

3. Nature et finalité du traitement

Le Sous-traitant traite les données pour le compte du Responsable de traitement aux seules fins de fournir le service de prise de rendez-vous en ligne, de gestion d'agenda et d'envoi de rappels (par SMS et email) aux clients du Responsable de traitement.

4. Catégories de données et de personnes concernées

• Personnes concernées : les clients finaux du Responsable de traitement qui prennent rendez-vous via Institeo.
• Catégories de données traitées : nom, numéro de téléphone, historique et préférences de rendez-vous (date, heure, prestation choisie, durée).

Aucune donnée sensible au sens de l'article 9 du RGPD n'est traitée dans le cadre de ce service.

5. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

1. Ne traiter les données que sur instruction documentée du Responsable de traitement, telle qu'exprimée par l'utilisation normale du logiciel (création/modification/suppression de rendez-vous et de fiches clients par le Responsable de traitement ou son personnel).
2. Garantir la confidentialité : seules les personnes habilitées, tenues à une obligation de confidentialité, ont accès aux données.
3. Mettre en œuvre des mesures de sécurité appropriées, notamment :
   • hashage des mots de passe des comptes utilisateurs (BCrypt) ;
   • chiffrement des échanges (HTTPS) ;
   • hébergement sur un serveur situé en France / Union européenne.
4. Assister le Responsable de traitement dans l'exercice des droits de ses clients (accès, rectification, effacement, portabilité), dans un délai raisonnable. À ce jour, ces opérations sont réalisées manuellement à la demande du Responsable de traitement, en attendant leur mise en libre-service dans l'application.
5. Notifier toute violation de données à caractère personnel concernant les données du Responsable de traitement dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous 72 heures, avec toute information utile à la qualification de l'incident.
6. Tenir à jour la documentation nécessaire pour démontrer le respect de ses obligations et permettre les audits prévus à l'article 8.

6. Sous-traitants ultérieurs

Le Responsable de traitement autorise de façon générale le Sous-traitant à recourir aux sous-traitants ultérieurs suivants, pour les besoins strictement nécessaires à la fourniture du service :

Le Sous-traitant informera le Responsable de traitement de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, lui donnant ainsi la possibilité d'émettre des objections.

7. Sort des données à l'issue du contrat

Au terme du contrat principal, et au choix du Responsable de traitement formulé par écrit, le Sous-traitant :

• restitue l'intégralité des données concernées dans un format structuré et couramment utilisé, puis les supprime de ses systèmes ; ou
• procède directement à leur suppression complète,

sauf obligation légale contraire imposant leur conservation.

À défaut d'instruction expresse, les données sont conservées 3 ans à compter du dernier rendez-vous de chaque client concerné, puis supprimées ou anonymisées.

8. Audit

Le Responsable de traitement peut demander au Sous-traitant les informations nécessaires pour démontrer le respect des obligations prévues au présent accord, et procéder à un audit, sur préavis raisonnable et selon des modalités convenues entre les parties.

9. Responsabilité et droit applicable

Chaque partie est responsable des dommages causés par un traitement effectué en violation du RGPD dans le cadre de ses propres obligations, telles que définies par le présent accord et par le RGPD. Le présent accord est soumis au droit français.

10. Contact

Pour toute question relative au présent accord : contact@institeo.com.