1. Parties et objet
Le présent accord est conclu entre l'établissement ou l'organisme client (le « Responsable de traitement ») et CIFEC, SA à directoire au capital de 1 525 000,00 €, RCS Nanterre 632 048 948, 12 bis, rue du Commandant Pilot, 92200 Neuilly-sur-Seine (le « Sous-traitant »). Il définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données personnelles saisies dans le Carnet Sanitaire.
2. Description du traitement
| Nature et finalité | Hébergement, stockage, consultation, export et sauvegarde des données du carnet sanitaire réglementaire des piscines ; gestion des accès des utilisateurs de l'établissement ; envoi d'alertes et de rappels. |
|---|---|
| Personnes concernées | Agents, salariés et prestataires du Responsable de traitement (utilisateurs, opérateurs) ; personnes figurant dans les contacts d'urgence et de service. |
| Catégories de données | Identité (nom, prénom), coordonnées professionnelles (email, téléphone, adresse), rôle et habilitations, traces de saisie (auteur, date et heure des relevés et événements), contenu des pièces jointes et commentaires. Aucune donnée sensible au sens de l'article 9 du RGPD n'est attendue. |
| Durée | Durée du contrat d'abonnement, puis selon les modalités de l'article 9 ci-dessous. |
3. Obligations du Sous-traitant
Le Sous-traitant s'engage à :
- traiter les données uniquement pour les finalités ci-dessus et sur instruction documentée du Responsable de traitement, les CGV, les CGU et le paramétrage du service constituant ces instructions ; il informe immédiatement le Responsable de traitement s'il estime qu'une instruction constitue une violation de la réglementation ;
- garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter soient soumises à une obligation de confidentialité et reçoivent la sensibilisation nécessaire ;
- ne pas utiliser les données à ses propres fins, ne pas les céder ni les commercialiser ;
- mettre en œuvre les mesures de sécurité décrites à l'article 5 ;
- tenir un registre des catégories d'activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD) ;
- aider le Responsable de traitement, dans la mesure du possible, à s'acquitter de ses obligations : réponse aux demandes d'exercice des droits, analyses d'impact, consultation préalable de la CNIL, notification des violations.
4. Sous-traitants ultérieurs
Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs suivants :
| Sous-traitant | Prestation | Localisation |
|---|---|---|
| Microsoft Ireland Operations Limited (Microsoft Azure) | Hébergement de l'application et de la base de données | France (région Azure « France Central ») |
| Microsoft Ireland Operations Limited (Azure Communication Services) | Envoi des courriels de service (alertes, rappels, réinitialisation de mot de passe) | Union européenne |
| Stripe Payments Europe, Limited | Paiement des abonnements (données du payeur uniquement) | Irlande ; transferts possibles vers les États-Unis encadrés par le Data Privacy Framework et les clauses contractuelles types |
Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement de sous-traitant ultérieur au moins trente (30) jours à l'avance, par courriel ou par un message dans le service. Le Responsable de traitement peut formuler des objections motivées dans ce délai ; à défaut d'accord, il peut résilier le contrat sans pénalité, la période payée non consommée lui étant remboursée au prorata. Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes à celles du présent accord et demeure pleinement responsable de leur exécution.
Lorsque le Responsable de traitement active la sauvegarde vers son propre espace Microsoft SharePoint / Microsoft 365, ce service relève de son propre contrat avec Microsoft et non du présent accord.
5. Mesures de sécurité
- chiffrement des flux entre les utilisateurs et le service (HTTPS/TLS) et chiffrement au repos assuré par l'hébergeur ;
- mots de passe stockés sous forme hachée (bcrypt), jamais consultables en clair ;
- cloisonnement des données par établissement et contrôle d'accès par rôle ;
- journal d'audit des actions sensibles (auteur, rôle, date, action) ;
- sauvegardes régulières de la base de données ;
- accès d'administration limité au personnel habilité du Sous-traitant, soumis à confidentialité ;
- hébergement dans des centres de données certifiés (notamment ISO/IEC 27001) situés dans l'Union européenne.
6. Droits des personnes concernées
Le Responsable de traitement est l'interlocuteur des personnes concernées. Le service lui permet de consulter, rectifier et désactiver les comptes de ses utilisateurs. Si une personne concernée adresse directement une demande au Sous-traitant, celui-ci la transmet au Responsable de traitement dans les meilleurs délais et ne donne pas suite sans son instruction.
7. Violation de données
Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans un délai maximum de quarante-huit (48) heures après en avoir pris connaissance, par courriel à l'adresse du compte principal de l'établissement. La notification précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées, afin de permettre au Responsable de traitement de notifier la CNIL dans le délai de 72 heures prévu à l'article 33 du RGPD.
8. Localisation et transferts
Les données du carnet sont hébergées en France (région Azure « France Central »). Aucun transfert hors de l'Espace économique européen n'est réalisé sans garanties appropriées au sens du chapitre V du RGPD (décision d'adéquation, clauses contractuelles types de la Commission européenne).
9. Sort des données en fin de contrat
Le carnet sanitaire ayant valeur réglementaire, les données ne sont pas supprimées à l'échéance de l'abonnement : elles sont conservées afin de permettre au Responsable de traitement de les récupérer ou de reprendre son abonnement. À tout moment et au plus tard dans les douze (12) mois suivant la fin du contrat, le Responsable de traitement peut demander (i) la restitution de ses données dans un format standard et lisible, et/ou (ii) leur suppression définitive, que le Sous-traitant réalise dans un délai de trente (30) jours et atteste par écrit, sous réserve des obligations légales de conservation qui lui incombent. Les copies de sauvegarde sont écrasées selon leur cycle de rotation normal.
10. Audit et documentation
Le Sous-traitant met à la disposition du Responsable de traitement, sur demande écrite, les informations nécessaires pour démontrer le respect du présent accord. Le Responsable de traitement peut réaliser, à ses frais, un audit sur pièces une fois par an, ou à la suite d'une violation de données, moyennant un préavis de trente (30) jours ; l'audit ne peut porter sur les installations des sous-traitants ultérieurs, dont les certifications font foi. L'auditeur, s'il n'est pas le Responsable de traitement lui-même, est soumis à une obligation de confidentialité et ne peut être un concurrent du Sous-traitant.
11. Obligations du Responsable de traitement
Le Responsable de traitement s'engage à disposer d'une base légale pour les données qu'il saisit, à informer les personnes concernées (notamment ses agents et les personnes inscrites comme contacts), à ne saisir que des données adéquates et pertinentes et à ne pas saisir de données sensibles dans les champs libres ou les pièces jointes.
12. Durée et hiérarchie
Le présent accord prend effet à la souscription et demeure en vigueur tant que le Sous-traitant traite des données pour le compte du Responsable de traitement. En cas de contradiction avec les CGV ou les CGU sur un point relatif à la protection des données personnelles, le présent accord prévaut. La responsabilité des parties au titre du présent accord est régie par l'article 13 des CGV, sans préjudice de l'article 82 du RGPD.