Projet : ce texte n'a pas encore été vérifié par un juriste.
Accord de sous-traitance (DPA)
Cet accord de sous-traitance fait partie du contrat relatif à heizcheck. Le client est responsable du traitement. Angelista Enterprise B.V. est sous-traitant.
1. Objet et durée
Le sous-traitant traite des données personnelles uniquement pour fournir heizcheck, pendant la durée du contrat.
2. Nature, finalité et données
Plan de contrôle des installations de chauffage selon les §60a et §60b GModG (ex-GEG) : calcul des délais et collecte des rapports de contrôle des installateurs.
- Adresse e-mail du gestionnaire (connexion)
- Adresses des immeubles et nombre d'unités
- Type d'installation, année de pose et date du dernier contrôle
- Nom de l'installateur, date du contrôle et rapport de contrôle (PDF)
- Adresses e-mail des installateurs à qui un lien d'envoi est transmis
Personnes concernées : salariés, clients ou relations du client, dans la mesure où ils figurent dans les fichiers du client.
3. Instructions
Le sous-traitant traite les données uniquement sur instruction documentée du client. L'utilisation du service conformément à sa destination vaut instruction.
4. Confidentialité
Toute personne ayant accès aux données chez le sous-traitant est tenue à la confidentialité.
5. Sécurité
Le sous-traitant prend des mesures appropriées (RGPD art. 32) : connexions chiffrées (HTTPS), accès uniquement après connexion, serveurs dans l'EEE, accès administrateur limité et sauvegardes.
6. Sous-traitants ultérieurs
Le client autorise de manière générale ces sous-traitants ultérieurs :
- OVHcloud SAS, Roubaix, France (hébergement du serveur et de la base de données)
- Heinlein Hosting GmbH (mailbox.org), Berlin, Allemagne (envoi et réception des e-mails)
Le sous-traitant annonce tout nouveau sous-traitant ultérieur 30 jours à l'avance. Le client peut s'y opposer et, dans ce cas, résilier le contrat.
7. Assistance
Le sous-traitant aide le client à répondre aux demandes des personnes concernées et à respecter les obligations des articles 32 à 36 du RGPD.
8. Violations de données
Le sous-traitant notifie au client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après sa découverte (RGPD art. 33).
9. Fin du contrat
Après la fin du contrat, le client peut exporter les données pendant 30 jours. Le sous-traitant les supprime ensuite, y compris des sauvegardes dans un délai de 30 jours, sauf si la loi impose leur conservation.
10. Audits
Le sous-traitant fournit au client toutes les informations nécessaires pour démontrer sa conformité et collabore à des audits raisonnables.
11. Transferts
Aucune donnée n'est transférée vers des pays situés hors de l'EEE.