Accord de sous-traitance RGPD

⚠️ Document de travail, à faire valider par un professionnel du droit avant signature d'un premier contrat client. Il a vocation à être signé en annexe du contrat d'abonnement avec chaque agence cliente.

Préambule

Dans le cadre de l'utilisation du logiciel Pilotreno, l'agence cliente (ci-après « le Responsable de traitement ») confie à la société MÉTRIKS3D, SAS au capital de 1 000 €, dont le siège social est situé 62 rue de Dunkerque, 11400 Castelnaudary, immatriculée au RCS de Carcassonne sous le numéro 108 066 895 (ci-après « le Sous-traitant ») le traitement de données à caractère personnel pour son compte, au sens de l'article 28 du Règlement Général sur la Protection des Données (RGPD).

1. Description du traitement

Nature du traitement	Hébergement, stockage et mise à disposition des données via le logiciel Pilotreno
Finalité	Permettre à l'agence de gérer ses prospects, projets, artisans et clients
Catégories de données	Identité et coordonnées des clients/prospects/artisans de l'agence, données financières liées aux projets (devis, paiements, honoraires), photos de chantier, documents contractuels
Catégories de personnes concernées	Clients, prospects et artisans de l'agence ; utilisateurs (agents) de l'agence
Durée du traitement	Pendant toute la durée du contrat d'abonnement, puis selon la politique de conservation décrite dans la politique de confidentialité

2. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

Traiter les données uniquement sur instruction documentée du Responsable de traitement, et pour les seules finalités du contrat ;
Garantir la confidentialité des données traitées, y compris pour toute personne agissant sous son autorité ;
Mettre en œuvre les mesures de sécurité appropriées prévues à l'article 32 du RGPD (accès individuels par compte, chiffrement des données sensibles, cloisonnement de la base de données par agence, sauvegardes régulières) ;
Notifier le Responsable de traitement de toute violation de données dans les meilleurs délais, et au maximum 72 heures après en avoir eu connaissance ;
Assister le Responsable de traitement pour répondre aux demandes d'exercice des droits des personnes concernées, et pour la réalisation d'analyses d'impact si nécessaire ;
Supprimer ou restituer, au choix du Responsable de traitement, l'ensemble des données à caractère personnel à l'issue du contrat, sauf obligation légale de conservation ;
Mettre à disposition du Responsable de traitement toute information nécessaire pour démontrer le respect de ces obligations, et permettre la réalisation d'audits raisonnables.

3. Sous-traitants ultérieurs autorisés

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants, chacun intervenant dans le cadre défini ci-dessous :

Sous-traitant	Rôle	Localisation
OVH	Hébergement du serveur et de la base de données	France
Brevo	Envoi des emails transactionnels (notifications, mot de passe oublié)	Union Européenne
Bridge (Bankin')	Agrégation bancaire en lecture seule, uniquement si l'agence active cette fonctionnalité	France
Anthropic	Fourniture du modèle d'intelligence artificielle (assistant, extraction de devis) — voir la section IA	États-Unis (clauses contractuelles types)

Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement de sous-traitant ultérieur, lui laissant la possibilité de s'y opposer pour un motif légitime.

4. Sécurité et confidentialité

L'accès aux données de chaque agence est strictement cloisonné : chaque agence dispose de sa propre base de données, distincte de celle des autres agences. Les accès utilisateurs sont individuels et protégés par mot de passe, avec une procédure de récupération sécurisée en cas d'oubli.