Accord de sous-traitance des données

1. Objet et parties

Le présent accord fait partie intégrante des conditions générales de vente et de licence (les « Conditions ») et s'applique automatiquement à tout Client qui, en utilisant Auto-appel, détermine les finalités et les moyens du traitement des données de ses prospects, de ses clients et de ses Utilisateurs (le « Responsable »). Artemis Agency – Elias Galea EI, 29 rue Amédée Bouquerel, 60200 Compiègne, France, agit pour lui en qualité de sous-traitant (le « Sous-traitant »).

Les termes utilisés ont le sens que leur donne le règlement (UE) 2016/679 (« RGPD »). En cas de contradiction avec les Conditions, le présent accord prévaut pour ce qui concerne les données personnelles.

2. Description des traitements

Finalités : permettre au Responsable et à ses Utilisateurs d'appeler leurs prospects et clients, de suivre leur activité, de retrouver l'historique des appels, de mettre à jour leur CRM et de constituer les dossiers de leurs clients ; assurer le support et la sécurité du service.

Personnes concernées : prospects et clients du Responsable ; Utilisateurs autorisés par le Responsable.

Données sensibles : le service n'est pas conçu pour traiter des catégories particulières de données (santé, opinions, etc.) ; le Responsable veille à ne pas en saisir dans les notes et scripts. Les données fiscales ne sont traitées qu'en transit vers le CRM du Responsable.

Les données traitées uniquement sur l'ordinateur ou le navigateur de l'Utilisateur (son des appels, qui n'est jamais conservé et s'efface aussitôt transcrit ; transcriptions complètes ; historique local ; lecture des documents) restent sous le seul contrôle du Responsable et ne sont pas accessibles au Sous-traitant.

3. Engagements du Sous-traitant

Le Sous-traitant s'engage à :

• ne traiter les données que pour les finalités ci-dessus et sur instruction documentée du Responsable, constituée par les Conditions, le présent accord, le paramétrage du service et ses demandes écrites, y compris pour les transferts hors de l'Union européenne ; il informe immédiatement le Responsable si une instruction lui paraît contraire à la réglementation ;
• garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter s'y engagent ;
• mettre en œuvre les mesures de sécurité de l'article 32 du RGPD, notamment celles décrites à la section 8 de la politique de confidentialité ;
• n'avoir recours qu'aux sous-traitants ultérieurs listés à la section 4, qu'il soumet aux mêmes obligations ;
• aider le Responsable à répondre aux demandes des personnes concernées (accès, rectification, effacement, opposition, limitation, portabilité), en lui transmettant sans délai toute demande reçue directement ;
• aider le Responsable à garantir le respect de ses obligations de sécurité, de notification des violations, d'analyse d'impact et de consultation préalable, compte tenu de la nature du traitement et des informations dont il dispose ;
• notifier au Responsable toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification ;
• tenir le registre des traitements effectués pour le compte du Responsable (article 30.2 du RGPD) ;
• mettre à la disposition du Responsable les informations nécessaires pour démontrer le respect de ses obligations et permettre des audits, dans les conditions de la section 6.

4. Sous-traitants ultérieurs

Le Responsable donne une autorisation générale au recours à ces sous-traitants. Le Sous-traitant l'informe par e-mail au moins trente jours à l'avance de tout ajout ou remplacement ; le Responsable peut s'y opposer pour un motif raisonnable lié à la protection des données, et, à défaut d'accord, mettre fin au service concerné avec remboursement au prorata de la période payée non utilisée.

5. Obligations du Responsable

Le Responsable s'engage à : disposer d'une base légale pour chaque traitement et, pour la prospection téléphonique, du consentement préalable des personnes lorsque la loi l'exige ; informer les personnes appelées, notamment de l'écoute et de la transcription des appels, et respecter leur opposition ; s'il active la transcription des appels, en informer au préalable ses Utilisateurs (et consulter son comité social et économique s'il en existe un) et ses clients, choisir le mode de transcription sous sa responsabilité et attester de cette information dans le Logiciel ; ne collecter les documents et données fiscales qu'avec l'accord des personnes et pour la constitution de leur dossier ; informer ses Utilisateurs du traitement de leurs données d'activité ; documenter par écrit toute instruction particulière ; et superviser le traitement.

6. Audits

Le Responsable peut faire réaliser, au plus une fois par an et à ses frais, un audit du respect du présent accord par un auditeur indépendant non concurrent du Sous-traitant, tenu à la confidentialité, après un préavis écrit de trente jours. L'audit porte sur les documents et informations pertinents et ne doit pas perturber le service ni compromettre la sécurité ou la confidentialité des données des autres clients.

7. Fin du traitement : restitution et suppression

À la fin de la Licence, le Sous-traitant, au choix du Responsable exprimé dans les trente jours, lui restitue dans un format structuré et couramment utilisé les rapports d'activité et l'historique encore conservés, puis supprime ces données et les identifiants CRM enregistrés, au plus tard trente jours après la fin de la Licence (les rapports étant en tout état de cause supprimés 90 jours après leur réception), sauf obligation légale de conservation. Il en atteste sur demande.

8. Durée et responsabilité

Le présent accord s'applique pendant toute la durée de la Licence et jusqu'à la suppression des données. Chaque partie répond des manquements qui lui sont imputables, dans les conditions et limites prévues par les Conditions et par l'article 82 du RGPD.