Accord de traitement des données

Cet accord de traitement des données s'applique entre le client, en tant que responsable du traitement, et Ulixes Consulting, en tant que sous-traitant, pour les données à caractère personnel que le client et ses utilisateurs introduisent dans Lisso. Il fait partie des conditions générales. Les termes qui y sont définis ont ici le même sens.

1. Objet et durée

Cet accord précise comment nous traitons des données à caractère personnel pour le compte du client lorsque nous fournissons Lisso. Il s'applique aussi longtemps que nous traitons de telles données pour le client, et donc au moins pendant la durée du contrat conclu sous les conditions générales.

2. Nature et finalité du traitement

Nous traitons des données à caractère personnel uniquement pour fournir Lisso : aider le client à gérer ses fournisseurs et ses produits, à préparer ses commandes, à les envoyer à ses fournisseurs et à en conserver l'historique. Cela comprend le stockage, l'organisation, l'affichage et l'envoi des données, la réalisation de sauvegardes et le support au client.

3. Types de données à caractère personnel

Utilisateurs : nom, adresse e-mail, données de connexion et de sécurité (mot de passe stocké sous forme hachée, données de l'authentification à deux facteurs et des passkeys), préférences comme la langue.
Sessions : adresse IP et navigateur des sessions actives.
Personnes de contact chez les fournisseurs : nom, adresse e-mail, numéro de téléphone.
Commandes : contenu et historique des commandes, avec les noms des utilisateurs qui les ont créées, modifiées, envoyées ou confirmées.

4. Catégories de personnes concernées

Le personnel du client et les autres utilisateurs de Lisso.
Les personnes de contact chez les fournisseurs du client.

5. Nos obligations en tant que sous-traitant

Nous :

traitons les données à caractère personnel uniquement sur instruction documentée du client, telle que définie dans les conditions générales, dans cet accord et par l'utilisation que le client fait de Lisso, sauf si la loi nous impose autre chose ; dans ce cas, nous en informons d'abord le client, sauf si la loi l'interdit ;
informons le client si nous estimons qu'une instruction enfreint le RGPD ou d'autres règles en matière de protection des données ;
veillons à ce que les personnes qui ont accès aux données à caractère personnel soient tenues à la confidentialité ;
prenons des mesures de sécurité techniques et organisationnelles appropriées (voir le point 8) ;
aidons le client, dans la mesure du raisonnable, à répondre aux demandes des personnes concernées qui exercent leurs droits ;
aidons le client pour les analyses d'impact relatives à la protection des données, les consultations préalables et le traitement des violations de données à caractère personnel, compte tenu de la nature du traitement et des informations dont nous disposons ;
notifions au client toute violation de données à caractère personnel dans les meilleurs délais [et au plus tard dans les ... heures] après en avoir pris connaissance, avec les informations disponibles à ce moment.

6. Sous-traitants ultérieurs

Le client nous donne une autorisation générale de faire appel à des sous-traitants ultérieurs. La liste à jour figure sur la page sous-traitants ultérieurs.

Nous informons le client à l'avance de tout ajout ou remplacement prévu d'un sous-traitant ultérieur. Le client peut s'opposer à ce changement pour des motifs raisonnables. Si nous ne pouvons pas répondre à son objection, le client peut résilier le contrat avant que le changement ne prenne effet.

Nous imposons à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles de cet accord, et restons responsables envers le client de leur respect.

7. Transferts

Nous traitons les données à caractère personnel dans l'Union européenne ou dans l'Espace économique européen. Nous ne transférons pas de données à caractère personnel en dehors de l'EEE sans garanties appropriées, comme l'exige le RGPD.

8. Mesures de sécurité

Les mesures suivantes sont en place :

tout le trafic vers et depuis Lisso est chiffré en HTTPS (TLS) ;
les mots de passe sont stockés sous forme hachée, jamais sous une forme lisible ;
les utilisateurs peuvent activer l'authentification à deux facteurs et utiliser des passkeys ;
les données de chaque établissement sont strictement séparées : cette séparation est imposée dans la base de données elle-même et vérifiée par des tests automatisés ;
l'accès dans Lisso repose sur des rôles par établissement (propriétaire, responsable, collaborateur) ;
l'accès du personnel de Ulixes Consulting est limité à ce qui est nécessaire pour exploiter le service et assurer le support ;
les serveurs sont hébergés chez Hetzner, dans un centre de données ([à compléter]) ;
la base de données est sauvegardée [fréquence et durée de conservation des sauvegardes à définir].

Nous pouvons adapter ces mesures, pour autant que le niveau de sécurité ne diminue pas.

9. Audits

Sur demande, nous fournissons au client les informations nécessaires pour démontrer que nous respectons cet accord. Le client peut faire réaliser un audit, à ses frais, moyennant un préavis raisonnable, pendant les heures de bureau et sans perturber inutilement nos activités. L'auditeur est tenu à la confidentialité.

10. Fin du traitement

À la fin du contrat, nous supprimons ou restituons les données à caractère personnel, au choix du client, dans un délai de [délai], sauf si la loi nous oblige à les conserver.

11. Responsabilité

La responsabilité au titre de cet accord est régie par l'article sur la responsabilité des conditions générales.

Une version PDF signée de cet accord est disponible sur demande. Écrivez à [à compléter].