Accord de sous-traitance des données personnelles

Entre vous, l’entreprise titulaire d’un compte BTP-AI (ci-après « l’Entreprise »), qui agissez en qualité de responsable du traitement des données de vos clients, de vos prospects et des personnes qui vous appellent,

et Alan Patfoort EI (micro-entreprise), nom commercial TTSoftware, marque BTP-AI, SIRET 103 747 200 00014, 13 rue du Docteur Vautrin, 62930 Wimereux, France (ci-après « BTP-AI »), qui agit en qualité de sous-traitant.

Article 1 - Objet et valeur du présent accord

1.1. Le présent accord fixe les conditions dans lesquelles BTP-AI traite des données personnelles pour votre compte lorsque vous utilisez la plateforme BTP-AI. Il complète les conditions générales d’utilisation (CGU), dont il fait partie.

1.2. Il ne couvre pas les traitements dont BTP-AI est lui-même responsable : la gestion de votre compte et de votre abonnement, la facturation de BTP-AI, le support et la sécurité de la plateforme. Ceux-là sont décrits dans la politique de confidentialité.

1.3. Vous acceptez le présent accord en ligne, avec les CGU. Cette acceptation électronique vaut contrat écrit au sens de l’article 28, paragraphe 9, du RGPD. BTP-AI conserve la version que vous avez acceptée en dernier, et sa date, fixée par son serveur.

1.4. En cas de contradiction entre le présent accord et les CGU sur la protection des données personnelles, le présent accord prévaut.

Article 2 - Description du traitement

Les traitements que BTP-AI effectue pour votre compte (leur objet, leur nature, leur finalité, les catégories de données et de personnes concernées, et leur durée) sont décrits à l’appendice A. Ils durent tant que votre compte existe, sous réserve des durées de conservation de l’appendice A et de l’article 10.

Article 3 - Vos instructions

3.1. BTP-AI ne traite les données que sur vos instructions documentées. Constituent vos instructions : le présent accord, les CGU, et les réglages que vous choisissez dans l’application (par exemple : activer votre secrétaire téléphonique, envoyer un devis, programmer une relance).

3.2. BTP-AI ne transfère les données hors de l’Union européenne que dans les conditions de l’article 7. S’il y était tenu par le droit de l’Union ou d’un État membre, il vous en informerait avant le traitement, sauf si ce droit l’interdit.

3.3. Si BTP-AI estime qu’une de vos instructions constitue une violation du RGPD ou d’une autre règle de protection des données, il vous en informe immédiatement, par e-mail à l’adresse de votre compte. Il peut suspendre l’exécution de cette instruction jusqu’à ce que vous la confirmiez ou la modifiiez.

Article 4 - Confidentialité

BTP-AI veille à ce que les personnes qu’il autorise à traiter vos données s’engagent à en respecter la confidentialité, ou soient soumises à une obligation légale de confidentialité. Elles n’y accèdent que lorsque c’est nécessaire au service, au support que vous demandez, ou à la sécurité de la plateforme.

Article 5 - Sécurité

BTP-AI met en œuvre les mesures techniques et organisationnelles décrites à l’appendice C, adaptées au risque, conformément à l’article 32 du RGPD. Il peut les faire évoluer, à condition de ne pas abaisser le niveau de protection.

Article 6 - Sous-traitants ultérieurs

6.1. Vous donnez à BTP-AI une autorisation générale de recourir aux sous-traitants ultérieurs de l’appendice B.

6.2. BTP-AI vous informe de tout ajout ou remplacement d’un sous-traitant ultérieur au moins 30 jours avant qu’il ne reçoive vos données, par e-mail et dans l’application. Vous pouvez vous y opposer pendant ce délai, par écrit, au contact données personnelles. BTP-AI fournit le même service à toutes les entreprises : s’il ne peut pas tenir compte de votre opposition, vous pouvez résilier votre abonnement sans frais avant l’entrée en service du nouveau sous-traitant.

6.3. BTP-AI impose à ses sous-traitants ultérieurs des obligations de protection des données au moins équivalentes à celles du présent accord : pour les prestataires privés, un accord de traitement des données, accepté chez chacun d’eux (à confirmer) ; les services publics de la liste sont exploités par l’État français ou ses établissements, sans transfert hors de l’Union. Si l’un d’eux ne remplit pas ses obligations, BTP-AI reste pleinement responsable envers vous de l’exécution des siennes.

Article 7 - Transferts hors de l’Union européenne

Certains sous-traitants ultérieurs traitent des données hors de l’Union européenne, notamment aux États-Unis. Ces transferts ne se font que vers les destinataires de l’appendice B, et chacun repose sur une décision d’adéquation de la Commission européenne (pour les États-Unis : le Data Privacy Framework, décision (UE) 2023/1795, pour une entreprise certifiée) ou sur les clauses contractuelles types de la Commission (à confirmer). L’appendice B indique, pour chacun, le pays et la garantie ; vous pouvez en obtenir une copie en écrivant au contact données personnelles. Une garantie qui n’est pas encore établie y porte la mention « à confirmer ».

Article 8 - Aide pour les droits des personnes

8.1. L’application vous permet de répondre vous-même aux demandes de vos clients et des personnes qui vous appellent : consulter, corriger et supprimer leurs fiches et leurs demandes, et exporter les données de votre compte.

8.2. Si BTP-AI reçoit directement une demande d’une personne qui vous concerne, il ne lui répond pas sur le fond : il vous la transmet sans délai, et au plus tard sous 3 jours ouvrés, et indique à la personne qu’il l’a transmise. Si la demande concerne aussi un traitement dont BTP-AI est responsable (par exemple la gestion de votre compte), BTP-AI y répond pour sa part.

8.3. Si l’application ne vous permet pas de traiter une demande par vous-même, BTP-AI vous aide, dans la mesure du possible, à y répondre dans le délai prévu par l’article 12 du RGPD : un mois.

Article 9 - Aide pour la sécurité, les violations et les analyses d’impact

9.1. BTP-AI vous aide à respecter les obligations des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont il dispose : sécurité, notification des violations, information des personnes, analyse d’impact et consultation préalable de la CNIL.

9.2. Violation de données. BTP-AI vous notifie toute violation de données personnelles vous concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l’adresse de votre compte. La notification indique, dans la mesure où BTP-AI les connaît : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables, les mesures prises ou proposées, et le contact à joindre. Ce qui n’est pas encore connu est transmis dès que possible. Il vous appartient, en tant que responsable du traitement, de notifier la violation à la CNIL dans les 72 heures si elle présente un risque, et d’en informer les personnes si le risque est élevé ; BTP-AI vous fournit pour cela les informations dont il dispose.

9.3. Pour une analyse d’impact que vous devriez mener, BTP-AI vous transmet, sur demande, la description des traitements, des mesures de sécurité et des sous-traitants ultérieurs.

Article 10 - Fin du contrat : suppression ou restitution

10.1. Avant de supprimer votre compte, vous pouvez exporter vos données depuis l’application.

10.2. À la suppression de votre compte, BTP-AI supprime les données traitées pour votre compte, sauf si le droit de l’Union ou le droit français l’oblige à en conserver une partie. Les copies chez ses sous-traitants ultérieurs s’effacent dans les conditions de l’appendice A : à la demande de BTP-AI, ou selon la durée de conservation propre au prestataire.

10.3. Vos propres obligations de conservation restent les vôtres : par exemple, vos factures et vos devis signés, que la loi vous impose de conserver plusieurs années. Exportez-les avant de supprimer votre compte.

Article 11 - Informations et audits

11.1. BTP-AI met à votre disposition les informations nécessaires pour démontrer le respect du présent accord : cet accord, la liste des sous-traitants ultérieurs, la description des mesures de sécurité, et l’extrait du registre des traitements de BTP-AI qui vous concerne. Écrivez au contact données personnelles : dpo@btp-ai.fr.

11.2. Vous pouvez faire réaliser un audit, par vous-même ou par un auditeur tenu au secret professionnel, une fois par an au plus, avec un préavis de 30 jours, et à tout moment après une violation de données vous concernant. L’audit se fait d’abord sur pièces ; une vérification sur place, si elle est nécessaire, ne doit pas compromettre la sécurité ni la confidentialité des données des autres entreprises. Ses frais sont à votre charge, sauf s’il révèle un manquement de BTP-AI au présent accord.

Article 12 - Vos obligations de responsable du traitement

Vous vous engagez notamment à :

• disposer d’une base légale pour les traitements que vous confiez à BTP-AI ;
• informer les personnes concernées. Pour les personnes qui vous appellent, BTP-AI rédige et héberge pour votre compte la notice des appels, dont votre secrétaire téléphonique donne l’adresse à l’appelant qui l’interroge sur ses données ;
• tenir votre propre registre des traitements. BTP-AI vous remet, sur demande au contact données personnelles, la description des traitements qu’il fait pour votre compte ;
• ne saisir dans l’application que les données utiles à votre activité, et pas de données sensibles (santé, opinions…) sans nécessité ;
• répondre aux demandes de droits que BTP-AI vous transmet.

Article 13 - Durée

Le présent accord s’applique tant que BTP-AI traite des données pour votre compte, et prend fin avec la suppression de votre compte et l’exécution de l’article 10.