Accord de sous-traitance des données (DPA)

1. Rôles des parties

Le responsable de traitement est la marbrerie : c'est elle qui décide quelles données elle saisit, à quelle fin et pour combien de temps. Le sous-traitant est Marmos : il traite les données exclusivement pour fournir le service, en suivant les instructions documentées du responsable, exprimées par l'utilisation de la plateforme, les Conditions et le présent Accord.

Le sous-traitant ne traitera pas les données pour ses propres finalités et ne les vendra pas, ne les cédera pas et ne les utilisera pas à des fins publicitaires. Le sous-traitant informera immédiatement le responsable si, selon lui, une instruction reçue constitue une violation du RGPD ou d'autres dispositions relatives à la protection des données.

2. Objet du traitement

3. Obligations du responsable de traitement

Le responsable déclare et assume, à titre exclusif :

• disposer d'une base juridique valable pour chaque donnée qu'il saisit et pour chaque finalité qu'il poursuit ;
• fournir aux personnes concernées les informations des articles 13 et 14 du RGPD et recueillir le consentement lorsque celui-ci constitue la base applicable ;
• ne saisir que des données adéquates, pertinentes et limitées à ce qui est nécessaire, conformément aux principes de l'article 5 ;
• tenir les données exactes et à jour, et configurer correctement les accès de ses utilisateurs ;
• répondre aux demandes des personnes concernées et répondre devant l'autorité de contrôle et les juridictions en sa qualité de responsable ;
• ne pas saisir de catégories particulières de données, de données de mineurs ni de données obtenues illicitement.

Le sous-traitant ne vérifie ni la licéité, ni l'exactitude, ni l'origine des données saisies par le responsable et n'en répond pas.

4. Obligations du sous-traitant

• ne traiter les données que sur instruction documentée du responsable, y compris en ce qui concerne les transferts hors de l'Espace économique européen ;
• mettre en œuvre les mesures de sécurité de l'article 32 du RGPD — chiffrement en transit, hachage des mots de passe, séparation logique par marbrerie dans toutes les requêtes, contrôle d'accès par profil, journalisation des événements et sauvegardes périodiques ;
• imposer une obligation de confidentialité à toutes les personnes autorisées à traiter les données ;
• aider le responsable, dans la mesure du raisonnable et avec les moyens disponibles sur la plateforme, à répondre aux demandes des personnes concernées et à respecter les articles 32 à 36 du RGPD (sécurité, violations de données et analyses d'impact) ;
• satisfaire, au moyen des fonctionnalités disponibles ou sur demande validée, les demandes de copie et de suppression des données ;
• notifier les violations de données conformément à la Section 7.

5. Sous-traitants ultérieurs

Le responsable accorde au sous-traitant une autorisation générale de recourir à des sous-traitants ultérieurs pour l'infrastructure, le stockage, l'envoi d'e-mails, l'authentification, les notifications et le paiement — les catégories indiquées dans la Politique de confidentialité, Section 4.

Le sous-traitant impose aux sous-traitants ultérieurs des obligations de protection des données au moins équivalentes à celles du présent Accord et répond d'eux envers le responsable. Les changements envisagés seront communiqués avec un préavis raisonnable ; si le responsable émet une objection motivée, il peut mettre fin à l'abonnement sans frais.

6. Transferts internationaux

Le service est exploité depuis le Brésil et peut faire intervenir des sous-traitants ultérieurs situés hors de l'Espace économique européen. Ces transferts sont effectués conformément au Chapitre V du RGPD : sur la base d'une décision d'adéquation, lorsqu'elle existe, ou des clauses contractuelles types approuvées par la Commission européenne, que les parties considèrent comme incorporées au présent Accord dans la mesure où elles sont nécessaires.

7. Violations de données personnelles

Le sous-traitant notifiera au responsable, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, toute violation de données personnelles affectant les données traitées pour son compte, en indiquant ce qui est connu : nature, données concernées, personnes concernées, mesures prises et atténuation.

La notification à l'autorité de contrôle et aux personnes concernées incombe au responsable de traitement (articles 33 et 34 du RGPD), à qui il appartient d'en apprécier le caractère obligatoire et de l'effectuer dans le délai légal de 72 heures, avec l'appui informatif du sous-traitant. Lorsque Marmos est le responsable des données concernées, cette obligation lui incombe.

8. Fin du contrat, restitution et suppression

• La résiliation de l'abonnement interrompt la facturation, mais ne constitue pas, à elle seule, une instruction de suppression. Le responsable peut demander une copie au moyen des fonctionnalités disponibles ou du canal d'assistance.
• Une fois l'instruction de suppression reçue et validée, le responsable dispose de 30 jours pour obtenir la copie mise à sa disposition avant la suppression.
• Passé ce délai, le sous-traitant supprime ou anonymise les données, sauf si le droit de l'Union ou d'un État membre, ou une autre obligation légale à laquelle le sous-traitant est soumis, en impose la conservation.
• Les copies de sauvegarde sont écrasées au cours du cycle normal de rotation ; d'ici là, elles restent soumises au présent Accord.
• La suppression est irréversible.

9. Responsabilité

Chaque partie répond du manquement aux obligations que le présent Accord lui attribue. La responsabilité du sous-traitant envers le responsable respecte le plafond de la Section 9 des Conditions d'utilisation, sauf en cas de dol ou de faute lourde et dans les cas où la loi interdit la limitation. Aucune disposition du présent Accord ne limite les droits des personnes concernées au titre de l'article 82 du RGPD.

Le responsable garantira le sous-traitant, dans la mesure de sa responsabilité établie, contre les réclamations de personnes concernées, de l'autorité de contrôle ou de tiers résultant de l'absence de base juridique, d'une collecte excessive, de la saisie de catégories particulières de données ou de données de mineurs, d'une instruction illicite ou d'un défaut dans la gestion des accès de ses propres utilisateurs. Cette obligation ne couvre pas les actes ou omissions imputables au sous-traitant.

10. Audit

Le sous-traitant met à la disposition du responsable les informations nécessaires pour démontrer le respect de l'article 28 du RGPD. Sur demande écrite, au plus une fois par an et sous couvert de confidentialité, il permet la réalisation d'audits menés par le responsable ou par un auditeur mandaté par lui ; les audits sur site et les tests d'intrusion supposent un accord préalable, un préavis de 30 jours et sont à la charge du responsable, sans accès aux données d'autres abonnés ni au code source.

11. Contact

Canal confidentialité du sous-traitant : WhatsApp +55 (74) 99811-4405. Le responsable doit maintenir sur la plateforme un contact valide pour les communications relatives à la protection des données.