Contrat de sous-traitance

1. Objet et durée

L’objet est la mise à disposition de la plateforme DocTrace pour recueillir des signatures électroniques sur des documents PDF avec page de preuve et journal chaîné. Le traitement dure aussi longtemps que le contrat d’utilisation et prend fin avec la suppression selon la section 8.

2. Nature et finalité du traitement

Stockage, affichage, envoi par e-mail, génération de la version finale et de la page de preuve, journalisation des étapes et sauvegarde des données, uniquement pour recueillir et prouver des signatures pour le compte du client. Le sous-traitant ne traite pas les données à ses propres fins.

3. Types de données

Données de base des destinataires (nom, adresse e-mail, le cas échéant entreprise, matricule, lieu, date de naissance), données des utilisateurs (nom, adresse e-mail, rôles, heures de connexion), documents téléversés et leur contenu, signatures tracées, versions finales, remises après signature et données de journal (horodatages, adresses IP, identifiants d’appareil).

4. Catégories de personnes concernées

Collaborateurs et utilisateurs du client, signataires (par exemple collaborateurs, fournisseurs, clients et candidats du client) et personnes citées dans les documents.

5. Obligations du sous-traitant

Nous traitons les données uniquement sur instruction documentée du client ; l’utilisation de la plateforme vaut instruction. Toutes les personnes participant au traitement sont tenues à la confidentialité. Nous aidons le client à répondre aux demandes des personnes concernées, à réaliser les analyses d’impact et à notifier les autorités de contrôle, et l’informons sans délai de toute violation de données à caractère personnel. Nous signalons au client les instructions contraires au droit de la protection des données.

6. Mesures techniques et organisationnelles

Connexions chiffrées (TLS) ; séparation des entreprises dans la base de données (Row-Level Security) et dans le stockage ; journal chaîné et immuable ; stockage des originaux et versions finales sans suppression ni écrasement ; conservation chiffrée des identifiants et clés ; fichiers débloqués avec clé propre (AES-256-GCM) et suppression de la clé à l’expiration ; droits et rôles par entreprise ; accès du support en lecture seule, limité dans le temps et visible pour l’entreprise ; sauvegarde quotidienne conservée 14 jours ; hébergement à Francfort-sur-le-Main (UE).

7. Sous-traitants ultérieurs

Le client accepte le recours aux sous-traitants ultérieurs suivants : Google Cloud EMEA Limited (Irlande ; serveurs et stockage, centre de données de Francfort-sur-le-Main, europe-west3), Amazon Web Services EMEA SARL (Luxembourg ; Amazon SES pour les e-mails système, région de Francfort), à défaut Brevo (Sendinblue SAS, France ; e-mails système) et Paddle.com Market Ltd. (Royaume-Uni ; traitement des paiements en tant que Merchant of Record, ne traite que les données de facturation et de paiement du client, aucune donnée des personnes concernées).

Des contrats de sous-traitance existent avec tous les sous-traitants ultérieurs, avec des clauses contractuelles types de l’UE pour les prestataires hors UE. Nous annonçons les changements au moins quatre semaines à l’avance ; le client peut s’y opposer pour motif légitime.

8. Suppression et restitution

Après la fin du contrat, les données de l’entreprise restent exportables pendant 30 jours (versions finales, journaux, données de base), puis sont supprimées, sauf obligations légales de conservation de l’entreprise, qu’elle remplit elle-même par export. Les sauvegardes sont écrasées dans les 14 jours suivants. Sur demande, nous confirmons la suppression.

9. Droits de contrôle et justificatifs

Le client peut vérifier le respect du présent contrat au moyen d’informations, de justificatifs et, après préavis et dans une mesure raisonnable, d’audits. Nous fournissons les informations nécessaires.

10. Dispositions finales

Le droit autrichien s’applique. En cas de contradiction entre ce contrat et les CGV, ce contrat prévaut pour les questions de protection des données. Si une clause est nulle, le reste du contrat demeure valable.