Le présent accord complète les conditions générales. Il s'applique de plein droit à tout client qui accepte celles-ci et encadre, conformément à l'article 28 du RGPD, les traitements que Eregistre (le « sous-traitant ») réalise pour le compte du client (le « responsable de traitement »).
1. Objet et description du traitement
| Objet | Hébergement et mise à disposition d'un logiciel de tenue du registre de sécurité incendie des ERP |
|---|---|
| Nature des opérations | Collecte, enregistrement, conservation, consultation, sauvegarde, export, effacement |
| Personnes concernées | Utilisateurs du client, personnel de sécurité, intervenants et prestataires, signataires |
| Catégories de données | Identité, fonction, coordonnées professionnelles, qualifications, signatures électroniques, données de connexion. Aucune donnée de santé ni donnée sensible ne doit être saisie. |
| Durée | Durée de l'abonnement, puis 30 jours de restitution |
2. Instructions documentées
Le sous-traitant traite les données uniquement sur instruction documentée du client, constituée par l'utilisation du service et le présent accord. Il informe immédiatement le client si une instruction lui paraît contraire à la réglementation.
3. Confidentialité
Les personnes autorisées à accéder aux données (support, maintenance) sont soumises à une obligation de confidentialité et n'y accèdent qu'en cas de nécessité, notamment à la demande du client dans le cadre du support.
4. Sécurité (article 32)
- Hébergement exclusif en France ;
- isolation des données de chaque client (base et stockage dédiés) ;
- chiffrement des communications (TLS) et des sauvegardes ;
- sauvegardes quotidiennes conservées 30 jours, testées ;
- contrôle d'accès par rôle, journalisation des actions, mots de passe hachés ;
- mises à jour de sécurité régulières.
5. Sous-traitants ultérieurs
Le client autorise le recours à OVH SAS (hébergement, France) et, pour le seul paiement par carte, à Stripe Payments Europe Ltd. Si le client active l'option d'import intelligent dans son paramétrage, il autorise en outre le recours à Anthropic, PBC (États-Unis) pour la seule lecture des documents qu'un utilisateur demande d'analyser ; ce transfert est encadré par les clauses contractuelles types de la Commission européenne, les documents ne sont pas utilisés pour entraîner les modèles, et le client peut désactiver l'option à tout moment. Le sous-traitant informe le client de tout ajout ou remplacement au moins 30 jours à l'avance ; le client peut s'y opposer et résilier sans frais. Chaque sous-traitant ultérieur est soumis à des obligations équivalentes.
6. Droits des personnes
Le service fournit les outils permettant au client de répondre aux demandes : consultation, rectification, export, suppression d'un utilisateur. Le sous-traitant assiste le client pour toute demande complémentaire.
7. Violation de données
Le sous-traitant notifie au client toute violation de données dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à la notification à la CNIL.
8. Assistance et audit
Le sous-traitant aide le client à réaliser ses analyses d'impact et met à sa disposition les informations nécessaires pour démontrer le respect de ses obligations. Il se prête aux audits raisonnables, sur demande écrite avec un préavis de 30 jours.
9. Sort des données en fin de contrat
Le client peut exporter l'intégralité de ses données à tout moment (format ouvert JSON/CSV et documents d'origine). À la fin de l'abonnement, les données restent exportables 30 jours, puis sont supprimées définitivement, y compris des sauvegardes au terme de leur cycle de 30 jours. Seules les données de facturation sont conservées, conformément à la loi.
10. Registre et contact
Le sous-traitant tient un registre des catégories de traitements effectués pour le compte de ses clients. Contact protection des données : contact@eregistre.fr.