Accord de sous-traitance (article 28 RGPD)

Le présent accord fait partie des conditions générales. Il s’applique aux données personnelles que le client (responsable de traitement) enregistre dans SoliCRM et que [raison sociale de l’éditeur — à compléter] (le sous-traitant) traite pour lui.

1. Objet et durée

Le sous-traitant héberge et fait fonctionner le CRM du client pendant la durée de l’abonnement. Nature des traitements : stockage, consultation, calcul, envoi d’e-mails et de documents à la demande du client.

2. Données et personnes concernées

Contacts, pistes et interlocuteurs des clients et fournisseurs du client ; utilisateurs du client. Données d’identification, coordonnées professionnelles, échanges commerciaux, documents de vente et de facturation. Le client s’engage à ne pas y enregistrer de données sensibles (art. 9).

3. Instructions

Le sous-traitant ne traite les données que sur instruction documentée du client — l’utilisation du service et ses réglages valent instruction — et l’informe si une instruction lui paraît contraire au RGPD.

4. Confidentialité et sécurité

Personnel tenu au secret ; une instance et une base de données dédiées par client ; chiffrement en transit (TLS) et des secrets au repos ; mots de passe hachés (Argon2id) ; double authentification et SSO disponibles ; journal d’audit infalsifiable ; sauvegardes quotidiennes conservées 14 jours, restauration testée chaque semaine.

5. Sous-traitants ultérieurs

Autorisation générale pour les sous-traitants listés ; tout ajout est notifié 30 jours à l’avance, le client pouvant s’y opposer et résilier.

6. Droits des personnes

SoliCRM fournit au client les outils pour y répondre : export complet d’une personne, effacement, registre des consentements et des demandes, durées de conservation. Le sous-traitant l’assiste sur demande.

7. Violation de données

Notification au client sans délai injustifié, au plus tard 48 heures après sa découverte, avec les informations utiles à sa propre notification.

8. Fin du contrat

Le client peut exporter toutes ses données à tout moment. Après la fin de l’abonnement, les données restent consultables en lecture 30 jours, puis sont supprimées, sauvegardes comprises sous 14 jours.

9. Audit

Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet des audits, une fois par an, avec un préavis raisonnable.