Informations légales

Cadre du traitement pour le compte d’un responsable selon l’article 28 du RGPD Version 2026-08-02.1

Ce cadre public décrit les obligations prévues, mais ne constitue pas encore un contrat de sous-traitance conclu tant que les parties, l’objet, la durée et les signatures ne sont pas clairement définis. Chaque client en production doit conclure un accord individualisé comprenant les annexes sur les mesures techniques et les sous-traitants ultérieurs.

1. Rôles, objet et durée

Le client est responsable de ses procédures métier. L’exploitant traite pour son compte les données métier et de portail enregistrées dans Entiflow. L’objet comprend l’hébergement, le stockage, le traitement structuré, la sauvegarde, l’assistance, l’export et la suppression des modules convenus. Le traitement dure pendant le contrat, augmenté des délais convenus de restitution et de suppression.

2. Données et personnes concernées

Selon le module, peuvent être concernés des données de base, de contact, de compte, de contrat, de marché, de subvention, de comptabilité, d’emploi, de sécurité, de santé, de signalement et de journal, y compris les catégories particulières de l’article 9 et les données de l’article 10 du RGPD. Les personnes concernées peuvent être salariés, candidats, demandeurs, fournisseurs, membres, bénévoles, lanceurs d’alerte, clients et autres participants. L’étendue concrète doit être consignée pour chaque client dans un registre de traitement.

3. Instructions, confidentialité et limitation des finalités

L’exploitant ne traite que sur instruction documentée, informe lorsqu’une instruction paraît illicite et soumet les personnes autorisées à une obligation de confidentialité. La publicité propre, la vente de données clients ou l’entraînement de modèles avec ces données sont interdits, sauf accord distinct et licite.

4. Sécurité et assistance

L’exploitant met en œuvre des mesures adaptées aux risques conformément à l’article 32 du RGPD, notamment la séparation des clients, les droits par rôle, des mots de passe sûrs, la transmission chiffrée, la journalisation, les sauvegardes, les mises à jour et les procédures de restauration et d’incident. Dans la mesure convenue, il assiste pour les droits des personnes, les analyses d’impact, les consultations et les notifications prévues aux articles 33 et 34 du RGPD.

5. Sous-traitants ultérieurs

Les sous-traitants ultérieurs ne sont employés qu’après autorisation écrite particulière ou générale. En cas d’autorisation générale, les changements sont annoncés à l’avance avec faculté d’opposition. Des obligations équivalentes de protection des données doivent être imposées contractuellement.

La liste contraignante des sous-traitants doit être complétée avant la conclusion du contrat.

6. Preuves, audits, restitution et suppression

L’exploitant fournit les justificatifs requis et permet des contrôles proportionnés après un préavis raisonnable, sans compromettre la sécurité ni les droits d’autres clients. À la fin du contrat, les données sont restituées ou supprimées selon le choix et les instructions du client, sauf obligation légale contraire. Les copies de sauvegarde sont supprimées selon le cycle technique convenu et cette suppression est documentée.