Accord de sous-traitance des données personnelles

Article 1 — Parties et rôles

Le présent DPA est conclu entre :

MONKOD, SARL au capital de 1 000 €, dont le siège est situé 4 Rue du Vieux Chêne, 33185 Le Haillan, immatriculée au RCS de Bordeaux sous le numéro 941 831 505, TVA intracommunautaire FR54 941 831 505, ci-après « Monkod » ou le « Sous-traitant »,

et

le client identifié dans le devis ou le document contractuel auquel le présent DPA est rattaché, ci-après le « Client » ou le « Responsable de traitement ».

Dans le cadre des traitements visés par le présent DPA :

• le Client agit en qualité de responsable de traitement ;
• Monkod agit en qualité de sous-traitant, au sens du règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »).

Le Client détermine les finalités et les moyens essentiels des traitements de données personnelles mis en œuvre au moyen de son Site.

Monkod traite les données uniquement dans la mesure nécessaire à la fourniture des services prévus au contrat et conformément aux instructions documentées du Client.

Article 2 — Objet du DPA

Le présent DPA définit les conditions dans lesquelles Monkod traite des données personnelles pour le compte du Client dans le cadre notamment :

• de l'hébergement et de la diffusion du Site ;
• de son administration et de sa maintenance technique ;
• de la sécurisation et de la supervision technique du Site ;
• du fonctionnement des formulaires de contact ;
• de la transmission des messages issus de ces formulaires ;
• des opérations techniques nécessaires à la fourniture des prestations prévues au contrat.

Le détail des traitements est précisé en Annexe 1.

Article 3 — Durée

Le présent DPA entre en vigueur à la même date que le contrat ou le devis auquel il est rattaché.

Il reste applicable pendant toute la durée pendant laquelle Monkod traite des données personnelles pour le compte du Client.

Les dispositions qui, par leur nature, doivent continuer à produire leurs effets après la fin du contrat, notamment celles relatives à la confidentialité, à la suppression des données et à la responsabilité, restent applicables pendant la durée nécessaire.

Article 4 — Instructions du Client

Monkod traite les données personnelles uniquement :

• pour l'exécution des prestations prévues au contrat ;
• conformément aux CGV, au devis, au présent DPA et aux autres instructions écrites et documentées du Client ;
• dans la mesure nécessaire au fonctionnement, à l'hébergement, à la maintenance et à la sécurisation du Site.

Monkod ne traite pas les données personnelles confiées pour ses propres finalités commerciales ou pour une finalité étrangère à l'exécution des services, sauf obligation légale ou accord spécifique conforme à la réglementation applicable.

Si Monkod estime qu'une instruction du Client constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données, Monkod en informe le Client dans les meilleurs délais.

Lorsque Monkod est tenue de traiter des données en vertu du droit de l'Union européenne ou du droit d'un État membre autrement que sur instruction du Client, elle en informe le Client avant le traitement, sauf interdiction légale.

Article 5 — Obligations du Client

Le Client est responsable notamment :

• de la licéité des traitements mis en œuvre au moyen de son Site ;
• de la détermination des finalités et bases légales des traitements ;
• de l'information des personnes concernées ;
• du respect de leurs droits ;
• de la définition des durées de conservation applicables dans ses propres systèmes ;
• du contenu de sa politique de confidentialité et, le cas échéant, de sa politique relative aux cookies ;
• de l'utilisation qu'il fait des données après leur transmission par le Site ;
• de la licéité des contenus, champs de formulaires et traitements qu'il demande à Monkod de mettre en place.

Le Client s'engage à ne demander à Monkod aucun traitement manifestement contraire à la réglementation applicable.

Article 6 — Catégories particulières de données

Les Packs Site Pro Essentiel et Site Pro Sérénité ne sont pas conçus, par défaut, pour collecter ou traiter des catégories particulières de données personnelles au sens de l'article 9 du RGPD, notamment les données révélant :

• l'origine raciale ou ethnique ;
• les opinions politiques ;
• les convictions religieuses ou philosophiques ;
• l'appartenance syndicale ;
• les données génétiques ;
• les données biométriques utilisées aux fins d'identifier une personne de manière unique ;
• les données concernant la santé ;
• les données concernant la vie sexuelle ou l'orientation sexuelle.

Le Client s'engage à ne pas utiliser les formulaires ou fonctionnalités standard fournis par Monkod afin de collecter intentionnellement de telles données sans en avoir préalablement informé Monkod et sans qu'un accord spécifique ait été conclu lorsque cela est nécessaire.

De même, les formulaires standard ne permettent pas l'envoi de pièces jointes, sauf prestation ou développement spécifique expressément convenu.

Article 7 — Confidentialité

Monkod veille à ce que les personnes autorisées à traiter les données personnelles :

• n'y accèdent que lorsque cela est nécessaire à l'exécution de leurs missions ;
• soient soumises à une obligation de confidentialité appropriée ;
• soient sensibilisées aux règles applicables en matière de sécurité et de protection des données.

L'accès aux données personnelles est limité aux personnes qui en ont besoin dans le cadre de l'exécution des prestations.

Article 8 — Sécurité des données

Monkod met en œuvre des mesures techniques et organisationnelles appropriées au regard de la nature des traitements, des risques identifiés et des services fournis.

Ces mesures peuvent notamment comprendre :

• l'utilisation de communications sécurisées par HTTPS/TLS ;
• la gestion et la limitation des accès aux environnements techniques ;
• l'utilisation de mécanismes d'authentification appropriés ;
• la protection des identifiants et accès administratifs ;
• la limitation des accès aux seules personnes autorisées ;
• le maintien en condition opérationnelle et la maintenance raisonnable des éléments techniques relevant de Monkod ;
• la supervision technique du fonctionnement des services lorsque celle-ci est prévue au contrat ;
• l'utilisation des mécanismes de protection et de sécurité fournis par les prestataires d'infrastructure ;
• l'absence de stockage persistant des soumissions du formulaire de contact dans une base de données applicative standard Monkod ;
• la gestion raisonnable des incidents techniques et de sécurité.

Les mesures effectivement applicables dépendent de l'architecture du Site et des services souscrits.

Monkod peut faire évoluer ces mesures afin de tenir compte de l'évolution des technologies, des risques, de ses infrastructures et des services utilisés, à condition de ne pas réduire de manière substantielle le niveau global de protection applicable aux traitements concernés.

Article 9 — Formulaires de contact

Dans la configuration standard des Packs Essentiel et Sérénité, les données saisies dans le formulaire de contact sont traitées afin de transmettre la demande du visiteur à l'adresse électronique désignée par le Client.

Le formulaire standard peut notamment permettre la collecte des informations suivantes :

• nom et/ou prénom ;
• adresse électronique ;
• numéro de téléphone ;
• objet de la demande ;
• contenu libre du message ;
• données techniques nécessaires au fonctionnement et à la sécurisation du service.

Les soumissions du formulaire ne font pas l'objet d'un stockage persistant dans une base de données applicative exploitée par Monkod dans le cadre de l'offre standard.

Elles peuvent néanmoins faire l'objet de traitements temporaires, de journaux techniques ou d'autres opérations strictement nécessaires à leur acheminement, à la sécurité ou au fonctionnement des services techniques utilisés.

Après transmission du message à l'adresse électronique désignée par le Client, la conservation du message et les traitements ultérieurs effectués dans la messagerie du Client relèvent de la responsabilité de celui-ci.

Le prestataire de messagerie choisi directement par le Client n'est pas considéré, du seul fait de cette réception, comme un sous-traitant de Monkod.

Article 10 — Journaux techniques

Les infrastructures utilisées peuvent générer des journaux techniques, journaux de sécurité ou données de diagnostic nécessaires notamment :

• au fonctionnement des services ;
• à la sécurité ;
• à la prévention des abus ;
• au diagnostic d'incidents ;
• à la supervision technique.

Leur contenu et leur durée de conservation peuvent notamment dépendre des mécanismes et politiques des prestataires techniques utilisés.

Monkod ne garantit pas une durée uniforme de conservation de ces journaux sauf engagement exprès prévu au contrat.

Monkod n'utilise pas ces journaux pour constituer des profils commerciaux des visiteurs du Site pour son propre compte.

Article 11 — Cookies et outils de mesure d'audience

Les Packs Site Pro Essentiel et Site Pro Sérénité ne comprennent pas, par défaut, l'installation d'un outil d'analyse d'audience tiers ou d'un outil publicitaire nécessitant un traitement supplémentaire de données personnelles.

L'ajout ultérieur d'un outil d'analyse, d'une plateforme publicitaire, d'un CRM, d'un service de réservation, d'un service de paiement ou de toute autre intégration peut nécessiter :

• une adaptation des informations fournies aux utilisateurs ;
• la mise en place d'un mécanisme de consentement lorsque celui-ci est requis ;
• l'ajout de nouveaux sous-traitants ;
• une mise à jour du présent DPA ou de ses annexes.

Ces éléments sont examinés dans le cadre de la prestation ou de l'option concernée.

Article 12 — Sous-traitants ultérieurs

Le Client autorise Monkod, de manière générale, à recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture des services.

Les sous-traitants connus à la date d'entrée en vigueur du présent DPA sont identifiés en Annexe 3.

Monkod veille à imposer aux sous-traitants ultérieurs des obligations de protection des données appropriées au regard des traitements qui leur sont confiés.

Monkod reste responsable envers le Client du respect des obligations applicables aux traitements qu'elle sous-traite, dans les limites prévues par la réglementation applicable et le contrat.

En cas d'ajout ou de remplacement d'un sous-traitant ultérieur susceptible de traiter de manière substantielle des données personnelles pour le compte du Client, Monkod informe le Client dans un délai raisonnable avant la mise en œuvre du changement.

Le Client peut présenter une objection motivée pour des raisons sérieuses relatives à la protection des données.

Les parties recherchent alors de bonne foi une solution appropriée.

Lorsque l'ajout d'un nouveau service ou d'une nouvelle fonctionnalité demandé par le Client impose le recours à un prestataire supplémentaire, les informations relatives à ce prestataire peuvent être communiquées dans le devis, la documentation du service ou une mise à jour du présent DPA.

Article 13 — Transferts internationaux de données

Certains prestataires techniques utilisés par Monkod disposent d'infrastructures internationales.

Des traitements ou transferts de données peuvent par conséquent intervenir en dehors de l'Espace économique européen.

Lorsqu'un transfert international est soumis au chapitre V du RGPD, Monkod veille à ce qu'il repose sur un mécanisme juridique approprié, tel que :

• une décision d'adéquation applicable ;
• les clauses contractuelles types adoptées par la Commission européenne ;
• ou tout autre mécanisme de transfert reconnu par la réglementation applicable.

Lorsque Cloudflare intervient en qualité de sous-traitant ultérieur, les transferts internationaux sont encadrés conformément aux mécanismes prévus dans les conditions et accords de protection des données applicables aux services Cloudflare.

Le présent DPA ne constitue pas un engagement d'hébergement exclusif en France ou dans l'Union européenne.

Article 14 — Droits des personnes concernées

Le Client reste responsable du traitement des demandes d'exercice des droits des personnes concernées.

Lorsque Monkod reçoit directement une demande relative à des données traitées pour le compte d'un Client, Monkod :

• s'abstient, sauf obligation légale, de répondre sur le fond à la place du Client ;
• transmet la demande au Client concerné dans les meilleurs délais raisonnables lorsqu'il est possible de l'identifier ;
• apporte au Client l'assistance raisonnablement nécessaire lorsque celle-ci implique des éléments techniques relevant de Monkod.

Cette assistance peut notamment concerner les droits :

• d'accès ;
• de rectification ;
• d'effacement ;
• de limitation ;
• d'opposition ;
• de portabilité, lorsqu'ils sont applicables.

Article 15 — Assistance au Client

Compte tenu de la nature des traitements et des informations dont elle dispose, Monkod apporte au Client l'assistance raisonnablement nécessaire afin de lui permettre de respecter ses obligations en matière de :

• sécurité des traitements ;
• notification des violations de données ;
• exercice des droits ;
• analyses d'impact lorsque celles-ci sont requises ;
• consultation préalable de l'autorité de contrôle lorsque celle-ci est nécessaire.

Cette assistance est fournie dans la mesure où les éléments concernés relèvent effectivement des services ou infrastructures gérés par Monkod.

Les demandes nécessitant des travaux spécifiques qui excèdent raisonnablement l'assistance normalement attendue dans le cadre des prestations peuvent faire l'objet d'une facturation complémentaire, après information du Client et accord préalable sur les travaux concernés.

Cette possibilité de facturation ne limite pas les obligations légales que Monkod est tenue d'exécuter en sa qualité de sous-traitant.

Article 16 — Violations de données personnelles

Monkod informe le Client dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles affectant les traitements réalisés pour son compte.

Cette notification contient, dans la mesure où les informations sont disponibles :

• une description de la nature de la violation ;
• les catégories de données concernées ;
• les catégories de personnes concernées ;
• les conséquences probables connues ;
• les mesures prises ou proposées afin de remédier à la violation ou d'en limiter les conséquences ;
• toute information raisonnablement utile au Client afin qu'il puisse respecter ses propres obligations.

Lorsque toutes les informations ne sont pas immédiatement disponibles, elles peuvent être transmises progressivement sans retard injustifié.

La notification par Monkod d'un incident ne constitue pas une reconnaissance de responsabilité.

Le Client demeure responsable de déterminer s'il est tenu de notifier la violation à une autorité de contrôle ou aux personnes concernées.

Article 17 — Documentation et audits

Monkod met à disposition du Client les informations raisonnablement nécessaires afin de démontrer le respect des obligations qui lui incombent en qualité de sous-traitant.

Lorsque des documents, attestations, informations techniques, politiques ou autres justificatifs existants permettent de répondre raisonnablement à la demande du Client, ceux-ci sont privilégiés avant la réalisation d'un audit spécifique.

Le Client peut demander un audit portant sur les traitements réalisés par Monkod pour son compte.

Sauf urgence justifiée notamment par un incident de sécurité ou une demande d'une autorité compétente, l'audit :

• fait l'objet d'un préavis raisonnable ;
• est organisé pendant les jours et horaires habituels de travail ;
• est limité aux éléments pertinents pour les traitements du Client ;
• ne doit pas perturber de manière disproportionnée l'activité de Monkod ;
• ne doit pas permettre l'accès aux données, systèmes, secrets d'affaires ou informations confidentielles concernant d'autres clients ou tiers.

Monkod peut proposer des moyens alternatifs raisonnables permettant d'apporter les garanties demandées.

Les frais spécifiques résultant d'un audit particulièrement complexe ou dépassant raisonnablement les obligations normales de Monkod peuvent être facturés au Client après information préalable, sauf lorsque l'audit met en évidence un manquement significatif imputable à Monkod.

Article 18 — Sort des données à la fin du contrat

À la fin de la prestation, Monkod cesse de traiter activement les données personnelles pour le compte du Client, sous réserve :

• des opérations nécessaires à la réversibilité ;
• des délais techniques de suppression ;
• des sauvegardes ;
• des obligations légales de conservation.

Lorsqu'elles existent, les données actives nécessaires à la récupération ou à la migration du Site peuvent rester disponibles pendant une période maximale de 30 jours à compter de la date d'effet de la fin de l'Abonnement, conformément aux CGV.

À l'issue de cette période, les données concernées sont supprimées, sauf obligation légale contraire.

Les données pouvant subsister dans les systèmes de sauvegarde sont progressivement supprimées ou écrasées conformément aux cycles techniques applicables.

Elles ne sont pas conservées dans le but d'être activement exploitées après la fin de la relation contractuelle.

Dans la configuration standard du formulaire de contact, les soumissions n'étant pas conservées dans une base de données applicative Monkod, la période de 30 jours ne signifie pas que Monkod conserve une copie des messages déjà transmis à la messagerie du Client.

Article 19 — Traitements propres à Monkod

Le présent DPA s'applique uniquement aux traitements réalisés par Monkod pour le compte du Client.

Les traitements réalisés par Monkod pour ses propres finalités, notamment :

• gestion des devis et commandes ;
• facturation ;
• comptabilité ;
• recouvrement ;
• gestion de la relation commerciale ;
• gestion de ses obligations légales ;
• sécurité de ses propres systèmes ;
• défense de ses droits ;

sont réalisés par Monkod en qualité de responsable de traitement et ne relèvent pas du présent DPA.

Ces traitements sont régis, le cas échéant, par la politique de confidentialité de Monkod.

Article 20 — Hiérarchie contractuelle

Le présent DPA fait partie intégrante du contrat conclu entre Monkod et le Client.

En cas de contradiction entre :

1. le présent DPA ;
2. les CGV ;
3. le devis ;

concernant spécifiquement les obligations relatives au traitement de données personnelles effectué par Monkod pour le compte du Client, le présent DPA prévaut, sauf disposition particulière du devis expressément destinée à compléter ou adapter le traitement concerné.

Pour les autres matières contractuelles, les règles de priorité prévues par les CGV continuent de s'appliquer.

Annexe 1 — Description des traitements

1. Objet

Fourniture, hébergement, maintenance, administration technique et sécurisation d'un site internet professionnel, ainsi que traitement et transmission des demandes adressées au Client au moyen du formulaire de contact.

2. Durée

Pendant la durée du contrat et, lorsque cela est nécessaire à la réversibilité ou à la suppression technique, pendant les périodes prévues aux CGV et au présent DPA.

3. Nature des opérations

Selon les services utilisés :

• réception ;
• transmission ;
• routage ;
• consultation technique lorsque nécessaire ;
• hébergement ;
• mise à disposition ;
• organisation technique ;
• maintenance ;
• sécurisation ;
• journalisation technique ;
• suppression ;
• opérations nécessaires à la récupération et à la réversibilité du Site.

4. Finalités

Les traitements réalisés par Monkod ont notamment pour finalités :

• assurer le fonctionnement et l'hébergement du Site ;
• assurer sa maintenance et sa sécurisation ;
• permettre aux visiteurs de contacter le Client ;
• transmettre les demandes issues du formulaire à l'adresse désignée par le Client ;
• diagnostiquer et résoudre les incidents techniques ;
• prévenir les abus et incidents de sécurité ;
• permettre, le cas échéant, la récupération du Site à la fin du contrat.

5. Catégories de personnes concernées

Peuvent notamment être concernées :

• visiteurs du Site ;
• prospects du Client ;
• clients du Client lorsque ceux-ci utilisent le formulaire ;
• représentants, salariés ou contacts professionnels du Client dont les coordonnées apparaissent sur le Site ;
• toute personne utilisant le formulaire de contact.

6. Catégories de données

Selon la configuration du Site :

Données saisies dans le formulaire

• nom ;
• prénom ;
• adresse électronique ;
• numéro de téléphone ;
• objet de la demande ;
• contenu du message.

Données techniques

Peuvent notamment être traitées :

• adresse IP ;
• date et heure de connexion ou de requête ;
• informations techniques relatives au navigateur, au réseau ou à la requête ;
• journaux techniques et de sécurité ;
• informations nécessaires au diagnostic et au fonctionnement du service.

Contenus du Site

Peuvent contenir des données personnelles lorsqu'elles sont fournies par le Client :

• noms ;
• photographies ;
• fonctions ;
• coordonnées professionnelles ;
• biographies ou informations professionnelles ;
• tout autre contenu transmis par le Client pour publication.

7. Catégories particulières de données

Aucune collecte intentionnelle n'est prévue dans le cadre des Packs standard.

Tout traitement de catégories particulières de données nécessite une analyse et, lorsque nécessaire, un accord spécifique préalable.

8. Base de données du formulaire

La configuration standard ne prévoit pas de base de données applicative destinée à conserver durablement les soumissions du formulaire.

Les données sont traitées afin d'être acheminées vers l'adresse électronique désignée par le Client.

Annexe 2 — Mesures techniques et organisationnelles

Monkod met en œuvre, selon l'architecture et les services applicables, notamment les mesures suivantes :

Accès et authentification

• accès limité aux personnes autorisées ;
• gestion des identifiants et secrets techniques ;
• utilisation de mécanismes d'authentification adaptés aux services utilisés ;
• révocation ou modification des accès lorsque cela est nécessaire.

Communications

• utilisation de HTTPS/TLS pour les communications accessibles via le Site ;
• recours aux mécanismes de chiffrement de transport proposés par les services techniques utilisés.

Hébergement et infrastructure

• recours à des prestataires techniques spécialisés ;
• utilisation des mécanismes de sécurité et de disponibilité proposés par ces prestataires ;
• maintien et configuration raisonnables des ressources relevant directement de Monkod.

Formulaire de contact

• absence de stockage persistant des soumissions dans une base de données applicative dans la configuration standard ;
• acheminement vers l'adresse électronique désignée par le Client ;
• limitation des champs aux informations nécessaires à la prise de contact ;
• absence de pièces jointes dans la configuration standard.

Maintenance et sécurité

• maintenance technique des éléments relevant du périmètre contractuel ;
• correction raisonnable des incidents et vulnérabilités relevant de Monkod ;
• suivi technique adapté à la nature de l'offre ;
• utilisation de journaux techniques ou de sécurité lorsque nécessaire.

Organisation

• limitation des accès aux seules personnes en ayant besoin ;
• obligations de confidentialité ;
• sensibilisation appropriée des personnes autorisées ;
• gestion raisonnable des incidents de sécurité.

Ces mesures peuvent évoluer pendant la durée du contrat afin de suivre les évolutions techniques et les risques.

Annexe 3 — Sous-traitants ultérieurs autorisés

Cloudflare, Inc.

Adresse : 101 Townsend Street, San Francisco, California 94107, États-Unis.

Services susceptibles d'être utilisés :

• hébergement et diffusion du Site ;
• Cloudflare Workers ;
• ressources et fichiers statiques ;
• DNS et gestion technique du domaine lorsque ces services sont utilisés ;
• HTTPS/TLS ;
• services réseau et de sécurité ;
• traitement, routage et transmission des messages issus du formulaire, notamment au moyen des services Cloudflare appropriés ;
• journaux techniques, sécurité et diagnostic nécessaires à la fourniture des services.

Catégories de données susceptibles d'être traitées :

• données techniques et réseau ;
• adresses IP ;
• journaux techniques ;
• Contenus du Site ;
• données transmises par les formulaires ;
• métadonnées nécessaires au fonctionnement et à la sécurité des services.

Localisation :

Cloudflare exploite une infrastructure distribuée à l'échelle internationale. Des données peuvent être traitées dans l'Espace économique européen ou dans d'autres pays selon les services, les infrastructures et les mécanismes techniques utilisés.

Transferts internationaux :

Lorsqu'un transfert de données hors de l'Espace économique européen nécessite des garanties appropriées, celui-ci est encadré conformément aux mécanismes de transfert applicables prévus par Cloudflare, notamment, lorsque cela est requis, les clauses contractuelles types de la Commission européenne ou tout autre mécanisme juridiquement valable.

Annexe 4 — Instructions générales du Client

En souscrivant aux services Monkod auxquels le présent DPA est rattaché, le Client donne instruction à Monkod de traiter les données personnelles décrites dans le présent DPA uniquement dans la mesure nécessaire pour :

• concevoir et configurer le Site ;
• l'héberger et le rendre accessible ;
• assurer sa maintenance et son administration technique ;
• sécuriser et superviser les services concernés ;
• faire fonctionner le formulaire de contact ;
• transmettre les demandes à l'adresse électronique désignée par le Client ;
• assurer les opérations techniques nécessaires à la fourniture des prestations ;
• exécuter les demandes écrites ultérieures compatibles avec l'objet du contrat.

Toute demande entraînant un nouveau traitement substantiel, notamment l'ajout d'un CRM, d'un outil d'analyse d'audience, d'un service publicitaire, d'une plateforme de réservation, d'un système de paiement ou d'une fonctionnalité traitant de nouvelles catégories de données, peut nécessiter une mise à jour du présent DPA ou de ses annexes.