Accord de sous-traitance (article 28 du RGPD)

Cet accord fait partie des conditions générales. Il s'applique aux données personnelles que Reviewelis (le « Sous-traitant ») traite pour le compte du Client (le « Responsable de traitement »).

1. Objet, durée, nature et finalité

Centraliser et analyser les avis clients du Responsable de traitement pour en tirer des indicateurs, des problèmes récurrents et des plans d'action, pendant toute la durée du contrat.

2. Données et personnes concernées

• Personnes : auteurs d'avis et répondants d'enquêtes des établissements du Client ; utilisateurs du Client.
• Données : nom de l'auteur réduit à l'import (prénom et initiale du nom), note, texte, date, établissement, plateforme, réponse publique ; pour les utilisateurs : nom, e-mail, rôle.
• Aucune donnée sensible au sens de l'article 9 n'est demandée ; le Client s'abstient d'en importer. Les colonnes du fichier source qui ne sont pas utilisées sont conservées avec la version d'origine de l'avis (traçabilité) : le Client n'y inclut pas de données inutiles.

3. Obligations du Sous-traitant

• Ne traiter les données que sur instruction documentée du Client (paramétrage et usage du service) ; informer le Client si une instruction lui paraît contraire au RGPD.
• Garantir la confidentialité : personnes autorisées soumises à une obligation de confidentialité.
• Mettre en œuvre les mesures de sécurité décrites dans la politique de confidentialité (chiffrement en transit, isolation par client, contrôle d'accès par rôle et établissement, journal d'audit, sauvegardes).
• Aider le Client à répondre aux demandes d'exercice des droits et à réaliser ses analyses d'impact le cas échéant.
• Notifier au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance.
• En fin de contrat, au choix du Client : restitution (export complet en libre-service) puis suppression, sans conserver de copie au-delà du cycle de sauvegarde de 14 jours.
• Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits raisonnables, sur préavis de 30 jours.

4. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants suivants, liés par des obligations équivalentes :

• OVH SAS — hébergement et base de données (Union européenne).
• Brevo (Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, France — envoi des e-mails de service.

Tout ajout ou remplacement est notifié au Client au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais.