Annexe relative au traitement des données personnelles

1. Parties, documents et entrée en vigueur

• Responsable du traitement : [dénomination, forme, adresse, immatriculation, représentant et contact vie privée à compléter].
• Sous-traitant : [dénomination juridique, forme, adresse, immatriculation, représentant et contact vie privée à compléter]. La marque ou le nom de projet « Huteau Digital Factory » ne remplace pas cette identification.
• Contrat principal : [intitulé, référence, offre ou bon de commande et date à compléter].
• Date d’effet de l’annexe : [à compléter lors de la signature].

L’annexe, ses fiches complétées, le contrat principal et les instructions documentées forment l’accord de traitement. En cas de contradiction relative à la protection des données, la présente annexe prévaut sur le contrat principal, sans réduire une obligation légale. Les conditions générales, la notice de confidentialité et les informations légales restent des documents distincts.

2. Objet, périmètre et répartition des rôles

Le responsable du traitement détermine les finalités et moyens essentiels des traitements décrits à la fiche 1. Le sous-traitant ne traite les données personnelles que pour fournir les services définis au contrat principal et sur instruction documentée du responsable du traitement.

Chaque partie demeure responsable de sa propre conformité. Les traitements que le prestataire détermine pour son compte, notamment lorsqu’une obligation légale lui impose une finalité propre, ne relèvent pas de cette annexe et doivent être décrits séparément dans la notice applicable. La qualification des rôles doit être réexaminée si les finalités ou les moyens essentiels évoluent.

3. Fiche 1 — Description obligatoire des traitements

Avant toute activation, les parties renseignent et approuvent pour chaque service ou ensemble homogène de traitements :

• l’objet du traitement et le service concerné ;
• la durée du traitement, son point de départ et les événements qui y mettent fin ;
• la nature des opérations autorisées, par exemple collecte, consultation, organisation, hébergement, transmission, sauvegarde, restitution ou effacement ;
• les finalités précises poursuivies par le responsable du traitement ;
• les catégories de personnes concernées ;
• les catégories de données personnelles, en signalant expressément les données relevant des articles 9 ou 10 du RGPD ;
• les volumes, fréquences, lieux de traitement et contraintes particulières ;
• les durées de conservation, règles d’archivage, délais de restitution, de suppression et de purge des sauvegardes ;
• les instructions initiales ainsi que les personnes habilitées à les modifier.

État de la fiche 1 : [à compléter]. Aucun périmètre, aucune durée et aucune catégorie de données ou de personnes ne sont déduits de la maquette du service.

4. Instructions documentées

Constituent des instructions les stipulations signées, les réglages autorisés du service et les demandes adressées par les contacts habilités au moyen d’un canal authentifié et traçable. Le sous-traitant conserve une trace des instructions pertinentes et peut demander leur confirmation lorsqu’elles sont ambiguës, incomplètes ou incompatibles avec le service convenu.

Le sous-traitant informe immédiatement le responsable du traitement s’il estime qu’une instruction enfreint le RGPD ou une autre règle de l’Union ou d’un État membre relative à la protection des données. Il peut suspendre l’exécution de l’instruction concernée pendant sa clarification. Si une règle applicable impose un traitement non prévu, il en informe préalablement le responsable du traitement, sauf interdiction légale fondée sur un motif important d’intérêt public.

Les données confiées ne sont ni vendues, ni utilisées à des fins publicitaires, ni réutilisées pour une finalité propre, ni communiquées à un tiers hors des instructions ou obligations légales applicables.

5. Personnel autorisé et confidentialité

Le sous-traitant limite l’accès aux personnes qui en ont besoin pour exécuter le service. Il veille à ce qu’elles soient soumises à une obligation de confidentialité appropriée, reçoivent des consignes adaptées et n’utilisent les données que dans le périmètre de leurs habilitations. Les accès sont accordés, revus et retirés selon une procédure documentée.

6. Fiche 2 — Sécurité du traitement

Compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques pour les personnes, les parties documentent les mesures techniques et organisationnelles appropriées au titre de l’article 32 du RGPD.

La fiche 2 doit décrire les mesures effectivement appliquées, leurs responsables et leur périmètre : gouvernance et gestion des risques, habilitations et authentification, séparation des organisations, chiffrement et gestion des secrets, journalisation, sécurité du développement et des changements, correction des vulnérabilités, sauvegardes et restauration testée, continuité, sécurité physique, gestion des prestataires, réponse aux incidents, restitution et effacement. Les éventuelles limites ou mesures compensatoires sont signalées.

État de la fiche 2 : [mesures réelles, preuves disponibles, fréquence des revues et exceptions à compléter]. La présence d’une mesure dans cette liste ne constitue pas une déclaration qu’elle est déjà déployée.

7. Fiche 3 — Sous-traitants ultérieurs

Le choix entre autorisation spécifique et autorisation écrite générale, le canal d’information, le préavis de changement et la procédure d’objection légitime doivent être complétés au contrat. En cas d’autorisation générale, le sous-traitant informe le responsable du traitement de tout ajout ou remplacement envisagé afin de lui permettre d’émettre une objection motivée avant le traitement concerné.

Le sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes pour le périmètre confié et demeure pleinement responsable envers le responsable du traitement de l’exécution de ces obligations.

Liste autorisée : [pour chaque prestataire : identité juridique, service, catégories de données, personnes concernées, pays de traitement, garanties de transfert éventuelles et date d’autorisation à compléter]. Aucun hébergeur, fournisseur d’e-mail, de paiement, de SMS, de support ou de sécurité n’est réputé autorisé par une simple mention sur une autre page.

8. Transferts internationaux

Le sous-traitant ne transfère pas de données vers un pays tiers ou une organisation internationale, et ne permet pas un accès depuis un tel pays, sans instruction documentée et sans mécanisme conforme au chapitre V du RGPD. Le cas échéant, les parties documentent les pays concernés, le fondement du transfert, l’analyse requise et les mesures complémentaires. L’absence d’information complétée ne vaut pas déclaration de localisation dans l’Espace économique européen.

9. Exercice des droits des personnes

Le responsable du traitement reste l’interlocuteur principal des personnes concernées. Compte tenu de la nature du traitement, le sous-traitant l’aide, par des mesures appropriées et selon les modalités à compléter, à répondre aux demandes d’accès, de rectification, d’effacement, de limitation, d’opposition, de portabilité et à celles relatives aux décisions automatisées.

Le sous-traitant transmet sans retard injustifié toute demande reçue au contact désigné et ne répond directement que sur instruction documentée ou obligation légale. Les canaux, habilitations, éléments de preuve attendus et modalités financières éventuellement applicables doivent être fixés sans faire obstacle aux délais réglementaires.

10. Violations de données personnelles

Après avoir pris connaissance d’une violation affectant les données confiées, le sous-traitant en informe le responsable du traitement sans retard injustifié par le canal d’urgence à compléter. Il communique progressivement les informations disponibles : nature de la violation, catégories et volumes approximatifs, conséquences probables, mesures prises ou proposées et point de contact. Il préserve les éléments utiles, limite les effets et coopère à l’enquête.

Le responsable du traitement décide des notifications à l’autorité de contrôle et aux personnes concernées. Le délai opérationnel interne, les contacts d’escalade, le format du rapport et les exercices de crise doivent être définis dans la fiche 2 ; aucun délai fictif n’est fixé par ce projet.

11. Assistance et démonstration de conformité

Compte tenu de la nature du traitement et des informations à sa disposition, le sous-traitant aide le responsable du traitement à respecter les obligations applicables en matière de sécurité, notification des violations, information des personnes, analyses d’impact et consultation préalable de l’autorité de contrôle. Il tient le registre requis pour ses activités de sous-traitance et coopère avec l’autorité compétente dans les limites de ses obligations.

Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent accord et de l’article 28. Les modalités d’assistance, interlocuteurs, livrables et coûts admissibles doivent être précisés dans le contrat principal, sans neutraliser une obligation réglementaire.

12. Audits et inspections

Le responsable du traitement peut procéder à un audit ou mandater un auditeur indépendant tenu à la confidentialité. Les parties privilégient d’abord les documents et rapports disponibles, puis un contrôle complémentaire proportionné au risque. Le préavis, la fréquence ordinaire, le périmètre, les règles de sécurité, le traitement des constats et les coûts doivent être complétés. Ces modalités ne limitent ni les contrôles d’une autorité compétente ni un audit urgent justifié par un incident ou un risque sérieux.

13. Restitution, réversibilité et suppression

À l’issue des services, selon le choix documenté du responsable du traitement, le sous-traitant restitue les données dans le format convenu puis les supprime, ou les supprime directement, et détruit les copies existantes, sauf obligation légale de conservation. Toute conservation imposée est isolée, protégée, limitée à la finalité légale et signalée lorsqu’elle peut l’être.

La fiche 1 doit préciser le format d’export, le canal de remise, les contrôles d’identité, la période de récupération, les délais de suppression des systèmes actifs et des sauvegardes, les exclusions techniques justifiées et la preuve de suppression. Aucune durée n’est présumée par la présente version.

14. Obligations du responsable du traitement

Le responsable du traitement veille notamment à la licéité, à la transparence, à la minimisation et à l’exactitude des données confiées ; fournit les informations et instructions nécessaires ; dispose des droits requis sur les données ; répond aux personnes et autorités ; administre les habilitations relevant de son organisation ; et n’utilise pas le service pour un traitement incompatible avec le contrat ou les mesures convenues.

Il informe le sous-traitant des risques particuliers, restrictions sectorielles et catégories sensibles avant leur introduction dans le service.

15. Contacts, notifications et suivi

• Contact habilité du responsable du traitement : [nom, fonction et coordonnées à compléter].
• Contact vie privée du sous-traitant : [nom ou service et coordonnées à compléter].
• Canal de notification des violations : [adresse et procédure authentifiée à compléter et tester].
• Délégué à la protection des données de chaque partie : [à compléter lorsqu’un délégué est désigné].

Les parties tiennent les fiches à jour par un avenant ou un mécanisme écrit assurant l’intégrité, la date et l’acceptation des changements. Une modification matérielle du traitement ne peut être déduite d’une évolution d’interface.

16. Validation et signatures

Cette annexe ne prend effet qu’après achèvement des fiches requises et signature par des représentants habilités. L’inscription publique ne peut pas valoir signature de cette version préparatoire.

• Pour le responsable du traitement : [dénomination, nom, qualité, date et signature à compléter].
• Pour le sous-traitant : [dénomination, nom, qualité, date et signature à compléter].

Une revue par un conseil compétent et, selon le contexte, par les délégués à la protection des données des parties est requise avant utilisation contractuelle.