1. Objet et durée du traitement
Le présent DPA régit le traitement des données personnelles effectué par le Sous-traitant pour le compte du Responsable dans le cadre de la fourniture des outils SaaS d'analyse et de gestion des utilisateurs d'entreprise. Sa durée correspond à celle du contrat d'abonnement SaaS principal.
2. Obligations du Sous-traitant
AGM s'engage à :
- Traiter les données personnelles uniquement sur instructions documentées du Responsable.
- Garantir que le personnel autorisé à traiter les données personnelles s'est engagé expressément à la confidentialité.
- Mettre en œuvre les mesures techniques et organisationnelles de sécurité (TOM) prévues à l'art. 32 du RGPD (chiffrement au repos AES-256, TLS 1.3 en transit, contrôle d'accès basé sur les rôles).
- Notifier au Responsable sans retard injustifié, et au plus tard dans les 48 heures, toute violation de données à caractère personnel.
- Assister le Responsable dans le respect de ses obligations de réponse aux demandes d'exercice de droits (DSAR) et aux analyses d'impact (AIPD).
- Supprimer ou restituer l'ensemble des données personnelles au terme de la prestation, au choix du Responsable.
3. Sous-traitants ultérieurs autorisés
Le Responsable accorde une autorisation générale pour le recours aux sous-traitants ultérieurs essentiels suivants :
| Sous-traitant ultérieur | Service fourni | Localisation des serveurs | Garantie de transfert |
|---|---|---|---|
| Cloudflare Inc. | WAF, CDN, atténuation DDoS et edge analytics | Mondial / États-Unis / UE | DPF UE-États-Unis / CCT |
| Amazon Web Services (AWS) | Stockage de bases de données et calcul | États-Unis / EEE (Irlande) | Clauses contractuelles types (CCT) |
| Stripe Inc. | Traitement des paiements et facturation sécurisée | États-Unis / Mondial | PCI-DSS niveau 1 / DPF |
| Resend / SendGrid | Envoi de courriels transactionnels et d'alertes | États-Unis | Clauses contractuelles types (CCT) |
Mécanisme de modification : AGM notifiera avec un préavis d'au moins quinze (15) jours tout ajout ou remplacement de sous-traitant ultérieur, par avis dans le panneau de contrôle ou par courriel, le Responsable pouvant formuler une opposition motivée.