Accord de sous-traitance des données

Accord conclu en application de l'article 28 du règlement (UE) 2016/679 (RGPD) entre le Client professionnel, responsable du traitement, et (« l'Éditeur »), sous-traitant. Il fait partie intégrante du contrat d'abonnement et s'applique dès l'ouverture de l'espace du Client.

1. Objet et rôles

Le Client utilise Angor Intelligence pour la veille sûreté et le devoir de protection (« duty of care ») de ses collaborateurs. Pour les données de ses Utilisateurs autorisés traitées dans son espace, le Client est responsable du traitement et l'Éditeur est sous-traitant.

L'Éditeur reste responsable de ses propres traitements : gestion commerciale et facturation, sécurité de la plateforme, preuves d'acceptation des conditions, statistiques anonymes de fonctionnement.

2. Description du traitement

Nature des opérations	Hébergement, organisation, consultation, mise à jour, notification, suppression
Finalités	Veille sûreté, alertes à proximité des sites et trajets du Client, safety checks après un événement
Personnes concernées	Salariés, collaborateurs et voyageurs désignés par le Client
Données	Identité et coordonnées professionnelles, préférences, sites et trajets, réponses aux safety checks ; position approximative uniquement si l'Utilisateur l'active lui-même
Données sensibles	Aucune n'est requise ; le Client s'abstient d'en saisir dans les champs libres
Durée	Durée de l'abonnement, puis 30 jours pour la restitution

3. Engagements de l'Éditeur

Instructions : traiter les données uniquement sur instruction documentée du Client (contrat, présent accord, paramétrages de son espace) et l'informer si une instruction lui paraît contraire à la réglementation.
Confidentialité : n'autoriser l'accès qu'aux personnes qui en ont besoin, tenues à la confidentialité.
Sécurité : mettre en œuvre les mesures décrites à l'article 6.
Sous-traitants ultérieurs : le Client autorise ceux listés à l'article 5 ; l'Éditeur l'informe de tout changement au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais. L'Éditeur impose à ses sous-traitants les mêmes obligations et reste responsable envers le Client.
Droits des personnes : aider le Client à répondre aux demandes d'exercice de droits et lui transmettre sans délai celles qu'il reçoit.
Violations de données : notifier au Client toute violation de données personnelles sans délai injustifié et au plus tard 48 heures après en avoir eu connaissance, avec les informations disponibles.
Assistance : aider le Client, sur demande, pour ses analyses d'impact et la consultation de l'autorité de contrôle.
Fin du contrat : à la demande du Client, restituer ses données dans un format courant (CSV ou JSON) dans les 30 jours, puis les supprimer, sauf obligation légale de conservation.
Transparence : tenir un registre des traitements effectués pour le Client, mettre à sa disposition les informations nécessaires pour démontrer le respect du présent accord et permettre des audits (questionnaire écrit ; audit sur place au plus une fois par an, à ses frais, avec un préavis de 30 jours et un engagement de confidentialité).
Localisation : héberger les données dans l'Union européenne ; tout transfert hors de l'Union est encadré par les garanties de l'article 46 du RGPD (clauses contractuelles types) ou par une décision d'adéquation.

4. Engagements du Client

Disposer d'une base légale pour les traitements qu'il confie et informer ses collaborateurs (une notice type peut être fournie sur demande).
Informer et, si nécessaire, consulter ses représentants du personnel avant de déployer les safety checks (article L2312-38 du Code du travail pour les entreprises dotées d'un comité social et économique).
Réaliser, si elle est requise, une analyse d'impact relative à la protection des données (par exemple en cas d'usage étendu de la géolocalisation).
Laisser chaque collaborateur libre d'activer ou non le partage de sa position ; ne pas utiliser la plateforme pour surveiller l'activité des collaborateurs.
Tenir à jour la liste de ses Utilisateurs autorisés et désactiver sans délai les comptes des personnes qui le quittent.

5. Sous-traitants ultérieurs autorisés

6. Mesures de sécurité

Chiffrement des échanges (TLS) et chiffrement au repos chez l'hébergeur ; hébergement des comptes dans l'Union européenne (Paris).
Cloisonnement des données par des règles d'accès en base (« Row Level Security ») : un utilisateur n'accède qu'à ses données ; le Référent n'accède qu'à celles de son organisation.
Authentification par mot de passe robuste (10 caractères minimum) avec confirmation de l'adresse e-mail ; droits d'administration nominatifs et limités ; aucune clé d'administration dans le site ou le code publié.
Minimisation : position facultative, arrondie (≈ 100 m) et effacée automatiquement ; suppression des données à l'expiration des durées prévues par la politique de confidentialité.
Journalisation des authentifications chez l'hébergeur ; mises à jour de sécurité et revue régulière des accès.

7. Durée

Le présent accord produit ses effets pendant toute la durée de l'abonnement et jusqu'à la suppression ou la restitution des données.