Accord de sous-traitance

2. Description du traitement

3. Instructions documentées — art. 28.3.a

L'Éditeur ne traite les données que sur instruction documentée du Client. Constituent ces instructions : les conditions générales, le présent accord, et les paramétrages réalisés par le Client dans le service (durées de conservation, rôles, choix de conserver ou non une copie de pièce, activation des fonctions d'intelligence artificielle, inscriptions en liste noire…).

L'Éditeur n'utilise les données pour aucune finalité propre : ni revente, ni prospection, ni entraînement d'un modèle d'intelligence artificielle.

Si l'Éditeur est tenu de procéder à un transfert ou à un traitement en vertu du droit de l'Union ou d'un État membre, il en informe le Client avant le traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

Si l'Éditeur estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données, il en informe immédiatement le Client.

4. Confidentialité — art. 28.3.b

Les personnes autorisées par l'Éditeur à traiter les données sont soumises à une obligation de confidentialité, contractuelle ou légale. L'accès technique aux données de production est limité au strict nécessaire (maintenance, sécurité, support à la demande du Client) et ne s'opère jamais pour consulter les données métier par curiosité ou pour un usage propre.

5. Sécurité — art. 28.3.c et art. 32

L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées, décrites dans la section « Sécurité » de la politique de confidentialité : cloisonnement des agences au niveau de la base de données, chiffrement en transit et au repos, authentification par code à usage unique protégée par un captcha, limitation du débit, politique de sécurité du contenu, scellement cryptographique des états des lieux, filigranage des copies de pièces, journalisation, purge automatique à l'échéance des durées de conservation.

Ces mesures peuvent évoluer, à condition de ne jamais abaisser le niveau de protection.

6. Sous-traitants ultérieurs — art. 28.2 et 28.4

Le Client donne une autorisation générale au recours aux sous-traitants ultérieurs listés dans la section « Destinataires et sous-traitants » de la politique de confidentialité, qui fait foi de la liste en vigueur.

Avant tout ajout ou remplacement d'un sous-traitant ultérieur, l'Éditeur en informe le Client par email au moins trente jours à l'avance. Le Client peut s'y opposer par écrit à hello@ocular.fr pendant ce délai, pour un motif raisonnable tenant à la protection des données. Si aucune solution n'est trouvée, le Client peut résilier sans frais l'abonnement avant l'entrée en vigueur du changement, la part payée d'avance non consommée lui étant remboursée.

L'Éditeur impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection que celles du présent accord, en particulier des garanties suffisantes quant aux mesures de sécurité. Il demeure pleinement responsable envers le Client de l'exécution de ces obligations.

7. Transferts hors de l'Union européenne

Les données sont stockées dans l'Union européenne. Les transferts vers un pays tiers — analyse d'images par Anthropic aux États-Unis, accès d'administration des prestataires dont la société mère est établie hors de l'Union — sont encadrés par les clauses contractuelles types de la Commission européenne ou, le cas échéant, par la certification du prestataire au cadre de protection des données UE–États-Unis. L'Éditeur documente pour chacun une analyse d'impact du transfert et la tient à disposition du Client.

8. Assistance pour l'exercice des droits — art. 28.3.e

Le service fournit au Client les outils pour répondre lui-même aux demandes de ses locataires : export complet du dossier d'un locataire, rectification, anonymisation en un geste, purge automatique à l'échéance des durées qu'il a fixées.

Si l'Éditeur reçoit directement une demande d'une personne concernée visant des données du Client, il ne la traite pas lui-même : il la transmet au Client sans délai, et au plus tard sous cinq jours ouvrés, et oriente la personne vers lui.

9. Assistance aux obligations du Client — art. 28.3.f

L'Éditeur aide le Client, compte tenu de la nature du traitement et des informations dont il dispose, à respecter ses obligations de sécurité (article 32), de notification des violations (articles 33 et 34), d'analyse d'impact (article 35) et de consultation préalable (article 36). Il met notamment à sa disposition un modèle de registre des traitements et une analyse d'impact relative aux fonctions d'aide à la décision anti-fraude et de liste noire.

10. Violations de données — art. 33.2

L'Éditeur notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, par email à l'adresse du propriétaire du compte. La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou envisagées, et un point de contact. Les informations non encore disponibles sont transmises dès qu'elles le sont.

Ce délai permet au Client de notifier lui-même la CNIL dans les soixante-douze heures prévues par l'article 33.1, et d'informer les personnes concernées lorsque l'article 34 l'exige.

11. Sort des données en fin de contrat — art. 28.3.g

À la fin de l'abonnement, l'Éditeur restitue puis efface les données. Restitution : le Client télécharge à tout moment, depuis ses paramètres, l'export complet de ses données et de ses fichiers, le fichier des écritures comptables, le journal des ventes et l'archive signée des encaissements ; chaque téléchargement est tracé. Effacement : selon l'article 9 des conditions générales — lecture seule et export pendant au moins quatre-vingt-dix jours, puis suppression après avertissement ; ou suppression définitive, fichiers compris, trente jours après une demande d'effacement du Client, délai pendant lequel des rappels lui sont adressés par email.

Le Client, responsable de traitement, conserve lui-même les pièces qu'une obligation légale lui impose de garder (pièces comptables, justificatifs fiscaux) : l'effacement par l'Éditeur ne l'en dispense pas. L'Éditeur ne conserve aucune copie des données du Client, à l'exception de ses propres pièces comptables relatives à l'abonnement et d'un registre attestant de l'effacement et de la restitution préalable (dates et types d'exports), sans donnée personnelle des Locataires.

12. Documentation et audits — art. 28.3.h

L'Éditeur met à la disposition du Client, sur demande à hello@ocular.fr, toutes les informations nécessaires pour démontrer le respect du présent accord : registre des sous-traitants ultérieurs, accords de traitement signés avec eux, analyses d'impact des transferts, description des mesures de sécurité.

Le Client peut réaliser ou faire réaliser un audit, par un auditeur tenu au secret et non concurrent de l'Éditeur, une fois par an au plus sauf violation avérée, moyennant un préavis de trente jours. L'audit porte sur la documentation et les entretiens ; il ne donne pas accès aux données des autres clients ni à l'infrastructure des sous-traitants ultérieurs, dont les propres attestations sont communiquées à la place. Les frais de l'audit sont à la charge du Client.

13. Obligations du Client

Le Client, responsable de traitement, détermine la base légale de chaque traitement, informe les personnes concernées — un modèle de notice est mis à sa disposition à l'adresse /confidentialite/locataires —, tient son propre registre des traitements, réalise l'analyse d'impact lorsqu'elle est requise (notamment s'il utilise la liste noire ou l'aide à la décision anti-fraude), et ne saisit dans le service que des données adéquates, pertinentes et limitées à ce qui est nécessaire.