Annexe de sous-traitance RGPD
Projet de document. Informations techniques et fiscales à compléter avant publication définitive et acceptation contractuelle.
Parties, objet et durée
Cette annexe encadre, au titre de l’article 28 du RGPD, les traitements effectués par AGRI360, Hichem BENNANI, entrepreneur individuel, 29 rue Tronchet, 75008 Paris, France, pour le compte de l’entreprise identifiée dans son espace et, pour une offre payante, dans le document de commande. Cette entreprise est responsable de traitement ; AGRI360 est sous-traitant pour ses données métier.
L’annexe s’applique pendant la fourniture de l’espace professionnel, y compris l’offre gratuite, et les opérations de restitution et de suppression à la clôture. Elle ne couvre pas les traitements dont AGRI360 détermine lui-même les finalités, notamment sa gestion des comptes et de la relation commerciale, décrits dans la politique de confidentialité.
Traitements et personnes concernées
Les opérations comprennent la collecte par saisie ou téléversement, l’enregistrement, l’organisation, la consultation, la modification, le partage entre collaborateurs habilités, les exports et la suppression des dossiers. La finalité est de fournir les modules choisis par l’entreprise : relation client, commerce, interventions, terrain, projets et organisation professionnelle.
Les personnes concernées peuvent être les clients et prospects, leurs contacts professionnels, fournisseurs, partenaires, collaborateurs et participants aux formations. Les données comprennent leurs identifiants et coordonnées professionnelles, fonctions, liens LinkedIn, informations de relation commerciale et d’activité, ainsi que les notes, pièces jointes, photos ou vocaux enregistrés par l’entreprise. Les données sensibles sans nécessité pour le service sont exclues du périmètre autorisé.
Instructions et confidentialité
L’utilisation des modules, les choix d’accès et les demandes écrites de l’administrateur habilité constituent les instructions documentées. AGRI360 traite les données pour les besoins de cette prestation et ne les utilise pas pour une prospection propre, une vente de fichiers ou l’entraînement d’un modèle d’IA. Les personnes autorisées à intervenir sont soumises à une obligation de confidentialité.
AGRI360 informe l’entreprise si une instruction lui paraît contraire aux règles de protection des données. Une obligation légale imposant un traitement ou un transfert est portée à sa connaissance, sauf interdiction légale. L’entreprise fournit des instructions licites, informe les personnes et contrôle les habilitations de ses collaborateurs.
Sécurité et continuité
Les mesures applicatives comprennent une connexion HTTPS, une authentification par compte, la séparation des espaces au niveau de la base par des politiques d’accès, des rôles administrateur, membre et lecteur, des fichiers stockés dans un espace privé avec des liens temporaires, et des contrôles de révision sur les modifications. Les journaux applicatifs conservent des opérations et versions selon les modules. Ces mesures ne constituent pas une garantie d’absence d’incident.
Configuration vérifiée des journaux, sauvegardes, durées de rétention et opérations de restauration : Des sauvegardes Supabase sont actives, selon la confirmation de l’exploitant. Leur durée de conservation, leur périmètre, les sauvegardes des fichiers privés et la procédure de restauration restent à vérifier : À confirmer par AGRI360 : sauvegardes. Aucun engagement de sauvegarde quotidienne, de délai garanti de reprise ou de disponibilité contractuelle n’est présumé.
Sous-traitants ultérieurs et transferts
L’entreprise autorise le recours aux prestataires décrits dans la politique de confidentialité pour leurs fonctions respectives : InMotion Hosting pour l’hébergement web, Supabase pour les comptes, la base et les fichiers, et Twilio SendGrid pour les e-mails transactionnels lorsque ce SMTP est configuré. Les localisations utilisées sont À confirmer par AGRI360 : inmotion region pour InMotion et À confirmer par AGRI360 : supabase region pour le projet Supabase.
Garanties et vérifications de transfert : À confirmer par AGRI360 : transferts. AGRI360 s’assure de disposer des contrats de sous-traitance appropriés pour les traitements confiés et des mécanismes nécessaires aux éventuels transferts hors Espace économique européen. Il demeure responsable des obligations confiées à ses sous-traitants dans les conditions du RGPD.
Tout ajout ou remplacement significatif de sous-traitant est annoncé par écrit à l’administrateur au moins 30 jours avant le changement, avec sa fonction, sa localisation et les garanties pertinentes. L’entreprise peut formuler une objection motivée relative à la protection des données pendant ce délai. Les parties recherchent une solution permettant de fournir le service avec les garanties requises ; à défaut, elles organisent la fin du périmètre concerné et la restitution des données avant le changement.
Incidents, droits et assistance
AGRI360 notifie à l’entreprise une violation de ses données dans les meilleurs délais après en avoir connaissance. Il communique les éléments disponibles sur l’incident, les données concernées, les conséquences possibles et les mesures prises, puis les complète au fur et à mesure. L’entreprise apprécie ses obligations de notification à l’autorité et aux personnes ; AGRI360 l’assiste. L’annexe ne reporte pas sur le sous-traitant un délai de notification à l’autorité qui incombe au responsable de traitement.
Une demande de droit reçue directement par AGRI360 et portant sur les données métier est transmise à l’entreprise sans décision prise à sa place, sauf obligation légale. AGRI360 l’aide à y répondre, ainsi qu’à ses analyses d’impact et consultations préalables lorsque les traitements concernés l’exigent, compte tenu des informations disponibles.
Contrôle et fin de traitement
AGRI360 met à disposition les informations nécessaires pour documenter ses obligations et permet des vérifications appropriées convenues avec l’entreprise, sans exposer les données d’autres clients ni compromettre la sécurité. Les modalités d’un audit sont organisées par écrit et ne réduisent pas les droits de contrôle prévus par le RGPD.
À la clôture complète, AGRI360 organise la restitution pendant 30 jours à compter de la date effective confirmée. Au choix documenté de l’entreprise, les données sont restituées puis supprimées, ou supprimées sans restitution. Une confirmation de l’exécution peut être demandée. Les exceptions légales de conservation sont limitées et expliquées ; les durées et restrictions des copies sauvegardées sont celles documentées dans la politique de confidentialité. Les données supprimées doivent rester exclues des usages courants et les suppressions être réappliquées en cas de restauration.
Toute instruction ou demande concernant cette annexe est adressée à contact@agriweb.pro en précisant l’entreprise et l’espace concernés.