Accord de sous-traitance des données (DPA)

Article 1 — Parties et objet

Le présent accord de sous-traitance (ci-après l'« Accord ») est conclu entre :

• le Client, personne physique ou morale utilisatrice du service Phoenix Agents IA, agissant en qualité de responsable du traitement ;
• Phoenix Solutions SRL, Boulevard Léopold III, 11, boîte 57, 1030 Schaerbeek (Bruxelles), BE 0538.723.746, agissant en qualité de sous-traitant.

Il définit les conditions dans lesquelles Phoenix Solutions traite, pour le compte du Client, les données personnelles des visiteurs et prospects, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).

Article 2 — Description du traitement

Article 3 — Obligations de Phoenix Solutions

En qualité de sous-traitant, Phoenix Solutions s'engage à :

• traiter les données uniquement sur instruction documentée du Client, telle que résultant de l'utilisation du service et des présentes ; informer le Client si une instruction lui paraît constituer une violation du RGPD ;
• ne pas utiliser les données à ses propres fins commerciales, ne pas les vendre, ne pas les céder ;
• garantir la confidentialité : toute personne autorisée à accéder aux données est soumise à une obligation de confidentialité ;
• mettre en œuvre les mesures de sécurité décrites à l'article 5 ;
• respecter les conditions de recours à des sous-traitants ultérieurs (article 6) ;
• aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées ;
• assister le Client pour la sécurité des traitements, la notification des violations et, le cas échéant, les analyses d'impact ;
• notifier au Client toute violation de données sans délai injustifié après en avoir pris connaissance, en fournissant les éléments utiles ;
• au terme du contrat, supprimer les données conformément à l'article 8 ;
• mettre à disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD.

Article 4 — Obligations du Client

Le Client, en qualité de responsable du traitement, s'engage à :

• disposer d'une base légale valable pour le traitement des données de ses visiteurs et prospects ;
• informer ses visiteurs de l'existence du traitement, de sa finalité et de leurs droits, conformément aux articles 13 et 14 du RGPD ;
• recueillir les consentements requis lorsque la loi l'exige ;
• ne pas configurer son agent pour recueillir des données sensibles ou des données de mineurs sans base légale appropriée ;
• n'utiliser les coordonnées recueillies que pour donner suite à la demande du prospect, dans le respect de la réglementation applicable à la prospection ;
• répondre aux demandes d'exercice de droits émanant de ses visiteurs et prospects, Phoenix Solutions lui apportant son concours technique ;
• documenter ses traitements dans son propre registre.

Le service met à disposition une mention d'information affichée sous le champ de saisie de l'agent. Il appartient au Client de vérifier qu'elle est suffisante au regard de sa propre situation et de la compléter par sa propre politique de confidentialité.

Article 5 — Mesures de sécurité

Phoenix Solutions met en œuvre les mesures techniques et organisationnelles suivantes :

• chiffrement des communications par HTTPS/TLS ;
• hébergement au sein de l'Union européenne, chez un prestataire professionnel ;
• authentification déléguée à un fournisseur d'identité reconnu, sans stockage de mots de passe ;
• cloisonnement logique strict des données par compte client ;
• masquage des coordonnées au-delà du quota et absence de données en clair dans les emails de notification ;
• limitation des accès aux données de production aux seules personnes habilitées ;
• sauvegardes régulières et journalisation des accès techniques ;
• revue périodique des mesures au regard de l'état de l'art.

Article 6 — Sous-traitants ultérieurs

Le Client autorise de manière générale Phoenix Solutions à recourir aux sous-traitants ultérieurs suivants :

Phoenix Solutions informe le Client de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, au moins trente (30) jours à l'avance, par email ou via l'espace client. Le Client peut s'y opposer pour des motifs légitimes et sérieux ; à défaut de solution, il pourra résilier son abonnement sans frais.

Phoenix Solutions demeure pleinement responsable devant le Client de l'exécution par ses sous-traitants ultérieurs de leurs obligations.

Article 7 — Violation de données

En cas de violation de données à caractère personnel affectant les données du Client, Phoenix Solutions notifie celui-ci sans délai injustifié après en avoir pris connaissance, par email à l'adresse du compte, en précisant dans la mesure du possible :

• la nature de la violation et les catégories de données concernées ;
• les conséquences probables ;
• les mesures prises ou envisagées pour y remédier et en atténuer les effets.

Il appartient au Client, en qualité de responsable du traitement, d'apprécier la nécessité de notifier l'autorité de contrôle et, le cas échéant, les personnes concernées.

Article 8 — Sort des données en fin de contrat

À la résiliation de l'abonnement, le Client dispose d'un délai de trente (30) jours pour exporter ou récupérer les données de son espace. À l'issue de ce délai, Phoenix Solutions procède à la suppression définitive des données traitées pour son compte, à l'exception :

• des données nécessaires au respect d'obligations légales, notamment comptables (conservées 7 ans) ;
• des sauvegardes techniques, qui expirent selon leur cycle de rotation normal.

Sur demande écrite, Phoenix Solutions confirme la suppression effective.

Article 9 — Documentation et audit

Phoenix Solutions met à disposition du Client, sur demande écrite et motivée, les informations nécessaires pour démontrer le respect de ses obligations : description des mesures de sécurité, liste des sous-traitants ultérieurs, localisation des données et durées de conservation.

Phoenix Solutions tient à disposition de ses clients un rapport de conformité reprenant l'ensemble de ces éléments. Ce rapport, le présent Accord et la Politique de confidentialité constituent la documentation de référence et sont réputés satisfaire à l'obligation d'information prévue à l'article 28.3.h) du RGPD.

Compte tenu de la nature du service, l'audit s'effectue par principe sur pièces. Un audit sur site ne peut être demandé qu'en cas de motif sérieux et documenté, une fois par an au maximum, aux frais du Client, moyennant un préavis de soixante (60) jours, dans des conditions n'entravant pas l'activité de Phoenix Solutions et sous réserve d'un engagement de confidentialité.

Les infrastructures des sous-traitants ultérieurs relèvent de leurs propres politiques d'audit et de leurs certifications respectives, que Phoenix Solutions communique sur demande.

Article 10 — Responsabilité

Chaque partie assume la responsabilité des manquements qui lui sont propres. La responsabilité de Phoenix Solutions est encadrée par l'article 10 des Conditions générales, sans préjudice des dispositions impératives du RGPD.

Article 11 — Durée, acceptation et droit applicable

Le présent Accord entre en vigueur dès l'acceptation des Conditions générales par le Client et demeure applicable pendant toute la durée du traitement.

Il est régi par le droit belge. Tout litige relève des tribunaux de l'arrondissement judiciaire de Bruxelles.