Accord de sous-traitance des données

Le présent accord est conclu entre l’atelier abonné, responsable du traitement, et BEHAR TECH, SASU au capital de 1 €, RCS Lyon 109 929 257, 30 avenue Maréchal Foch, 69006 Lyon, éditrice de Behar Tech Pro, sous-traitant. Il fait partie des conditions générales d’utilisation et des conditions générales de vente, et précise les obligations de chacun au sens de l’article 28 du règlement (UE) 2016/679 (RGPD).

• Nature et finalité : hébergement, enregistrement, consultation, mise en forme, envoi et conservation des données nécessaires à la gestion de l’atelier : prise en charge et suivi des réparations, devis, factures, ventes, rachats, rendez-vous, messages aux clients, registres.
• Personnes concernées : clients et prospects de l’atelier, vendeurs d’appareils rachetés, membres de l’équipe de l’atelier.
• Données : identité, coordonnées, appareils et numéros de série ou IMEI, dossiers et photos, signatures, documents commerciaux, références de pièce d’identité d’un vendeur particulier, messages. Aucune donnée de santé ni aucune autre catégorie particulière n’est attendue ; l’atelier s’abstient d’en saisir.
• Durée : celle de l’abonnement, prolongée de la période de restitution prévue à l’article 9.

Behar Tech Pro traite les données uniquement sur instruction documentée de l’atelier : les présentes conditions, les réglages qu’il choisit dans le logiciel et les actions qu’il y déclenche. Il ne les utilise pour aucune autre fin, et informe immédiatement l’atelier s’il estime qu’une instruction enfreint la réglementation. S’il est tenu par la loi de traiter des données autrement, il en informe l’atelier avant le traitement, sauf interdiction légale.

Les personnes autorisées à traiter les données sont tenues à la confidentialité. Behar Tech Pro met en œuvre les mesures prévues à l’article 32 du RGPD, notamment : cloisonnement des données par atelier, contrôle des accès et des droits par rôle, chiffrement des échanges, journalisation des opérations sensibles, sauvegardes et procédure de restauration.

L’atelier autorise de manière générale le recours aux sous-traitants ultérieurs listés en annexe. Behar Tech Pro informe l’atelier par e-mail de tout ajout ou remplacement au moins trente jours à l’avance ; l’atelier peut s’y opposer pour un motif légitime pendant ce délai et, à défaut d’accord, résilier son abonnement sans frais. Behar Tech Pro impose à chaque sous-traitant ultérieur des obligations de protection équivalentes et demeure pleinement responsable envers l’atelier de leur exécution.

Un transfert de données hors de l’Espace économique européen n’a lieu que s’il repose sur une décision d’adéquation de la Commission européenne ou sur des clauses contractuelles types, complétées au besoin de mesures supplémentaires. Le mécanisme retenu pour chaque sous-traitant figure en annexe.

• Behar Tech Pro aide l’atelier à répondre aux demandes d’exercice des droits de ses clients (accès, rectification, effacement, opposition, portabilité) : le logiciel permet de les consulter, de les exporter, de les corriger et d’anonymiser un client ; toute demande reçue directement est transmise à l’atelier.
• Il aide l’atelier à remplir ses obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable (articles 32 à 36 du RGPD), compte tenu des informations dont il dispose.

Behar Tech Pro notifie à l’atelier toute violation de données personnelles dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, avec les informations utiles à la notification que l’atelier doit faire à la CNIL et, le cas échéant, aux personnes concernées.

À la fin de l’abonnement, l’atelier dispose de trente jours pour exporter ses données ou en demander la restitution dans un format courant. À l’issue de ce délai, Behar Tech Pro supprime les données, copies de sauvegarde comprises, dans un délai de quatre-vingt-dix jours, sauf obligation légale de conservation à sa charge. Il confirme la suppression sur demande.

Behar Tech Pro met à la disposition de l’atelier les informations nécessaires pour démontrer le respect du présent accord. Il permet la réalisation d’audits, y compris d’inspections, par l’atelier ou un auditeur qu’il mandate, tenu à la confidentialité, moyennant un préavis raisonnable et dans la limite d’un audit par an, sauf violation de données ou demande d’une autorité de contrôle.

L’atelier garantit la licéité des traitements qu’il confie : il fixe les finalités et les durées de conservation, informe ses clients (notamment par les mentions de ses documents et de son widget) et recueille les consentements requis. Il reste l’interlocuteur de ses clients pour l’exercice de leurs droits.

• Supabase — Base de données, authentification et stockage des fichiers. Données : toutes les données du compte et de l'atelier, dont celles de ses clients. Siège : Singapour et États-Unis (à vérifier). Localisation des données : à vérifier. Transfert : à vérifier.
• Vercel — Hébergement de l'application et exécution du serveur. Données : données traitées lors de chaque requête, journaux techniques. Siège : États-Unis. Localisation des données : à vérifier. Transfert : Data Privacy Framework ou clauses contractuelles types (à vérifier).
• Resend — Envoi des e-mails transactionnels. Données : adresse e-mail et contenu des messages envoyés aux clients de l'atelier. Siège : États-Unis. Localisation des données : à vérifier. Transfert : Data Privacy Framework ou clauses contractuelles types (à vérifier).
• Sinch — Envoi des SMS transactionnels. Données : numéro de téléphone et contenu des SMS. Siège : Suède. Localisation des données : à vérifier. Transfert : à vérifier.
• Twilio — Envoi des SMS, en secours de Sinch. Données : numéro de téléphone et contenu des SMS. Siège : États-Unis. Localisation des données : à vérifier. Transfert : Data Privacy Framework ou clauses contractuelles types (à vérifier).
• Amazon Web Services (Textract) — Lecture automatique des factures fournisseurs importées par l'atelier. Données : factures de fournisseurs, qui peuvent contenir des noms et coordonnées. Siège : États-Unis. Localisation des données : à vérifier. Transfert : Data Privacy Framework ou clauses contractuelles types (à vérifier).
• Square — Paiement des abonnements ; encaissements de l'atelier quand il le connecte. Données : identité et données de paiement du titulaire ; données des ventes transmises par l'atelier. Siège : États-Unis (entité européenne à vérifier). Localisation des données : à vérifier. Transfert : Data Privacy Framework ou clauses contractuelles types (à vérifier).
• AGORA (plateforme commune d'ecosystem et d'Ecologic) — Demandes de bonus réparation, pour les ateliers labellisés QualiRépar. Données : code postal et ville du client, appareil, numéro de série ou IMEI, facture. Siège : France. Localisation des données : à vérifier. Transfert : Sans objet si les données restent dans l'Union européenne.
• Prestataires de paiement connectés par l'atelier (SumUp, Stripe, PayPal, Revolut, Mollie) — Liens et terminaux de paiement, à la seule initiative de l'atelier. Données : montant, référence du document et, selon le cas, nom ou e-mail du client. Siège : à vérifier. Localisation des données : à vérifier. Transfert : à vérifier.
• Registres officiels (Recherche d'entreprises de l'État, VIES de la Commission européenne, registre IDE suisse) — Vérification d'un numéro SIREN, de TVA ou IDE saisi par l'atelier. Données : numéro d'immatriculation ou de TVA d'une entreprise. Siège : France, Union européenne, Suisse. Localisation des données : Services publics des pays concernés. Transfert : Suisse : décision d'adéquation de la Commission européenne.