Contrat de sous-traitance (DPA)

1. Objet et rôles

Le Responsable de traitement détermine les finalités et les moyens du traitement des données saisies dans le Service. Le Sous-traitant traite ces données uniquement sur instruction documentée du Responsable, telle que matérialisée par l'usage du Service et les présentes.

2. Nature et durée du traitement

• Nature : hébergement, stockage, organisation, consultation, sauvegarde et suppression des données nécessaires au fonctionnement du Service.
• Durée : pendant toute la durée du contrat, puis suppression conformément à la politique de conservation.

3. Catégories de personnes et de données

• Personnes concernées : utilisateurs de l'organisation (acheteurs, responsables d'équipe, validateurs finance, administrateurs) et contacts fournisseurs éventuellement renseignés.
• Données : noms, adresses e-mail professionnelles, rôles, ainsi que les données métier (initiatives, montants d'économies, fournisseurs, objectifs).

4. Obligations du Sous-traitant

• Traiter les données uniquement sur instruction du Responsable.
• Garantir la confidentialité (personnel soumis à une obligation de confidentialité).
• Mettre en œuvre des mesures techniques et organisationnelles appropriées (voir page Sécurité).
• Assister le Responsable pour répondre aux demandes d'exercice des droits des personnes concernées.
• Notifier au Responsable toute violation de données sans retard injustifié, dans la limite des informations disponibles.
• Supprimer ou restituer les données au terme du contrat, au choix du Responsable.
• Mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 et permettre des audits raisonnables.

5. Sous-traitants ultérieurs

Le Responsable autorise le recours aux sous-traitants ultérieurs ci-dessous. Le Sous-traitant informera le Responsable de tout ajout ou remplacement, lui laissant la possibilité de s'y opposer pour un motif légitime.

6. Transferts hors UE

Les données sont hébergées dans l'UE (Paris, France (EU — eu-west-3)). Tout transfert hors UE résultant d'un sous-traitant ultérieur est encadré par les clauses contractuelles types (CCT) de la Commission européenne et, le cas échéant, par des mesures supplémentaires appropriées.

7. Sécurité

Les mesures de sécurité comprennent l'isolation des données par organisation au niveau de la base (RLS), le chiffrement en transit et au repos, un journal d'audit en ajout seul, et des sauvegardes régulières. Le détail figure sur la page Sécurité.

8. Violation de données

En cas de violation de données affectant le Responsable, le Sous-traitant le notifie sans retard injustifié à privacy@theprocurementor.com, avec les éléments connus permettant au Responsable de satisfaire, le cas échéant, à son obligation de notification sous 72 heures.