Traitement des données personnelles

1. Objet et périmètre du traitement

Le Prestataire traite les données personnelles du Client uniquement pour les besoins de la prestation commandée : développement, correction, migration, sauvegarde, diagnostic de panne, maintenance et assistance. Il n'en fait aucun autre usage, ni statistique, ni commercial, ni d'entraînement d'un système automatisé.

2. Nature des données et personnes concernées

Selon le système concerné : données d'identification et de contact, données de commande et de facturation, contenus de messages, données de connexion, et le cas échéant données relatives aux salariés du Client. Personnes concernées : clients, prospects, adhérents, salariés ou usagers du Client.

Données sensibles. Si la prestation porte sur des données de santé, des données bancaires complètes, des données d'infraction ou toute autre catégorie particulière au sens de l'article 9 du RGPD, le Client l'indique par écrit avant le début de la mission, afin que les mesures de sécurité soient adaptées en conséquence.

3. Instructions du Client

Le Prestataire n'agit que sur instruction documentée du Client, le devis, les échanges écrits et les demandes de son support en constituent le support. S'il estime qu'une instruction méconnaît le RGPD ou une autre règle applicable, il en informe le Client sans délai et peut suspendre son exécution.

4. Confidentialité

Le Prestataire s'engage à une confidentialité stricte sur l'ensemble des informations auxquelles il accède : données personnelles, mais aussi code, contenus, tarifs, marges, fichiers clients, procédures internes et tout élément non public de l'activité du Client. Cet engagement survit trois ans à la fin de la mission, sans limite de durée pour ce qui constitue un secret d'affaires.

Le Prestataire intervient seul. Aucune personne supplémentaire n'accède aux données sans accord écrit préalable du Client, et sous les mêmes obligations.

5. Mesures de sécurité

• Accès minimal : seuls les accès nécessaires à la prestation sont demandés, sur des comptes nominatifs, jamais un identifiant partagé.
• Environnement de travail dédié : poste chiffré, gestionnaire de mots de passe, authentification à deux facteurs partout où elle est disponible.
• Développement sur données réduites : les bases de test sont anonymisées ou réduites dès que la nature de la mission le permet, plutôt qu'une copie intégrale de la production.
• Transferts : aucun fichier de données personnelles n'est échangé par un service de partage grand public ni stocké sur un support amovible non chiffré.
• Sauvegardes : chiffrées, conservées chez l'hébergeur du Client ou un hébergeur situé en France, et testées par restauration.
• Traçabilité : les interventions sur les systèmes du Client sont journalisées et restituables sur demande.

6. Sous-traitants ultérieurs et localisation

Le Prestataire privilégie des hébergeurs français. Les prestataires techniques éventuellement mobilisés (hébergement, messagerie, service de sauvegarde) sont communiqués au Client, qui peut s'y opposer pour un motif légitime. Aucun transfert hors Union européenne n'est réalisé sans information préalable du Client et vérification du cadre juridique applicable.

7. Droits des personnes concernées

Les demandes d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité sont adressées au Client, seul responsable d'y répondre. Le Prestataire lui apporte l'assistance technique nécessaire, extraction, correction ou suppression dans les systèmes concernés, et transmet sans délai toute demande qui lui parviendrait directement.

8. Violation de données

En cas de violation de données personnelles affectant les systèmes couverts par la prestation, le Prestataire en informe le Client dans les vingt-quatre heures suivant sa découverte, par téléphone puis par écrit, avec les éléments connus : nature de l'incident, données et personnes susceptibles d'être concernées, conséquences probables et mesures prises. La notification à la CNIL, dans le délai de soixante-douze heures qui lui est imparti, relève du Client.

9. Concours à la conformité du Client

Le Prestataire met à disposition du Client les informations nécessaires pour démontrer le respect de ses obligations, et lui apporte son concours en cas d'analyse d'impact ou de contrôle portant sur les traitements couverts par la prestation.

10. Fin de mission

À la fin de la prestation, et au plus tard trente jours après, le Prestataire :

• restitue au Client les données et livrables dans un format exploitable ;
• supprime les copies de travail, bases de développement, sauvegardes locales et exports en sa possession ;
• rend ses accès aux systèmes du Client, dont la révocation appartient au Client ;
• en atteste par écrit sur demande.

Les seuls éléments conservés sont ceux qu'une obligation légale impose de garder, pièces comptables notamment, à l'exclusion de toute donnée personnelle du Client au-delà de ce qui est nécessaire.

Document type établi pour l'activité de L'ESPRIT D'CLIK, à faire relire par un conseil avant usage contractuel, notamment sur les durées et le régime de responsabilité. Il ne remplace pas les conditions générales du devis.