Accord de sous-traitance des données

1. Objet et parties

Le présent accord encadre, conformément à l'article 28 du Règlement général sur la protection des données (RGPD), les traitements de données personnelles qu'Irva effectue pour le compte de ses utilisateurs professionnels.

• Le responsable du traitement est l'utilisateur titulaire d'un compte Irva (consultant, agence ou entreprise), ci-après « le responsable ».
• Le sous-traitant est Guillaume Girod, entrepreneur individuel (micro-entreprise), SIREN 851 786 541, Lyon (69003), France, éditeur d'Irva, ci-après « Irva ».

Il fait partie intégrante des conditions générales d'utilisation (article 12) et s'applique dès leur acceptation. En cas de contradiction avec les conditions générales au sujet des données personnelles, le présent accord prévaut.

2. Description du traitement

• Données concernées : les données personnelles de tiers que le responsable enregistre ou importe dans Irva : noms, adresses e-mail, téléphones, fonctions et notes concernant ses clients et leurs contacts, ses prospects (dont les invités de ses rendez-vous Calendly), les destinataires de ses rapports et les personnes qu'il invite sur un projet.
• Personnes concernées : clients, prospects, contacts et collaborateurs du responsable.
• Nature et finalité : hébergement, stockage, affichage et organisation de ces données, envoi des e-mails demandés par le responsable (rapports, invitations), synchronisation avec les services qu'il connecte, dans le seul but de lui fournir le service Irva.
• Durée : le temps de l'utilisation du service, puis jusqu'à la suppression des données (article 9).

Ne sont pas concernées : les données du compte du responsable lui-même, pour lesquelles Irva est responsable du traitement (voir la politique de confidentialité), et les résultats de recherche relevés (SERP), qui sont des données publiques sans caractère personnel. Le responsable s'engage à ne pas enregistrer dans Irva de données sensibles au sens de l'article 9 du RGPD (santé, opinions, origine, etc.).

3. Instructions du responsable

Irva traite les données uniquement sur instruction documentée du responsable. Ces instructions résultent des conditions générales, du présent accord et de l'utilisation que le responsable fait des fonctions du service. Irva n'utilise ces données à aucune autre fin, ne les vend pas et ne les partage pas avec des tiers autres que les sous-traitants ultérieurs listés en annexe. Si une instruction lui paraît contraire au RGPD, Irva en informe le responsable.

4. Confidentialité

Les personnes autorisées par Irva à accéder aux données s'engagent à en respecter la confidentialité. Cet accès est limité à ce qui est nécessaire au fonctionnement du service et à l'assistance demandée par le responsable.

5. Sécurité

Irva met en œuvre des mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD :

• communications chiffrées (HTTPS) ;
• isolation des données de chaque compte au niveau de la base de données (Row Level Security) ;
• chiffrement des clés d'API stockées (AES-GCM) ;
• authentification par mot de passe ou compte Google, avec vérification anti-robot ;
• accès d'administration réservé à l'éditeur ;
• sauvegardes quotidiennes chiffrées, conservées 30 jours.

6. Sous-traitants ultérieurs

Le responsable autorise Irva à faire appel aux sous-traitants ultérieurs listés en annexe. Irva leur impose des obligations de protection des données équivalentes à celles du présent accord et reste responsable de leur respect. Irva informe le responsable de tout ajout ou remplacement d'un sous-traitant ultérieur, par la mise à jour de l'annexe signalée dans l'application ou par e-mail, au moins 15 jours avant qu'il ne prenne effet, sauf urgence liée à la sécurité. Le responsable peut s'y opposer en écrivant à [email protected] ; à défaut d'accord, il peut fermer son compte.

Quand le responsable utilise ses propres clés d'API (intelligence artificielle, données SEO), les requêtes partent chez le fournisseur sous son propre compte, selon le contrat qu'il a conclu avec lui.

7. Transferts hors de l'Union européenne

Les données sont hébergées dans l'Union européenne (Irlande). Certains sous-traitants ultérieurs sont situés hors de l'Union européenne : ces transferts sont encadrés par une décision d'adéquation de la Commission européenne (dont le Data Privacy Framework pour les entreprises américaines certifiées) ou par les clauses contractuelles types.

8. Assistance au responsable

• Droits des personnes : le responsable peut consulter, modifier et supprimer lui-même les données dans l'application. Pour le reste, Irva l'aide à répondre aux demandes des personnes concernées dans un délai raisonnable.
• Violation de données : Irva notifie au responsable toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL et aux personnes concernées.
• Analyses d'impact : Irva fournit, sur demande, les informations nécessaires aux analyses d'impact et aux consultations préalables du responsable.

9. Fin du traitement

À la fermeture du compte, le responsable dispose de 3 jours pour changer d'avis. Passé ce délai, les données sont supprimées définitivement, et leurs copies dans les sauvegardes chiffrées au plus tard 30 jours après. Avant la fermeture, le responsable peut récupérer ses données : export des SERP depuis les paramètres de l'application, export complet sur demande à [email protected].

10. Documentation et audit

Irva met à la disposition du responsable les informations nécessaires pour démontrer le respect du présent accord. Le responsable peut demander un audit, au plus une fois par an, avec un préavis de 30 jours, réalisé d'abord sur documents (questionnaire, description des mesures). Les frais de l'audit restent à sa charge.

11. Obligations du responsable

Le responsable garantit la licéité des traitements qu'il confie à Irva : il dispose d'une base légale pour chacun, informe les personnes concernées et ne donne que des instructions conformes au RGPD.

12. Responsabilité et droit applicable

Chaque partie répond des dommages causés par ses propres manquements, dans les conditions de l'article 82 du RGPD et dans les limites prévues par les conditions générales. Le présent accord est régi par le droit français ; tout litige relève de la compétence des tribunaux français.

Annexe : sous-traitants ultérieurs

Liste à jour des services auxquels Irva fait appel, avec leur usage, les données transmises et leur localisation :