Contrat de sous-traitance des données personnelles

• Le Client : l’entreprise qui souscrit à Standia, responsable du traitement des données de ses propres clients.
• Standia : Enzo Sinicropi, entrepreneur individuel (micro-entreprise), sous le nom commercial Sinicropi&Co — 4 chemin de l’Appie, Domaine des Mimosas, Villa 16, 06530 Peymeinade — SIREN 130 069 727, sous-traitant.

Ce contrat ne couvre pas les données des comptes du panneau (le Client et son équipe), dont Standia est responsable ; elles relèvent de la politique de confidentialité.

Standia ne traite les données que sur instruction documentée du Client : les réglages du panneau (ce que l’agent fait, ce qu’il sait, la durée de conservation, les options allumées) valent instructions. Si une instruction lui paraît enfreindre le RGPD, Standia en informe le Client sans délai.

Les personnes autorisées à traiter les données chez Standia sont tenues à la confidentialité. Le rôle d’opérateur ne s’obtient pas depuis le panneau, il exige une double authentification, et un opérateur n’accède au panneau d’un Client que pour l’assister ou traiter une demande d’effacement ; ses changements sont tracés avec leur auteur.

• chaque entreprise ne voit que ses propres données ; l’isolement est vérifié par des tests sur toutes les routes ;
• les jetons d’accès aux logiciels du Client (agenda, boîte de courriel, Meta, connecteurs) sont chiffrés en base par une clé maîtresse, qui peut être changée sans perdre un secret ;
• les mots de passe du panneau ne sont gardés que sous forme d’empreinte (argon2id), les essais sont freinés, et la double authentification est obligatoire pour les opérateurs de Standia, facultative pour le Client ;
• les accès au panneau peuvent être limités page par page, et la limite est appliquée par le serveur ;
• les journaux techniques sont gardés 60 jours au plus ;
• une sauvegarde à chaud de la base existe, et sa restauration a été éprouvée.

Le Client autorise Standia à recourir aux sous-traitants suivants, nécessaires au service. Standia l’informe de tout ajout ou remplacement à l’avance, et le Client peut s’y opposer ; en cas d’opposition, chacune des parties peut résilier l’abonnement sans frais.

Ne sont pas des sous-traitants de Standia, parce que le Client les choisit et les branche lui-même : son agenda, sa boîte de courriel s’il la connecte, les logiciels qu’il relie à son agent (caisse, stock, fichier client). Standia impose à chacun de ses sous-traitants des obligations équivalentes à celles de ce contrat, et reste responsable envers le Client de leur respect.

Les transferts vers les sous-traitants établis hors de l’Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne, ou par le cadre de protection des données UE–États-Unis quand le fournisseur y est certifié.

Standia aide le Client à répondre aux demandes des personnes. Dans le panneau, l’écran « Effacer un client » remet à la personne une copie de ses données — un fichier lisible et un fichier de données —, puis, si elle le demande, montre ce qui sera effacé et l’efface, pour un numéro de téléphone ou une adresse électronique ; les SMS facturés sont anonymisés plutôt que supprimés, et l’écran le dit. Si une personne s’adresse directement à Standia, Standia transmet la demande au Client sans délai.

Standia notifie au Client toute violation de données personnelles dès qu’elle en a connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes, conséquences probables, mesures prises), pour lui permettre de notifier la CNIL dans les 72 heures.

Standia aide le Client, dans la mesure de ce qu’elle sait du traitement, pour la sécurité, la notification des violations, l’analyse d’impact et la consultation préalable de la CNIL.

Avant la fin, le propriétaire télécharge depuis le panneau toutes les données de l’entreprise (« Emporter toutes vos données »), sans aucun secret. 30 jours après la fin de l’abonnement, l’entreprise est effacée, toutes les tables qui la portent comprises. Les copies de sauvegarde disparaissent quand elles sont remplacées (les sept dernières sont gardées).

Standia met à la disposition du Client les informations nécessaires pour démontrer le respect de ce contrat, et permet des audits menés par le Client ou un auditeur qu’il mandate.

Le Client reste responsable de l’usage qu’il fait de l’agent, notamment des campagnes d’appels : Standia fournit les garde-fous (horaires légaux, quatre sollicitations par personne sur trente jours, consentement noté, liste d’opposition), le Client choisit de les allumer et fournit la liste et l’origine de chaque numéro.