Accord de sous-traitance des données personnelles
Version du 6 novembre 2026 — article 28 du règlement (UE) 2016/679 (RGPD)
Cet accord fait partie du contrat d'abonnement (voir les conditions générales d'abonnement). Il lie l'entreprise abonnée, responsable de traitement (« l'abonné »), et Johan KLUGHERTZ, entrepreneur individuel, éditeur de Suivi travaux 360, sous-traitant (« l'éditeur »).
Un exemplaire signé et daté doit être conservé par chaque partie. [À FAIRE : faire signer cet accord, ou l'annexer au devis, par chaque entreprise abonnée]
1. Objet, durée, nature et finalité
- Objet : l'hébergement et le traitement, au moyen de l'application Suivi travaux 360, des données personnelles que l'abonné et ses utilisateurs y saisissent, ou que les clients de l'abonné y envoient par les pages qu'il leur adresse.
- Durée : celle du contrat d'abonnement, puis le temps de la restitution et de l'effacement prévus à l'article 9.
- Nature des opérations : collecte par les formulaires et pages de l'application, enregistrement, stockage, consultation, mise en forme de documents (PDF), lecture de la photo d'un tableau électrique par un service d'intelligence artificielle à la demande de l'utilisateur, envoi de notifications à la demande des utilisateurs, export, effacement.
- Finalité : permettre à l'abonné de suivre ses chantiers et sa relation avec ses clients (relevés, suivis, procès-verbaux, SAV, plans, photos, étiquettes de tableau, QR code « Nous contacter », liens clients, prise de rendez-vous, échanges d'équipe).
2. Données et personnes concernées
| Personnes | Données |
|---|---|
| Clients de l'abonné et occupants des lieux | Nom, adresse du chantier, téléphone, e-mail ; position GPS du chantier ; photos des lieux ; signature dessinée à l'écran ; numéro de point de livraison (PRM) et courbe de charge électrique s'ils sont fournis ; contenu des demandes (dépannage, devis, information), disponibilités, fichiers envoyés ; rendez-vous pris. |
| Utilisateurs de l'abonné (salariés, collaborateurs) | Nom, rôle (vue), outils et métiers ouverts, e-mail et téléphone professionnels ; plans dessinés dans l'outil Plan ; journal des incidents de publication de leurs appareils (page, erreur, type d'appareil, date) ; messages et notes dans les dossiers ; auteur et date des documents ; lien de publication de l'agenda Outlook (lecture des seuls créneaux occupés). |
| Interlocuteurs tiers mentionnés dans les dossiers | Nom et coordonnées professionnelles (sous-traitants, maîtres d'œuvre…), selon ce que l'abonné saisit. |
L'application n'est pas faite pour des données sensibles (article 9 du RGPD). L'abonné s'engage à ne pas en saisir, sauf nécessité liée au chantier (par exemple une contrainte d'accès mentionnée par l'occupant), et à rester sobre dans ce cas.
3. Instructions de l'abonné
L'éditeur ne traite les données que sur instruction documentée de l'abonné. Ces instructions sont l'usage de l'application tel qu'il la configure (comptes, liens, archivage), les réglages d'outils et de métiers que l'éditeur fait à sa demande, et les demandes écrites qu'il adresse. L'éditeur informe immédiatement l'abonné si une instruction lui paraît contraire au RGPD. Il n'utilise pas les données pour son propre compte : ni publicité, ni revente, ni profilage, ni entraînement de modèles d'intelligence artificielle.
4. Confidentialité
L'éditeur garde les données confidentielles. S'il fait intervenir une personne (assistance, maintenance), elle est tenue à la même confidentialité. L'éditeur n'accède aux données de l'abonné que lorsque c'est nécessaire au service ou à une demande d'assistance de l'abonné. Pour la mise en service, le réglage des outils et des métiers et l'assistance, il peut entrer dans l'espace de l'abonné comme son administrateur ; il ne le fait que pour ces besoins.
5. Sécurité
Mesures mises en œuvre, au regard des risques :
- séparation des données de chaque entreprise abonnée dans des espaces distincts ; chaque requête est contrôlée par le compte qui la fait ;
- comptes nominatifs créés par l'administrateur de l'abonné ; vue, outils et métiers de chaque compte réglés par l'éditeur à la demande de l'abonné, un nouveau compte n'ouvrant aucun outil tant qu'il n'est pas réglé ; connexion bloquée après des essais répétés de mot de passe ; possibilité de suspendre tout l'espace de l'abonné ; mots de passe enregistrés sous forme d'empreinte, codes provisoires à remplacer à la première connexion ;
- liens clients et QR codes fondés sur des jetons aléatoires, révocables ; le QR code « Nous contacter » n'ouvre aucun dossier ; un lien n'ouvre que le dossier pour lequel il a été créé ;
- connexion chiffrée (HTTPS) [À VÉRIFIER : certificat actif sur le domaine] ; hébergement en France chez o2switch ;
- bibliothèques logicielles servies par le site lui-même, sans appel à des réseaux de diffusion tiers ;
- fiches en cours (relevé, suivi…) conservées sur l'appareil de l'utilisateur jusqu'à leur publication, sans copie sur le site ;
- effacement automatique des rendez-vous 400 jours après leur date et des listes supprimées après 60 jours de corbeille.
6. Sous-traitants ultérieurs
L'abonné autorise l'éditeur à recourir aux prestataires ci-dessous. L'éditeur informe l'abonné par écrit, au moins 30 jours à l'avance, de tout ajout ou remplacement ; l'abonné peut s'y opposer pour un motif légitime, et à défaut d'accord, résilier sans pénalité. L'éditeur impose à chacun des obligations de protection équivalentes et reste responsable envers l'abonné de leur respect.
| Prestataire | Rôle | Données | Lieu |
|---|---|---|---|
| o2switch | Hébergement du site et des données | Toutes | France |
| Prestataire d'intelligence artificielle | Lecture de la photo du tableau électrique sur la fiche d'autocontrôle, seulement quand l'utilisateur la demande | La photo du tableau, le type de travaux et de bâtiment, la remarque éventuelle du technicien ; ni le nom ni l'adresse du client | États-Unis — clauses contractuelles types de la Commission européenne |
| Services de notification d'Apple, Google, Mozilla, Microsoft | Acheminement des notifications sur les téléphones des utilisateurs | Adresse technique d'abonnement, texte court de la notification | Selon le navigateur de l'utilisateur |
Ne sont pas des sous-traitants, car ils ne reçoivent pas les données des dossiers : les services de cartes et d'adresses (IGN, Esri, OpenStreetMap/Nominatim), de météo (Open-Meteo) et de productible solaire (PVGIS). Ils reçoivent seulement, depuis l'appareil de l'utilisateur, une adresse recherchée, des coordonnées ou une zone de carte, et l'adresse IP de l'appareil. L'agenda Outlook est lu à partir du lien que l'utilisateur fournit ; Microsoft reste le prestataire de l'abonné pour cet agenda. La reconnaissance vocale de la dictée est assurée par le téléphone ou le navigateur de l'utilisateur (Apple, Google), selon leurs conditions.
7. Droits des personnes
Les clients de l'abonné exercent leurs droits auprès de l'abonné, dont le nom figure sur les pages et documents. Si l'éditeur reçoit une demande, il la transmet à l'abonné dans les 5 jours ouvrés sans y répondre lui-même. L'application permet à l'abonné d'y répondre : consulter et corriger un dossier, renommer un client, révoquer un lien ou un QR code, annuler un rendez-vous, exporter puis effacer un dossier par l'archivage. Pour ce qu'il ne peut faire seul, l'éditeur l'aide dans un délai compatible avec le délai d'un mois prévu par le RGPD.
8. Violations de données
L'éditeur notifie à l'abonné toute violation de données personnelles dans les 48 heures après en avoir pris connaissance, par e-mail à l'administrateur de l'abonné, avec ce qu'il en sait : nature, données et personnes concernées, conséquences probables, mesures prises ou proposées. Il lui fournit ensuite les informations utiles pour notifier la CNIL dans les 72 heures et, si besoin, informer les personnes concernées. Cette notification incombe à l'abonné.
9. Fin du contrat : restitution et effacement
À la fin du contrat, l'abonné récupère ses données en archivant ses dossiers (fichier ZIP), dans le délai prévu aux conditions d'abonnement ; l'éditeur l'y aide sur demande. Ensuite l'éditeur supprime l'espace de l'abonné dans l'application, ce qui efface : dossiers, documents, comptes, liens et QR codes, rendez-vous et réglages, et en donne confirmation écrite. Les sauvegardes de l'hébergeur s'effacent au fil de leur rotation [À VÉRIFIER : durée de rotation des sauvegardes o2switch]. Aucune copie n'est conservée, sauf obligation légale.
10. Documentation et audit
L'éditeur tient un registre des traitements qu'il effectue pour le compte de ses abonnés (article 30.2 du RGPD). Il met à la disposition de l'abonné les informations nécessaires pour démontrer le respect de cet accord, et permet un audit par l'abonné ou un auditeur qu'il mandate, tenu à la confidentialité, sur préavis de 30 jours, au plus une fois par an sauf violation de données, aux frais de l'abonné.
11. Assistance de l'abonné
L'éditeur aide l'abonné, en lui fournissant les informations dont il dispose, à réaliser une analyse d'impact si elle est nécessaire et à remplir ses obligations de sécurité.
12. Obligations de l'abonné
- Il a une base légale pour les données qu'il fait traiter, et en informe ses clients (par exemple sur ses devis et sa propre politique de confidentialité).
- Il ne collecte que ce qui est utile au chantier et fixe la durée de conservation de ses dossiers (en les archivant quand il n'en a plus besoin en ligne).
- Il crée les comptes de son personnel, indique à l'éditeur la vue, les outils et les métiers de chacun, et supprime les comptes au départ des personnes.
- Il tient à jour sa fiche société (nom et coordonnées affichés à ses clients).
Pour l'abonné : nom, qualité, date, signature [À COMPLÉTER]
Pour l'éditeur : Johan KLUGHERTZ, date, signature