Accord de sous-traitance

01Parties, portée et rôles

Le client est le responsable du traitement des communications et des coordonnées qu’il place dans Box. Nivoraworks, entreprise individuelle de Kamiel Niville, numéro d’entreprise et de TVA BE 1041.516.417, Julius en Maurits Sabbestraat 15, 8000 Bruges, Belgique en est le sous-traitant, et le responsable du traitement pour le compte, la facturation, la sécurité et l’assistance, comme le décrit la politique de confidentialité.

Cet accord s’applique tant que le client utilise Box et à tout traitement de données clients qui en découle. Il est rédigé conformément à l’article 28 du RGPD.

02Objet du traitement et instructions

Objet: réunir, afficher, rechercher, rédiger et envoyer des communications via les canaux que le client connecte. Durée: celle de l’abonnement. Nature et finalité: fournir, sécuriser et assister le service de communication.

Catégories de personnes concernées: les utilisateurs du client et les personnes avec lesquelles ils communiquent. Catégories de données: données d’identification et de contact, contenu des messages et pièces jointes, métadonnées de conversation et données d’utilisation. Les messages peuvent contenir des catégories particulières parce qu’un expéditeur les y place; Box ne les demande pas.

Nivora ne traite les données clients que sur instruction documentée du client. L’utilisation du produit vaut instruction. Si le droit de l’Union ou le droit belge nous impose davantage, nous en informons au préalable, sauf interdiction légale. Si Nivora estime qu’une instruction viole la réglementation, nous le disons.

03Obligations du client

Le client garantit qu’il dispose d’une base légale pour placer les communications dans Box, qu’il informe ses propres utilisateurs et contacts, et qu’il répond aux demandes des personnes concernées en qualité de responsable.

Le client gère la composition de son équipe et les droits associés, et retire les accès en temps utile lorsqu’une personne s’en va. Le client ne place pas dans Box de données pour lesquelles il n’a pas d’autorité.

04Confidentialité et sécurité

Toute personne chez Nivora ayant accès aux données clients est tenue au secret. L’accès est limité à qui en a besoin pour une tâche précise.

Nivora met en œuvre des mesures techniques et organisationnelles appropriées: chiffrement des identifiants dans un coffre, TLS pour le trafic, row-level security sur la base de données, environnements séparés, journalisation et accès restreint. Ces mesures peuvent évoluer tant que le niveau de protection ne baisse pas.

05Sous-traitants ultérieurs et transferts

Le client donne une autorisation générale pour les sous-traitants figurant au registre sur box.nivoraworks.com/subprocessors. Nivora leur impose les mêmes obligations que celles du présent accord et demeure responsable de leur travail envers le client.

Nous mettons le registre à jour avant qu’un nouveau sous-traitant ne traite des données clients, et le client peut s’y opposer pour des motifs raisonnables de protection des données. Les transferts hors EEE reposent sur les clauses contractuelles types de la Commission européenne ou sur une décision d’adéquation, assortis des mesures complémentaires nécessaires.

06Assistance et demandes des personnes concernées

Si Nivora reçoit la demande d’une personne concernée portant sur des données clients, nous la transmettons au client et n’y répondons pas nous-mêmes, sauf si le client le demande ou si la loi l’impose.

Nivora assiste raisonnablement le client pour les droits des personnes concernées, pour une analyse d’impact et pour la consultation de l’autorité de contrôle, en proportion de la nature du traitement et des informations dont nous disposons.

07Incidents de données

Nivora notifie une violation de sécurité affectant des données clients sans retard injustifié après l’avoir constatée, avec ce que nous savons alors de sa nature, des données concernées, des conséquences probables et des mesures prises.

Nous complétons ces informations au fil de l’enquête et assistons le client dans sa propre obligation de notification. Une notification ne vaut pas reconnaissance de faute.

08Suppression, restitution et continuité

À la fin du service, Nivora supprime les données clients ou les restitue, au choix du client, sauf lorsque la loi impose une conservation. La suppression d’un compte est achevée dans un délai maximum de 30 jours.

Les sauvegardes expirent selon un calendrier glissant et ne sont jamais restaurées comme données actives. Tant qu’elles existent, elles restent soumises aux mêmes mesures de sécurité et de confidentialité.

09Démontrer la conformité et audits

Nivora fournit au client, sur demande, les informations nécessaires pour démontrer le respect de l’article 28 du RGPD, notamment ce registre, la politique de confidentialité et la description des mesures.

Le client peut demander au maximum un audit par an, sauf si une autorité de contrôle ou un incident en exige davantage, moyennant un préavis raisonnable, pendant les heures de bureau, sans perturber le service et sous confidentialité. Les frais d’un audit organisé par le client sont à sa charge.

10Primauté, responsabilité et contact

En cas de contradiction, le présent accord prime sur les conditions générales pour tout ce qui concerne le traitement des données clients. Pour le reste, ces conditions continuent de s’appliquer, y compris le régime de responsabilité.

Pour toute question sur cet accord, pour un exemplaire signé ou pour une demande d’une personne concernée: écrivez à box@nivoraworks.com.