Contrat de Sous-traitance

CONTRAT DE SOUS-TRAITANCE Conformément à l'article 28 du Règlement Général sur la Protection des Données (UE) 2016/679 (« RGPD ») Entre : - La Coopérative utilisant la plateforme OpenCoop (ci-après « Responsable du traitement ») - OpenCoop, prestataire de services logiciels établi en Belgique (ci-après « Sous-traitant ») Ci-après conjointement dénommés les « Parties ». 1. Objet et durée 1.1 Le présent Contrat de Sous-traitance (« CST ») régit le traitement des données personnelles par le Sous-traitant pour le compte du Responsable du traitement dans le cadre de l'utilisation de la plateforme OpenCoop (« Plateforme »). 1.2 Le présent CST reste en vigueur pendant toute la durée d'utilisation de la Plateforme par le Responsable du traitement, telle que définie dans les Conditions Générales. 1.3 Le Sous-traitant ne traite les données personnelles qu'aux fins de la fourniture des services de la Plateforme et conformément aux instructions documentées du Responsable du traitement. 2. Nature et finalité du traitement 2.1 Le Sous-traitant fournit une plateforme SaaS de gestion coopérative des coopérateurs. Les activités de traitement comprennent : - Stockage et gestion des registres de coopérateurs - Traitement des transactions de parts (souscriptions, cessions, transferts) - Calcul et administration des dividendes - Génération de documents juridiques (certificats de parts, attestations fiscales, aperçus annuels) - Communication avec les coopérateurs pour le compte de la Coopérative - Rapprochement des paiements via les communications structurées belges (OGM) 3. Types de données personnelles 3.1 Les catégories suivantes de données personnelles sont traitées : - Données d'identité : nom complet, date de naissance, numéro de registre national - Données de contact : adresse e-mail, numéro de téléphone, adresse postale - Données financières : IBAN, BIC, historique des transactions, relevés de dividendes - Données d'entreprise (pour les personnes morales) : nom de la société, numéro d'entreprise (BCE), numéro de TVA, forme juridique - Données de compte : identifiants de connexion (mot de passe stocké uniquement sous forme de hash), langue préférée, attributions de rôles 4. Catégories de personnes concernées 4.1 Les personnes concernées sont : - Les coopérateurs (personnes physiques, personnes morales et mineurs représentés par leurs représentants légaux) de la Coopérative - Les administrateurs et le personnel de la Coopérative qui utilisent la Plateforme 5. Obligations du Sous-traitant 5.1 Confidentialité : Le Sous-traitant veille à ce que toutes les personnes autorisées à traiter des données personnelles se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée. 5.2 Mesures de sécurité : Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, notamment : - Chiffrement des données en transit (TLS) et au repos - Contrôles d'accès et autorisation basée sur les rôles - Audits de sécurité réguliers et évaluations des vulnérabilités - Pratiques de développement sécurisé - Sauvegardes automatisées avec chiffrement - Les numéros de registre national sont chiffrés au niveau applicatif avant stockage 5.3 Gestion des sous-traitants ultérieurs : Le Sous-traitant ne fait appel à aucun autre sous-traitant sans l'autorisation générale écrite préalable du Responsable du traitement. Le Responsable du traitement donne par la présente son autorisation générale pour les sous-traitants ultérieurs énumérés à l'article 7 du présent CST. Le Sous-traitant informe le Responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs, donnant au Responsable du traitement la possibilité de s'y opposer. 5.4 Assistance : Le Sous-traitant aide le Responsable du traitement à assurer le respect des obligations découlant des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont dispose le Sous-traitant. 5.5 Demandes des personnes concernées : Le Sous-traitant aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, à s'acquitter de son obligation de répondre aux demandes d'exercice des droits des personnes concernées énoncés au Chapitre III du RGPD. 6. Obligations du Responsable du traitement 6.1 Le Responsable du traitement : - Veille à disposer d'une base juridique pour le traitement des données personnelles via la Plateforme - Fournit des instructions documentées au Sous-traitant concernant le traitement des données personnelles - Veille à ce que les personnes concernées soient informées du traitement de leurs données personnelles conformément aux articles 13 et 14 du RGPD - Est responsable de l'exactitude et de la licéité des données personnelles fournies au Sous-traitant 7. Sous-traitants ultérieurs 7.1 Le Sous-traitant fait actuellement appel aux sous-traitants ultérieurs suivants : | Sous-traitant | Finalité | Localisation | |---|---|---| | Hetzner Online GmbH | Hébergement cloud (serveurs dédiés) | Falkenstein, Allemagne (UE) | | PostgreSQL (géré) | Stockage de base de données relationnelle | Allemagne (UE) | | Redis (géré) | Cache et file d'attente de messages | Allemagne (UE) | 7.2 Tous les sous-traitants ultérieurs sont situés au sein de l'Union européenne. Aucune donnée personnelle n'est transférée en dehors de l'UE/EEE. 7.3 Le Sous-traitant impose les mêmes obligations en matière de protection des données que celles prévues dans le présent CST à tout sous-traitant ultérieur par voie de contrat, garantissant que le traitement des données personnelles répond aux exigences du RGPD. 8. Conservation et suppression des données 8.1 Le Sous-traitant traite les données personnelles pendant la durée du contrat. À la fin des services de la Plateforme : - Le Responsable du traitement peut demander une exportation de toutes ses données dans les 30 jours suivant la résiliation - Après la période de 30 jours, le Sous-traitant supprime toutes les données personnelles traitées pour le compte du Responsable du traitement, sauf si le droit européen ou belge exige une conservation plus longue - Les données de transaction peuvent être conservées jusqu'à 7 ans pour se conformer à la réglementation comptable belge 8.2 Le Sous-traitant fournit une confirmation écrite de la suppression des données sur demande du Responsable du traitement. 9. Notification de violation de données 9.1 Le Sous-traitant notifie le Responsable du traitement sans retard injustifié, et en tout état de cause dans les 72 heures, après avoir pris connaissance d'une violation de données personnelles. 9.2 La notification comprend : - Une description de la nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements de données - Le nom et les coordonnées du point de contact du Sous-traitant - Une description des conséquences probables de la violation - Une description des mesures prises ou proposées pour remédier à la violation 9.3 Le Sous-traitant coopère avec le Responsable du traitement et prend les mesures commerciales raisonnables demandées par le Responsable du traitement pour aider à l'investigation, à l'atténuation et à la remédiation de chaque violation de données personnelles. 10. Droits d'audit 10.1 Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD. 10.2 Le Sous-traitant autorise et contribue aux audits, y compris les inspections, menés par le Responsable du traitement ou un autre auditeur mandaté par le Responsable du traitement. Ces audits sont effectués avec un préavis raisonnable et pendant les heures normales de bureau. 10.3 Le Responsable du traitement supporte les coûts de tout audit ou inspection qu'il initie, sauf si l'audit révèle une violation substantielle du présent CST par le Sous-traitant. 11. Transferts internationaux 11.1 Toutes les données personnelles traitées dans le cadre du présent CST sont stockées et traitées au sein de l'Union européenne, plus précisément en Allemagne. 11.2 Le Sous-traitant ne transfère pas de données personnelles vers un pays en dehors de l'UE/EEE sans le consentement écrit préalable du Responsable du traitement et sans s'assurer que des garanties appropriées sont en place conformément au Chapitre V du RGPD. 12. Résiliation et restitution/suppression des données 12.1 À la résiliation du contrat entre les Parties, le Sous-traitant, au choix du Responsable du traitement : - Restitue toutes les données personnelles au Responsable du traitement dans un format structuré, couramment utilisé et lisible par machine ; ou - Supprime toutes les données personnelles et certifie cette suppression par écrit 12.2 Cette obligation ne s'applique pas dans la mesure où le Sous-traitant est tenu par le droit européen ou belge de conserver tout ou partie des données personnelles. 12.3 Les dispositions du présent CST qui, par leur nature, doivent survivre à la résiliation restent en vigueur après la résiliation du contrat. 13. Droit applicable 13.1 Le présent CST est régi par et interprété conformément au droit belge. 13.2 Tout litige découlant de ou lié au présent CST est soumis à la compétence exclusive des tribunaux de Belgique. 14. Contact Pour toute question relative au présent Contrat de Sous-traitance : - E-mail : [email protected] - Autorité de contrôle : Autorité de protection des données (APD), Rue de la Presse 35, 1000 Bruxelles, [email protected]