# Contrat de sous-traitance RGPD de Bastide (article 28)

| | |
| --- | --- |
| **Version** | 0.6 |
| **Date** | 28/10/2026 |
| **Date d'entrée en vigueur** | 28/10/2026 |
| **Sous-traitant** | Glowsoft SAS au capital de 1 500 €, RCS Nevers 993 347 335, SIRET 993 347 335 00024, TVA FR63993347335, siège 7 B rue du 13e de Ligne, 58000 Nevers, représentée par Jérémy Macadré, Président ; contact protection des données : `privacy@bastide.app` |
| **Responsable de traitement** | Le client, tel qu'identifié à la souscription |
| **Annexe** | Liste des sous-traitants ultérieurs |

## 1. Objet, finalité, durée, nature

1.1 **Finalité** : héberger et exécuter, pour le compte du client, les applications et les données que
celui-ci déploie sur Bastide.

1.2 **Nature des opérations** : stockage, sauvegarde, restauration, exécution, transmission, journalisation
technique et suppression.

1.3 **Durée** : celle de l'abonnement, plus la période de récupération et le délai de suppression
prévus à la procédure de réversibilité.

1.4 **Personnes et données concernées** : celles que le client décide de traiter, en principe ses
utilisateurs finaux. Glowsoft ne les connaît pas et ne les choisit pas.

1.5 **Client lui-même sous-traitant.** Lorsque le client traite les données pour le compte d'un tiers,
notamment une agence qui revend Bastide (conditions générales d'utilisation, section 4 bis), Glowsoft
est sous-traitant ultérieur de rang 2. Le client garantit qu'il a obtenu de son propre responsable de
traitement l'autorisation de recourir à Glowsoft et aux sous-traitants ultérieurs de la liste annexée.
Il lui répercute les obligations du présent contrat et lui transmet les informations que Glowsoft
fournit. Glowsoft ne reçoit d'instructions que du client.

## 2. Instructions

Glowsoft ne traite les données que sur instruction documentée du client : le contrat, les actions
faites dans la console, par l'API ou par l'agent du client. Elle informe le client si une instruction
lui paraît contraire au RGPD.

## 3. Confidentialité

Les personnes autorisées à traiter les données sont tenues à la confidentialité. Les accès
d'exploitation sont nominatifs, motivés et journalisés.

## 4. Sécurité

Isolation entre locataires, chiffrement en transit et au repos, secrets scellés, sauvegardes, journal
d'audit, gestion des vulnérabilités. Les mesures sont décrites à l'annexe sécurité (https://bastide.app/docs/fr/sovereignty et https://bastide.app/docs/fr/data-security).
Glowsoft est tenue d'une obligation de moyens renforcée sur l'isolation, le chiffrement et la
sauvegarde (contrat de service, section 4).

## 5. Sous-traitants ultérieurs

5.1 Le client autorise Glowsoft à recourir aux sous-traitants ultérieurs de la liste annexée, publiée
et tenue à jour à l'adresse : https://bastide.app/sous-traitants.

5.2 Tout ajout ou remplacement est notifié par e-mail **30 jours à l'avance**. Le client peut s'y
opposer pour un motif légitime avant cette date. L'objection non résolue emporte résiliation sans
pénalité, avec export gratuit et le remboursement prévu aux conditions générales de vente
(section 10).

5.3 Glowsoft impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données
par contrat. Elle répond envers le client de leur exécution.

## 6. Localisation et transferts

6.1 Aucune donnée n'est transférée hors de l'Union européenne dans la configuration par défaut.

6.2 L'activation d'un mode qui autorise un transfert exige une acceptation explicite du client,
affichée avant l'activation et journalisée.

6.3 La liste des sous-traitants ultérieurs indique, pour chacun, le pays du siège et le lieu de
traitement, pour permettre au client d'apprécier l'exposition à une loi étrangère.

## 7. Assistance au client

7.1 Glowsoft aide le client à répondre aux demandes d'exercice des droits des personnes, aux analyses
d'impact et aux consultations de l'autorité de contrôle.

7.2 L'assistance fournie par les fonctions en libre-service de la plateforme est gratuite. Au-delà,
elle est facturée au tarif horaire publié (60 € HT de l'heure), sur devis préalable accepté par le client.

## 8. Violation de données

Glowsoft notifie au client toute violation de données à caractère personnel **sans retard injustifié
et au plus tard 48 heures** après en avoir pris connaissance, avec les informations dont elle dispose.
Elle les complète au fil de l'eau (RGPD, article 33, § 4).

## 9. Sort des données en fin de contrat

Au choix du client : restitution par l'export complet (procédure de réversibilité), puis suppression,
avec certificat de suppression. Les sauvegardes sont purgées à la fin de leur cycle de rotation
(annexe d'engagement, section 4), à la date indiquée dans le certificat.

## 10. Audit

10.1 Glowsoft met à la disposition du client la documentation nécessaire pour démontrer le respect de
ses obligations, ainsi que ses certifications lorsqu'elle en détient. Lorsqu'elles suffisent, elles
tiennent lieu d'audit sur site.

10.2 Le client peut faire réaliser un audit :

- une fois par an au plus, sauf violation de données ou injonction d'une autorité ;
- avec un préavis de 30 jours ;
- par un auditeur indépendant, tenu au secret professionnel ou à un engagement de confidentialité, qui
  n'est pas un concurrent de Glowsoft ;
- aux frais du client ;
- sans accès aux données des autres clients.

10.3 Le registre des traitements tenu en qualité de sous-traitant est présentable en moins de 5 jours
ouvrés.

## 11. Données dont Glowsoft est responsable de traitement

Les journaux d'accès de l'edge contiennent les adresses IP des utilisateurs finaux du client. Glowsoft
les traite pour la sécurité du service et ses obligations d'hébergeur : pour ce traitement, elle est
responsable de traitement et non sous-traitant (politique de confidentialité).

## 12. Données de santé

Le service n'est pas certifié pour l'hébergement de données de santé. Le client s'interdit d'y placer
les données visées à l'article L. 1111-8 du code de la santé publique (politique d'usage acceptable,
usage interdit 7). Il en garantit Glowsoft. Glowsoft peut suspendre le projet concerné dès qu'elle en a
connaissance.

## 13. Droit applicable et litiges

Conditions générales d'utilisation, sections 19 et 20.