Contrat de sous-traitance RGPD de Bastide (article 28)

1. Objet, finalité, durée, nature

1.1 Finalité : héberger et exécuter, pour le compte du client, les applications et les données que celui-ci déploie sur Bastide.

1.2 Nature des opérations : stockage, sauvegarde, restauration, exécution, transmission, journalisation technique et suppression.

1.3 Durée : celle de l'abonnement, plus la période de récupération et le délai de suppression prévus à la procédure de réversibilité.

1.4 Personnes et données concernées : celles que le client décide de traiter, en principe ses utilisateurs finaux. Glowsoft ne les connaît pas et ne les choisit pas.

1.5 Client lui-même sous-traitant. Lorsque le client traite les données pour le compte d'un tiers, notamment une agence qui revend Bastide (conditions générales d'utilisation, section 4 bis), Glowsoft est sous-traitant ultérieur de rang 2. Le client garantit qu'il a obtenu de son propre responsable de traitement l'autorisation de recourir à Glowsoft et aux sous-traitants ultérieurs de la liste annexée. Il lui répercute les obligations du présent contrat et lui transmet les informations que Glowsoft fournit. Glowsoft ne reçoit d'instructions que du client.

2. Instructions

Glowsoft ne traite les données que sur instruction documentée du client : le contrat, les actions faites dans la console, par l'API ou par l'agent du client. Elle informe le client si une instruction lui paraît contraire au RGPD.

3. Confidentialité

Les personnes autorisées à traiter les données sont tenues à la confidentialité. Les accès d'exploitation sont nominatifs, motivés et journalisés.

4. Sécurité

Isolation entre locataires, chiffrement en transit et au repos, secrets scellés, sauvegardes, journal d'audit, gestion des vulnérabilités. Les mesures sont décrites à l'annexe sécurité (https://bastide.app/docs/fr/sovereignty et https://bastide.app/docs/fr/data-security). Glowsoft est tenue d'une obligation de moyens renforcée sur l'isolation, le chiffrement et la sauvegarde (contrat de service, section 4).

5. Sous-traitants ultérieurs

5.1 Le client autorise Glowsoft à recourir aux sous-traitants ultérieurs de la liste annexée, publiée et tenue à jour à l'adresse : https://bastide.app/sous-traitants.

5.2 Tout ajout ou remplacement est notifié par e-mail 30 jours à l'avance. Le client peut s'y opposer pour un motif légitime avant cette date. L'objection non résolue emporte résiliation sans pénalité, avec export gratuit et le remboursement prévu aux conditions générales de vente (section 10).

5.3 Glowsoft impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données par contrat. Elle répond envers le client de leur exécution.

6. Localisation et transferts

6.1 Aucune donnée n'est transférée hors de l'Union européenne dans la configuration par défaut.

6.2 L'activation d'un mode qui autorise un transfert exige une acceptation explicite du client, affichée avant l'activation et journalisée.

6.3 La liste des sous-traitants ultérieurs indique, pour chacun, le pays du siège et le lieu de traitement, pour permettre au client d'apprécier l'exposition à une loi étrangère.

7. Assistance au client

7.1 Glowsoft aide le client à répondre aux demandes d'exercice des droits des personnes, aux analyses d'impact et aux consultations de l'autorité de contrôle.

7.2 L'assistance fournie par les fonctions en libre-service de la plateforme est gratuite. Au-delà, elle est facturée au tarif horaire publié (60 € HT de l'heure), sur devis préalable accepté par le client.

8. Violation de données

Glowsoft notifie au client toute violation de données à caractère personnel sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance, avec les informations dont elle dispose. Elle les complète au fil de l'eau (RGPD, article 33, § 4).

9. Sort des données en fin de contrat

Au choix du client : restitution par l'export complet (procédure de réversibilité), puis suppression, avec certificat de suppression. Les sauvegardes sont purgées à la fin de leur cycle de rotation (annexe d'engagement, section 4), à la date indiquée dans le certificat.

10. Audit

10.1 Glowsoft met à la disposition du client la documentation nécessaire pour démontrer le respect de ses obligations, ainsi que ses certifications lorsqu'elle en détient. Lorsqu'elles suffisent, elles tiennent lieu d'audit sur site.

10.2 Le client peut faire réaliser un audit :

• une fois par an au plus, sauf violation de données ou injonction d'une autorité ;
• avec un préavis de 30 jours ;
• par un auditeur indépendant, tenu au secret professionnel ou à un engagement de confidentialité, qui n'est pas un concurrent de Glowsoft ;
• aux frais du client ;
• sans accès aux données des autres clients.

10.3 Le registre des traitements tenu en qualité de sous-traitant est présentable en moins de 5 jours ouvrés.

11. Données dont Glowsoft est responsable de traitement

Les journaux d'accès de l'edge contiennent les adresses IP des utilisateurs finaux du client. Glowsoft les traite pour la sécurité du service et ses obligations d'hébergeur : pour ce traitement, elle est responsable de traitement et non sous-traitant (politique de confidentialité).

12. Données de santé

Le service n'est pas certifié pour l'hébergement de données de santé. Le client s'interdit d'y placer les données visées à l'article L. 1111-8 du code de la santé publique (politique d'usage acceptable, usage interdit 7). Il en garantit Glowsoft. Glowsoft peut suspendre le projet concerné dès qu'elle en a connaissance.

13. Droit applicable et litiges

Conditions générales d'utilisation, sections 19 et 20.

Les autres documents : Conditions générales d'utilisation de Bastide · Conditions générales de vente de Bastide · Contrat de service de Bastide · Annexe d'engagement de Bastide · Politique d'usage acceptable de Bastide · Liste des sous-traitants ultérieurs de Bastide · Procédure de réversibilité de Bastide · Politique de confidentialité de Bastide · Mentions légales de Bastide. Version Markdown : sous-traitance-rgpd.md.