Contrat de sous-traitance (DPA)

Article 1 — Parties contractantes

Responsable du traitement: Organisation (association, PPE, groupement d'intérêt) enregistrée sur la plateforme sprav.cz, représentée par l'administrateur de l'organisation („Responsable du traitement“ ou „Organisation“).

Sous-traitant: TimeDeals Pavelka, Berglistrasse 28a, 8180 Bülach, Švýcarsko, UID: CHE-393.597.780, exploitant de la plateforme sprav.cz („Sous-traitant“).

Article 2 — Objet et durée

2.1 Le sous-traitant traite les données à caractère personnel au nom du responsable du traitement exclusivement aux fins de fourniture des services de la plateforme sprav.cz (gestion des membres, votes, documents, communication, journaux d'audit).

2.2 Ce contrat est en vigueur pendant la durée d'utilisation de la plateforme par le responsable du traitement. Après la fin de l'utilisation, les dispositions relatives au retour et à l'effacement des données (art. 9) s'appliquent.

Article 3 — Nature et finalité du traitement

• Gestion de la base de membres de l'organisation
• Exploitation de votes électroniques et génération d'enregistrements de résultats
• Stockage et mise à disposition de documents aux membres de l'organisation
• Tenue d'une piste d'audit des activités dans l'organisation
• Envoi d'e-mails transactionnels au nom de l'organisation
• Exploitation de la communication interne (forum, messages)

Article 4 — Catégories de données et de personnes concernées

Personnes concernées:

• Membres de l'organisation
• Administrateurs de l'organisation
• Personnes ayant soumis une demande d'adhésion

Catégories de données:

• Données d'identification: adresse e-mail, nom (si indiqué)
• Données de membre: appartenance à l'organisation, rôle, statut d'adhésion
• Enregistrements de vote: votes exprimés, heure du vote
• Données de communication: contributions au forum, messages
• Documents téléchargés dans le système
• Journaux d'audit: qui/quoi/quand dans le contexte de l'organisation
• Enregistrements de livraison d'e-mails

Article 5 — Obligations du sous-traitant

• 5.1 Instructions du responsable: Le sous-traitant traite les données exclusivement sur la base d'instructions documentées du responsable du traitement, y compris les instructions contenues dans ce contrat et dans le cadre de la fonctionnalité de la plateforme. Le responsable du traitement donne des instructions via les paramètres et actions dans la plateforme.
• 5.2 Confidentialité: Le sous-traitant veille à ce que les personnes autorisées à traiter les données soient tenues au secret.
• 5.3 Sécurité: Le sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées conformément à l'art. 32 RGPD (voir page Sécurité et Politique de confidentialité, point 11).
• 5.4 Coopération: Le sous-traitant fournit au responsable du traitement une assistance raisonnable dans l'accomplissement des obligations conformément aux art. 32–36 RGPD (sécurité, notification de violation, évaluation d'impact).
• 5.5 Droits des personnes: Le sous-traitant aide le responsable du traitement dans le traitement des demandes des personnes concernées (accès, rectification, effacement, portabilité).
• 5.6 Notification de violation: Le sous-traitant informe le responsable du traitement sans retard injustifié (au plus tard dans les 48 heures) de toute violation de la sécurité des données à caractère personnel.
• 5.7 Limitation d'accès: Le sous-traitant accède aux données à caractère personnel des membres de l'organisation exclusivement aux fins de maintenance technique, résolution d'erreurs et sécurité du système. Le sous-traitant n'accède pas au contenu des votes, discussions, messages ou documents de l'organisation, sauf si cela est nécessaire pour résoudre un problème technique à la demande du responsable de l'organisation. L'accès du sous-traitant aux données est techniquement limité et enregistré dans le journal d'audit.

Article 6 — Sous-traitants (sous-processeurs)

6.1 Le responsable du traitement accepte l'utilisation des sous-traitants suivants:

6.2 Le sous-traitant informe le responsable du traitement des changements prévus des sous-traitants avec un préavis de 30 jours. Le responsable du traitement peut s'opposer au changement; s'il le fait et que le sous-traitant insiste sur le changement, le responsable du traitement a le droit de résilier le contrat.

6.3 Le sous-traitant s'assure que chaque sous-traitant ultérieur offre au moins le même niveau de protection des données à caractère personnel que celui prévu par le présent contrat et les réglementations applicables (RGPD / nLPD révisée), notamment par des engagements contractuels.

6.4 Le sous-traitant est responsable envers le responsable du traitement des actes et omissions de ses sous-traitants ultérieurs comme s'il s'agissait de ses propres actes.

Article 7 — Transfert de données vers des pays tiers

7.1 Le transfert de données vers la Suisse est couvert par une décision d'adéquation de la Commission européenne. Le transfert vers les États-Unis (Vercel, Postmark, Stripe, Sentry) est assuré via le cadre EU-U.S. Data Privacy Framework.

7.2 Pour le traitement des données à caractère personnel de personnes concernées en Suisse, les présentes dispositions s'appliquent conformément à la loi révisée suisse sur la protection des données (nLPD révisée).

7.3 En cas d'invalidation d'une décision d'adéquation, les transferts vers des pays tiers seront assurés par des clauses contractuelles types (CCT).

Article 8 — Audit

8.1 Le sous-traitant permet au responsable du traitement ou à un auditeur indépendant désigné par lui d'accéder aux informations nécessaires pour démontrer le respect des obligations conformément à l'art. 28 RGPD, dans une mesure raisonnable et après notification préalable (au moins 30 jours à l'avance).

8.2 Le sous-traitant peut conditionner l'audit par la signature d'un accord de confidentialité par l'auditeur.

Article 9 — Retour et effacement des données

9.1 Après la fin de l'utilisation de la plateforme par le responsable du traitement, le sous-traitant permet l'exportation des données de l'organisation (membres, votes, documents, audit) dans un format lisible par machine.

9.2 Après l'expiration d'un délai raisonnable pour l'exportation (60 jours), le sous-traitant efface les données de l'organisation, à l'exception des données dont la conservation est requise par la loi ou un intérêt légitime (journaux d'audit, preuves de livraison).

Article 10 — Dispositions finales

10.1 Ce contrat est régi par le droit suisse. Pour le règlement des litiges, les tribunaux de Bülach, Suisse, sont compétents.

10.2 Ce contrat entre en vigueur au moment de l'acceptation par l'administrateur de l'organisation sur la plateforme (coche de consentement lors de l'enregistrement de l'organisation ou dans les paramètres de l'organisation). L'acceptation est enregistrée avec un horodatage.

10.3 En cas de conflit entre ce contrat et les Conditions d'utilisation ce contrat a priorité en matière de protection des données.