Accord de sous-traitance des données
En vigueur au 22 octobre 2026.
Ce texte est un projet. Il sera relu par un avocat avant l’ouverture du service.
Cet accord applique l’article 28 du règlement (UE) 2016/679 (« RGPD »). Il lie le client (« le responsable de traitement ») et DH&D Design Horizon & Development (« le sous-traitant »). Il porte sur les données que l’organisation enregistre dans son espace Relaytour.
1. Objet et durée
Le sous-traitant héberge l’espace Relaytour de l’organisation et le fait fonctionner. L’accord dure autant que le contrat d’hébergement, puis jusqu’à la suppression des données prévue à l’article 9.
2. Nature et finalité du traitement
Le sous-traitant stocke les données, les sauvegarde, les restaure en cas d’incident et envoie les mails que le logiciel produit. La finalité est la préparation des activités de l’organisation par ses membres.
3. Données et personnes concernées
- Personnes concernées : les membres de l’organisation, les personnes invitées et les personnes qui déposent une demande pour rejoindre une équipe.
- Données : nom, adresse de courriel, rôles, affectations, tâches, commentaires, fiches, messages préparés, préférences de notification et journaux d’activité.
- Le responsable de traitement n’enregistre aucune donnée sensible au sens de l’article 9 du RGPD.
4. Instructions
Le sous-traitant traite les données sur les seules instructions documentées du responsable de traitement. Ces instructions sont le contrat, les réglages de l’espace et les demandes écrites à hebergement@relaytour.com.
Le sous-traitant informe le responsable de traitement quand une instruction lui paraît contraire au RGPD.
5. Confidentialité et accès
Seules les personnes de Design Horizon chargées de l’exploitation accèdent au serveur. Elles sont tenues à la confidentialité.
Le sous-traitant ne consulte pas les données de l’organisation. Il n’y accède que pour une opération demandée par le responsable de traitement, ou pour une restauration après un incident.
6. Sécurité
- Chaque organisation a sa propre installation : base, comptes et sessions ne sont partagés avec aucune autre.
- Les connexions au service sont chiffrées.
- Une sauvegarde de la base est faite chaque jour. La copie qui quitte le serveur est chiffrée, et sa clé n’est pas conservée sur le serveur.
- Les mises à jour du logiciel sont appliquées après leur publication et leur essai sur une installation de recette.
7. Sous-traitants ultérieurs
Le responsable de traitement autorise le recours à ces sous-traitants ultérieurs :
- OVH SAS, en France : hébergement des serveurs et des sauvegardes.
- Scaleway SAS, en France : envoi des mails du logiciel.
Le sous-traitant annonce par mail tout nouveau sous-traitant ultérieur, un mois avant son intervention. Le responsable de traitement peut s’y opposer et résilier sans frais avant cette date.
Chaque sous-traitant ultérieur est tenu aux mêmes obligations que le sous-traitant.
8. Assistance
- Le sous-traitant aide le responsable de traitement à répondre aux demandes d’exercice des droits des personnes.
- Il lui notifie toute violation de données dans les 48 heures après en avoir eu connaissance, avec les informations utiles à sa propre notification.
- Il l’aide, sur demande, à réaliser une analyse d’impact.
9. Fin du traitement
À la fin du contrat, le sous-traitant remet au responsable de traitement un export de ses données et une sauvegarde de sa base. Il supprime ensuite l’espace et ses sauvegardes, dans les délais de l’article 12 des conditions générales de vente.
10. Audit
Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect de cet accord. Le responsable de traitement peut demander un audit, à ses frais, avec un préavis d’un mois. Le code exécuté pour son espace est public et vérifiable.
11. Localisation
Les données de l’organisation sont hébergées en France. Le sous-traitant ne les transfère pas hors de l’Union européenne.