Accord de sous-traitance des données (DPA)

1. Parties et champ d'application

• Le DPA est conclu entre le Client professionnel, responsable de traitement, et FAIT, sous-traitant. Il est accepté expressément par le Client professionnel lors de la commande, dans la même case que les CGV et les CGU, sans signature séparée, et prévaut sur les CGV pour tout ce qui concerne les données personnelles.
• Lorsque le Client agit lui-même comme sous-traitant pour le compte d'un tiers (par exemple un prestataire informatique qui sauvegarde les systèmes de ses clients), FAIT est son sous-traitant ultérieur. Le Client garantit qu'il dispose de l'autorisation de ce responsable de traitement et lui répercute les informations utiles.
• Le DPA ne s'applique pas aux données du compte, de facturation, de support et des journaux, pour lesquelles FAIT est responsable de traitement selon sa politique de confidentialité, ni aux Consommateurs.

2. Définitions

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne l'article 4 du RGPD. Les « Données » désignent les données personnelles contenues dans les sauvegardes du Client et, accessoirement, celles que le Client transmet à FAIT dans les pièces jointes des tickets de support.

3. Description du traitement

FAIT n'a pas accès au contenu des sauvegardes chiffrées côté client. Sauf accord écrit particulier, le Client s'interdit de confier au Service des données de santé dont l'hébergement est soumis à l'article L1111-8 du Code de la santé publique.

4. Instructions du client

• FAIT ne traite les Données que sur instruction documentée du Client, y compris en ce qui concerne les transferts hors de l'Union européenne, sauf obligation légale ; il informe alors le Client de cette obligation avant le traitement, sauf si la loi l'interdit.
• Constituent les instructions du Client : le contrat et le DPA, les réglages qu'il choisit (Offre, rétention, protection contre la suppression ou accès complet, chiffrement) et les actions qu'il effectue dans l'espace client ou au moyen de ses Jetons d'accès. Toute autre instruction est donnée par écrit, par ticket de support.
• FAIT informe immédiatement le Client s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données.
• FAIT n'utilise pas les Données pour ses propres fins et n'en analyse pas le contenu.

5. Confidentialité

FAIT garantit la confidentialité des Données. Les personnes autorisées à les traiter sont soumises à une obligation de confidentialité contractuelle ou légale, et n'y accèdent que lorsque c'est nécessaire à l'exploitation du Service, au traitement d'une demande du Client ou au respect d'une obligation légale.

6. Sécurité des données

FAIT met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites à l'annexe 1. Il peut les faire évoluer à condition de ne pas réduire le niveau de sécurité global. Le Client apprécie si ces mesures sont adaptées aux Données qu'il sauvegarde et, si nécessaire, active le chiffrement côté client.

7. Sous-traitants ultérieurs

• Le Client donne à FAIT une autorisation générale de recourir aux sous-traitants ultérieurs listés à l'annexe 2.
• FAIT informe le Client par e-mail au moins 30 jours avant tout ajout ou remplacement d'un sous-traitant ultérieur. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données, par ticket de support, avant la fin de ce délai. À défaut de solution, il peut résilier l'abonnement concerné sans frais avant la prise d'effet du changement.
• FAIT impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du DPA, et demeure pleinement responsable de leur exécution à l'égard du Client.

8. Transferts hors de l'Union européenne

Les Données sont stockées en France et ne sont pas transférées hors de l'Union européenne. Un tel transfert ne pourrait intervenir que sur instruction documentée du Client ou en vertu d'une obligation légale, et avec l'une des garanties prévues au chapitre V du RGPD.

9. Droits des personnes concernées

FAIT transmet au Client, dans les meilleurs délais, toute demande d'exercice de droits qu'il reçoit d'une personne concernée, sans y répondre lui-même sauf instruction du Client. Il aide le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à y donner suite. Le Client peut notamment ajuster la rétention, restaurer des données et, en accès complet, supprimer des sauvegardes.

10. Violations de données

FAIT notifie au Client toute violation de données à caractère personnel affectant les Données dans les meilleurs délais après en avoir pris connaissance, par e-mail et dans l'espace client. La notification comprend, dans la mesure où ces informations sont disponibles :

• la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
• le nom et les coordonnées d'un point de contact chez FAIT ;
• les conséquences probables de la violation ;
• les mesures prises ou envisagées pour y remédier et en limiter les effets.

Les informations indisponibles sont communiquées dès que possible. Il appartient au Client, responsable de traitement, de notifier la violation à l'autorité de contrôle et, le cas échéant, aux personnes concernées.

11. Analyses d'impact et autres assistances

Compte tenu de la nature du traitement et des informations dont il dispose, FAIT aide le Client à respecter ses obligations relatives à la sécurité du traitement, aux analyses d'impact relatives à la protection des données et à la consultation préalable de l'autorité de contrôle (articles 32 à 36 du RGPD), notamment en lui fournissant la description du Service et des mesures de sécurité.

12. Sort des données à la fin du contrat

• Avant la fin de l'abonnement, le Client récupère les Données dont il a besoin, notamment en restaurant ses sauvegardes. Cette restauration constitue la restitution des Données.
• À la fin de l'abonnement, FAIT supprime le datastore et toutes les Données selon les délais des CGV : le lendemain de la fin de la période en cours après une résiliation, sept jours après l'échec de paiement en cas d'impayé, le lendemain de la fin de l'essai pour un essai résilié.
• FAIT ne conserve aucune Donnée au-delà, sauf obligation légale. Sur demande du Client, il confirme la suppression par écrit.
• Les pièces jointes des tickets de support sont supprimées selon les durées de la politique de confidentialité.

13. Documentation et audits

• FAIT tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients (article 30, paragraphe 2, du RGPD).
• FAIT met à la disposition du Client, sur demande par ticket de support, les informations nécessaires pour démontrer le respect du présent DPA.
• Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret professionnel et qui n'est pas un concurrent de FAIT, au plus une fois par an sauf violation de données ou demande d'une autorité de contrôle, moyennant un préavis écrit de 30 jours. L'audit est réalisé aux frais du Client, pendant les heures ouvrées, sans perturber le Service ni compromettre la sécurité et la confidentialité des données des autres clients.

14. Obligations du client

Le Client, responsable de traitement :

• s'assure de la licéité des traitements dont les sauvegardes sont l'objet, de l'information des personnes concernées et de la tenue de son propre registre ;
• donne des instructions conformes au RGPD ;
• choisit une rétention et des mesures, notamment de chiffrement, adaptées à la nature des Données ;
• conserve ses clés de chiffrement, FAIT ne pouvant pas restaurer des données chiffrées sans elles.

15. Responsabilité

Chaque partie répond de ses manquements au RGPD et au DPA. La responsabilité de FAIT est régie par les stipulations des CGV applicables aux Professionnels, sans préjudice des droits que les personnes concernées tiennent de l'article 82 du RGPD.

16. Durée et modification

Le DPA s'applique pendant toute la durée de l'abonnement et, après celle-ci, tant que FAIT détient des Données. Il peut être modifié dans les conditions prévues par les CGV, ou pour se conformer à une évolution de la réglementation ou à des clauses types adoptées par la Commission européenne ou une autorité de contrôle.

17. Annexe 1 : mesures de sécurité

• Hébergement : serveurs exploités par FAIT et stockage des sauvegardes chez OVHcloud, en France. L'offre Premium répartit les données sur trois zones de disponibilité de la région Paris.
• Isolement : un espace par client et un utilisateur Proxmox Backup Server limité à son seul datastore.
• Contrôle d'accès : accès au datastore par Jeton d'accès propre au Client, régénérable à tout moment ; espace client accessible par lien personnel à durée limitée envoyé par e-mail, avec double authentification lorsqu'elle est activée ; accès aux systèmes réservé aux personnes habilitées de FAIT.
• Protection contre la suppression : active par défaut, elle empêche un Jeton d'accès de supprimer des sauvegardes ; l'accès complet ne prend effet que 24 heures après la demande.
• Chiffrement : communications chiffrées entre l'infrastructure du Client et le Service ; chiffrement côté client disponible, avec une clé que FAIT ne détient jamais.
• Intégrité : vérification, au moins une fois par semaine, des nouvelles sauvegardes et de celles vérifiées il y a plus de 30 jours, avec alerte du Client en cas d'échec.
• Protection du service : limites de sauvegardes par jour et lecture seule automatique en cas d'usage anormal, sans empêcher les restaurations.
• Traçabilité : journalisation des actions sur les comptes et les datastores, y compris les actions de FAIT.
• Suppression : suppression définitive du datastore à la fin de l'abonnement, selon les délais des CGV.

18. Annexe 2 : sous-traitants ultérieurs autorisés

Stripe Payments Europe, Ltd., prestataire de paiement de FAIT, ne traite pas les Données : il n'intervient que sur les données de paiement et de facturation, décrites dans la politique de confidentialité.