Contrat de sous-traitance des données (article 28 du RGPD)

Version 1, en vigueur depuis le 09/11/2026.

Parties et objet

Contrat de sous-traitance des données personnelles, en vigueur au 09/11/2026, conclu entre : - l'organisation cliente de l'offre Logiella Pro (le « Responsable du traitement »), représentée par l'administrateur qui l'accepte ; - Anthony GARCIA EI (nom commercial : Software Solver Development), 26 rue des Fonds Gaidons, 18000 Bourges, France, inscrite au Registre national des entreprises (RNE) (le « Sous-traitant »). Il fixe les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable du traitement, les données personnelles nécessaires au service Logiella, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »). Il fait partie des conditions générales de vente de l'offre pro et prévaut sur elles pour ce qui concerne les données personnelles.

Article 1 – Description du traitement

Nature des opérations : hébergement, sauvegarde, synchronisation entre appareils, génération et scellement des PDF, envoi des documents et des demandes de signature par e-mail, partage par lien, tenue du dossier de preuve, recherche et affichage. Finalité : fournir au Responsable du traitement le service de réalisation et de gestion d'états des lieux et des documents qui s'y rattachent, et des modules qu'il active. Catégories de personnes concernées : locataires, propriétaires, mandataires et autres parties citées dans les documents ; signataires et destinataires des copies ; contacts ; répondants des formulaires publiés ; utilisateurs de l'organisation. Catégories de données : identité et coordonnées, adresse des biens, contenu des documents et des formulaires, photos (et leur date et position si l'appareil les fournit), signatures, données du dossier de preuve (dates, adresses IP, navigateurs), données saisies dans les modules. Aucune catégorie particulière de données (article 9 du RGPD) n'est attendue ; le Responsable du traitement s'interdit d'en saisir sans nécessité.

Article 2 – Durée

Le présent contrat s'applique pendant toute la durée de l'abonnement de l'organisation, puis jusqu'à la restitution et la suppression des données prévues à l'article 10.

Article 3 – Instructions documentées

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable du traitement : les présentes conditions, les réglages de l'organisation et les actions de ses utilisateurs dans le service valent instructions. Il n'utilise pas les données pour son propre compte, ne les vend pas et ne les combine pas avec d'autres données, sauf pour la sécurité du service. Si une instruction lui paraît contraire au RGPD ou au droit applicable, le Sous-traitant en informe immédiatement le Responsable du traitement. S'il est tenu par la loi de procéder à un traitement, il l'en informe avant, sauf interdiction légale.

Article 4 – Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité, ou soient soumises à une obligation légale de confidentialité, et reçoivent la formation nécessaire. L'accès d'un administrateur du Sous-traitant aux données d'un compte (fonction « Voir ses données » ou ouverture du studio « en tant que » l'utilisateur) se fait en lecture seule, pour l'assistance ou la sécurité, et est journalisé.

Article 5 – Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées décrites dans sa politique de sécurité (annexe 2), notamment : chiffrement des connexions, chiffrement des fichiers sur le serveur avec une clé propre à chaque compte, contrôle des accès, double authentification des administrateurs, sauvegardes chiffrées, journalisation, mises à jour de sécurité, hébergement dans l'Union européenne. Il peut les faire évoluer sans en diminuer le niveau.

Article 6 – Sous-traitants ultérieurs

Le Responsable du traitement autorise de manière générale le Sous-traitant à faire appel aux sous-traitants ultérieurs de la liste publiée sur la page « Sous-traitants » (annexe 3), dans sa version en vigueur. Le Sous-traitant informe le Responsable du traitement de tout ajout ou remplacement d'un sous-traitant ultérieur au moins trente (30) jours à l'avance (à valider : délai), par e-mail aux administrateurs et par la publication d'une nouvelle version de la liste. Le Responsable du traitement peut s'y opposer par écrit pendant ce délai, pour un motif raisonnable lié à la protection des données ; à défaut d'accord, il peut résilier l'abonnement sans frais avant l'entrée en vigueur du changement. Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données et reste responsable de leur exécution.

Article 7 – Transferts hors de l'Union européenne

Les données sont hébergées dans l'Union européenne. Un transfert vers un pays tiers n'a lieu que pour les services listés sur la page « Sous-traitants » (paiement, notifications, achats dans les applications), dans le cadre d'une décision d'adéquation ou de clauses contractuelles types de la Commission européenne.

Article 8 – Assistance au Responsable du traitement

Le Sous-traitant aide le Responsable du traitement, dans la mesure du possible et compte tenu de la nature du traitement : - à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, limitation, portabilité, opposition), grâce aux fonctions du service (modification, export, suppression) et, si besoin, sur demande à contact@logiella.fr ; une demande reçue directement par le Sous-traitant lui est transmise sans délai ; - à garantir la sécurité du traitement, notifier une violation et réaliser une analyse d'impact (AIPD) ou consulter l'autorité de contrôle, en lui fournissant les informations utiles sur le service.

Article 9 – Notification des violations de données

Le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles dans les meilleurs délais, et au plus tard quarante-huit (48) heures (à valider) après en avoir pris connaissance, par e-mail aux administrateurs de l'organisation. La notification précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Les informations manquantes sont communiquées dès qu'elles sont connues. Il appartient au Responsable du traitement de notifier la violation à la CNIL dans les 72 heures et, le cas échéant, d'informer les personnes concernées ; le Sous-traitant l'y aide.

Article 10 – Sort des données à la fin du contrat

À la fin de l'abonnement, le Responsable du traitement peut exporter ses données pendant le délai de réversibilité prévu par les conditions générales de vente de l'offre pro. À l'issue de ce délai, le Sous-traitant supprime les données de l'organisation (clés de chiffrement détruites, rendant les fichiers illisibles, y compris dans les sauvegardes, qui sont effacées à l'issue de leur cycle de conservation), sauf obligation légale de conservation. Les dossiers de preuve des documents signés peuvent être conservés, archivés et isolés, pendant la durée nécessaire à l'établissement, l'exercice ou la défense de droits en justice (cinq ans par défaut, durée à valider), puis supprimés. Sur demande, le Sous-traitant atteste de la suppression.

Article 11 – Documentation et audits

Le Sous-traitant met à la disposition du Responsable du traitement la documentation nécessaire pour démontrer le respect de ses obligations (politique de sécurité, liste des sous-traitants ultérieurs, registre des traitements effectués pour son compte). Le Responsable du traitement peut faire réaliser, à ses frais, au plus une fois par an (sauf violation de données), un audit par un auditeur indépendant tenu au secret, moyennant un préavis de trente (30) jours et sans perturber le service ni accéder aux données des autres clients. Le Sous-traitant y contribue.

Article 12 – Obligations du Responsable du traitement

Le Responsable du traitement dispose d'une base légale pour les traitements qu'il confie au Sous-traitant, informe les personnes concernées (le service propose des liens vers une information sur les données dans les pages de signature, les e-mails et les formulaires publiés, ainsi qu'une mention personnalisable pour les formulaires), ne saisit que des données nécessaires et veille au respect du RGPD par ses utilisateurs.

Annexes

Annexe 1 – Description du traitement : article 1 ci-dessus. Annexe 2 – Mesures de sécurité : politique de sécurité du Sous-traitant, communiquée sur demande à contact@logiella.fr et résumée à l'article 5. Annexe 3 – Sous-traitants ultérieurs : page publique « Sous-traitants » (Logiella, /informations-legales/sous-traitants), dans sa version en vigueur ; le PDF du contrat accepté reproduit la liste en vigueur à la date de son téléchargement.