Article 28 du règlement (UE) 2016/679 (RGPD)

Contrat de sous-traitance de données à caractère personnel

Applicable au diagnostic performance magasin, à la cartographie réseau et au suivi mensuel de la pénétration, ainsi qu'à toute étude complémentaire réalisée à partir des données clients du Responsable de traitement.

Entre les soussignés

ci-après le « Responsable de traitement »,

ci-après le « Sous-traitant », ensemble les « Parties ».

Article 1 — Objet

Le présent contrat définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement et sur ses seules instructions, les données à caractère personnel nécessaires à l'exécution de la prestation décrite au devis n° …………… du ……… / ……… / ………… (ci-après la « Prestation »). Il complète ce devis et prévaut sur lui pour tout ce qui touche à la protection des données.

Article 2 — Durée

Le contrat entre en vigueur à sa signature et prend fin à l'expiration des obligations prévues à l'article 9 (sort des données), une fois la Prestation achevée. Les articles 4 (confidentialité) et 9 survivent à sa fin.

Article 3 — Description du traitement

Les caractéristiques du traitement sont décrites ci-dessous. Les cases cochées par le Responsable de traitement délimitent la Prestation ; aucune autre opération n'est autorisée.

Catégories de données traitées

• Identifiant client pseudonymisé par le Responsable de traitement (recommandé : le nom n'est pas nécessaire au diagnostic)
• Adresse postale, ou code postal et commune, ou coordonnées géographiques
• Historique d'achat : date, montant, magasin, et le cas échéant rayon ou famille de produits
• Option enquête clients perdus : nom, prénom, téléphone ou adresse électronique des seuls clients à interroger, et leurs réponses
• Autre (préciser) : …………………………………………………………………

Principes propres au diagnostic

• Minimisation : seules les colonnes nécessaires sont transmises ; un modèle de fichier est fourni.
• Restitution agrégée : aucun résultat n'est restitué pour un quartier comptant moins de 5 clients, et aucun livrable ne contient de donnée individuelle, sauf la liste des clients à relancer lorsque le Responsable de traitement la demande expressément.
• Aucune réutilisation : les données ne servent qu'à la Prestation. Elles ne sont ni croisées avec les données d'un autre client, ni cédées, ni utilisées pour entraîner un modèle destiné à des tiers.

Article 4 — Obligations du Sous-traitant

Le Sous-traitant s'engage à :

1. Instructions. Ne traiter les données que pour la finalité décrite à l'article 3 et sur instruction documentée du Responsable de traitement. S'il estime qu'une instruction enfreint le RGPD ou le droit français, il en informe immédiatement le Responsable de traitement.
2. Confidentialité. Garantir que les personnes autorisées à traiter les données s'engagent à la confidentialité ou sont soumises à une obligation légale de confidentialité, et limiter l'accès aux seules personnes affectées à la Prestation.
3. Sécurité. Mettre en œuvre les mesures techniques et organisationnelles décrites en annexe 2, appropriées au risque au sens de l'article 32 du RGPD.
4. Localisation. Traiter et héberger les données dans l'Union européenne. Aucun transfert hors de l'Union n'est réalisé sans l'accord écrit préalable du Responsable de traitement et les garanties prévues au chapitre V du RGPD.

Article 4 — Obligations du Sous-traitant (suite)

5. Assistance. Aider le Responsable de traitement, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, opposition, limitation, portabilité) qui lui seraient adressées, et lui transmettre sans délai toute demande reçue directement. Aider, sur demande, à la réalisation d'une analyse d'impact et à la consultation préalable de l'autorité de contrôle.
6. Violation de données. Notifier au Responsable de traitement toute violation de données à caractère personnel dans un délai maximal de 48 heures après en avoir pris connaissance, par courriel au contact désigné à la page 1, avec les informations prévues à l'article 33.3 du RGPD dont il dispose, complétées au fur et à mesure.
7. Registre. Tenir un registre des catégories d'activités de traitement effectuées pour le compte du Responsable de traitement (article 30.2 du RGPD).
8. Audit. Mettre à disposition les informations nécessaires pour démontrer le respect du présent contrat et permettre, une fois par an et moyennant un préavis de 30 jours, un audit réalisé par le Responsable de traitement ou un auditeur indépendant tenu au secret et non concurrent du Sous-traitant, à la charge du Responsable de traitement.

Article 5 — Sous-traitance ultérieure

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs listés en annexe 3. Le Sous-traitant informe le Responsable de traitement par écrit de tout ajout ou remplacement au moins 30 jours à l'avance ; le Responsable de traitement peut s'y opposer pour un motif légitime tenant à la protection des données, et, à défaut d'accord, résilier la Prestation sans frais pour la partie non exécutée. Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations que celles du présent contrat et demeure pleinement responsable de leur exécution.

Article 6 — Obligations du Responsable de traitement

Le Responsable de traitement s'engage à :

1. disposer d'une base légale pour le traitement confié et avoir informé les personnes concernées conformément aux articles 13 et 14 du RGPD, notamment de l'analyse de leurs achats à des fins d'amélioration commerciale ;
2. pour l'option enquête clients perdus, s'assurer que les personnes à contacter n'ont pas exercé leur droit d'opposition et respecter les règles applicables à la prospection et au démarchage téléphonique (inscription Bloctel le cas échéant) ;
3. transmettre des données exactes et limitées au strict nécessaire, de préférence pseudonymisées, par le canal sécurisé indiqué par le Sous-traitant ;
4. documenter par écrit toute instruction concernant le traitement et superviser le traitement, y compris par des audits.

Article 7 — Transmission des données

Les fichiers sont transmis par un espace de dépôt chiffré mis à disposition par le Sous-traitant, et jamais en pièce jointe d'un courriel. Le mot de passe éventuel est communiqué par un autre canal.

Article 8 — Responsabilité

Chaque Partie est responsable des manquements qui lui sont imputables, dans les conditions de l'article 82 du RGPD. La responsabilité du Sous-traitant au titre du présent contrat est plafonnée au montant du devis de la Prestation, sauf faute lourde ou intentionnelle, et sauf amende administrative qui lui serait personnellement infligée.

Article 9 — Sort des données en fin de prestation

Au terme de la Prestation, et au plus tard 30 jours après la remise du livrable, le Sous-traitant, au choix du Responsable de traitement indiqué ci-dessous :

• supprime toutes les données reçues et leurs copies, y compris sur ses sauvegardes au terme de leur cycle de rotation, et le justifie par une attestation écrite ;
• renvoie les données au Responsable de traitement, puis les supprime dans les mêmes conditions.

Seuls les indicateurs agrégés par quartier, qui ne permettent pas de ré-identifier une personne, sont conservés avec le livrable. Pour le suivi mensuel, la règle s'applique à chaque fichier mensuel une fois les indicateurs mis à jour.

Article 10 — Droit applicable

Le présent contrat est soumis au droit français. Tout différend relatif à son interprétation ou à son exécution, à défaut d'accord amiable, relève de la compétence du tribunal de commerce de Lille Métropole.

Annexe 2 — Mesures de sécurité

Annexe 3 — Sous-traitants ultérieurs autorisés

Instructions particulières du Responsable de traitement

Fait en deux exemplaires