EVALIA

Accord de sous-traitance des données personnelles (DPA)

Version 4

Parties et intégration au Contrat

Le présent accord est conclu entre le Client professionnel identifié dans le Bon de commande, agissant comme responsable du traitement, et EVALIA, société par actions simplifiée au capital de 1 000 euros, immatriculée au RCS de Fort-de-France sous le numéro 108 265 703, dont le siège social est situé VOIE 1 GRAND-CASE, 97232 Le Lamentin, agissant comme sous-traitant.

Il complète le Bon de commande, les conditions générales et les conditions particulières applicables aux Services. En cas de contradiction portant sur un traitement réalisé pour le compte du Client, le présent DPA prévaut, sous réserve des dispositions impératives et, le cas échéant, des clauses de transfert conclues entre les Parties.

1. Objet et répartition des rôles

Le DPA s'applique uniquement lorsque Evalia traite des données personnelles pour le compte du Client afin de fournir les Services et modules effectivement activés. Le Client détermine les finalités et les moyens essentiels du traitement. Evalia traite les données sur instruction documentée du Client et dans les limites du Contrat.

Pour ses finalités propres, notamment la gestion de la relation commerciale, la facturation, la sécurité de ses systèmes, la défense de ses droits et la conformité à ses obligations légales, Evalia peut agir comme responsable du traitement distinct. Ces traitements relèvent de la Politique de confidentialité applicable et ne sont pas régis par le présent DPA.

2. Définitions

Les termes « données personnelles », « traitement », « responsable du traitement », « sous-traitant », « sous-traitant ultérieur », « personne concernée » et « violation de données personnelles » ont le sens du règlement (UE) 2016/679. Les « Données Client » désignent les données et contenus que le Client ou ses utilisateurs autorisés déposent, importent, génèrent ou administrent dans les Services. Une « Instruction documentée » est une instruction écrite, y compris électronique, émise par une personne habilitée du Client.

3. Traitements et instructions documentées

L'objet, la durée, la nature, les finalités, les catégories de données et les personnes concernées figurent en Annexe A. Le Bon de commande, les paramètres configurés par les administrateurs habilités, les actions réalisées dans les Services et les demandes écrites adressées au support constituent des Instructions documentées dans leur périmètre respectif.

Evalia n'utilise pas les Données Client pour une finalité propre incompatible avec ces instructions. Si une disposition du droit de l'Union ou du droit d'un État membre impose un traitement, Evalia en informe le Client avant le traitement, sauf interdiction légale. Evalia informe sans délai le Client si une instruction lui paraît enfreindre la réglementation applicable et peut suspendre son exécution pendant le temps nécessaire à sa clarification.

4. Obligations du Client

• déterminer une base juridique valable, délivrer les informations requises et respecter les droits des personnes concernées ;
• ne transmettre que des données adéquates, pertinentes et limitées aux finalités des modules activés ;
• gérer les habilitations de ses utilisateurs, protéger ses moyens d'accès et notifier sans délai tout usage suspect ;
• s'assurer que ses instructions sont licites et que l'utilisation des Services respecte le Contrat et la documentation ;
• ne pas déposer de catégories particulières de données sauf si leur traitement est nécessaire, licite et expressément compatible avec le module et les garanties convenus.

5. Obligations générales d'Evalia

• traiter les données uniquement sur Instruction documentée du Client et limiter l'accès aux personnes qui en ont besoin pour fournir les Services ;
• veiller à ce que les personnes autorisées soient soumises à une obligation appropriée de confidentialité ;
• tenir les informations nécessaires pour démontrer le respect de ses obligations de sous-traitant ;
• ne pas vendre les Données Client ni les exploiter à des fins publicitaires pour son propre compte ;
• mettre à disposition les fonctionnalités et informations raisonnablement nécessaires à la restitution, l'export ou la suppression prévues au Contrat.

6. Sécurité et confidentialité

Evalia met en oeuvre des mesures techniques et organisationnelles appropriées au risque, en tenant compte de l'état des connaissances, des coûts de mise en oeuvre, de la nature, de la portée, du contexte et des finalités du traitement. Les catégories de mesures attendues sont décrites en Annexe C. Ces mesures peuvent évoluer si le niveau global de sécurité n'est pas matériellement diminué.

7. Exercice des droits

Compte tenu de la nature du traitement, Evalia aide le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité, ainsi qu'aux demandes relatives aux décisions automatisées lorsque ces droits sont applicables. Evalia transmet au Client toute demande reçue directement et ne répond pas au fond sans instruction, sauf obligation légale.

8. Violations de données personnelles

Evalia notifie au Client toute violation de données personnelles concernant les Données Client sans délai injustifié après en avoir pris connaissance. La notification communique, au fur et à mesure de leur disponibilité, la nature de l'incident, les catégories de données et de personnes concernées, les conséquences probables, les mesures prises ou proposées et le contact opérationnel utile. Evalia aide le Client à documenter l'incident et à satisfaire ses propres obligations de notification. Le Client reste responsable de toute notification aux personnes concernées ou à une autorité de contrôle.

9. Analyse d'impact et consultation préalable

Compte tenu de la nature du traitement et des informations dont elle dispose, Evalia fournit une assistance raisonnable au Client pour ses obligations au titre des articles 32 à 36 du RGPD, notamment les analyses d'impact et les consultations préalables. Cette assistance n'emporte pas transfert de la responsabilité du Client quant à la nécessité, au contenu ou au résultat de ces démarches.

10. Informations, contrôles et audits

Evalia met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations du présent DPA. Le Client peut réaliser, lui-même ou par un auditeur indépendant soumis à confidentialité, un contrôle raisonnable lié aux traitements concernés. Les Parties privilégient les preuves documentaires et les contrôles à distance, puis conviennent si nécessaire d'un contrôle sur site avec un préavis raisonnable, sans perturber la sécurité du Service ni exposer les données d'autres clients. Ces limites ne s'appliquent pas lorsqu'une autorité compétente exige un contrôle ou qu'un incident grave justifie une intervention plus rapide.

11. Sous-traitants ultérieurs

Le Client accorde à Evalia une autorisation générale préalable de recourir à des sous-traitants ultérieurs pour les opérations nécessaires aux Services. Evalia tient une liste nominative des sous-traitants effectivement autorisés et la met à disposition dans la documentation contractuelle ou la communique au Client sur demande. Le processus de changement figure en Annexe B.

Evalia impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données substantiellement équivalentes à celles qui lui incombent pour l'opération confiée. Evalia demeure responsable envers le Client de l'exécution de ces obligations conformément à la réglementation applicable.

12. Transferts internationaux

Lorsqu'un traitement implique un transfert ou un accès depuis un pays situé hors de l'Espace économique européen, Evalia veille à ce qu'un mécanisme conforme au chapitre V du RGPD soit applicable, notamment une décision d'adéquation, des clauses contractuelles types ou une autre garantie autorisée. Les Parties coopèrent pour documenter le mécanisme retenu et, lorsque cela est requis, les mesures complémentaires. Les entités prestataires, les régions ou pays concernés et les mécanismes de transfert applicables sont ceux identifiés dans la liste contractuelle en vigueur communiquée au Client.

13. Restitution, suppression et conservation limitée

À l'issue des Services, Evalia restitue ou supprime les Données Client selon le choix et les instructions du Client, sous réserve des possibilités d'export prévues au Contrat. Les copies techniques résiduelles sont supprimées selon les cycles de sauvegarde et de purge applicables. Lorsqu'une obligation légale impose une conservation, les données concernées sont isolées, leur accès est limité et elles ne sont plus utilisées à d'autres fins.

14. Durée et fin du DPA

Le DPA prend effet avec le Contrat ou avec l'activation du premier traitement réalisé pour le compte du Client. Il demeure applicable pendant toute la durée de ces traitements. Les obligations qui, par leur nature, doivent survivre à la fin du Contrat restent en vigueur pendant la durée nécessaire, notamment la confidentialité, la sécurité, la suppression, l'assistance et la preuve.

15. Contact protection des données

Les échanges relatifs au présent DPA peuvent être adressés à contact@evalia.fr. Cette adresse désigne un contact opérationnel de protection des données et ne préjuge pas de la désignation officielle d'un délégué à la protection des données.

16. Certifications et engagements particuliers

Le Service standard n'emporte aucun engagement de certification sectorielle d'hébergement ou de conformité propre à un secteur réglementé. Un tel engagement ne s'applique que s'il est expressément identifié dans le Bon de commande ou des conditions particulières, avec son périmètre, ses dépendances et ses limites. La localisation d'une ressource ou la certification d'un fournisseur ne vaut pas, à elle seule, certification d'Evalia.

17. Droit applicable et articulation contractuelle

Le droit applicable et la juridiction compétente sont ceux prévus au Contrat, sous réserve des règles impératives de protection des données. Toute limitation de responsabilité prévue au Contrat s'applique dans les limites permises par ces règles et ne réduit pas les droits des personnes concernées ou les pouvoirs des autorités compétentes.

Annexe A - Description des traitements

La présente description s'applique uniquement aux Services et modules effectivement activés pour le Client. Le Bon de commande, les paramètres de l'organisation et les Instructions documentées précisent le périmètre opérationnel lorsqu'ils sont plus spécifiques.

Annexe B - Sous-traitants ultérieurs

Cette annexe décrit le processus d'autorisation et de changement. Les entités prestataires, les catégories de service confiées, les régions ou pays concernés et les mécanismes de transfert applicables sont identifiés dans la liste contractuelle en vigueur fournie au Client.

B.1 Liste en vigueur

Evalia tient une liste nominative des sous-traitants ultérieurs effectivement utilisés pour les Services activés. La liste communiquée au Client indique, dans la mesure pertinente, l'identité du prestataire, la catégorie de service confiée, les principaux pays de traitement ou d'accès et le mécanisme applicable en cas de transfert international. La liste remise avec le Contrat ou communiquée sur demande constitue la liste autorisée à cette date.

B.2 Ajout ou remplacement

• Evalia informe le Client avant l'entrée en vigueur d'un ajout ou d'un remplacement susceptible d'affecter les traitements régis par le DPA.
• La notification décrit le prestataire, l'opération confiée, la date prévue, les principaux pays concernés lorsqu'ils sont connus et les garanties de protection des données applicables.
• Le Client peut formuler, dans le délai raisonnable indiqué dans la notification, une objection motivée par des raisons légitimes de protection des données.
• Les Parties recherchent de bonne foi une solution raisonnable. Si aucune solution n'est possible, elles peuvent adapter ou désactiver le service concerné, ou appliquer les modalités de résiliation du Contrat pour ce seul périmètre.

B.3 Sélection et encadrement

Avant de confier une opération, Evalia apprécie les garanties du sous-traitant ultérieur au regard du risque et conclut un engagement écrit imposant des obligations appropriées de confidentialité, sécurité, assistance, suppression, audit et transfert. Evalia réévalue ces garanties lorsque l'évolution du service ou du risque le justifie.

Annexe C - Catégories de mesures de sécurité

Les mesures sont appliquées en fonction du périmètre des Services, de la sensibilité des données, des risques identifiés et des responsabilités respectives des Parties. Cette annexe décrit des catégories de mesures et ne vaut pas attestation d'une certification, d'un fournisseur ou d'une région particulière.