Cette page présente l’accord de sous-traitance des données de Wartungshelden. Il s’applique lorsque nous traitons des données personnelles pour nos clients dans le cadre de la maintenance.
Remarque :
Cet accord s’applique lorsque Wartungshelden traite des données personnelles pour le compte du client dans le cadre des prestations commandées.
Accord de sous-traitance des données
entre
le client / donneur d’ordre
– ci-après « responsable du traitement » –
et
Wartungshelden
Reiner Schmeinck
Waltraudstraße 19
45888 Gelsenkirchen
Allemagne
E-mail : info@wartungshelden.de
Téléphone : 0209 98898746
– ci-après « sous-traitant » –
ensemble également désignés « parties ».
1. Objet et durée du traitement
Cet accord régit les droits et obligations des parties concernant le traitement de données personnelles par le sous-traitant pour le compte du responsable du traitement.
Le traitement porte sur les prestations de maintenance, d’entretien, de sécurité, de sauvegarde, de surveillance, d’assistance et autres services techniques pour les sites WordPress du responsable du traitement.
La durée de cet accord suit celle du contrat principal de maintenance entre les parties. Cet accord prend fin avec le contrat principal, sous réserve des obligations légales de conservation.
2. Nature et finalité du traitement
Le sous-traitant traite les données personnelles exclusivement pour exécuter les prestations de maintenance commandées.
Le traitement peut notamment comprendre :
- Accès au système WordPress du responsable du traitement
- Entretien et maintenance techniques
- Gestion des mises à jour
- Contrôles de sécurité
- Analyses de logiciels malveillants
- Création de sauvegardes
- Restauration des données
- Analyse et correction des erreurs
- Surveillance et journalisation technique
- Assistance et administration
Le traitement concret n’a lieu que dans la mesure nécessaire aux prestations contractuellement convenues.
3. Types de données personnelles et catégories de personnes concernées
Les catégories suivantes de données personnelles peuvent notamment être traitées :
- Données de base
- Coordonnées
- Données de communication
- Données d’utilisation
- Adresses IP
- Données de contenu
- Données clients
- Données contractuelles
- Données des journaux techniques
- Données de bases de données, formulaires ou fonctions du site
Les personnes concernées peuvent notamment être :
- Les clients du responsable du traitement
- Ses prospects
- Les visiteurs du site
- Ses salariés
- Les personnes de contact
- Les autres utilisateurs du site exploité par le responsable du traitement
4. Respect des instructions
Le sous-traitant traite les données personnelles uniquement sur instruction documentée du responsable du traitement, sauf obligation légale de traitement.
Les instructions orales doivent être confirmées sans délai sous forme textuelle.
Si le sous-traitant estime qu’une instruction enfreint le droit de la protection des données, il en informe sans délai le responsable du traitement.
5. Confidentialité
Le sous-traitant veille à ce que toutes les personnes intervenant dans le traitement soient soumises à un engagement de confidentialité ou à une obligation légale appropriée de secret.
L’obligation de confidentialité subsiste après la fin de cet accord.
6. Mesures techniques et organisationnelles
Le sous-traitant prend des mesures techniques et organisationnelles appropriées pour garantir un niveau de protection adapté au risque.
Ces mesures peuvent notamment comprendre :
- Protection de l’accès aux systèmes et comptes utilisateurs
- Gestion des habilitations
- Authentification à deux facteurs, si disponible
- Chiffrement, lorsque techniquement pertinent
- Sécurisation des accès administrateurs
- Journalisation des accès techniques
- Sauvegardes
- Protection contre les accès non autorisés
- Mesures de restauration et de disponibilité
- Contrôle et actualisation réguliers des mesures de sécurité
Le sous-traitant peut adapter ces mesures au progrès technique, à condition de ne pas réduire le niveau de protection.
7. Obligations d’assistance
Le sous-traitant aide le responsable du traitement à remplir ses obligations légales, compte tenu de la nature du traitement et des informations disponibles.
Cela concerne notamment :
- L’assistance pour les demandes des personnes concernées
- L’assistance en matière de sécurité du traitement
- L’assistance pour les notifications de violations de données
- L’assistance pour les analyses d’impact sur la protection des données, si nécessaire
8. Notification des violations de données
Le sous-traitant informe sans délai le responsable du traitement dès qu’il a connaissance d’une violation de données personnelles liée à la sous-traitance.
La notification doit, dans la mesure du possible, comprendre toutes les informations nécessaires au responsable du traitement pour remplir ses obligations légales de notification et de communication.
9. Sous-traitants ultérieurs
Le responsable du traitement autorise de manière générale le recours à d’autres sous-traitants dans la mesure nécessaire à l’exécution du contrat.
Le sous-traitant informe le responsable du traitement des changements envisagés concernant l’ajout ou le remplacement d’autres sous-traitants, afin qu’il puisse s’y opposer.
Le sous-traitant veille à imposer contractuellement aux sous-traitants ultérieurs des obligations de protection des données substantiellement équivalentes à celles du présent accord.
Les sous-traitants ultérieurs habituellement utilisés peuvent notamment comprendre :
- Les hébergeurs
- Les prestataires de sauvegarde
- Les prestataires de sécurité et de surveillance
- Les prestataires cloud
- Les services d’e-mail et de communication
- Les outils d’assistance et de télémaintenance
10. Transferts vers des pays tiers
Le traitement de données personnelles dans un pays tiers ou par un prestataire situé dans un pays tiers n’a lieu que si les conditions légales sont réunies.
En cas de recours à des sous-traitants ultérieurs ou prestataires techniques hors de l’UE ou de l’EEE, le sous-traitant veille à l’existence de garanties appropriées.
11. Droits de contrôle et justificatifs
Le responsable du traitement peut contrôler, dans une mesure raisonnable, le respect des obligations du présent accord ou le faire contrôler par des tiers.
Sur demande, le sous-traitant fournit les informations nécessaires pour démontrer le respect des obligations de protection des données.
Les contrôles doivent en principe être annoncés dans un délai raisonnable, avoir lieu pendant les heures habituelles d’activité et ne pas perturber excessivement le fonctionnement.
Les preuves apportées par une documentation appropriée, des rapports d’audit, certificats ou autres documents sont prioritaires lorsque cela est possible.
12. Restitution et suppression
À la fin des prestations de traitement, le sous-traitant supprime ou restitue, au choix du responsable du traitement, toutes les données personnelles, sauf obligation légale de conservation.
Les obligations légales de conservation restent inchangées.
Les copies issues des processus habituels de sauvegarde et d’archivage peuvent subsister pendant les cycles de conservation techniquement nécessaires, puis doivent être supprimées ou écrasées conformément à la protection des données.
13. Obligations du responsable du traitement
Le responsable du traitement reste responsable de la licéité du traitement et du respect des droits des personnes concernées.
Il informe sans délai et intégralement le sous-traitant des erreurs ou irrégularités qu’il constate au regard des exigences de protection des données.
Il veille à la licéité du traitement des données personnelles sur son site et à la fourniture complète et exacte des informations de protection des données aux personnes concernées.
14. Responsabilité
La responsabilité des parties est régie par la loi et, à titre complémentaire, par les dispositions valablement convenues du contrat principal conclu entre elles.
Les règles impératives de responsabilité en matière de protection des données restent inchangées.
15. Dispositions finales
Les modifications et compléments de cet accord nécessitent au minimum la forme textuelle.
Si certaines dispositions sont ou deviennent totalement ou partiellement invalides, la validité des autres dispositions reste inchangée.
Le droit allemand s’applique dans la mesure permise par la loi.
Cet accord s’applique lorsque Wartungshelden traite des données personnelles pour le compte du client dans le cadre des prestations commandées. Il ne s’applique pas en l’absence d’accès à des données personnelles ou de traitement pour le compte du client.
Annexe 1 : mesures techniques et organisationnelles
Contrôle d’accès physique
- Protection des postes de travail, appareils et supports contre les accès physiques non autorisés
Contrôle d’authentification
- Protection par mot de passe
- Comptes utilisateurs individuels
- Authentification à deux facteurs, si disponible
Contrôle des droits d’accès
- Habilitations fondées sur les rôles
- Droits administrateurs limités aux personnes nécessaires
Contrôle des transmissions
- Transmission chiffrée, si techniquement disponible
- Utilisation de moyens de communication sûrs
Contrôle des saisies
- Journalisation des accès techniques ou administratifs, si techniquement possible
Contrôle des prestations
- Processus internes clairs pour traiter les commandes de maintenance
- Choix de prestataires techniques appropriés
Contrôle de disponibilité
- Stratégies de sauvegarde
- Protection contre la perte de données
- Mesures de restauration
Exigence de séparation
- Traitement séparé par projet, site ou client, dans la mesure techniquement et organisationnellement réalisable