Contrat de sous-traitance des données

1. Objet et durée

Le sous-traitant traite des données personnelles pour le compte du client afin de sécuriser sa messagerie : filtrage des mails entrants, vérification des expéditeurs, analyse des pièces jointes, protection des envois et rapports. Le contrat dure aussi longtemps que le service est utilisé.

2. Description du traitement

• Personnes concernées : utilisateurs de la messagerie du client et leurs correspondants.
• Données : adresses et noms des expéditeurs et destinataires, objets tronqués, dates, décisions et motifs, empreintes et verdicts des pièces jointes, IBAN chiffrés, comptes des utilisateurs synchronisés.
• Opérations : collecte via l'API de la messagerie, analyse, conservation limitée, déplacement des mails en quarantaine dans la messagerie du client, suppression.
• Aucun contenu de mail n'est conservé par le sous-traitant.

3. Obligations du sous-traitant

• Traiter les données uniquement sur instruction documentée du client, y compris pour les transferts hors de l'Union européenne.
• Garantir la confidentialité : seules les personnes habilitées et tenues au secret y ont accès.
• Mettre en œuvre les mesures de sécurité de l'article 32 du RGPD (voir la politique de confidentialité, section « Sécurité »).
• Aider le client à répondre aux demandes d'exercice des droits et, si besoin, à réaliser une analyse d'impact.
• Notifier toute violation de données au client dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance.
• Tenir à disposition du client les informations nécessaires pour démontrer le respect du présent contrat, et permettre des audits raisonnables.

4. Sous-traitants ultérieurs

Le client autorise le recours aux sous-traitants ultérieurs listés sur la page « Sous-traitants ». Le client est informé de tout ajout ou remplacement au moins 30 jours à l'avance et peut s'y opposer ; à défaut d'accord, il peut mettre fin au service. Les sous-traitants ultérieurs sont soumis aux mêmes obligations de protection des données.

5. Obligations du client

• Fournir des instructions licites et disposer d'une base légale pour le traitement.
• Informer les utilisateurs de sa messagerie de la protection mise en place.
• Gérer les accès de son organisation, notamment les administrateurs.

6. Fin du traitement

Lorsque la messagerie est déconnectée ou le compte fermé, le sous-traitant supprime les données du client dans un délai de 30 jours, sauf obligation légale de conservation. Les mails en quarantaine restent dans la messagerie du client.