Sous-traitance et protection des données
Version V0.12 — 24 octobre 2026 — annexe aux conditions générales de vente
Le présent document constitue l'accord de sous-traitance prévu à l'article 28 du règlement général sur la protection des données. Il s'applique de plein droit à tout abonnement et fait partie intégrante du contrat. Le client y agit en responsable de traitement, PROMACEO en sous-traitant.
1. Objet, nature et durée
Hébergement et traitement des données nécessaires au pilotage d'opérations de construction, pour la durée de l'abonnement et les trente jours de réversibilité qui suivent son terme.
2. Catégories de personnes et de données
| Personnes concernées | Données traitées |
|---|---|
| Collaborateurs du client | Identité, fonction, courriel, actions et validations journalisées |
| Représentants du maître d'ouvrage | Identité, fonction, coordonnées, échanges |
| Personnel des entreprises et sous-traitants | Identité, qualification, habilitations, cartes professionnelles, autorisations de travail |
| Tiers intervenants | Identité, fonction, coordonnées |
Aucune donnée relevant des catégories particulières de l'article 9 du règlement n'est requise par le service. Si le client en dépose néanmoins, il en assume seul la licéité.
3. Instructions documentées
Le sous-traitant ne traite les données que sur instruction documentée du responsable de traitement, constituée par le contrat, les présentes et l'usage que le client fait des fonctionnalités. Il informe le client si une instruction lui paraît constituer une violation du règlement.
4. Confidentialité et habilitation
Les personnes autorisées à traiter les données sont soumises à une obligation contractuelle de confidentialité et habilitées selon le principe du moindre privilège. Les accès du support sont journalisés et limités aux nécessités d'une intervention.
5. Sécurité
Mesures techniques et organisationnelles : chiffrement des communications, cloisonnement strict par abonné, vérification d'habilitation à chaque lecture et à chaque écriture, journal des actions sensibles, sauvegardes régulières avec test de restauration, gestion des correctifs, séparation des environnements. Le détail opérationnel est publié à la page sécurité et étanchéité.
6. Sous-traitants ultérieurs
Le client autorise le recours aux sous-traitants ultérieurs suivants :
| Sous-traitant | Prestation | Localisation |
|---|---|---|
| Infomaniak Network SA | Hébergement et sauvegarde | Suisse (décision d'adéquation) |
| Prestataire de paiement agréé | Encaissement des abonnements | Union européenne |
Tout changement est notifié au client trente jours à l'avance. Le client peut s'y opposer pour un motif légitime et tenant à la protection des données ; à défaut d'accord, il peut résilier sans frais.
7. Assistance au responsable de traitement
Le sous-traitant assiste le client, compte tenu de la nature du traitement :
- pour répondre aux demandes d'exercice des droits, au moyen des fonctions d'export, de rectification et de suppression du service ;
- pour garantir la sécurité, notifier une violation et réaliser, le cas échéant, une analyse d'impact ;
- en mettant à disposition les informations nécessaires pour démontrer le respect de l'article 28.
8. Violation de données
Le sous-traitant notifie au client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous quarante-huit heures, avec la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises.
9. Sort des données au terme
Au choix du client exprimé avant le terme : restitution dans un format ouvert, ou suppression. À défaut d'instruction, les données sont supprimées des systèmes actifs à l'issue des trente jours de réversibilité, puis des sauvegardes selon leur cycle, dans un délai maximum de six mois. Une attestation de suppression est délivrée sur demande.
10. Audit
Le client peut demander, une fois par an et moyennant un préavis de trente jours, les informations nécessaires pour démontrer le respect des obligations du présent document. Un audit sur site, conduit par le client ou un auditeur mandaté non concurrent de l'éditeur, peut être convenu, à la charge du demandeur, sans perturbation du service et sans accès aux données d'autres clients.
Contact du point de contact en matière de protection des données : contact@promaceo.fr