Accord de traitement des données

1. Parties

Le présent accord de traitement des données est conclu entre :

DeskCare / Len Buckens (sous-traitant) et le client (responsable du traitement).

2. Champ d'application

Applicable lorsque DeskCare traite des données à caractère personnel pour le client dans le cadre de sites web, boutiques en ligne, automatisation, tableaux de bord, portails, logiciels sur mesure, support informatique, maintenance, hébergement ou assistance à la migration.

3. Rôles des parties

Le client est le responsable du traitement et reste en dernier ressort responsable de la relation avec les personnes concernées. DeskCare est le sous-traitant pour les traitements tels que convenus contractuellement.

Le client détermine les finalités et les moyens, assure une base juridique valable et la transparence, traite les demandes des personnes concernées et fournit des instructions licites et complètes. DeskCare ne détermine pas de manière autonome la base juridique ni la finalité des traitements du client.

4. Objet, nature et finalité

Exécution de la mission, support technique, maintenance, migration, suivi (monitoring) et rapportage.

5. Types de données à caractère personnel

Données de contact et de contact avec la clientèle, données de projet et de système, journaux techniques, messages d'erreur, informations de compte, informations de commande et de garantie, données d'accès (dans la mesure nécessaire à la mission).

6. Catégories de personnes concernées

Les clients du client, les utilisateurs finaux, les collaborateurs, les fournisseurs ou d'autres personnes dont le client fournit les données.

7. Durée du traitement

Pendant la durée de la mission. À son terme, le choix et l'obligation de suppression de l'article 14 s'appliquent, sauf si le droit de l'Union ou le droit belge impose une conservation.

8. Instructions

DeskCare ne traite les données à caractère personnel que sur instructions écrites figurant dans l'offre, le périmètre, un accord par e-mail ou une mission de support, y compris pour les transferts hors de l'UE/EEE. Lorsque le droit de l'Union ou le droit belge impose un traitement sans ces instructions, DeskCare informe le client de cette obligation avant le traitement, sauf si la loi l'interdit pour des motifs importants d'intérêt public. DeskCare informe immédiatement le client lorsqu'une instruction lui paraît contraire au RGPD ou à d'autres règles européennes ou belges applicables en matière de protection des données.

9. Confidentialité

Les personnes autorisées à traiter des données sous l'autorité de DeskCare sont soumises à une obligation contractuelle ou légale de confidentialité et n'y accèdent que dans la mesure nécessaire à la mission.

10. Sécurité

DeskCare applique, en tenant compte des risques, les mesures techniques et organisationnelles appropriées visées à l'article 32 du RGPD :

• limitation de l'accès aux fonctions nécessaires
• limitation des données au périmètre du projet
• authentification à deux facteurs (2FA) et gestion sécurisée des mots de passe, dans la mesure du possible
• accès temporaire lorsque cela est possible en pratique
• mises à jour et correctifs de sécurité dans le cadre du périmètre convenu
• transfert sécurisé des fichiers et des journaux
• journalisation à des fins de contrôle et d'audit, lorsque disponible
• suppression ou transfert correct des accès à la fin de la mission

11. Sous-traitants ultérieurs

Le client donne une autorisation écrite générale pour les sous-traitants ultérieurs nommés dans l'annexe de projet complétée. DeskCare notifie par écrit tout ajout ou remplacement envisagé au moins 30 jours calendaires à l'avance, avec le nom, le lieu, le service et le mécanisme de transfert applicable.

Le client peut s'y opposer dans ce délai pour des motifs raisonnables liés à la protection des données. Les parties recherchent alors une solution raisonnable ; à défaut, le service concerné peut être résilié. DeskCare impose à chaque sous-traitant ultérieur les mêmes obligations et reste pleinement responsable envers le client de leur exécution.

12. Transferts internationaux

Les données à caractère personnel ne sont pas traitées ou transférées en dehors de l'UE/EEE sans base juridique valable, telle qu'une décision d'adéquation, la participation au EU-US Data Privacy Framework le cas échéant, des clauses contractuelles types ou d'autres garanties appropriées.

13. Assistance en cas de droits, de demandes et de violations de données

Compte tenu de la nature du traitement et des informations disponibles, DeskCare aide le client à répondre aux demandes des personnes concernées et à respecter les articles 32 à 36 du RGPD, notamment en matière de sécurité, de notification des violations, d'analyses d'impact et de consultation préalable.

En cas de violation de données, DeskCare la notifie sans retard injustifié après en avoir eu connaissance. DeskCare fournit, dans la mesure du possible, la nature de l'incident, les catégories et nombres de personnes et d'enregistrements concernés, le point de contact, les conséquences potentielles et les mesures prises ou proposées. Les coûts raisonnables d'une assistance hors périmètre ne peuvent être facturés qu'après accord préalable et jamais lorsque cette assistance résulte d'un manquement de DeskCare.

14. Suppression ou restitution après la fin de la mission

À la fin des services de traitement, DeskCare supprime, au choix du client, toutes les données à caractère personnel ou les restitue au client. Dans les deux cas, DeskCare supprime les copies restantes. Lorsque le droit de l'Union ou le droit belge impose une conservation, DeskCare conserve les données concernées de manière isolée pendant la durée de cette obligation.

15. Audits et information

DeskCare met à disposition toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, permet les audits et inspections effectués par le client ou son auditeur indépendant et y contribue. Les parties limitent les perturbations et protègent les informations confidentielles. Des coûts raisonnables pour des audits supplémentaires peuvent être convenus à l'avance, mais ne peuvent bloquer un audit légalement requis et ne sont pas facturés lorsqu'un manquement de DeskCare a motivé l'audit.

16. Responsabilité

DeskCare et le client sont responsables de leurs propres manquements dans le cadre légal applicable.

17. Ordre de priorité

En cas de conflit entre le présent accord et les documents contractuels, le présent accord prévaut en principe, sauf si des règles légales impératives priment.

18. Contact

Des questions à propos de cet accord : hello@deskcare.be.

Annexe 1 — Aperçu des traitements

Annexe 2 — Mesures de sécurité

• Limitation de l'accès en fonction du rôle et de la nécessité
• Accords de confidentialité
• Authentification à deux facteurs (2FA) dans la mesure du possible
• Aucun stockage permanent des mots de passe
• Accès temporaire lorsque cela est réalisable
• Transfert sécurisé des fichiers
• Journalisation et enregistrement des incidents
• Suppression/transfert des comptes à la fin de la mission
• Gestion appropriée et limitée des données d'appareil, de numéro de série et de licence

Annexe 3 — Sous-traitants ultérieurs approuvés

Une annexe datée et figée est complétée pour chaque mission concrète. Des catégories générales ou une page web modifiable ultérieurement ne constituent pas une liste de projet suffisante.