Accord de traitement des données (DPA)

Annexe au contrat de service entre le Client et pibiCo Compañía de Inteligencia de Negocio y Control SL pour le respect du Règlement (UE) 2016/679 (RGPD).

1. Parties

• Responsable du traitement ("Client") : l'entité ou l'organisation qui a souscrit au Service.
• Sous-traitant : pibiCo Compañía de Inteligencia de Negocio y Control SL, CIF ES B52567831, Avenida de La Costa 35-6T, 33201 Gijón, Asturias, España.

2. Objet

Le Sous-traitant traitera des données à caractère personnel pour le compte du Responsable du traitement uniquement pour fournir les services souscrits (Talk2Doc) conformément aux instructions documentées du Responsable du traitement.

3. Données traitées

• email
• name
• org

4. Catégories de personnes concernées

• Employés, collaborateurs et membres du Client
• Clients finaux du Client dont les données sont gérées au sein du Service

5. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• Traiter les données uniquement conformément aux instructions documentées du Responsable du traitement
• Garantir la confidentialité de la part du personnel autorisé
• Appliquer des mesures techniques et organisationnelles appropriées (chiffrement au repos et en transit, contrôle des accès, journaux d'audit, copies de sauvegarde)
• Assister le Responsable du traitement dans la prise en charge des droits de la personne concernée
• Notifier les violations de sécurité sans délai, dans un délai maximal de 72h
• Supprimer ou restituer les données à la fin du service
• Permettre des audits raisonnables par le Responsable du traitement ou un auditeur externe indépendant

6. Sous-traitants ultérieurs (sous-traitants)

Le Sous-traitant n'utilise pas de sous-traitants ultérieurs externes pour fournir le Service. Toute incorporation future sera notifiée avec 30 jours de préavis.

7. Transferts internationaux

Lorsque des sous-traitants ultérieurs sont situés en dehors de l'EEE, les transferts sont réalisés sur la base de Clauses Contractuelles Types (SCC) approuvées par la Commission européenne ou de Décisions d'Adéquation.

8. Mesures de sécurité

Le Sous-traitant applique notamment :

• Chiffrement en transit (TLS 1.2+) et au repos (AES-256)
• Authentification passwordless (passkeys WebAuthn) et MFA
• Contrôle des accès basé sur les rôles (RBAC)
• Journaux d'audit immuables
• Copies de sauvegarde chiffrées avec plan de récupération
• Tests de sécurité réguliers et révision des dépendances

9. Violation de sécurité

En cas de violation affectant des données à caractère personnel du Responsable du traitement, le Sous-traitant notifiera au Responsable du traitement sans retard indu, dans les 72h suivant la prise de connaissance, en incluant :

• Nature de la violation
• Catégories et nombre estimé de personnes concernées affectées
• Mesures adoptées ou proposées
• Point de contact du Sous-traitant pour coordonner la réponse

10. Droits d'audit

Le Responsable du traitement peut demander des preuves documentaires de la conformité (rapports d'audit, certifications, descriptions techniques) jusqu'à une fois par an ou après toute violation pertinente. Les audits sur site requièrent un accord préalable et sont exécutés pendant les heures ouvrables sans interrompre le Service.

11. Durée et fin

Le présent DPA entre en vigueur avec la souscription au Service et reste en vigueur tant que le Client maintient un compte actif. À sa fin, le Sous-traitant supprimera ou restituera les données à caractère personnel selon les instructions documentées du Responsable du traitement, sauf obligation légale de conservation (données de facturation : 6 ans).

12. Responsabilité

Chaque partie répond de ses propres manquements au RGPD. La responsabilité du Sous-traitant est limitée conformément à ce qui est établi dans les Conditions du Service.

Dernière mise à jour : 2026-05-08 · Version 1.0.0