Annexe aux CGV — Accord de sous-traitance des données

Article 1 — Objet

La présente annexe définit les conditions dans lesquelles le Sous-traitant effectue, pour le compte du Responsable de traitement, les opérations de traitement de données à caractère personnel décrites à l'article 9. Les Parties respectent la réglementation applicable, en particulier le RGPD et la loi n° 78-17 du 6 janvier 1978 modifiée.

Article 2 — Durée

La présente annexe s'applique pendant toute la durée de l'abonnement à PLANEX, puis jusqu'à la restitution et la suppression des données dans les conditions de l'article 4.8.

Article 3 — Contact du Responsable de traitement

Le Responsable de traitement indique, lors de la souscription ou sur le devis, l'adresse à laquelle doivent être adressées les notifications prévues par la présente annexe, et le cas échéant les coordonnées de son délégué à la protection des données. À défaut, les notifications sont adressées au contact de l'abonnement.

Article 4 — Obligations du Sous-traitant

4.1 Instructions. Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement, ces instructions résultant des CGV, de la présente annexe et de l'usage que le Responsable de traitement fait des fonctions de PLANEX. S'il considère qu'une instruction constitue une violation de la réglementation, il en informe immédiatement le Responsable de traitement. S'il est tenu de procéder à un traitement en vertu du droit de l'Union ou d'un État membre, il l'en informe avant le traitement, sauf interdiction légale.

4.2 Confidentialité. Le Sous-traitant garantit la confidentialité des données et veille à ce que toute personne autorisée à les traiter soit tenue à la confidentialité et reçoive la sensibilisation nécessaire à leur protection.

4.3 Sécurité. Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites à l'article 10. Il peut les faire évoluer sans jamais réduire le niveau de protection.

4.4 Sous-traitance ultérieure. Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs listés à l'article 11. Le Sous-traitant l'informe par écrit de tout ajout ou remplacement envisagé au moins trente (30) jours à l'avance ; le Responsable de traitement peut formuler des objections motivées dans ce délai. Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données et demeure pleinement responsable de leur exécution.

4.5 Droits des personnes. PLANEX permet au Responsable de traitement de consulter, rectifier, exporter et supprimer les données. Le Sous-traitant l'assiste, dans la mesure du possible, pour répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, opposition, portabilité). Une demande reçue directement par le Sous-traitant est transmise au Responsable de traitement dans un délai de cinq (5) jours ouvrés, sans réponse du Sous-traitant.

4.6 Violations de données. Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, à l'adresse prévue à l'article 3. La notification comporte au moins les informations prévues à l'article 33.3 du RGPD ; les informations qui ne peuvent être fournies en même temps le sont ensuite, sans retard indu. Il appartient au Responsable de traitement de notifier, le cas échéant, la CNIL et les personnes concernées.

4.7 Analyse d'impact. Le Sous-traitant fournit au Responsable de traitement les informations utiles à une analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de la CNIL.

4.8 Sort des données en fin de contrat. À tout moment, le Responsable de traitement peut télécharger ses plans et documents depuis PLANEX (PDF, traitement de texte). Au terme de l'abonnement, le Sous-traitant fournit sur demande un export complet des données dans un format standard et lisible. Les données à caractère personnel (registres des personnes vulnérables et de population, annuaires, membres des réserves de sécurité civile, abonnés aux alertes, réponses aux mobilisations) sont supprimées automatiquement quatre-vingt-dix (90) jours après la fin de l'abonnement. Le reste du contenu du plan (organisation, risques, enjeux, ressources, fiches, cartographie) est conservé deux (2) ans afin de permettre une réactivation (CGV, article 13), puis supprimé, ainsi que les comptes des utilisateurs. Le Responsable de traitement peut demander par écrit la suppression anticipée de l'ensemble de ses données. Les copies de sauvegarde sont supprimées au terme de leur cycle de rotation. Le Sous-traitant justifie par écrit de la suppression sur demande.

4.9 Registre. Le Sous-traitant tient un registre des catégories d'activités de traitement effectuées pour le compte du Responsable de traitement (article 30.2 du RGPD).

4.10 Documentation et audits. Le Sous-traitant met à disposition la documentation nécessaire pour démontrer le respect de ses obligations et permet la réalisation d'audits, y compris d'inspections, par le Responsable de traitement ou un auditeur qu'il mandate, tenu à la confidentialité et non concurrent du Sous-traitant, au plus une fois par an avec un préavis de trente (30) jours, sauf en cas de violation de données. Les frais de l'audit sont à la charge du Responsable de traitement, sauf manquement constaté du Sous-traitant.

4.11 Localisation et transferts. Les données sont hébergées en France. Elles ne font l'objet d'aucun transfert hors de l'Union européenne, à l'exception de la fonction facultative d'import automatique d'un plan existant : lorsqu'elle est utilisée, le texte du document importé est transmis au sous-traitant ultérieur mentionné à l'article 11, sur la base des garanties prévues au chapitre V du RGPD. Le Responsable de traitement peut renoncer à cette fonction ; aucun transfert n'a alors lieu.

Article 5 — Obligations du Responsable de traitement

Le Responsable de traitement s'engage à n'enregistrer dans PLANEX que des données adéquates, pertinentes et limitées aux finalités de sécurité civile décrites à l'article 9 ; à informer les personnes concernées et à disposer d'une base légale pour chaque traitement, notamment pour le registre des personnes vulnérables ; à gérer les comptes de ses utilisateurs et à veiller à la confidentialité de leurs identifiants ; à documenter par écrit toute instruction particulière et à superviser le traitement.

Article 6 — Responsabilité

Chaque Partie répond des dommages causés par un traitement qui ne respecte pas les obligations du RGPD qui lui incombent, dans les conditions de l'article 82 du RGPD. Pour le surplus, l'article 31 des CGV s'applique.

Article 7 — Primauté

En cas de contradiction entre les CGV et la présente annexe sur la protection des données à caractère personnel, la présente annexe prévaut.

Article 8 — Modification

La présente annexe est modifiée selon les modalités de l'article 33 des CGV. Toute modification de la liste des sous-traitants ultérieurs suit en outre l'article 4.4.

Article 9 — Description du traitement

Article 10 — Mesures de sécurité

Article 11 — Sous-traitants ultérieurs autorisés