Accord de traitement des données (DPA)
Le présent accord de traitement des données (« DPA ») s’applique lorsque Skojix traite, pour le compte du Client, des données à caractère personnel dont le Client est responsable de traitement, notamment les données hébergées sur un service d’hébergement web (visiteurs d’un site, contenu de boîtes e-mail). Il complète les CGV et les CGU et met en œuvre l’article 28 du RGPD. Pour les données dont Skojix est elle-même responsable (compte, facturation, données d’abonné et de connexion), seule la politique de confidentialité s’applique.
Le trafic acheminé par les lignes mobiles et les tunnels n’est pas un traitement réalisé pour le compte du Client : Skojix l’achemine en qualité d’opérateur, tenue au secret des correspondances, sans en connaître le contenu.
1. Rôles des parties
Le Client agit en qualité de responsable de traitement. Skojix agit en qualité de sous-traitant au sens de l’article 4, 8) du RGPD. Chaque partie se conforme aux obligations que le RGPD met à sa charge en cette qualité.
2. Objet, durée, nature et finalité
| Objet | Hébergement et exploitation technique des services souscrits par le Client |
|---|---|
| Durée | Durée du contrat, augmentée du délai de restitution et de suppression prévu à l’article 10 |
| Nature des opérations | Hébergement, stockage, sauvegarde lorsque l’offre le prévoit, transmission, journalisation technique, suppression |
| Finalité | Fourniture des services conformément aux instructions documentées du Client |
3. Catégories de données et de personnes concernées
Elles sont déterminées par le Client, qui reste maître des contenus qu’il héberge : données d’identification et de contact, identifiants de connexion, adresses IP, contenus fournis par ses propres utilisateurs. Le Client s’interdit d’héberger des données sensibles (article 9 du RGPD) sans base légale et sans mesures appropriées, et en informe Skojix lorsque cela emporte des exigences de sécurité particulières.
4. Instructions du responsable de traitement
Skojix ne traite les données que sur instruction documentée du Client, y compris pour les transferts, sauf obligation légale ; dans ce cas, elle l’en informe avant le traitement, sauf interdiction légale. Le présent DPA et les paramètres choisis par le Client constituent ses instructions initiales. Skojix informe le Client si une instruction lui paraît constituer une violation du RGPD.
5. Confidentialité
Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et n’y accèdent que dans la limite nécessaire à l’exécution du contrat.
6. Sécurité
Skojix met en œuvre les mesures techniques et organisationnelles prévues à l’article 32 du RGPD, décrites de manière générale dans la politique de confidentialité. Le détail des mesures sensibles n’est pas publié pour des raisons de sécurité et peut être communiqué au Client sous réserve de confidentialité.
7. Sous-traitants ultérieurs
Le Client autorise Skojix à recourir aux sous-traitants ultérieurs mentionnés dans la politique de confidentialité, en particulier l’hébergeur des serveurs. Skojix leur impose des obligations équivalentes à celles du présent DPA et informe le Client de tout ajout ou remplacement envisagé ; le Client peut émettre des objections légitimes et, à défaut d’accord, résilier le service concerné sans frais.
8. Assistance au responsable de traitement
Compte tenu de la nature du traitement et des informations dont elle dispose, Skojix aide le Client, dans la mesure du possible, à répondre aux demandes d’exercice de droits des personnes concernées (articles 15 à 22 du RGPD) et à respecter ses obligations de sécurité, de notification des violations et d’analyse d’impact (articles 32 à 36).
9. Violation de données
Skojix notifie au Client toute violation de données à caractère personnel le concernant dans les meilleurs délais, et au plus tard sous 48 heures après en avoir pris connaissance, avec les informations utiles pour lui permettre de satisfaire à ses propres obligations de notification.
10. Restitution et suppression
Au terme du service, le Client dispose d’un délai de quinze (15) jours pour récupérer ses données. À l’issue de ce délai, Skojix supprime les données et leurs copies, sauf obligation légale de conservation. Sur demande écrite formulée pendant ce délai, Skojix restitue les données dans un format standard.
11. Audit
Skojix met à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA et permet la réalisation d’audits par le Client ou un auditeur mandaté, dans des conditions raisonnables préservant la sécurité des infrastructures et la confidentialité des autres clients : préavis d’au moins trente jours, périodicité proportionnée, engagement de confidentialité et coûts à la charge du Client sauf manquement avéré.
12. Transferts hors Union européenne
Les données hébergées sont traitées dans l’Union européenne. Tout transfert vers un pays tiers n’est réalisé que sur le fondement d’une décision d’adéquation ou de garanties appropriées au sens des articles 44 et suivants du RGPD.
13. Conclusion du DPA
Le présent DPA est accepté avec les CGV lors de l’ouverture du compte. Un exemplaire signé peut être établi sur demande à [email protected].