Accord de sous-traitance des données (DPA — art. 28 RGPD)

1. Objet et parties

Le présent accord de sous-traitance (« DPA ») fait partie intégrante du contrat de service conclu entre le client professionnel (le « Responsable de traitement ») et HERITAGE WO.MEN (le « Sous-traitant ») pour l'utilisation de Inwebio. Il encadre les traitements de données personnelles que HERITAGE WO.MEN réalise pour le compte du client (données de ses propres clients, contacts, factures, rendez-vous…), conformément à l'article 28 du RGPD. Il complète la politique de confidentialité, qui couvre les traitements dont HERITAGE WO.MEN est elle-même responsable (compte, facturation du service).

2. Nature, finalité et durée du traitement

Nature : hébergement, stockage, structuration, affichage et sauvegarde des données saisies par le client dans le service (y compris les traitements de l'assistant IA déclenchés par le client). Finalité : la seule fourniture des fonctionnalités du service. Durée : celle du contrat de service, jusqu'au sort des données prévu à l'article 8. Catégories de données : données d'identification et de contact professionnelles, données de facturation et comptables, données de rendez-vous et d'activité saisies par le client. Personnes concernées : clients, prospects, contacts et collaborateurs du client.

3. Instructions documentées

HERITAGE WO.MEN ne traite les données que sur instruction documentée du client — l'utilisation des fonctionnalités du service constitue l'instruction. HERITAGE WO.MEN informe le client si une instruction lui paraît contraire au RGPD, et n'utilise jamais les données du client pour son propre compte (pas de revente, pas d'entraînement de modèles, pas de publicité).

4. Confidentialité et sécurité (art. 32)

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. HERITAGE WO.MEN met en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des échanges (HTTPS), hachage renforcé des mots de passe, cloisonnement strict des espaces de travail (chaque requête est limitée à l'espace du client), contrôle d'accès par rôles, journal d'audit des actions sensibles, limitation de débit sur les points sensibles, sauvegardes régulières et environnement d'hébergement situé dans l'Union européenne.

5. Sous-traitants ultérieurs

Le client autorise de manière générale le recours aux sous-traitants ultérieurs listés ci-dessous. HERITAGE WO.MEN informe le client de tout ajout ou remplacement envisagé, lui laissant la possibilité d'émettre des objections, et impose à chaque sous-traitant ultérieur des obligations équivalentes à celles du présent DPA.

Tout transfert hors de l'Union européenne est encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne, mesures complémentaires le cas échéant).

6. Assistance au responsable de traitement

Compte tenu de la nature du traitement, HERITAGE WO.MEN aide le client à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité — les données restent exportables par le client : CSV, FEC), et l'assiste pour ses obligations d'analyse d'impact et de consultation préalable lorsque c'est pertinent.

7. Violations de données

HERITAGE WO.MEN notifie au client toute violation de données personnelles le concernant dans les meilleurs délais après en avoir pris connaissance, avec les informations disponibles (nature, catégories et volumes concernés, mesures prises), afin de permettre au client de respecter ses propres obligations de notification (72 h auprès de la CNIL le cas échéant).

8. Sort des données en fin de contrat

À la fin du contrat, le client dispose de 30 jours pour exporter ses données (fonctionnalités d'export intégrées ou restitution sur demande). À l'issue de ce délai, HERITAGE WO.MEN supprime les données du client de ses systèmes actifs, puis de ses sauvegardes au fil de leur rotation, sauf obligation légale de conservation.

9. Audits et documentation

HERITAGE WO.MEN met à la disposition du client la documentation nécessaire pour démontrer le respect du présent DPA et permet, à la charge du client, les audits raisonnables (au plus une fois par an, sur préavis écrit de 30 jours, sans accès aux données d'autres clients), réalisés sans perturber le service.

10. Contact

Pour toute question relative au présent DPA ou à la protection des données : contact.heritagewo.men@gmail.com.