Accord de traitement des données

1. Parties et objet

Le présent accord est conclu entre le client, en tant que responsable du traitement, et EAS International, Klybeckstr. 141, 4057 Basel, Schweiz, en tant que sous-traitant (le Prestataire). Représentant du Prestataire dans l'Union au sens de l'art. 27 du RGPD : Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Il a pour objet le traitement des données à caractère personnel que le client saisit dans Batteriepass Online ou collecte au moyen de celui-ci. La nature, la finalité, les types de données et les catégories de personnes concernées sont décrits à l'annexe 1. L'accord s'applique pendant la durée du contrat de service, y compris la phase de lecture seule visée à la section 8 des CGV.

2. Instructions

Le Prestataire traite les données exclusivement dans le cadre du contrat de service et sur instruction documentée du client. Le client donne ses instructions en utilisant les fonctions du logiciel (telles que la publication d'un passeport, l'attribution de niveaux d'accès, l'envoi d'une demande à un fournisseur, l'export, la suppression) et sous forme textuelle à info@batteriepass-online.eu. Les instructions dépassant le cadre convenu sont traitées comme des demandes de modification et peuvent être facturées séparément.

Si le Prestataire estime qu'une instruction est illicite, il en informe le client sans délai et peut suspendre son exécution jusqu'à confirmation.

La mise à disposition des contenus des passeports au public, aux personnes ayant un intérêt légitime et aux autorités s'effectue conformément au règlement (UE) 2023/1542 dans la configuration choisie par le client et est réputée constituer une instruction du client.

3. Obligations du Prestataire

• Confidentialité : toutes les personnes participant au traitement sont tenues à la confidentialité. Il n'est accédé aux données du client que dans la mesure nécessaire à l'exploitation, à l'assistance ou à la résolution de problèmes.
• Sécurité : le Prestataire met en œuvre les mesures techniques et organisationnelles de l'annexe 3 et les adapte à l'état de la technique sans abaisser le niveau de protection.
• Assistance : le Prestataire aide le client, au moyen des fonctions du logiciel (export, rectification, suppression, journal des accès), à satisfaire aux droits des personnes concernées ainsi que dans le cadre des analyses d'impact relatives à la protection des données et des consultations de l'autorité de contrôle, dans la mesure où les informations sont détenues par le Prestataire.
• Notification : le Prestataire notifie au client toute violation de données à caractère personnel concernant des données du client dans les meilleurs délais, au plus tard dans les 48 heures après en avoir pris connaissance, à l'adresse e-mail enregistrée dans le compte, avec les informations disponibles visées à l'art. 33, paragraphe 3, du RGPD.
• Demandes des personnes concernées : si des personnes concernées s'adressent directement au Prestataire, celui-ci transmet la demande au client sans y répondre lui-même sur le fond, dans la mesure où la demande concerne des données du client.
• Preuves : sur demande, le Prestataire met à disposition les informations nécessaires pour démontrer le respect du présent accord, en particulier une description des mesures de l'annexe 3 et des rapports sur les incidents de sécurité.
• Suppression : après la fin du traitement, le Prestataire supprime les données conformément à la section 8 des CGV, sauf obligation légale de conservation. Pour les passeports de batterie publiés, l'obligation légale de maintien de la disponibilité prévue à l'art. 77, paragraphe 8, du règlement (UE) 2023/1542 vaut obligation de conservation.

4. Droits de contrôle du client

Le client peut vérifier le respect du présent accord une fois par an ainsi qu'en cas de motif concret. La vérification s'effectue en premier lieu par l'examen de documents, de rapports et de confirmations des autres sous-traitants. Un audit sur place est possible moyennant un préavis raisonnable (au moins 14 jours) pendant les heures d'ouverture habituelles, à condition qu'il ne mette pas en danger les données d'autres clients. Pour les audits dépassant un par an ou non motivés par un incident, le Prestataire peut facturer la charge qui en résulte à un tarif raisonnable.

5. Autres sous-traitants

Le client consent au recours aux autres sous-traitants énumérés à l'annexe 2. Le Prestataire leur impose des obligations en matière de protection des données équivalentes à celles convenues dans le présent accord.

Le Prestataire informe le client par e-mail, au moins 30 jours à l'avance, de tout changement envisagé (ajout ou remplacement). Le client peut s'y opposer dans ce délai pour des motifs importants liés à la protection des données. En cas d'opposition, chaque partie peut résilier le contrat de service avec effet à la date du changement ; la section 8 des CGV n'en est pas affectée.

6. Traitement dans des pays tiers

Les données sont stockées sur des serveurs situés en Allemagne. Le Prestataire est établi en Suisse, pays pour lequel il existe une décision d'adéquation de la Commission européenne ; l'accès depuis la Suisse est donc autorisé. Un traitement dans d'autres pays tiers n'a lieu qu'avec le consentement du client et sur la base de garanties appropriées au sens du chapitre V du RGPD.

7. Obligations du client

Le client est responsable de la licéité du traitement, en particulier de la base juridique pour la publication d'informations relatives à des personnes physiques dans les passeports, de l'information des personnes concernées et de la licéité de la prise de contact avec les fournisseurs et les demandeurs. Il attribue les niveaux d'accès et les autorisations d'accès sous sa propre responsabilité et vérifie que les données rendues accessibles au moyen du logiciel sont conformes aux exigences légales.

Le client indique dans le compte une adresse e-mail joignable pour les questions de protection des données et la tient à jour.

8. Responsabilité, durée, dispositions finales

La section 11 des CGV s'applique à la responsabilité ; l'art. 82 du RGPD n'en est pas affecté. Le présent accord prend fin avec le contrat de service, mais continue de s'appliquer tant que le Prestataire maintient des données du client disponibles conformément à la section 8 des CGV. Pour le reste, les dispositions finales des CGV s'appliquent. En cas de contradiction entre le présent accord et les CGV, le présent accord prévaut pour les questions de protection des données.

Annexe 1 – Objet du traitement

• Nature et finalité : hébergement, stockage, affichage, export et transmission des contenus des passeports de batterie et des documents associés ; envoi d'e-mails pour le compte du client (demandes aux fournisseurs, décisions d'accès) ; journalisation des accès aux contenus protégés ; mise à disposition de l'API et des webhooks.
• Types de données : noms, fonctions et coordonnées des personnes de contact du client, de ses fournisseurs et des demandeurs d'autorisations d'accès (adresse e-mail, organisation, rôle, finalité, justificatifs) ; contenus des champs et documents des passeports dans la mesure où ils contiennent des informations relatives à des personnes physiques (telles que la personne responsable de l'opérateur économique, les signataires des déclarations de conformité) ; journaux des accès (adresse IP tronquée et hachée, user agent, heure, niveau d'accès) ; données transmises par le client à l'API.
• Catégories de personnes concernées : salariés et personnes de contact du client, de ses fournisseurs et partenaires commerciaux ; personnes demandant l'accès à des contenus protégés des passeports (autorités, opérateurs de réparation et de recyclage, acquéreurs) ; visiteurs des pages publiques des passeports.
• Les catégories particulières de données (art. 9 RGPD) ne font pas l'objet du traitement ; le client ne saisit pas de telles données dans le logiciel.

Annexe 2 – Autres sous-traitants

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne – services de centre de données (serveurs, base de données, stockage de documents, sauvegardes) à Falkenstein et Nuremberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Allemagne – envoi d'e-mails pour le compte du client.
• Stripe Payments Europe Ltd., Dublin, Irlande, traite les données de paiement du client en tant que responsable du traitement distinct et n'est pas un autre sous-traitant pour les données du client au sens du présent accord.

Annexe 3 – Mesures techniques et organisationnelles

• Contrôle de l'accès physique et aux systèmes : serveurs dans des centres de données Hetzner certifiés ISO 27001 ; administration uniquement par SSH avec authentification par clé et via un réseau privé ; la base de données n'est pas accessible depuis l'Internet public.
• Contrôle de l'accès aux données : autorisations fondées sur des rôles (propriétaire, éditeur, lecteur) par organisation ; séparation des clients au niveau de la base de données au moyen de l'identifiant de l'organisation dans chaque requête ; les niveaux d'accès aux contenus des passeports (public, intérêt légitime, autorité) sont appliqués côté serveur dans une fonction de filtrage unique.
• Authentification : mots de passe sous forme de hachages scrypt ; sessions avec jetons aléatoires dans la base de données, 30 jours ; vérification de l'adresse e-mail avant tout accès en écriture ; limitation des tentatives de connexion, d'inscription et de réinitialisation ; clés d'API stockées uniquement sous forme de hachage.
• Transmission : TLS pour toutes les connexions ; Content Security Policy ; webhooks signés (HMAC) avec secrets stockés de manière chiffrée.
• Intégrité : chaque publication d'un passeport crée une version avec une chaîne de hachage (hachage précédent) ; journal d'audit de toutes les opérations d'écriture ; aucune suppression physique avant l'expiration des délais contractuels.
• Disponibilité : sauvegarde quotidienne de la base de données et du stockage de documents avec une conservation d'au moins 30 jours sur un second site ; tests de restauration réguliers ; surveillance de la disponibilité.
• Séparation : données de production séparées des environnements de développement et de test ; les passeports de la formule Pilot sont signalés comme données de test.
• Organisation : minimisation des données intégrée au logiciel (uniquement les champs requis pour le passeport) ; examen de sécurité à chaque modification du service ; documentation des incidents ; mises à jour régulières des composants du système.