Accord de traitement de données (DPA)

1.1 Objet

Le présent DPA a pour objet d'organiser les conditions et modalités selon lesquelles le Sous-traitant traite les données à caractère personnel pour le compte du Responsable de traitement, dans le cadre des services fournis au titre des CGU.

1.2 Documents contractuels et hiérarchie

L'ensemble contractuel applicable entre les Parties comprend, par ordre de priorité décroissante :

• le bon de commande ou contrat de souscription signé entre les Parties ;
• les annexes techniques et tarifaires ;
• le présent DPA, pour toutes les questions relatives à la protection des données ;
• les CGU et la Politique de confidentialité.

En cas de contradiction sur les seules questions de protection des données à caractère personnel, les stipulations du présent DPA prévalent sur celles des CGU. Pour toutes les autres questions, l'ordre de priorité défini par les CGU s'applique.

1.3 Acceptation

L'acceptation du présent DPA est acquise par l'acceptation des CGU, dont il constitue l'annexe RGPD obligatoire. Aucune signature séparée n'est requise. Une version PDF imprimable peut être fournie sur demande écrite à contact@aqoona.com à des fins de documentation interne du Responsable de traitement.

1.4 Champ d'application

Le présent DPA s'applique à l'ensemble des données à caractère personnel traitées par le Sous-traitant pour le compte du Responsable de traitement dans le cadre de l'exécution des CGU, et ce pendant toute la durée du contrat et, le cas échéant, au-delà pour les obligations de réversibilité et de suppression.

Les termes en majuscules non définis dans le présent DPA ont le sens que leur attribuent les CGU ou, à défaut, le RGPD. Les termes suivants ont en particulier les significations suivantes :

• RGPD : Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel.
• Données : toutes données à caractère personnel traitées par le Sous-traitant pour le compte du Responsable de traitement, telles que décrites en Annexe 1.
• Personnes concernées : les personnes physiques dont les Données sont traitées (enfants accueillis, parents et représentants légaux, professionnels de la Crèche, personnes autorisées à venir chercher l'enfant, etc.).
• Sous-traitant ultérieur : tout tiers auquel le Sous-traitant fait appel pour réaliser, en tout ou partie, des opérations de traitement pour le compte du Responsable de traitement.
• Violation : violation de données à caractère personnel au sens de l'article 4-12 du RGPD.
• Instructions documentées : ensemble formé par les CGU, le présent DPA, ses annexes, les paramétrages effectués par le Responsable de traitement sur la Plateforme, et toute instruction écrite complémentaire adressée au Sous-traitant.
• MTO : mesures techniques et organisationnelles au sens de l'article 32 du RGPD, telles que détaillées en Annexe 2.

Pour certains traitements qu'il met en œuvre pour son propre compte (gestion commerciale, prospection, support, comptabilité, sécurité de la Plateforme), Aqoona agit en qualité de responsable de traitement indépendant. Ces traitements sont décrits dans la Politique de confidentialité et n'entrent pas dans le champ du présent DPA.

Le présent DPA n'institue aucune responsabilité conjointe au sens de l'article 26 du RGPD entre les Parties.

La nature, l'objet, la durée, les finalités, les catégories de Données traitées et les catégories de Personnes concernées sont décrits de manière détaillée à l'Annexe 1 — Description précise du traitement.

Le Sous-traitant ne traite les Données que pour les finalités prévues à l'Annexe 1 et conformément aux Instructions documentées. Tout traitement qui irait au-delà nécessite une autorisation préalable, écrite et expresse du Responsable de traitement.

Si le Sous-traitant estime qu'une instruction du Responsable de traitement constitue une violation du RGPD ou d'une autre disposition applicable, il en informe immédiatement le Responsable de traitement par écrit.

Conformément à l'article 28 du RGPD, le Sous-traitant s'engage à :

• traiter les Données uniquement sur Instructions documentées du Responsable de traitement, y compris en ce qui concerne les transferts hors UE ;
• veiller à ce que les personnes autorisées à traiter les Données s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles appropriées au regard du risque, telles que décrites à l'Annexe 2 ;
• respecter les conditions de recours à des sous-traitants ultérieurs prévues à l'article 8 du présent DPA ;
• assister le Responsable de traitement, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible et compte tenu de la nature du traitement, dans la réponse aux demandes d'exercice des droits des Personnes concernées (article 10) ;
• aider le Responsable de traitement à respecter ses obligations relatives à la sécurité, à la notification des violations, aux analyses d'impact (DPIA) et à la consultation préalable, prévues aux articles 32 à 36 du RGPD ;
• à l'issue du traitement, supprimer ou restituer les Données conformément à l'article 13 du présent DPA ;
• mettre à disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent DPA et permettre la réalisation d'audits dans les conditions de l'article 12 ;
• tenir un registre des catégories d'activités de traitement effectuées pour le compte du Responsable de traitement, conformément à l'article 30-2 du RGPD ;
• se conformer à toute autre obligation applicable au sous-traitant en vertu du RGPD ou du droit national pris pour son application.

6.1 Confidentialité

Le Sous-traitant s'engage à conserver strictement confidentielles toutes les Données auxquelles il a accès dans le cadre de l'exécution du présent DPA, pendant toute la durée du contrat et au-delà, sans limitation de durée.

6.2 Personnel autorisé

Le Sous-traitant garantit que toute personne sous son autorité (salariés, prestataires, stagiaires, etc.) :

• n'accède aux Données qu'en fonction du strict besoin opérationnel (principe du « need to know ») ;
• est soumise à une obligation de confidentialité contractuelle ou statutaire au moins équivalente à celle du présent article ;
• est formée et sensibilisée à la protection des données à caractère personnel ;
• est habilitée à un niveau d'accès cohérent avec ses fonctions, et fait l'objet d'une revue périodique des habilitations.

6.3 Cloisonnement

Les Données du Responsable de traitement sont cloisonnées logiquement de celles des autres clients d'Aqoona. Aucun accès croisé n'est possible entre clients.

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées, au regard de l'état de l'art, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des Personnes concernées.

L'ensemble de ces mesures est détaillé à l'Annexe 2.

Le Sous-traitant procède régulièrement à l'évaluation et à la mise à jour de ses mesures de sécurité afin de maintenir un niveau de protection en cohérence avec l'évolution des risques.

Le Responsable de traitement s'engage de son côté à utiliser la Plateforme de manière sécurisée : confidentialité des identifiants délivrés à ses Utilisateurs, paramétrage approprié des droits d'accès, sensibilisation de ses Utilisateurs, signalement immédiat de tout incident de sécurité.

8.1 Autorisation générale

Le Responsable de traitement autorise expressément le Sous-traitant à recourir aux Sous-traitants ultérieurs listés à l'Annexe 3 pour la fourniture des services. Cette autorisation constitue une autorisation écrite générale au sens de l'article 28-2 du RGPD.

8.2 Obligations contractuelles imposées aux sous-traitants ultérieurs

Le Sous-traitant impose à chaque Sous-traitant ultérieur, par contrat écrit, des obligations en matière de protection des données au moins équivalentes à celles prévues par le présent DPA, notamment en matière de confidentialité, de sécurité, de transferts hors UE et d'assistance.

8.3 Information préalable des changements

Le Sous-traitant informe par écrit le Responsable de traitement de tout changement envisagé concernant l'ajout ou le remplacement d'un Sous-traitant ultérieur ayant un impact significatif sur le traitement, dans un délai raisonnable avant la mise en œuvre du changement, en pratique au moins 30 jours.

8.4 Droit d'opposition motivée

Le Responsable de traitement dispose d'un délai de 30 jours à compter de la notification pour formuler une opposition motivée par écrit. En cas d'opposition motivée, les Parties s'efforcent de trouver une solution. Si aucune solution n'est trouvée dans un délai raisonnable, le Responsable de traitement peut résilier la part des services concernée par le Sous-traitant ultérieur en question, sans pénalité.

8.5 Responsabilité du fait des sous-traitants ultérieurs

Le Sous-traitant demeure pleinement responsable à l'égard du Responsable de traitement de l'exécution par le Sous-traitant ultérieur de ses obligations en matière de protection des données.

9.1 Principe : hébergement dans l'UE

Le Sous-traitant héberge l'ensemble des Données au sein de l'Union européenne. Aucun transfert structurel de Données hors UE n'est mis en œuvre.

9.2 Transits techniques accessoires

Certains services techniques accessoires (notamment l'acheminement des notifications mobiles via Apple Push Notification Service et Google Firebase Cloud Messaging) peuvent impliquer un transit technique en dehors de l'UE. Ces transferts sont :

• limités au strict minimum technique nécessaire ;
• encadrés par les mécanismes prévus aux articles 44 et suivants du RGPD (décisions d'adéquation, clauses contractuelles types) ;
• identifiés dans la documentation tenue par le Sous-traitant.

9.3 Évolution

Tout transfert nouveau hors UE non prévu au présent DPA fait l'objet d'une information préalable du Responsable de traitement et d'un encadrement juridique approprié.

10.1 Demandes d'exercice de droits des Personnes concernées

Lorsqu'une Personne concernée adresse directement au Sous-traitant une demande d'exercice de ses droits (accès, rectification, effacement, limitation, opposition, portabilité), le Sous-traitant :

• n'y donne pas suite de sa propre initiative ;
• transmet sans délai la demande au Responsable de traitement à l'adresse de contact communiquée par celui-ci ;
• fournit, dans la mesure du possible, l'assistance nécessaire au Responsable de traitement pour répondre dans les délais légaux.

10.2 Analyse d'impact (DPIA)

Le Sous-traitant assiste le Responsable de traitement dans la conduite des analyses d'impact relatives à la protection des données (DPIA) au sens de l'article 35 du RGPD, en lui fournissant les informations utiles sur la nature du traitement, les mesures de sécurité mises en œuvre et les risques associés.

10.3 Consultation préalable

Le Sous-traitant coopère avec le Responsable de traitement et avec l'autorité de contrôle compétente dans le cadre des consultations préalables prévues à l'article 36 du RGPD, le cas échéant.

10.4 Coût de l'assistance

L'assistance standard prévue au présent article est incluse dans les services. Toute prestation d'assistance manifestement disproportionnée par rapport au cadre standard (demandes complexes, volume important, fréquence anormale) peut faire l'objet d'un devis préalable, à des conditions raisonnables.

11.1 Délai de notification

Le Sous-traitant notifie au Responsable de traitement toute Violation de Données portant sur les Données traitées pour son compte, dans un délai maximum de quarante-huit (48) heures à compter de la prise de connaissance effective de la Violation.

11.2 Contenu de la notification

La notification précise, dans la mesure des informations alors disponibles :

• la nature de la Violation, y compris, si possible, les catégories et le nombre approximatif de Personnes concernées et de fiches concernées ;
• les conséquences probables de la Violation ;
• les mesures prises ou envisagées pour remédier à la Violation et en limiter les conséquences ;
• les coordonnées du point de contact d'Aqoona où des informations complémentaires peuvent être obtenues.

Si toutes les informations ne peuvent être fournies en même temps, elles le sont de manière échelonnée dans les meilleurs délais.

11.3 Coopération

Le Sous-traitant coopère pleinement avec le Responsable de traitement pour permettre à ce dernier de remplir ses propres obligations de notification à l'autorité de contrôle (CNIL, dans le délai de 72 heures prévu par l'article 33 du RGPD) et, le cas échéant, de communication aux Personnes concernées (article 34 du RGPD).

11.4 Mesures correctrices et registre

Le Sous-traitant met en œuvre, sans délai, toutes les mesures techniques et organisationnelles raisonnables pour contenir la Violation, en limiter les conséquences et prévenir sa reproduction. Il tient un registre des Violations conformément à l'article 33-5 du RGPD.

12.1 Étendue de l'audit documentaire

Le Sous-traitant met à disposition du Responsable de traitement, sur demande écrite raisonnable, les éléments documentaires permettant de démontrer le respect de ses obligations au titre du présent DPA, et notamment :

• les politiques internes pertinentes en matière de protection des données et de sécurité ;
• la description détaillée des mesures techniques et organisationnelles (Annexe 2 actualisée) ;
• la liste actualisée des Sous-traitants ultérieurs (Annexe 3) ;
• les rapports d'audit ou de tests d'intrusion réalisés par des tiers indépendants, en version synthétique ou intégrale selon leur sensibilité ;
• les attestations et certifications éventuelles (ISO 27001, HDS, SecNumCloud, etc.) du Sous-traitant ou de ses Sous-traitants ultérieurs lorsqu'elles sont disponibles ;
• les rapports d'audit ou attestations standard publiés par les Sous-traitants ultérieurs (ex. attestations SOC 2 ou ISO d'AWS) ;
• les réponses à un questionnaire raisonnable adressé par le Responsable de traitement ;
• les informations relatives aux Violations affectant le Responsable de traitement.

12.2 Limites

Compte tenu de la nature mutualisée des services et de la nécessité de préserver la confidentialité des autres clients ainsi que la sécurité de l'infrastructure :

• l'audit s'effectue exclusivement sur pièces, sans inspection physique des locaux ni accès à l'infrastructure technique ;
• le droit d'audit est limité à une demande par année civile, sauf en cas de Violation avérée affectant le Responsable de traitement ou de demande motivée d'une autorité de contrôle ;
• le Responsable de traitement ne peut pas mandater un auditeur qui serait un concurrent direct du Sous-traitant ;
• les Parties signent, si nécessaire, un engagement de confidentialité préalable à la communication des éléments les plus sensibles.

12.3 Délais et modalités

La demande d'audit documentaire est adressée par écrit à contact@aqoona.com, avec un préavis raisonnable d'au moins 30 jours. Le Sous-traitant fournit les éléments demandés dans un délai raisonnable, en règle générale sous 30 jours.

12.4 Frais

Les frais éventuellement engagés par le Responsable de traitement pour la conduite de son audit documentaire (auditeur, consultant) sont à sa charge exclusive. Le Sous-traitant supporte ses propres coûts internes de réponse, dans la limite d'une assistance raisonnable. Toute demande d'audit manifestement disproportionnée pourra faire l'objet d'une facturation au temps passé, à des conditions préalablement convenues.

12.5 Autorités de contrôle

Le présent article ne fait pas obstacle aux pouvoirs d'investigation des autorités de contrôle compétentes, auxquelles le Sous-traitant apporte la coopération prévue par le RGPD.

13.1 Fin du contrat

À l'issue du contrat, quelle qu'en soit la cause, le Sous-traitant procède, au choix du Responsable de traitement formulé par écrit dans un délai de 30 jours suivant la cessation :

• à la restitution des Données dans un format structuré et couramment lisible (CSV, JSON, PDF selon les contenus), conformément à l'article 14 des CGU ;
• à la suppression de l'ensemble des Données, sauf obligation légale de conservation.

À défaut d'instruction écrite du Responsable de traitement dans ce délai, le Sous-traitant procède à la suppression des Données.

13.2 Délais de suppression

La suppression des Données actives intervient dans un délai maximum de 90 jours à compter de la fin du contrat (ou de l'expiration du délai de réversibilité). Les sauvegardes techniques sont écrasées dans le cadre de leur cycle normal de rotation, dans un délai maximum de 6 mois.

13.3 Conservation des Données pour obligations légales

Le Sous-traitant conserve les Données strictement nécessaires au respect de ses propres obligations légales (notamment comptables, fiscales) pour la durée requise par la loi, ces Données étant alors traitées par le Sous-traitant en sa qualité de responsable de traitement indépendant.

13.4 Attestation

Sur demande écrite du Responsable de traitement, le Sous-traitant lui fournit une attestation de suppression effective des Données.

14.1 Partage de responsabilité

Chaque Partie répond, à l'égard de l'autre et des Personnes concernées, des conséquences de ses propres manquements à ses obligations en vertu du RGPD et du présent DPA.

Le Sous-traitant n'est responsable du dommage causé par le traitement que lorsqu'il n'a pas respecté les obligations du RGPD spécifiquement applicables aux sous-traitants ou qu'il a agi en dehors des Instructions documentées ou contrairement à celles-ci, conformément à l'article 82-2 du RGPD.

14.2 Plafond de responsabilité

Conformément à l'article 16 des CGU, la responsabilité totale du Sous-traitant au titre du présent DPA et des CGU, toutes causes confondues, est limitée à un montant équivalent à trois (3) mois d'abonnement effectivement réglés par le Responsable de traitement au titre des 12 mois précédant le fait générateur.

Ce plafond ne s'applique pas dans les cas où la loi interdit une telle limitation (dol, faute lourde, atteinte à l'intégrité de la personne).

14.3 Indemnisation réciproque

Chaque Partie indemnisera l'autre des conséquences pécuniaires (amendes administratives, condamnations civiles, frais de défense raisonnables) résultant directement d'un manquement de la première à ses propres obligations au titre du présent DPA.

14.4 Manquements du Responsable de traitement

Le Responsable de traitement est notamment responsable :

• de la licéité du traitement et notamment du recueil des consentements et autorisations nécessaires (en particulier les autorisations parentales relatives au droit à l'image des enfants) ;
• de l'exactitude des Données qu'il transmet au Sous-traitant ;
• de la pertinence des Instructions documentées qu'il adresse au Sous-traitant ;
• de la gestion des accès qu'il accorde à ses propres Utilisateurs (Professionnels, Parents) ;
• de l'information des Personnes concernées au titre des articles 13 et 14 du RGPD.

15.1 Durée

Le présent DPA prend effet à la même date que les CGU et reste en vigueur pendant toute la durée du contrat. Les obligations qui, par leur nature, sont destinées à perdurer (notamment la confidentialité, la suppression et la restitution des Données, la responsabilité) survivent à la cessation du DPA.

15.2 Modifications

Le Sous-traitant peut faire évoluer le présent DPA pour tenir compte d'évolutions légales ou réglementaires (RGPD, lignes directrices CNIL/CEPD, décisions de justice, etc.), d'évolutions techniques ou organisationnelles.

Toute modification substantielle est notifiée au Responsable de traitement au moins 30 jours avant son entrée en vigueur. En cas d'opposition motivée à une modification substantielle défavorable, le Responsable de traitement peut résilier le contrat sans pénalité dans un délai de 30 jours suivant la notification.

15.3 Mises à jour des annexes

Les Annexes 2 (MTO) et 3 (Sous-traitants ultérieurs) peuvent évoluer au fil du temps. Leur version actualisée est accessible à tout moment sur le site Aqoona et fait foi entre les Parties, sous réserve des notifications préalables prévues à l'article 8 pour les Sous-traitants ultérieurs.

Le présent DPA est régi par le droit français.

Tout différend relatif à la formation, à l'interprétation, à l'exécution ou à la rupture du présent DPA est soumis aux conditions de résolution amiable et de juridiction prévues à l'article 28 des CGU, à savoir : recherche d'une solution amiable, recours possible à un médiateur, et à défaut compétence exclusive des tribunaux du ressort de Thionville (57), sous réserve des règles d'ordre public applicables.