Accord de sous-traitance des données personnelles

Préambule — Parties et entrée en vigueur

Le présent accord de sous-traitance des données personnelles, ci-après l’« Accord » ou le « DPA », encadre les traitements de données à caractère personnel réalisés par NEXYA pour le compte de ses clients professionnels.

Le Sous-traitant

Igor POLOWCZYK, entrepreneur individuel exerçant sous le nom commercial GADIAMB FACTORY et exploitant la solution logicielle NEXYA.

• SIREN : 809 434 947 · SIRET : 809 434 947 00036.
• Adresse professionnelle : 6 rue Sodbronn, 67400 Illkirch-Graffenstaden, France.
• Contact relatif à la protection des données : contact@nexya.app.

Ci-après dénommé « NEXYA » ou le « Sous-traitant ».

Le Responsable du traitement

Toute personne physique ou morale agissant dans le cadre de son activité professionnelle et ayant souscrit aux services NEXYA, ci-après dénommée le « Client » ou le « Responsable du traitement ».

Le présent Accord fait partie intégrante du contrat de services conclu entre NEXYA et le Client, notamment des Conditions générales de vente applicables. Il prend effet à compter de son acceptation expresse et traçable par les Parties, notamment par signature électronique ou acceptation explicite dans l’interface NEXYA lorsqu’un tel mécanisme est proposé.

En cas de contradiction avec les autres documents contractuels, les dispositions du présent Accord prévalent pour les traitements réalisés par NEXYA pour le compte du Client, sous réserve des dispositions légales impératives.

Article 1 — Objet de l’Accord

Le présent Accord définit les conditions dans lesquelles NEXYA traite des données personnelles pour le compte du Client dans le cadre de la fourniture des services souscrits.

Il précise notamment le périmètre des traitements, les obligations des Parties, les mesures de confidentialité et de sécurité, le recours à des sous-traitants ultérieurs, la gestion des violations de données, l’assistance aux personnes concernées, la restitution ou la suppression des données et les modalités de contrôle.

Les Parties s’engagent à respecter le Règlement (UE) 2016/679 (« RGPD ») ainsi que les dispositions françaises applicables à la protection des données personnelles.

Article 2 — Qualification et responsabilités des Parties

2.1. Responsabilité du Client

Le Client agit en qualité de responsable du traitement pour les données personnelles qu’il collecte, importe, enregistre ou utilise au moyen de NEXYA dès lors qu’il en détermine les finalités et les moyens essentiels. Il lui appartient notamment de :

• déterminer les finalités et les bases légales de ses traitements ;
• fournir aux personnes concernées les informations requises et recueillir leur consentement lorsqu’il est nécessaire ;
• déterminer les durées de conservation applicables et traiter les demandes d’exercice des droits ;
• gérer les autorisations de ses collaborateurs et vérifier la licéité des données importées de systèmes externes ;
• réaliser, lorsque la réglementation l’exige, les analyses d’impact relatives à la protection des données.

Le Client garantit disposer des droits et autorisations nécessaires pour transmettre les données concernées à NEXYA. Il demeure responsable des instructions qu’il communique, sans préjudice des obligations légales propres au Sous-traitant.

2.2. Responsabilité de NEXYA

Pour les traitements effectués pour le compte du Client, NEXYA agit en qualité de sous-traitant et s’engage à :

• traiter les données uniquement sur instruction documentée du Client, sauf obligation légale contraire ;
• assurer la confidentialité et mettre en œuvre un niveau de sécurité adapté aux risques ;
• préserver l’isolation logique des données des entreprises clientes et encadrer les accès techniques ;
• informer le Client des violations de données et lui fournir l’assistance prévue par le présent Accord et la réglementation.

NEXYA agit en qualité de responsable du traitement pour les opérations dont il détermine lui-même les finalités et les moyens, notamment la gestion de ses prospects, de ses relations commerciales, des abonnements et de sa propre facturation. Ces traitements indépendants relèvent de la politique de confidentialité de NEXYA, et non du présent Accord.

Article 3 — Description des traitements

Les caractéristiques des traitements confiés à NEXYA sont précisées à l’annexe I. Selon les fonctionnalités souscrites, les opérations peuvent comprendre la collecte ou réception, l’enregistrement, l’organisation, le stockage, la consultation, la mise à disposition, la modification, le rapprochement, la synchronisation, l’extraction, l’exportation, la transmission, la sauvegarde, la restauration, l’archivage et la suppression des données.

Ces opérations sont réalisées pour fournir les fonctionnalités souscrites et conformément aux instructions documentées du Client. Les finalités peuvent notamment couvrir la gestion des ventes et opérations de caisse, de la clientèle et des historiques de transaction, des produits, stocks et entrepôts, des collaborateurs et habilitations, des intégrations e-commerce autorisées, des devis et documents commerciaux, des rapports, de la maintenance, des sauvegardes et de la sécurité.

NEXYA n’utilise pas les données personnelles confiées pour des finalités étrangères aux services et aux instructions documentées du Client, sous réserve d’un fondement juridique et d’une information appropriés lorsqu’il agit pour son propre compte.

Article 4 — Instructions documentées

Le Client autorise NEXYA à réaliser les opérations nécessaires aux services souscrits, conformément au présent Accord et aux fonctionnalités activées. Constituent notamment des instructions documentées :

• l’acceptation de l’Accord et la configuration initiale du service ;
• les actions réalisées dans NEXYA par les utilisateurs dûment habilités du Client ;
• les paramètres de conservation, d’exportation et d’intégration configurés par le Client ;
• les demandes écrites de représentants autorisés, lorsque NEXYA les accepte et qu’elles nécessitent une intervention spécifique.

NEXYA ne traite pas les données au-delà de ces instructions. Lorsqu’une obligation du droit de l’Union ou du droit français impose un traitement, NEXYA en informe préalablement le Client, sauf interdiction légale. Si NEXYA estime qu’une instruction viole le RGPD ou une autre disposition applicable, il en informe le Client sans retard injustifié et peut suspendre l’instruction manifestement illicite dans l’attente de sa clarification, dans la mesure permise par le droit applicable.

Les demandes nécessitant un développement, des moyens techniques supplémentaires ou des prestations hors abonnement peuvent faire l’objet d’un accord commercial distinct, sans priver le Client de ses droits impératifs.

Article 5 — Confidentialité

NEXYA veille à ce que les personnes autorisées à accéder aux données personnelles du Client soient soumises à une obligation appropriée de confidentialité, légale ou contractuelle. Les accès sont limités aux personnes dont l’intervention est nécessaire à la fourniture, l’administration, la maintenance ou l’assistance des services.

NEXYA prend des mesures adaptées pour prévenir les accès non autorisés et retirer les habilitations qui ne sont plus justifiées. L’obligation de confidentialité demeure applicable après la cessation de l’Accord, sous réserve des dispositions légales impératives.

Article 6 — Sécurité des données personnelles

6.1. Mesures adaptées aux risques

NEXYA met en œuvre des mesures techniques et organisationnelles appropriées afin d’assurer un niveau de sécurité adapté aux risques, en tenant compte de l’état des connaissances, des coûts de mise en œuvre, de la nature et des finalités des traitements ainsi que des risques pour les personnes concernées. Les mesures convenues sont détaillées à l’annexe III, qui doit correspondre aux dispositifs réellement déployés.

6.2. Contrôle des accès

Les mécanismes de contrôle des accès comprennent, selon les services concernés, l’authentification des utilisateurs, l’attribution des droits selon les fonctions, la restriction des privilèges d’administration, la protection des accès à l’infrastructure, la gestion des habilitations techniques et la révocation des accès devenus inutiles. Les accès privilégiés font l’objet de protections renforcées adaptées aux risques.

6.3. Isolation des entreprises

NEXYA met en œuvre des mécanismes d’isolation logique destinés à empêcher l’accès non autorisé d’une entreprise aux données d’une autre entreprise, notamment pour les données commerciales, clients, utilisateurs, documents et ressources associées. Les vulnérabilités susceptibles de compromettre cette isolation sont traitées en fonction de leur gravité.

6.4. Communications et secrets

Les communications entre les utilisateurs et les services NEXYA, ainsi que les transmissions vers les prestataires techniques, sont protégées par des mesures adaptées aux risques. Les secrets applicatifs, identifiants techniques et clés d’accès sont protégés afin de limiter leur divulgation et leur utilisation non autorisée.

6.5. Sauvegardes et disponibilité

NEXYA définit une politique de sauvegarde proportionnée aux risques et aux engagements contractuels. Elle précise la fréquence, la durée de conservation, la protection des sauvegardes et les procédures de restauration. Les paramètres effectivement applicables doivent être confirmés à l’annexe III. Des procédures visent à rétablir la disponibilité et l’accès aux données après un incident.

6.6. Maintenance et surveillance

NEXYA applique des procédures de maintenance et de gestion des vulnérabilités adaptées à son infrastructure. La surveillance, la journalisation et la maintenance respectent les principes de nécessité, de proportionnalité et de limitation des accès. Les journaux contenant des données personnelles sont soumis à des durées de conservation définies. Ces mesures ne garantissent pas l’absence absolue d’incident et ne dispensent pas NEXYA de ses obligations légales de sécurité.

Article 7 — Sous-traitants ultérieurs

7.1. Autorisation et liste

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs précisément identifiés à l’annexe II, pour les finalités et opérations qui y sont indiquées. Cette annexe doit être complétée et rendue accessible au Client avant l’acceptation de l’Accord. La liste provisoire affichée sur cette page ne constitue pas à elle seule une autorisation définitive.

7.2. Obligations

NEXYA sélectionne des prestataires présentant des garanties suffisantes et leur impose, par contrat ou acte juridique approprié, des obligations de protection des données équivalentes à celles applicables aux traitements concernés. NEXYA demeure responsable envers le Client de l’exécution par ses sous-traitants ultérieurs de leurs obligations de protection des données, conformément au RGPD.

7.3. Ajout ou remplacement

NEXYA informe le Client de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur, en indiquant son identité, sa fonction, les traitements concernés et les informations utiles sur leur localisation. Sauf urgence justifiée, le préavis proposé est de trente jours calendaires. Le Client peut adresser une objection motivée dans les quinze jours calendaires suivant l’information.

Les Parties recherchent alors une solution de bonne foi. À défaut de solution permettant le maintien d’un niveau de protection conforme, le Client peut résilier les prestations directement concernées avant l’entrée en fonction du prestataire, selon les conditions contractuelles applicables et sous réserve de ses droits impératifs. En cas d’urgence de sécurité justifiant un remplacement immédiat, NEXYA informe le Client dès que possible et préserve son droit d’objection.

Article 8 — Localisation et transferts internationaux

NEXYA documente la localisation des principales opérations de traitement. L’hébergement principal déclaré pour NEXYA est situé en France. L’hébergement dans l’Espace économique européen ne suffit toutefois pas à exclure un transfert international si un prestataire ou son personnel accède aux données depuis un pays tiers.

Tout transfert vers un pays situé hors de l’Espace économique européen doit respecter le chapitre V du RGPD. En l’absence de décision d’adéquation, NEXYA met en place un mécanisme de transfert approprié, notamment les clauses contractuelles types pertinentes de la Commission européenne lorsque leurs conditions sont réunies, ainsi que les mesures complémentaires requises.

NEXYA ne réalise pas de transfert international pour le compte du Client en dehors des instructions documentées et des garanties légales applicables. Les transferts liés aux intégrations externes sont identifiés avant leur mise en service. Le choix du Client d’activer une intégration ne supprime pas les obligations propres de NEXYA lorsqu’il intervient dans un transfert.

Article 9 — Exercice des droits des personnes concernées

Le Client demeure l’interlocuteur principal des personnes concernées pour les traitements dont il est responsable. Compte tenu de la nature des traitements et des informations disponibles, NEXYA l’assiste afin de lui permettre de répondre aux demandes relatives notamment aux droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, lorsqu’ils sont applicables.

Lorsqu’une demande relative aux données traitées pour le compte du Client est directement adressée à NEXYA, celui-ci la transmet sans retard injustifié au contact désigné par le Client. NEXYA ne répond pas sur le fond, sauf instruction documentée ou obligation légale. Les opérations respectent les obligations de conservation et les droits des tiers.

Article 10 — Violations de données personnelles

10.1. Détection et notification

Lorsqu’il prend connaissance d’une violation de données personnelles affectant les traitements réalisés pour le compte du Client, NEXYA en informe le Client sans retard injustifié. L’objectif opérationnel proposé est une première alerte dans les vingt-quatre heures suivant la prise de connaissance. Ce délai cible doit être validé avant acceptation de l’Accord. Une alerte initiale n’est pas retardée dans l’attente d’informations complètes ; elle peut être complétée au fur et à mesure de l’enquête.

10.2. Informations communiquées

Dans la mesure où elles sont disponibles, NEXYA communique la nature de la violation, sa date ou période estimée, les catégories de données et de personnes concernées, le nombre approximatif de personnes concernées, les conséquences probables, les mesures déjà prises ou envisagées et les coordonnées du point de contact chargé du suivi. Les informations manquantes sont transmises progressivement sans retard injustifié.

10.3. Gestion et notifications réglementaires

NEXYA prend les mesures relevant de sa responsabilité pour contenir la violation, limiter ses conséquences et réduire les risques de récurrence. Il conserve la documentation requise et coopère avec le Client. Pour les traitements réalisés pour le compte du Client, celui-ci détermine si l’incident doit être notifié à l’autorité de contrôle ou communiqué aux personnes concernées, sous réserve des obligations propres de NEXYA. NEXYA fournit les informations disponibles et n’effectue pas de notification au nom du Client sans instruction, sauf obligation légale contraire.

Article 11 — Assistance, documentation et audits

NEXYA met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations applicables au titre de l’article 28 du RGPD, notamment la documentation relative aux mesures de sécurité, aux sous-traitants ultérieurs, aux transferts et aux procédures pertinentes.

NEXYA apporte une assistance raisonnablement nécessaire pour la sécurité des traitements, la gestion des violations, les analyses d’impact et les consultations préalables de l’autorité de contrôle, lorsque cette assistance est requise.

NEXYA permet la réalisation des audits et inspections prévus par le RGPD et y contribue. Les Parties privilégient, lorsque cela est suffisant, les justificatifs documentaires et les audits à distance. Les interventions sur site ou nécessitant des moyens spécifiques sont organisées d’un commun accord pour préserver la sécurité de l’infrastructure, les secrets d’affaires et les données des autres clients. Ces modalités ne peuvent priver le Client de son droit légal de contrôle. Des coûts exceptionnels peuvent faire l’objet d’un accord préalable, sans empêcher l’exercice effectif des droits prévus par le RGPD.

Article 12 — Conservation, restitution et suppression

12.1. Pendant l’abonnement

Pendant l’exécution du contrat, les données sont traitées selon les instructions du Client, les paramètres effectivement proposés dans NEXYA et les obligations légales applicables. Le Client détermine les durées de conservation des données qu’il traite, sous réserve des contraintes techniques documentées et des dispositions impératives. NEXYA met en œuvre les fonctions contractuellement prévues pour permettre cette gestion.

12.2. Fin du contrat

À la fin des prestations de traitement, NEXYA restitue ou supprime les données personnelles, au choix du Client, sauf obligation légale de conservation. Le Client dispose des fonctions d’export prévues par son abonnement ou des modalités de restitution convenues. Les Parties définissent les modalités de restitution ou de suppression avant la fin effective du contrat.

12.3. Délais de réversibilité — à compléter

Les délais ci-dessous doivent être fixés après vérification des capacités d’export, des procédures d’effacement et du cycle réel des sauvegardes :

• Période pendant laquelle le Client peut demander ou effectuer la restitution après la cessation du service : À confirmer avant acceptation.
• Délai d’effacement des données actives après l’expiration de la période de restitution : À confirmer avant acceptation.
• Délai d’expiration ou d’effacement des copies présentes dans les sauvegardes : À confirmer avant acceptation.

À l’issue des délais convenus, NEXYA procède aux opérations de suppression applicables. Les données conservées pour répondre à une obligation légale sont isolées ou protégées et ne sont pas utilisées à d’autres fins incompatibles. NEXYA peut fournir, sur demande raisonnable, une confirmation écrite de la suppression. Les obligations légales de conservation des documents commerciaux et fiscaux du Client demeurent applicables.

Article 13 — Fonctionnalités d’intelligence artificielle

Lorsqu’une fonctionnalité NEXYA s’appuie sur un service d’intelligence artificielle tiers, son activation et ses conditions d’utilisation sont encadrées par les paramètres et documents contractuels applicables. L’activation d’une fonction ne constitue pas une autorisation générale de transmettre des données personnelles à un fournisseur tiers.

Tout traitement de données personnelles pour le compte du Client par une telle fonctionnalité doit reposer sur des instructions documentées et un encadrement contractuel approprié. Avant sa mise en service, le Client est informé des catégories de données transmises, des prestataires impliqués et des transferts internationaux éventuels.

NEXYA ne réutilise pas les données confiées par le Client pour entraîner ses propres modèles ou pour une finalité étrangère à la fourniture des services sans fondement juridique et autorisation appropriés. Les fonctions d’intelligence artificielle sont configurées de manière à éviter toute transmission non nécessaire de données personnelles.

Article 14 — Obligations de sécurité du Client

Le Client gère les comptes utilisateurs et les habilitations qu’il attribue au sein de son organisation. Il lui appartient notamment de :

• préserver la confidentialité de ses identifiants ;
• attribuer des droits adaptés aux fonctions et supprimer ou désactiver les accès inutiles ;
• protéger les équipements utilisés pour accéder à NEXYA ;
• signaler sans retard injustifié toute suspicion de compromission ;
• vérifier la licéité des données transmises aux services externes qu’il choisit d’activer.

Le partage d’identifiants entre collaborateurs est déconseillé et peut compromettre la traçabilité. Ces obligations ne réduisent pas les obligations propres de NEXYA, notamment pour les mécanismes d’authentification et d’habilitation fournis par la plateforme.

Article 15 — Responsabilité et coopération

Chaque Partie répond des obligations qui lui incombent au titre du RGPD et du présent Accord. Les Parties coopèrent de bonne foi afin de résoudre les difficultés relatives à la protection des données. La responsabilité de chacune est appréciée conformément au droit applicable, notamment à l’article 82 du RGPD.

Aucune stipulation du présent Accord ou des Conditions générales de vente ne prive les personnes concernées de leurs droits ni ne limite une responsabilité lorsque la réglementation l’interdit. Les limitations de responsabilité prévues dans les Conditions générales de vente ne s’appliquent que dans la mesure autorisée par la loi.

Article 16 — Durée, évolution et fin de l’Accord

L’Accord entre en vigueur à la date de son acceptation expresse par les Parties et reste applicable pendant toute la durée des prestations de traitement réalisées pour le compte du Client. Les obligations de confidentialité, de restitution et de suppression survivent à son expiration dans la mesure nécessaire à leur exécution.

Toute modification substantielle est communiquée au Client avant son entrée en vigueur et recueille son acceptation lorsqu’elle est requise. Une modification ne peut diminuer les garanties obligatoires prévues par la réglementation.

Article 17 — Droit applicable

Le présent Accord est soumis au droit français et aux dispositions directement applicables du droit de l’Union européenne. Tout différend relatif à son interprétation ou à son exécution est soumis aux règles légales de compétence juridictionnelle applicables. Les droits des personnes concernées et les compétences des autorités de contrôle ne peuvent être restreints par une clause attributive de juridiction.

Annexe I — Description des traitements

Personnes et données concernées

Les personnes concernées peuvent comprendre les clients et prospects des entreprises utilisatrices, leurs collaborateurs et représentants, ainsi que les contacts de fournisseurs et partenaires enregistrés dans NEXYA.

Selon les fonctionnalités activées, les catégories de données peuvent inclure des données d’identification et de contact, des informations commerciales et professionnelles, des historiques de commandes et de transactions, des références de paiement, des données de connexion et des journaux d’activité.

NEXYA n’a pas vocation à recevoir ou conserver les données complètes de carte bancaire, notamment le numéro de carte et le cryptogramme. Les paiements par carte relèvent des solutions de paiement concernées ; seules les références ou informations nécessaires au suivi de la transaction peuvent être traitées dans NEXYA.

Les données sensibles au sens de l’article 9 du RGPD et les données relatives aux condamnations pénales et aux infractions ne sont pas destinées à être traitées dans le cadre standard des services. Tout traitement envisagé de ces données doit faire l’objet d’une analyse préalable et de garanties appropriées. Le périmètre effectif dépend des services souscrits et des données saisies par le Client.

Annexe II — Registre provisoire des sous-traitants ultérieurs

La présente annexe doit recenser les prestataires qui traitent effectivement, pour le compte de NEXYA, les données confiées par le Client. Elle doit être complétée avant acceptation de l’Accord.

Pour chaque prestataire, NEXYA documente l’identité juridique, le service rendu, les catégories de données traitées, la localisation et les garanties contractuelles applicables. Les fournisseurs de paiement, plateformes e-commerce et services d’intelligence artificielle sont qualifiés selon leur rôle réel. Un prestataire contracté directement par le Client n’est pas automatiquement un sous-traitant ultérieur de NEXYA.

Tant que cette liste n’est pas exhaustive et documentée, elle ne vaut pas autorisation définitive de sous-traitance ultérieure.

Annexe III — Mesures techniques et organisationnelles

Cette annexe doit décrire les mesures réellement déployées et être validée avant l’acceptation de l’Accord. Les mentions « à documenter » ne constituent pas des engagements techniques déjà vérifiés.

NEXYA conserve une documentation interne de ses mesures et la met à jour lorsque les évolutions de l’infrastructure ou des fonctionnalités modifient les risques identifiés.

Annexe IV — Instructions particulières du Client

Selon les fonctionnalités souscrites et les choix effectués dans NEXYA, les instructions du Client portent notamment sur :

• les collaborateurs habilités ;
• les intégrations externes autorisées ;
• les fonctionnalités facultatives activées ;
• les paramètres de conservation disponibles ;
• les modalités de restitution convenues et les instructions supplémentaires communiquées par écrit.

Le Client peut modifier ses instructions dans les limites du service souscrit et du présent Accord. Toute instruction sortant du périmètre fonctionnel ou juridique initial est examinée par les Parties avant exécution.