Accord de traitement des données TwinOry

1. Instructions des parties et champ d'application

Le présent DPA ne s'applique que lorsque le client/responsable du traitement identifié dans un ENT-02 signé charge SMARTEDTECH SL en qualité de sous-traitant pour TwinOry. Pour les besoins propres de l'opérateur, de facturation, de sécurité ou d'obligations légales, il peut en revanche être responsable du traitement. Les prestataires et institutions indépendants restent responsables de leur propre traitement. L'annexe A doit identifier l'objet, la durée, la nature, la finalité, les catégories de données, les personnes concernées, les instructions du responsable du traitement et les lieux autorisés avant le début du traitement. Aucune annexe laissée en blanc n'autorise un traitement sans restriction.

2. Finalité documentée et confidentialité

Le sous-traitant n'agit que sur instructions documentées, y compris pour les transferts, sauf si le droit impératif en dispose autrement ; il informe le responsable du traitement de cette exigence lorsque la loi le permet. Il signale sans délai une instruction qu'il estime raisonnablement illicite. Seul le personnel qui a besoin d'accéder aux données est autorisé, formé et tenu à la confidentialité. Le présent DPA n'emporte aucune publicité, aucune revente ultérieure, aucun entraînement de modèle sans lien, aucun enrichissement interplateforme ni aucune publication de données privées.

3. Sécurité et accès autorisés

Mettre en œuvre des mesures adaptées au risque au titre de l'article 32, documentées à l'annexe B : isolement des tenants/RLS, moindre privilège et MFA pour les accès privilégiés, chiffrement et gestion des clés lorsqu'ils sont effectivement mis en œuvre, masquage des secrets, gestion des correctifs et des vulnérabilités, restauration et reprise testées, intégrations au périmètre limité, contrôles des téléversements, escalade des incidents et intégrité des preuves. Il s'agit d'exigences contractuelles à justifier, et non d'une certification selon laquelle chaque mesure a déjà été validée. Expliquer et corriger les écarts substantiels avant tout traitement en production. Aucun contenu privé n'est inscrit dans les journaux de consentement immuables ; utiliser des références minimisées et une conservation licite.

4. Sous-traitants ultérieurs et transferts

L'annexe C identifie chaque sous-traitant ultérieur réel, sa finalité, son lieu, l'accès aux données et le fondement de l'autorisation. Dans le cadre d'une autorisation écrite générale, notifier les ajouts ou remplacements envisagés et permettre une procédure d'objection raisonnable et convenue ; résoudre la difficulté ou cesser le traitement concerné si des garanties licites ne peuvent être convenues. Imposer des obligations de traitement équivalentes et demeurer responsable comme l'exige l'article 28. Les transferts restreints exigent l'instrument valide réellement conclu et l'évaluation prévue dans DAT-02. Un logo de fournisseur ou un paramètre d'API ne constitue ni un DPA signé ni une garantie de transfert.

5. Droits et incidents

Assister le responsable du traitement pour les demandes des personnes concernées au moyen d'une authentification proportionnée et d'une recherche, d'un export, d'une rectification ou d'un effacement limités au périmètre. Ne pas décider seul de la réponse, sauf autorisation ou obligation légale. Notifier au responsable du traitement une violation de données à caractère personnel sans retard injustifié après en avoir pris connaissance, avec les faits disponibles, les catégories et nombres approximatifs, les conséquences probables, les mesures d'atténuation et un contact. Fournir des mises à jour progressives et conserver les preuves pertinentes ; ne pas attendre un rapport parfait. L'obligation du responsable du traitement de notifier l'autorité de contrôle dans un délai de 72 heures est distincte de la notification du sous-traitant et ne s'attache pas automatiquement à chaque alerte de sécurité. Les parties coordonnent les notifications aux personnes concernées sans bloquer les délais légaux.

6. Analyses, audit et autorités

Fournir les informations raisonnablement nécessaires à la conformité à l'article 28, les preuves de sécurité pertinentes, l'assistance aux analyses d'impact (DPIA) et à la consultation préalable, ainsi que des audits et inspections proportionnés, sous réserve de la confidentialité, de la sécurité et des droits des tiers. Limiter l'accès aux données pertinentes ; ne jamais exiger des secrets bruts ni les documents de tenants sans lien. L'accès légal de l'autorité de contrôle est préservé. Ne pas refuser une coopération d'audit essentielle au seul motif qu'un certificat n'est pas disponible.

7. Fin du service et conservation

Au choix du responsable du traitement, restituer ou supprimer les données à caractère personnel et les copies existantes à la fin du service instruit, sauf si le droit impératif impose une conservation particulière. Convenir dans l'annexe D du format d'export réel, du calendrier, de l'expiration des sauvegardes et de la vérification de la suppression. Limiter tout document légalement conservé à la finalité et à la durée précises. L'exigence de preuve en ajout seul n'autorise pas à conserver indéfiniment un contenu identifiable ; minimiser les charges utiles ou les séparer par un procédé cryptographique, conformément au droit approuvé et à la conception technique.

8. Annexes d'exécution

L'annexe A utilise les champs service/objet/finalité d'ENT-02 ; l'annexe B est la liste des mesures techniques et organisationnelles (TOMs) étayée par des preuves ; l'annexe C est le registre réel des destinataires, des lieux et des avis de changement ; l'annexe D indique la conservation, l'export, la suppression et les contacts d'incident. Elles demeurent des faits manquants jusqu'à ce qu'elles soient complétées à partir de la configuration du tenant et du service. Signature par le responsable du traitement et le sous-traitant réels. Les obligations légales de traitement et les droits impératifs prévalent sur les stipulations commerciales incompatibles.

Conditions propres à la plateforme

Rôles relatifs aux données

1. Données de la plateforme. L'Opérateur est le responsable du traitement des données à caractère personnel traitées pour exploiter la plateforme : compte, vérification d'identité, registres d'acceptation, paiements, sécurité, assistance, communications et mesure d'audience.

2. Données de fourniture du prestataire. Lorsqu'un prestataire fournit des services à un client par l'intermédiaire de la plateforme, le prestataire est un responsable du traitement indépendant des données dont il a besoin pour cette fourniture (réservation, commande, dossiers cliniques, éducatifs ou professionnels), et l'Opérateur est responsable du traitement du registre de la transaction au niveau de la plateforme. Chaque partie respecte ses propres obligations ; aucune n'agit pour l'autre.

3. Services de sous-traitance. Lorsque l'Opérateur traite des données à caractère personnel pour le compte d'un client professionnel selon les instructions de ce client (par exemple les données des salariés d'un tenant d'entreprise), l'accord de traitement des données (DAT-01) s'applique et régit le traitement ; il est signé dans le cadre de la commande.

4. Partage entre plateformes SET. Les données à caractère personnel ne sont pas partagées avec une autre plateforme exploitée par l'Opérateur ou son groupe, sauf si vous activez la destination précise dans vos paramètres. L'activation d'une destination n'active pas les autres, et vous pouvez la désactiver à tout moment.

5. Transferts internationaux. Les données à caractère personnel sont conservées dans l'Espace économique européen (ou, pour wellbridge.uk, au Royaume-Uni). Lorsqu'un sous-traitant situé en dehors de ces zones est utilisé, le transfert est couvert par des clauses contractuelles types ou par le UK Addendum/IDTA, indiqués dans l'annexe des sous-traitants ultérieurs.

---