Accord de traitement des données (DPA)

Article 1 – Parties, objet et champ d’application

Le présent accord (le « DPA ») fixe les conditions dans lesquelles HaiSoft traite des données personnelles pour le compte de ses clients, conformément à l’article 28 du Règlement (UE) 2016/679 (« RGPD »).

Entre :

• HaiSoft SARL, au capital de 250 000 €, RCS Orléans 451 475 651, siège social 7 rue Vieille Levée, 45100 Orléans, représentée par Frédéric VAGNER, gérant, agissant tant en son nom propre que sous ses enseignes SG Autorépondeur et MailJump (ci-après le « Sous-traitant ») ;
• le Client, tel qu’identifié dans son espace client ou dans le bon de commande (ci-après le « Responsable de traitement »).

Champ d’application. Le DPA s’applique à tous les services HaiSoft dans le cadre desquels HaiSoft héberge ou traite des données personnelles dont le Client détermine les finalités et les moyens : hébergement web, serveurs dédiés et virtuels infogérés, messagerie, sauvegarde, et service d’e-mailing commercialisé sous les enseignes SG Autorépondeur et MailJump (ci-après le « Service d’e-mailing »).

Formation du contrat. Le DPA fait partie intégrante des conditions générales de vente HaiSoft (les « CGV ») et s’applique dès l’acceptation de celles-ci. Il peut aussi être signé séparément à la demande du Client ; la version signée prévaut alors sur la version en ligne.

Primauté. En cas de contradiction entre le DPA et les CGV sur un point relatif à la protection des données personnelles, le DPA prévaut.

Article 2 – Définitions et rôles des parties

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne l’article 4 du RGPD.

• Données du Client : les données personnelles que le Client, ses utilisateurs ou ses propres clients stockent, transmettent ou font traiter via les services HaiSoft (contenus hébergés, boîtes e-mail, bases de données, listes de contacts du Service d’e-mailing, etc.).
• Sous-traitant ultérieur : tout tiers auquel HaiSoft confie tout ou partie du traitement des Données du Client.

Répartition des rôles. Pour les Données du Client, le Client est responsable de traitement et HaiSoft est sous-traitant. Le Client garantit qu’il dispose d’une base légale pour chaque traitement, qu’il a informé les personnes concernées et, pour le Service d’e-mailing, qu’il a recueilli leur consentement lorsque la loi l’exige.

Hors champ. Les données que HaiSoft traite pour son propre compte (gestion des comptes clients, facturation, support, prévention des abus, journaux techniques nécessaires à la sécurité) relèvent de la politique de confidentialité HaiSoft, HaiSoft agissant alors comme responsable de traitement.

Article 3 – Obligations du sous-traitant

HaiSoft traite les Données du Client uniquement pour fournir les services commandés, selon les instructions documentées du Client.

1. Instructions. Les instructions du Client sont constituées par les CGV, le présent DPA, la configuration des services réalisée par le Client et ses demandes écrites. Si HaiSoft estime qu’une instruction enfreint le RGPD, elle en informe le Client sans délai et peut suspendre son exécution.
2. Obligation légale. Si HaiSoft est tenue par la loi de traiter ou communiquer des Données du Client (réquisition judiciaire, par exemple), elle en informe le Client avant le traitement, sauf si la loi l’interdit.
3. Non-utilisation. HaiSoft n’utilise, ne vend, ne loue ni ne communique les Données du Client à des fins propres, notamment commerciales ou publicitaires.
4. Confidentialité. Les personnes autorisées à accéder aux Données du Client sont soumises à une obligation de confidentialité, contractuelle ou légale. Les accès sont limités à ce qui est nécessaire à l’exécution des services, au support demandé par le Client et à la sécurité.
5. Sécurité. HaiSoft met en œuvre les mesures techniques et organisationnelles décrites en annexe 2, conformément à l’article 32 du RGPD, et les fait évoluer selon l’état de l’art. HaiSoft peut les modifier à condition de ne pas réduire le niveau global de protection.
6. Registre. HaiSoft tient le registre des catégories d’activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).
7. Partage des responsabilités. Sur les services non infogérés (serveur administré par le Client, accès root), la sécurité du système d’exploitation, des applications et des données relève du Client. HaiSoft reste responsable de la sécurité physique, de l’infrastructure et du réseau.

Article 4 – Sous-traitants ultérieurs

Le Client donne à HaiSoft une autorisation générale de recourir à des sous-traitants ultérieurs, dans les conditions suivantes.

• Liste. La liste à jour des sous-traitants ultérieurs figure en annexe 3 et sur le site HaiSoft.
• Information préalable. HaiSoft informe le Client par e-mail de tout ajout ou remplacement au moins 30 jours avant sa prise d’effet.
• Droit d’objection. Le Client peut s’opposer au changement pour un motif légitime lié à la protection des données, par écrit, pendant ce délai. À défaut d’accord sur une solution alternative, le Client peut résilier le service concerné sans frais avant la prise d’effet du changement ; les sommes payées d’avance pour la période non consommée lui sont remboursées.
• Mêmes obligations. HaiSoft impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent DPA.
• Responsabilité. HaiSoft reste pleinement responsable envers le Client de l’exécution des obligations de ses sous-traitants ultérieurs.

Article 5 – Droits des personnes, violations de données et assistance

Droits des personnes. Le Client répond lui-même aux demandes des personnes concernées (accès, rectification, effacement, opposition, portabilité, limitation), en priorité grâce aux outils de son espace client. Si une personne s’adresse directement à HaiSoft, HaiSoft transmet sa demande au Client sous 5 jours ouvrés et n’y répond pas elle-même, sauf instruction du Client. Pour le Service d’e-mailing, les désinscriptions faites par lien de désabonnement sont appliquées automatiquement.

Violations de données. HaiSoft notifie au Client toute violation de données personnelles affectant les Données du Client dans un délai maximal de 48 heures après en avoir pris connaissance, à l’adresse e-mail du contact technique de l’espace client. La notification contient, dans la mesure du possible :

• la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés ;
• les conséquences probables ;
• les mesures prises ou proposées pour y remédier et en limiter les effets ;
• le nom et les coordonnées d’un interlocuteur chez HaiSoft.

Les informations peuvent être communiquées en plusieurs fois. Il appartient au Client, responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées.

Assistance. HaiSoft fournit au Client les informations raisonnablement nécessaires à la réalisation d’une analyse d’impact (AIPD) ou d’une consultation de la CNIL. Une assistance dépassant la simple communication d’informations existantes peut être facturée au tarif en vigueur, après devis accepté.

Article 6 – Localisation et transferts

Les Données du Client sont hébergées et sauvegardées exclusivement en France. HaiSoft ne transfère aucune Donnée du Client hors de l’Union européenne sans l’accord écrit préalable du Client et sans garanties appropriées au sens du chapitre V du RGPD. Un accès ponctuel depuis l’étranger par le Client lui-même n’est pas un transfert réalisé par HaiSoft.

Article 7 – Fin du contrat

À la fin du service, quelle qu’en soit la cause :

1. le Client peut récupérer ses données par les outils d’export de son espace client pendant 60 jours après la désactivation du service ;
2. au terme de ce délai, HaiSoft supprime les Données du Client de ses systèmes de production ;
3. les copies présentes dans les sauvegardes sont effacées au fil de leur rotation, au plus tard 12 mois après la suppression ; d’ici là, elles ne servent qu’à restaurer les systèmes après un incident ;
4. HaiSoft fournit, sur demande, une attestation de suppression.

HaiSoft peut conserver les Données du Client au-delà de ces délais uniquement si la loi l’y oblige, et seulement pour cette finalité.

Article 8 – Audits

HaiSoft met à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA : description des mesures de sécurité, attestations, réponses à un questionnaire de sécurité raisonnable.

Le Client peut, une fois par an au plus (et à tout moment en cas de violation de données avérée), faire réaliser un audit par lui-même ou par un auditeur indépendant tenu au secret et non concurrent de HaiSoft. L’audit est annoncé par écrit 30 jours à l’avance, se déroule pendant les heures ouvrées sans perturber les services ni compromettre la sécurité ou la confidentialité des données des autres clients. Ses frais sont à la charge du Client, sauf s’il révèle un manquement significatif de HaiSoft.

Article 9 – Responsabilité et durée

Chaque partie est responsable des dommages causés par ses manquements au RGPD et au présent DPA, dans les conditions de l’article 82 du RGPD. Entre professionnels, les limitations de responsabilité des CGV s’appliquent au présent DPA, sauf faute lourde ou dolosive.

Le DPA s’applique pendant toute la durée des services et jusqu’à la suppression effective des Données du Client. Il est soumis au droit français ; les litiges relèvent des juridictions prévues aux CGV.

Annexe 1 – Description des traitements

Le Client s’interdit de confier à HaiSoft des données sensibles au sens de l’article 9 du RGPD via le Service d’e-mailing. Pour les autres services, il en informe HaiSoft au préalable afin d’adapter les mesures de sécurité.

Annexe 2 – Mesures de sécurité

• Localisation : hébergement et sauvegardes en France, dans des centres de données dont l’accès physique est contrôlé.
• Accès : comptes nominatifs, principe du moindre privilège, authentification forte pour les accès d’administration, révocation des accès au départ d’un collaborateur.
• Réseau : pare-feu, filtrage et protection contre les attaques par déni de service, chiffrement des flux (TLS) pour les interfaces d’administration et les services exposés.
• Systèmes : application régulière des correctifs de sécurité sur les composants gérés par HaiSoft, surveillance et journalisation des événements de sécurité.
• Sauvegardes : sauvegardes régulières des services infogérés, conservées 12 mois au maximum, avec tests de restauration.
• Organisation : obligation de confidentialité du personnel, procédure de gestion des incidents et des violations de données, adresse de signalement abuse@haisoft.net.
• Service d’e-mailing : séparation logique des comptes clients, mots de passe stockés sous forme hachée, désinscription automatique, contrôle des volumes d’envoi.

Annexe 3 – Sous-traitants ultérieurs

À la date du présent DPA, HaiSoft n’a recours à aucun sous-traitant ultérieur pour l’ensemble de ses services, y compris le Service d’e-mailing. Toute évolution suivra la procédure de l’article 4.