Contrat de sous-traitance (art. 28 RGPD)

1. Parties et objet

1.1 Le responsable du traitement est l'utilisateur (ci-après le « donneur d'ordre »), le sous-traitant est iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Allemagne (ci-après « iBeekeeper »).

1.2 iBeekeeper traite des données à caractère personnel pour le compte du donneur d'ordre, dans la mesure où celui-ci les enregistre dans le Service dans le cadre du contrat d'utilisation (CGV). Durée : durée du contrat d'utilisation, augmentée des délais prévus au point 9.

2. Nature, finalité et étendue

3. Instructions

iBeekeeper ne traite les données que sur instruction documentée du donneur d'ordre. Les instructions sont définies de manière exhaustive dans le contrat d'utilisation ainsi que dans les paramètres et les fonctions du Service utilisés par le donneur d'ordre. Le donneur d'ordre donne toute autre instruction sous forme de texte à service@ibeekeeper.de. Si iBeekeeper estime qu'une instruction est illicite, iBeekeeper en informe sans délai le donneur d'ordre (art. 28, paragraphe 3, deuxième alinéa, du RGPD).

4. Confidentialité

iBeekeeper ne fait appel qu'à des personnes qui se sont engagées à respecter la confidentialité ou qui sont soumises à une obligation légale de secret.

5. Mesures techniques et organisationnelles

iBeekeeper prend les mesures prévues à l'art. 32 du RGPD, décrites à l'annexe 1, et les adapte à l'état de la technique sans abaisser le niveau de protection.

6. Sous-traitants ultérieurs

6.1 Le donneur d'ordre autorise les sous-traitants ultérieurs mentionnés à l'annexe 2.

6.2 iBeekeeper informe le donneur d'ordre sous forme de texte, au moins 30 jours à l'avance, de tout recrutement ou remplacement envisagé. Le donneur d'ordre peut s'y opposer dans ce délai pour un motif grave tenant à la protection des données. Si les parties ne parviennent pas à un accord, le donneur d'ordre peut résilier le contrat d'utilisation à la date de la modification.

6.3 iBeekeeper impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données.

7. Assistance au donneur d'ordre

iBeekeeper assiste le donneur d'ordre, par des mesures appropriées, dans le traitement des demandes des personnes concernées (art. 12 à 22 du RGPD), notamment au moyen des fonctions d'export, de modification et de suppression du Service, ainsi que dans le respect des obligations prévues aux art. 32 à 36 du RGPD. Si une personne concernée s'adresse directement à iBeekeeper, iBeekeeper transmet la demande au donneur d'ordre.

8. Violations de données à caractère personnel

iBeekeeper notifie sans délai au donneur d'ordre toute violation de la sécurité des données traitées pour son compte, si possible dans les 48 heures après en avoir pris connaissance, avec les informations prévues à l'art. 33, paragraphe 3, du RGPD, dans la mesure où elles sont connues.

9. Suppression et restitution

Le donneur d'ordre peut à tout moment exporter et supprimer lui-même les données. Après la fin du contrat d'utilisation ou après la suppression du compte, iBeekeeper supprime les données traitées pour le compte du donneur d'ordre selon les délais prévus par les CGV (point 9.7), sauf obligation légale de conservation. Les sauvegardes quotidiennes sont supprimées après 30 jours, et un état par mois civil après 12 mois. Les sauvegardes sont chiffrées et ne sont utilisées que pour la restauration ; après une restauration, les données supprimées entre-temps sont de nouveau supprimées.

10. Preuves et contrôles

iBeekeeper met à la disposition du donneur d'ordre, sur demande, les informations nécessaires pour démontrer le respect de ces obligations et permet la réalisation d'audits par le donneur d'ordre ou par un auditeur mandaté par lui et tenu au secret, après annonce moyennant un délai raisonnable, pendant les heures ouvrables. La preuve est apportée en priorité au moyen de documents et de renseignements.

11. Responsabilité et dispositions finales

La responsabilité est régie par l'art. 82 du RGPD ; pour le reste, les CGV s'appliquent. En cas de contradiction, le présent contrat prévaut sur les CGV en ce qui concerne la protection des données à caractère personnel.

Annexe 1 : Mesures techniques et organisationnelles

• Accès physique et sécurité physique : serveurs exclusivement dans des centres de données d'OVHcloud, cocontractant OVH GmbH, Cologne ; contrôle de l'accès physique par OVHcloud conformément à son contrat de sous-traitance (version du 17/10/2025).
• Accès aux systèmes : connexion par mot de passe, mots de passe enregistrés uniquement sous forme de hachage ; accès administrateur aux serveurs uniquement par clé SSH.
• Accès aux données : droits dans le Service par compte, partages uniquement par l'utilisateur ; les accès administratifs sont journalisés (application d'administration, journal des actions sur les comptes clients).
• Transmission : chiffrement du transport TLS pour toutes les connexions ; photos sans métadonnées.
• Contrôle de la saisie : journal des modifications pour la comptabilité et les factures émises, archivage non modifiable avec somme de contrôle.
• Disponibilité : sauvegarde quotidienne de la base de données et des médias sur un stockage séparé (stockage objet d'OVHcloud en Allemagne) ; les sauvegardes quotidiennes sont supprimées après 30 jours, et un état par mois civil après 12 mois ; les sauvegardes sont chiffrées et ne sont utilisées que pour la restauration ; la restauration est testée au moins une fois par an et le résultat est documenté.
• Séparation : stockage des données multi-clients, requêtes par compte.
• Contrôle : mises à jour de sécurité des serveurs et des dépendances, vérification annuelle des mesures.

Annexe 2 : Sous-traitants ultérieurs

OVH GmbH fait elle-même appel à des sociétés du groupe OVHcloud, pour l'assistance et la maintenance également à OVH Hébergement Inc. (Canada) et à OVH Limited (Royaume-Uni) ; la liste actuelle est disponible à l'adresse https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

Ne sont pas des sous-traitants ultérieurs : Mollie, Apple et Google (paiement ou remise dans le cadre de leur propre relation avec l'utilisateur, aucune donnée traitée pour le compte du donneur d'ordre).