Contrat de sous-traitance

1. Entre qui, et sur quoi

D'un côté GS Informatique, EURL, SIREN 925 179 079, 26 bis rue de la Mairie, 73460 Frontenex, représentée par Gerald Sonzogni — le sous-traitant. De l'autre vous, titulaire du compte ArkiaSuite — le responsable de traitement.

Ce contrat encadre les traitements que nous effectuons pour vous dans le cadre du service ArkiaSuite. Il complète nos conditions générales de vente et notre politique de confidentialité, dont il fait partie intégrante. En cas de contradiction entre les trois sur un point de protection des données, c'est le présent contrat qui l'emporte.

Il ne couvre pas les données dont nous sommes nous-mêmes responsables : votre nom, votre adresse de facturation, vos factures, nos échanges de dépannage. Celles-là relèvent de notre politique de confidentialité.

2. Ce que nous traitons, et pourquoi

L'article 28.3 du RGPD exige que ceci soit écrit noir sur blanc. Le voici.

Une conséquence, qu'il vaut mieux dire tout de suite : si vous déposez des données sensibles au sens de l'article 9 — santé, opinions, appartenance syndicale, données biométriques — vous le faites sous votre responsabilité. Nous ne pouvons pas savoir ce que contient un fichier que nous ne lisons pas. C'est à vous d'apprécier si notre niveau de sécurité, décrit en annexe 2 sans rien enjoliver, convient à ce que vous nous confiez.

3. Nous n'agissons que sur vos instructions

Nous ne traitons vos données que sur votre instruction documentée. Votre instruction, c'est le contrat lui-même et l'usage que vous faites du service : ce que vous déposez, ce que vous partagez, ce que vous effacez.

Nous n'y touchons en dehors de cela que dans trois cas, et aucun autre :

• vous nous le demandez, par écrit ou par téléphone, pour vous dépanner ;
• une opération technique l'exige — une restauration, une migration, une réparation de base de données — et elle est alors la plus étroite possible ;
• la loi nous y oblige. Dans ce cas nous vous en informons avant d'agir, sauf si cette information nous est elle-même interdite.

Si une de vos instructions nous paraît contraire au RGPD, nous vous le disons et nous pouvons suspendre son exécution.

4. Qui peut voir vos données

Une seule personne : Gerald Sonzogni, gérant et unique salarié de GS Informatique. Il n'y a pas d'équipe support, pas d'astreinte externalisée, pas de prestataire d'infogérance. C'est à la fois notre meilleure garantie et notre limite, et nous préférons l'écrire.

L'accès administrateur permet techniquement de lire vos fichiers — c'est vrai de tout hébergeur qui ne fait pas de chiffrement de bout en bout, et nous ne prétendons pas en faire. Il n'est utilisé que dans les trois cas de l'article 3. Toute personne qui viendrait à disposer de cet accès y serait tenue par un engagement de confidentialité écrit, survivant à la fin de sa mission.

5. Comment nous protégeons ce que vous déposez

Les mesures techniques et organisationnelles de l'article 32 du RGPD sont détaillées en annexe 2, avec leurs limites. En résumé : chiffrement de toutes les liaisons, mots de passe jamais stockés en clair, double authentification disponible, sauvegardes quotidiennes vérifiées sur deux sites distants de 40 km, et chiffrées dès qu'elles sortent de nos locaux.

La limite, écrite ici plutôt qu'ailleurs : au repos, sur place, les disques ne sont pas chiffrés. Ils sont dans une baie fermée à clé, dans un local privé. Un chiffrement dont la clé dort à côté du disque n'aurait rien protégé de plus — mais c'est une serrure qui les protège, pas des mathématiques, et vous devez le savoir pour décider.

Nous réévaluons ces mesures au moins une fois par an, et à chaque évolution du service.

6. Nos propres sous-traitants

Aucun tiers n'intervient sur vos contenus. Aucun.

Pas d'hébergeur, pas de centre de données loué, pas de sauvegarde chez un opérateur de stockage, pas de service d'antivirus dans le nuage, pas d'outil d'analyse. Vos fichiers et vos courriels ne sont lisibles que par nos propres machines, à Frontenex et à Faverges. C'est ce qui nous distingue le plus nettement des offres auxquelles vous nous comparez, et c'est aussi ce qui nous coûte le plus cher.

Trois tiers interviennent tout de même, sur autre chose que vos contenus. Les voici tous :

Vous nous autorisez à recourir à ces trois-là. Si nous devions en ajouter un quatrième, nous vous préviendrions au moins un mois avant. Vous pourriez alors vous y opposer, et résilier sans frais ni pénalité si nous maintenions notre choix.

7. Aucun transfert hors d'Europe

Vos données ne quittent pas l'Union européenne. Elles ne quittent d'ailleurs pas la Savoie et la Haute-Savoie, sauf le trajet jusqu'à votre écran.

Nous ne sommes soumis à aucune législation extraterritoriale de communication de données. GS Informatique est une entreprise française, détenue par une personne française, dont toutes les machines sont en France : le CLOUD Act américain, qui permet à une autorité des États-Unis de réclamer des données à une société de droit américain où qu'elles soient stockées, ne peut pas s'appliquer à nous. C'est une différence de nature, pas de degré, avec un hébergement chez Microsoft, Google ou Amazon — y compris quand ceux-ci annoncent des serveurs en France.

Toute réquisition nous parvenant proviendrait donc d'une autorité française ou européenne, dans un cadre judiciaire que vous pouvez contester. Nous vous en informerions, sauf interdiction légale.

8. Si quelqu'un exerce ses droits auprès de vous

Accès, rectification, effacement, portabilité, opposition : ces demandes vous sont adressées, à vous, et c'est à vous d'y répondre. Nous vous y aidons.

Concrètement, la plupart du temps vous n'aurez besoin de personne : vous pouvez exporter, corriger et supprimer vous-même, à tout moment, sans nous demander quoi que ce soit. Si un cas dépasse ce que l'interface permet, écrivez à contact@arkiasuite.fr : nous vous répondons sous 5 jours ouvrés, et sans facturer cette assistance.

Si une personne concernée s'adresse à nous directement, nous ne lui répondons pas à votre place : nous la renvoyons vers vous et nous vous prévenons.

Nous vous aidons de la même façon pour vos obligations des articles 32 à 36 : analyse d'impact, consultation préalable de la CNIL, sécurité. Notre part est de vous fournir les informations que nous seuls détenons.

9. Si nos données sont violées

Nous vous prévenons dans les 48 heures suivant le moment où nous en avons connaissance. Ce délai n'est pas choisi au hasard : la loi vous en donne 72 pour notifier la CNIL, il vous en reste donc 24 pour décider.

Le message vous dira, au minimum :

• ce qui s'est passé, et quand ;
• quelles catégories de données et combien de personnes sont concernées, autant que nous puissions l'établir ;
• les conséquences probables ;
• ce que nous avons déjà fait, et ce que nous vous recommandons de faire.

Si tout n'est pas connu au bout de 48 heures, nous envoyons ce que nous savons et nous complétons ensuite. Nous ne notifions pas la CNIL à votre place — la loi ne nous le permet pas : c'est votre obligation, pas la nôtre.

Nous vous préviendrons aussi si nous recevions une injonction judiciaire portant sur vos données, dans la mesure où la loi nous autorise à le faire.

10. Ce qui arrive à vos données quand vous partez

Vous n'attendez rien de nous pour récupérer vos fichiers. Ils sont téléchargeables à tout moment, dans leur format d'origine, pendant toute la durée du contrat et pendant les 30 jours qui suivent sa fin. Partir de chez nous ne demande aucune autorisation.

Passé ce délai de 30 jours, nous effaçons tout : le compte, les fichiers, la messagerie, l'agenda, les contacts, les photos. Les copies de sauvegarde disparaissent à leur tour sous 30 jours au plus tard, le temps que la rotation fasse son tour — soit 60 jours au plus après la fin du contrat pour la dernière trace.

Nous conservons ensuite les seules données que la loi nous oblige à garder : les factures pendant 10 ans (obligation comptable) et les journaux de connexion pendant 1 an (obligation d'hébergeur). Ni les unes ni les autres ne contiennent vos contenus.

Sur demande, nous vous adressons une attestation d'effacement datée et signée. C'est gratuit, et c'est souvent la pièce qui manque à un dossier de collectivité.

11. Vérifier que nous disons vrai

Nous vous fournissons, sur simple demande, toute information nécessaire pour démontrer le respect de l'article 28 — y compris le détail de nos mesures de sécurité et la liste à jour de nos sous-traitants.

Vous pouvez faire réaliser un audit, une fois par an, par vous-même ou par un auditeur indépendant que vous mandatez, moyennant un préavis de 30 jours et sous réserve d'un engagement de confidentialité. Nous y répondons de bonne foi et gratuitement.

12. Registre, responsabilité, durée

Nous tenons le registre des catégories de traitements effectués pour votre compte, prévu à l'article 30.2 du RGPD, et nous vous le communiquons sur demande.

Chacun répond de ses propres manquements dans les conditions des articles 82 et 83 du RGPD. Pour le reste — étendue et plafond de notre responsabilité contractuelle — l'article 8 des conditions générales de vente s'applique.

Ce contrat prend effet à votre acceptation et dure aussi longtemps que votre abonnement, augmenté des délais de l'article 10. Nous pouvons le modifier ; tout changement qui touche vos droits vous est annoncé par courriel au moins un mois avant son entrée en vigueur, et vous pouvez résilier sans frais avant cette date. Le présent document indique toujours sa version et sa date, en haut de page.

Droit français. En cas de désaccord, écrivez-nous d'abord : contact@arkiasuite.fr ou 09 51 56 59 54.