Le présent accord, conclu en application de l'article 28 du règlement (UE) 2016/679 (RGPD), fait partie intégrante des conditions générales d'Avanserv SRL (le "prestataire"). Il s'applique chaque fois que le prestataire traite des données personnelles pour le compte du client dans le cadre des services, notamment l'hébergement, les services gérés et l'exploitation d'applications. Pour ces traitements, le client agit en qualité de responsable du traitement et le prestataire en qualité de sous-traitant. En cas de contradiction avec les conditions générales, le présent accord prévaut pour ce qui concerne les données personnelles.

Article 1. Description du traitement#

L'objet, la durée, la nature et les finalités du traitement, les catégories de données et de personnes concernées sont décrits à l'annexe A, complétée le cas échéant par le devis. Le prestataire ne traite les données à aucune autre fin.

Article 2. Instructions du responsable#

Le prestataire ne traite les données que sur instruction documentée du client, y compris en matière de transferts hors de l'Union européenne, sauf obligation prévue par le droit de l'Union ou d'un État membre ; dans ce cas, il informe le client de cette obligation avant le traitement, sauf interdiction légale. Le contrat, le devis et les paramétrages effectués par le client dans les services valent instructions. Le prestataire informe immédiatement le client si une instruction lui paraît violer le RGPD ou une autre disposition relative à la protection des données. Le client garantit que ses instructions sont licites et que les données qu'il confie au prestataire ont été collectées et peuvent être traitées conformément au RGPD.

Article 3. Confidentialité#

Le prestataire veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité par contrat ou par une obligation légale, et n'y accèdent que dans la mesure nécessaire à l'exécution des services.

Article 4. Sécurité#

Le prestataire met en œuvre les mesures techniques et organisationnelles appropriées au regard du risque, conformément à l'article 32 du RGPD. Les mesures en vigueur sont décrites à l'annexe B ; le prestataire peut les faire évoluer, sans en réduire le niveau global de protection.

Article 5. Sous-traitants ultérieurs#

Le client autorise de manière générale le recours à des sous-traitants ultérieurs. La liste en vigueur figure dans la liste des sous-traitants, qui mentionne pour chacun son identité, sa localisation et la nature de sa prestation. Le prestataire notifie par écrit tout ajout ou remplacement au moins 30 jours calendrier avant sa prise d'effet. Le client peut s'y opposer par écrit, pour des motifs raisonnables tenant à la protection des données, dans ce délai ; à défaut d'une solution acceptable, chaque partie peut résilier le service concerné sans indemnité. Le prestataire impose à chaque sous-traitant ultérieur, par contrat, des obligations équivalentes à celles du présent accord et demeure pleinement responsable envers le client de leur exécution. La même procédure de notification et d'opposition s'applique lorsqu'un sous-traitant ultérieur déjà autorisé se voit confier un nouveau type de traitement, tel que l'envoi d'emails par l'hébergeur.

Article 6. Droits des personnes concernées#

Compte tenu de la nature du traitement, le prestataire assiste le client, par des mesures techniques et organisationnelles appropriées, dans la réponse aux demandes d'exercice des droits des personnes concernées. Si une personne s'adresse directement au prestataire, celui-ci transmet la demande au client dans les cinq jours ouvrables et n'y répond pas lui-même, sauf instruction contraire du client ou obligation légale.

Article 7. Assistance au responsable#

Le prestataire assiste le client dans le respect de ses obligations au titre des articles 32 à 36 du RGPD, en tenant compte de la nature du traitement et des informations dont il dispose : sécurité, notification des violations, analyses d'impact et consultations préalables de l'autorité de contrôle. L'assistance excédant un effort raisonnable peut être facturée au tarif en régie convenu.

Article 8. Violations de données#

Le prestataire notifie au client toute violation de données personnelles affectant les traitements couverts par le présent accord, sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un point de contact. Le prestataire documente la violation et coopère avec le client pour ses propres notifications ; il ne notifie pas l'autorité de contrôle ni les personnes concernées à la place du client, sauf obligation légale propre. Le client adresse toute question relative à une violation ou tout signalement d'incident affectant les traitements couverts par le présent accord à privacy@avanserv.com.

Article 9. Localisation et transferts#

Les données confiées au prestataire sont traitées et stockées dans l'Union européenne, sous la réserve qui suit. Les échanges par courrier électronique avec les interlocuteurs du client, ainsi que l'usage des outils bureautiques qui les accompagnent, transitent par la messagerie et la bureautique professionnelles du prestataire, dont l'opérateur est identifié dans la liste des sous-traitants et peut traiter des données en dehors de l'Union ; ce transfert est encadré comme cette liste l'indique et le client, en concluant le contrat, l'accepte comme instruction documentée.

Tout autre transfert vers un pays tiers requiert une instruction documentée du client et s'appuie sur un mécanisme du chapitre V du RGPD : décision d'adéquation, ou clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914) assorties, si nécessaire, de mesures supplémentaires.

Lorsque le client est établi en dehors de l'Espace économique européen, le présent accord vaut clauses contractuelles types de la Commission européenne, module quatre (transfert du sous-traitant vers le responsable du traitement), de la décision d'exécution (UE) 2021/914, avec la clause d'adhésion (clause 7), sous le droit belge, retenu à la clause 17, et la juridiction des tribunaux de l'arrondissement judiciaire de Namur, retenue à la clause 18, comme le prévoit l'article 21 des conditions générales, pour le transfert des données du prestataire vers le client. La description des parties et du transfert que requièrent les clauses est celle de l'annexe A du présent accord, les mesures techniques et organisationnelles sont celles de l'annexe B, et la liste des sous-traitants que les clauses requièrent est celle de la liste des sous-traitants.

Article 10. Audits#

Le prestataire tient à la disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut réaliser, à ses frais, un audit des traitements couverts, au plus une fois par période de douze mois sauf violation avérée ou demande d'une autorité, moyennant un préavis écrit de 30 jours calendrier, pendant les heures ouvrables et sans perturber les services ni compromettre la confidentialité due aux autres clients. À la demande du client, le prestataire peut lui proposer des rapports d'audit ou certifications pertinents et récents ; le client peut les accepter en complément ou à la place d'un audit, mais cette possibilité ne prive le client, à aucun moment, du droit d'auditer et d'inspecter les traitements que lui donne l'article 28, paragraphe 3, point h), du RGPD.

Article 11. Restitution et suppression#

Pour l'hébergement et les services gérés, la restitution et la suppression des données à la fin du service suivent l'article 9 des conditions générales.

Pour les autres services couverts par le présent accord, à la fin du service concerné, le prestataire, au choix du client exprimé dans les 30 jours calendrier, restitue les données dans un format structuré, couramment utilisé et lisible par machine, ou les supprime, sauf obligation légale de conservation. À défaut de choix dans ce délai, les données sont supprimées. La suppression des environnements actifs intervient dans les 60 jours calendrier.

Lorsqu'une prestation de sauvegarde est prévue au devis, les copies de sauvegarde ne font l'objet d'aucune restauration après la demande de suppression, sauf obligation légale, et expirent selon le cycle de rotation fixé au devis ; en cas de restauration d'une sauvegarde contenant des données à supprimer, la suppression est réappliquée sans délai.

Article 12. Responsabilité et durée#

La responsabilité des parties au titre du présent accord suit le régime de l'article 14 des conditions générales, sans préjudice de l'article 82 du RGPD. Le présent accord prend effet avec le contrat et demeure applicable tant que le prestataire traite des données pour le compte du client.

Annexe A. Description des traitements#

Élément	Description
Objet	Fourniture des services commandés : hébergement, services gérés, exploitation et maintenance d'applications
Nature	Collecte, stockage, structuration, consultation, communication sur instruction, sauvegarde, effacement
Finalités	Exécuter les services, en assurer la sécurité et la continuité
Catégories de personnes	Utilisateurs finaux des applications du client, collaborateurs et interlocuteurs du client, contacts et clients du client
Catégories de données	Contenus hébergés par le client et journaux techniques liés à leur traitement ; pas de catégories particulières de données au sens de l'article 9 du RGPD sauf accord écrit spécifique
Durée	Durée du service concerné, puis restitution ou suppression conformément à l'article 11

Les données d'identification, de compte et de connexion des utilisateurs de l'application app.avanserv.com ne relèvent pas du présent accord : le prestataire les traite en qualité de responsable du traitement, comme le décrit la politique de confidentialité. Les données de compte des utilisateurs finaux d'une application que le prestataire héberge ou exploite pour le compte du client relèvent, elles, du présent accord.

Annexe B. Mesures techniques et organisationnelles#

Les mesures ci-dessous sont celles en vigueur à la date figurant en tête du présent accord. Le devis d'un service peut en prévoir de complémentaires ; l'article 4 régit leur évolution.

Mesure	Mise en œuvre
Chiffrement en transit	Les échanges avec les services sont servis en TLS, la terminaison étant assurée par l'infrastructure d'hébergement. Les cookies de session "access_token" et "refresh_token" sont marqués Secure et HttpOnly hors développement ; le cookie "avanserv_signed_in", qui indique au site public qu'une session existe ailleurs sans en révéler le contenu, est volontairement lisible par du code exécuté dans le navigateur et n'est pas marqué HttpOnly.
Chiffrement au repos	Activé chez le fournisseur d'infrastructure pour la base de données. Certaines colonnes sensibles font en outre l'objet d'un chiffrement applicatif dédié.
Sauvegardes	La base de données de la plateforme app.avanserv.com fait l'objet d'une sauvegarde quotidienne, conservée sept jours. Les données que le prestataire héberge pour le compte du client suivent le régime décrit ci-dessous.
Mots de passe	Jamais stockés en clair : empreinte bcrypt. Lorsque le service répond, les mots de passe candidats sont contrôlés contre des fuites connues au moyen d'une recherche par préfixe d'empreinte, sans transmission du mot de passe.
Contrôle d'accès	Modèle déclaratif fondé sur les rôles, appliqué au niveau de l'enregistrement et du champ, refusant par défaut ce qui n'est pas explicitement autorisé.
Séparation des données	Seuls les projets et les configurations d'authentification unique (SSO) d'une organisation sont filtrés par organisation à chaque requête, sans possibilité de le contourner depuis l'interface. Les autres enregistrements, notamment les comptes utilisateurs, les fichiers, la file d'envoi des emails et les formulaires publics, sont protégés par le contrôle d'accès plutôt que par ce filtre. La séparation est logique, sur une infrastructure partagée.
Journalisation	Les accès et les opérations sont journalisés avec l'identifiant de la requête, l'organisation et l'adresse source ; les adresses email y sont masquées.
Qualité logicielle	Toute modification passe par une pull request, sauf une exception réservée à une automatisation technique du dépôt, et n'est fusionnée qu'après réussite d'une chaîne d'intégration continue bloquante (formatage, analyse statique, typage, tests unitaires et de bout en bout) ; une revue automatisée s'exécute sur chaque pull request, sans être à ce jour une condition de fusion.
Gestion des secrets	Les secrets d'exécution sont fournis par un coffre géré (Scaleway Secret Manager) via un contrôleur qui les copie dans l'environnement d'exécution, jamais versionnés ; l'analyse de fuite de secrets s'exécute avant chaque commit.
Sous-traitants ultérieurs	Sélection sur la base de garanties suffisantes et contrat conforme à l'article 28 du RGPD, comme l'indique l'article 5.

Pour les services d'hébergement et les services gérés, le devis précise en outre le dispositif de sauvegarde retenu, sa fréquence, sa durée de conservation et la périodicité des tests de restauration, ainsi que la durée de conservation des journaux. En l'absence de mention au devis, aucune prestation de sauvegarde n'est due.

Annexe C. Sous-traitants ultérieurs#

La liste en vigueur, tenue à jour et datée, figure dans la liste des sous-traitants.

Accord de sous-traitance