Accord de sous-traitance

Version : 22 septembre 2026

> Seule la version allemande de cet accord fait foi. Cette traduction est fournie à titre de compréhension.

conclu au titre de l’art. 28 du RGPD entre le Client (responsable du traitement) et roleALPHA GmbH, Aschergasse 34, 1130 Vienne (sous-traitant). Il fait partie intégrante du contrat relatif à GoodWorkshop Cloud et s’applique dès sa conclusion.

1. Objet et durée

Le sous-traitant exploite GoodWorkshop Cloud pour le responsable du traitement. Le présent accord s’applique pour la durée du contrat principal.

2. Nature et finalité du traitement

Stockage, affichage, édition collaborative, partage et export de planifications d’ateliers, ainsi que l’envoi de courriels de connexion et d’invitation.

3. Types de données et personnes concernées

• Données : noms et adresses électroniques, rôles et droits d’accès, contenus des planifications d’ateliers, données techniques d’utilisation (p. ex. horodatage des connexions)
• Personnes concernées : les membres du Client, les invités qu’il a conviés, les personnes citées dans les planifications d’ateliers

4. Obligations du sous-traitant

1. Il ne traite les données que sur instruction documentée du responsable du traitement ; le contrat principal et les réglages effectués dans le Service valent instruction.
2. Il astreint à la confidentialité toute personne ayant accès aux données.
3. Il met en œuvre les mesures techniques et organisationnelles de l’annexe 1.
4. Il assiste le responsable du traitement pour les demandes des personnes concernées, la notification des violations de données et les analyses d’impact.
5. Il notifie sans délai au responsable du traitement toute violation de données à caractère personnel, au plus tard dans les 48 heures après en avoir eu connaissance.
6. Il met à disposition du responsable du traitement les informations nécessaires pour démontrer le respect de ces obligations et permet des audits après annonce préalable.

5. Sous-traitants ultérieurs

Le responsable du traitement consent au recours aux sous-traitants ultérieurs suivants :

• netcup GmbH, Allemagne — hébergement dans des centres de données situés dans l’UE
• Microsoft Ireland Operations Ltd., Irlande — envoi de courriels
• Odoo S.A., Belgique — comptabilité et facturation
• Stripe Payments Europe Ltd., Irlande — traitement des paiements

Odoo et Stripe ne reçoivent que ce qu’exigent une facture et son encaissement : raison sociale, adresse de facturation, numéro de TVA, adresse de facturation électronique et les quantités facturées. Ils ne reçoivent ni les contenus des ateliers ni les noms des membres du responsable du traitement.

Le sous-traitant informe de tout changement envisagé au moins 30 jours à l’avance ; le responsable du traitement peut s’y opposer pour un motif grave.

6. Fin du traitement

À la fin du contrat, le responsable du traitement peut exporter ses données. Le sous-traitant les supprime au plus tard 30 jours après la fin du contrat, sauf obligation légale de conservation.

Annexe 1 : mesures techniques et organisationnelles

• Chiffrement : transmission exclusivement via TLS ; identifiants des serveurs de messagerie stockés chiffrés
• Cloisonnement des clients : séparation des clients dans la base de données par une sécurité au niveau des lignes imposée
• Contrôle d’accès : connexion sans mot de passe par passkeys ou liens à usage unique envoyés par courriel ; rôles et droits par atelier et par dossier ; rôles de base de données distincts aux privilèges minimaux
• Exploitation : centres de données dans l’UE ; images logicielles signées et analysées pour détecter les vulnérabilités ; mises à jour de sécurité régulières
• Disponibilité : sauvegarde à jour. Les données sont sauvegardées une fois par jour ; en cas de restauration, l’état peut dater de jusqu’à 24 heures. Les sauvegardes sont conservées chiffrées et séparément du système de production, et leur restaurabilité est vérifiée régulièrement.
• Traçabilité : journalisation des événements pertinents pour la sécurité

Cette version est également fournie dans d’autres langues. Seule la version allemande fait foi et est juridiquement contraignante ; les traductions servent à la compréhension.