Accord de sous-traitance des données (DPA) — ORGANIZYA PRO
1. Parties et portée contractuelle
Le présent accord est conclu entre le professionnel titulaire du compte LOGILYA (le « Responsable de traitement ») et l’EURL LOGILYA, représentée par Angélique THILL, 9, Grande Rue, Les Ombraies, 55260 Lignières-sur-Aire, France, SIREN 108 539 420, contact@logilya.fr (le « Sous-traitant »). Il régit les traitements de données personnelles réalisés par LOGILYA pour le compte du Responsable de traitement dans le cadre du logiciel de gestion professionnelle. Il complète les CGU/CGV et prévaut sur celles-ci pour les obligations relevant de l’article 28 du RGPD.
2. Objet, durée et instructions documentées
Les opérations de sous-traitance ont pour objet l’hébergement, l’organisation, la consultation, la mise à jour, la sauvegarde technique et la restitution des données renseignées par le professionnel. Elles durent pendant la mise à disposition du service et, le cas échéant, pendant les opérations de restitution ou de suppression. LOGILYA traite ces données uniquement sur instruction documentée du Responsable de traitement, constituée notamment par le présent accord, les fonctionnalités utilisées et les demandes écrites, sauf obligation légale contraire. Dans ce dernier cas, LOGILYA informe préalablement le Responsable de traitement, sauf interdiction légale. LOGILYA avertit sans délai le Responsable de traitement si une instruction lui paraît constituer une violation du RGPD ou d’une autre disposition applicable en matière de protection des données.
3. Description des traitements — annexe A
Finalités : gestion des fiches clients, coordonnées, rendez-vous, prestations, membres de l’équipe, plannings, congés et informations professionnelles associées, selon les fonctionnalités activées. Opérations : collecte par saisie du professionnel, enregistrement, structuration, hébergement, consultation, modification, export et effacement. Personnes concernées : clients et prospects du professionnel, membres de son équipe et contacts professionnels enregistrés. Catégories de données : identité, coordonnées, informations de rendez-vous, prestations, notes et données professionnelles associées. Le Responsable de traitement détermine les finalités et la base légale de ses traitements.
Données sensibles : le logiciel n’est pas destiné, par défaut, à recueillir des données relevant de l’article 9 du RGPD (notamment données de santé). Le professionnel s’interdit d’y saisir de telles données sans avoir vérifié la licéité du traitement, sa nécessité, les mesures de sécurité appropriées et l’adéquation du service. Aucune garantie d’hébergement de données de santé au sens du droit français n’est donnée par le présent accord.
4. Confidentialité des personnes autorisées
LOGILYA veille à ce que les personnes autorisées à traiter les données pour son compte soient soumises à un engagement de confidentialité ou à une obligation légale appropriée, et reçoivent des instructions adaptées à leurs fonctions. L’accès aux données doit être limité aux besoins opérationnels et de support légitimes.
5. Mesures techniques et organisationnelles — annexe B
LOGILYA met en œuvre des mesures appropriées au risque, conformément à l’article 32 du RGPD, notamment : authentification et contrôle des accès, séparation logique des comptes, restrictions d’accès aux données par utilisateur, communications chiffrées lorsqu’elles transitent sur les réseaux publics, gestion des habilitations, mises à jour de sécurité, suivi des incidents et recours aux mécanismes de sécurité des prestataires. Les modalités de sécurité, de sauvegarde et de restauration applicables peuvent être communiquées au Responsable de traitement sur demande à contact@logilya.fr, dans le respect de la confidentialité et de la sécurité du service.
6. Sous-traitants ultérieurs — annexe C
Le Responsable de traitement autorise de manière générale le recours aux prestataires nécessaires au fonctionnement du service, notamment Supabase (base de données, authentification et services associés) et Vercel (hébergement et déploiement de l’application), dans la mesure où ils ont effectivement accès à des données traitées pour son compte. Stripe intervient pour les paiements et la facturation ; son intervention porte sur les données nécessaires aux paiements et à la facturation, selon ses conditions contractuelles.
LOGILYA impose à ses sous-traitants ultérieurs des obligations de protection des données substantiellement équivalentes à celles du présent accord, conformément à l’article 28 du RGPD, et demeure responsable de leur exécution dans les conditions légales. Toute addition ou remplacement de sous-traitant ultérieur est annoncé par un moyen approprié avec un délai raisonnable permettant au Responsable de traitement de formuler une objection motivée ; les objections motivées sont adressées à contact@logilya.fr afin que LOGILYA puisse examiner la situation avec le professionnel.
7. Localisation et transferts internationaux
La base de données principale Supabase est configurée dans la région West EU (Ireland), eu-west-1, en Irlande. Les accès d’administration, les traitements de Vercel et de Stripe et les éventuels transferts hors de l’Espace économique européen dépendent des configurations et contrats effectifs des prestataires. LOGILYA ne réalise de transfert soumis au chapitre V du RGPD que sur un fondement valide (décision d’adéquation, clauses contractuelles types accompagnées, si nécessaire, de garanties supplémentaires, ou autre mécanisme légal). Le Responsable de traitement peut demander des informations sur les localisations et garanties de transfert à contact@logilya.fr.
8. Assistance au Responsable de traitement
Compte tenu de la nature du traitement et des informations à sa disposition, LOGILYA aide raisonnablement le Responsable de traitement à répondre aux demandes d’exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition), et l’assiste dans ses obligations de sécurité, notification de violations, analyses d’impact et consultations préalables lorsqu’elles sont requises. Toute demande reçue directement concernant les données d’un client du professionnel lui est transmise dans les meilleurs délais, sans réponse sur le fond sauf instruction ou obligation légale.
9. Violations de données personnelles
LOGILYA notifie au Responsable de traitement toute violation de données personnelles dont elle a connaissance, dans les meilleurs délais, conformément à l’article 33, paragraphe 2, du RGPD. Elle communique les informations disponibles sur la nature de l’incident, les catégories de données et personnes concernées, les conséquences probables et les mesures prises ou proposées, puis complète ces informations au fur et à mesure. Le Responsable de traitement demeure chargé d’apprécier et, le cas échéant, d’effectuer les notifications à la CNIL et aux personnes concernées dans les délais légaux.
10. Sort des données en fin de prestation
Au terme de la prestation, LOGILYA restitue ou supprime, au choix du Responsable de traitement et sous réserve des obligations légales de conservation, les données personnelles traitées pour son compte et supprime les copies existantes. Le titulaire du compte peut utiliser la fonction « Exporter toutes mes données (CSV) » dans les paramètres de l’application avant de demander la suppression de son compte. Cet export couvre les données métier accessibles du compte, notamment clients, rendez-vous, membres de l’équipe, prestations et absences, ainsi que des informations de profil limitées. La suppression du compte entraîne la perte d’accès aux données actives ; les éventuelles copies de sauvegarde sont soumises à leur cycle de conservation. Pour organiser la restitution ou la suppression et connaître les délais applicables, le Responsable de traitement adresse sa demande à contact@logilya.fr. Les copies de sauvegarde restent soumises à leur cycle de conservation et aux obligations légales applicables.
11. Démonstration de conformité et audits
LOGILYA met à disposition les informations nécessaires pour démontrer le respect de ses obligations découlant de l’article 28 du RGPD et permet, dans des conditions raisonnables de confidentialité, de sécurité et de proportionnalité, les audits et inspections réalisés par le Responsable de traitement ou un auditeur mandaté par lui. Les modalités pratiques sont convenues préalablement afin de préserver les données des autres utilisateurs et la sécurité du service.
12. Obligations du Responsable de traitement
Le professionnel détermine les finalités et bases légales des traitements, informe les personnes concernées, recueille les autorisations nécessaires, veille à la pertinence et à la minimisation des données, définit les durées de conservation, gère les habilitations de son équipe et adresse à LOGILYA des instructions licites et documentées. Il conserve la responsabilité des données et contenus qu’il décide de saisir.
13. Entrée en vigueur, modifications et contact
Le présent accord entre en vigueur à la date de son acceptation expresse par le titulaire du compte, enregistrée avec sa version. Il demeure applicable pendant la durée des opérations de sous-traitance. Toute modification substantielle donne lieu à une information préalable et, lorsqu’elle le nécessite, à une nouvelle acceptation. Les questions et demandes liées à cet accord sont adressées à contact@logilya.fr.