Accord de sous-traitance des données

Sous-traitant

BundS GmbH, Marburger Str. 17, 57223 Kreuztal, Allemagne. info@qrinio.com

Responsable du traitement

La personne ou l’organisation identifiée lors de l’acceptation par son nom ou sa raison sociale et l’e-mail du compte. L’acceptation est liée au compte ; son e-mail sert aux instructions et questions de confidentialité. Toute personne agissant pour une organisation déclare pouvoir la représenter.

1. Objet et durée

BundS GmbH traite les données du client pour fournir les fonctions QRinio convenues pendant leur utilisation, puis leur restitution ou suppression. Le client détermine les finalités, contenus et autorisations et assume la responsabilité des bases juridiques et de l’information des personnes concernées. Les traitements propres à QRinio, notamment la gestion des comptes, sont décrits dans la politique de confidentialité.

2. Traitement et données

Le traitement couvre le stockage, la modification, la mise à disposition, la publication, la transmission, l’analyse et la suppression des contenus choisis par le client : codes QR, liens courts, pages de contact et de liens, fichiers et statistiques de visites associées. Selon l’usage, il s’agit de noms, coordonnées professionnelles, images, données de contenu et de connexion concernant des salariés, clients, contacts professionnels et visiteurs. Le périmètre précis résulte des fonctions utilisées et des instructions du client. Les données relevant des articles 9 ou 10 du RGPD nécessitent un accord distinct.

3. Instructions et confidentialité

Nous traitons les données uniquement sur instruction documentée du client, y compris pour les transferts vers des pays tiers. Les instructions résultent de cet accord, des paramètres choisis et des messages du contact désigné à info@qrinio.com. Si le droit de l’Union ou national impose un traitement, nous en informons préalablement le client lorsque cela est permis. Nous signalons sans délai les instructions que nous estimons illicites et suspendons leur exécution jusqu’à clarification. Les personnes ayant accès aux données sont tenues à la confidentialité.

4. Mesures techniques et organisationnelles

Nous assurons des mesures adaptées aux risques conformément à l’article 32 du RGPD. Les mesures suivantes font partie de l’accord ; leur évolution ne peut réduire le niveau de protection :

• Transmission chiffrée et accès administratifs limités aux personnes autorisées.
• Mots de passe protégés, comptes séparés et droits d’accès selon les rôles.
• Sauvegardes régulières sur un stockage séparé, avec transmission chiffrée, accès restreint et tests de restauration.
• Journalisation et durées de conservation limitées, examen des modifications et mises à jour de sécurité, contrôle régulier de l’efficacité des mesures.
• Traitement documenté des instructions, demandes des personnes et incidents de sécurité ; contrôle des accès physiques aux centres de données par les hébergeurs.

5. Sous-traitants ultérieurs

Le client autorise de manière générale la liste de prestataires de l’annexe contractuelle. Nous annonçons par e-mail tout ajout ou remplacement au moins 30 jours à l’avance et permettons des objections motivées par la protection des données avant le recours au prestataire. Si une objection ne peut être résolue, le client peut mettre fin au service concerné avant le changement. Nous imposons des obligations équivalentes de protection des données et restons responsables de leur exécution. Les transferts hors de l’EEE se font uniquement sur instruction documentée et conformément au chapitre V du RGPD ; leur fondement est indiqué pour chaque prestataire.

6. Assistance et violations de données

Compte tenu du traitement et des informations disponibles, nous aidons le client à respecter les droits des personnes et ses obligations au titre des articles 32 à 36 du RGPD, y compris les analyses d’impact et consultations des autorités. Nous transmettons sans délai les demandes et n’y répondons que sur instruction ou obligation légale. Nous notifions les violations touchant les données du client dans les meilleurs délais après en avoir connaissance, avec les informations disponibles sur leur nature, conséquences, mesures et contact ; les informations manquantes sont fournies ensuite.

7. Justificatifs et contrôles

Nous fournissons toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et permettons et facilitons les audits, y compris les inspections, du client ou d’un auditeur mandaté. Leur réalisation est coordonnée en préservant la confidentialité des autres clients, sans empêcher les contrôles urgents ou légalement requis.

8. Restitution et suppression

À la fin du service, nous restituons ou supprimons les données et copies existantes au choix du client, sauf obligation légale de conservation. La restitution est organisée avant la suppression. Les sauvegardes restent soumises à un accès restreint jusqu’à l’expiration de la durée convenue dans l’annexe, puis sont supprimées ; les instructions de suppression antérieures sont réappliquées après une restauration. Les données conservées par obligation légale sont limitées à cette finalité. Nous confirmons la suppression sur demande.