Sous-traitance des
données

Ce contrat complète les conditions générales et s’applique dès qu’une agence dépose dans Klevor des données personnelles dont elle est responsable. Il vaut accord au sens de l’article 28 du règlement (UE) 2016/679.

1. Qui fait quoi

Le Client, agence utilisatrice de Klevor, détermine les finalités et les moyens du traitement des données qu’il y dépose : il en est le responsable de traitement.

MEI Group traite ces données pour le seul compte du Client, sur ses instructions documentées, aux fins de lui fournir Klevor : elle est sous-traitante.

2. Objet, durée, nature et finalité

Objet

Fourniture du logiciel Klevor et des services associés.

Durée

Durée de l’abonnement, prolongée des délais de restitution et de suppression prévus à l’article 9.

Nature des opérations

Collecte, enregistrement, organisation, structuration, conservation, consultation, communication par transmission, mise à disposition, effacement.

Finalité

Gestion de la relation client de l’agence : dossiers, projets, livrables, devis, factures, échanges, espace client.

Catégories de personnes

Membres de l’équipe de l’agence ; interlocuteurs des clients de l’agence ; prospects de l’agence.

Catégories de données

Identité, coordonnées professionnelles, fonction, données de facturation, contenu des documents et des échanges déposés, données de connexion.

Données sensibles

Klevor n’est pas conçu pour traiter des données relevant de l’article 9 du RGPD. Le Client s’interdit d’en déposer.

3. Obligations de MEI Group

Traiter les données uniquement sur instruction documentée du Client, y compris pour un transfert hors Union européenne. Informer le Client si une instruction lui paraît constituer une violation du droit applicable.

Garantir la confidentialité : toute personne autorisée à traiter les données est tenue à une obligation de confidentialité et n’accède qu’à ce que son rôle exige.

Mettre en œuvre les mesures techniques et organisationnelles décrites sur la page sécurité, et les tenir à jour.

Assister le Client, compte tenu de la nature du traitement et des informations disponibles, pour répondre aux demandes d’exercice de droits, pour la sécurité, pour la notification de violations et, le cas échéant, pour une analyse d’impact.

Mettre à disposition toute information nécessaire pour démontrer le respect de l’article 28 et permettre un audit, dans les conditions de l’article 8.

4. Obligations du Client

Le Client garantit disposer d’une base légale pour chaque traitement qu’il opère dans Klevor, avoir informé les personnes concernées, et documenter ses instructions. Il est seul responsable de ce qu’il dépose, de ce qu’il ouvre à ses propres clients par l’extranet, et des accès qu’il attribue.

5. Sous-traitants ultérieurs

Le Client autorise MEI Group à recourir aux sous-traitants ultérieurs figurant sur la page sous-traitants, laquelle fait partie du présent contrat.

Toute adjonction ou remplacement est annoncé sur cette page et notifié par courriel trente jours avant sa mise en œuvre. Le Client peut s’y opposer, pour un motif raisonnable et par écrit, dans ce délai ; à défaut d’accord, il peut résilier sans frais.

MEI Group impose à chaque sous-traitant ultérieur les mêmes obligations que celles du présent contrat, et demeure pleinement responsable de leur exécution.

6. Transferts hors Union européenne

Les données sont stockées en Irlande. Certains sous-traitants ultérieurs sont établis aux États-Unis et peuvent y accéder. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, complétées le cas échéant par la certification du prestataire au titre du Data Privacy Framework. Le détail par prestataire figure sur la page dédiée.

7. Violation de données

MEI Group notifie le Client sans délai injustifié après avoir eu connaissance d’une violation affectant ses données, et lui communique la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises. La notification à l’autorité de contrôle et aux personnes concernées incombe au Client.

8. Audit

Le Client peut, une fois par an, demander la communication des éléments démontrant la conformité, ou faire réaliser un audit par un tiers indépendant soumis à confidentialité, moyennant un préavis de trente jours, à ses frais, sans perturber l’exploitation. Un audit supplémentaire est possible à la suite d’une violation avérée.

9. Fin du contrat

À la fin de l’abonnement, les données restent exportables par le Client depuis son espace pendant trente jours. Passé ce délai, MEI Group les supprime de ses systèmes de production sous quinze jours, ainsi que les copies existantes, à l’exception de ce que la loi impose de conserver et des sauvegardes chiffrées qui s’effacent selon leur cycle de rotation.

10. Responsabilité

Chaque partie répond des dommages causés par un traitement en violation du RGPD dans les conditions de son article 82. Les limitations de responsabilité prévues par les conditions générales s’appliquent, dans la mesure permise par la loi.