Accord de sous-traitance (RGPD, article 28)

Entre le client (responsable du traitement) et [société à compléter] (sous-traitant), pour les données traitées dans SDM pour le compte du client.

Objet et durée

Supervision d'écrans d'affichage du client, pendant la durée d'utilisation du service.

Données et personnes concernées

Données techniques des écrans ; noms et adresses e-mail des membres du compte ; captures de ce que les écrans affichent (qui peuvent montrer des personnes si le contenu en montre).

Engagements du sous-traitant

• traiter les données uniquement sur instruction du client (l'usage du service vaut instruction) ;
• confidentialité des personnes autorisées ;
• sécurité : chiffrement en transit (HTTPS), mots de passe Wi-Fi chiffrés, clés d'accès sans mot de passe, limitation des abus, journal des actions, sauvegardes quotidiennes chiffrées au repos selon l'hébergeur ;
• aide au client pour les demandes des personnes et les analyses d'impact ;
• notification de toute violation de données dans les 48 heures après en avoir eu connaissance ;
• suppression des données à la fin du service (30 jours), sauf obligation légale ;
• mise à disposition des informations nécessaires aux audits, sur demande raisonnable.

Sous-traitants ultérieurs

Hébergement : [hébergeur à compléter]. E-mails : [fournisseur d'e-mail à compléter]. Le client est informé de tout changement 30 jours à l'avance et peut s'y opposer.