Contrat de sous-traitance des données
Lorsque nous hébergeons, construisons, maintenons ou promouvons un site web ou une application pour vous, nous traitons souvent pour votre compte des données à caractère personnel de vos visiteurs, de vos clients ou de votre personnel. Le présent contrat en fixe les modalités, comme l’exige l’article 28 du RGPD. Il fait partie de tout contrat conclu avec nous qui implique de telles données. Dernière mise à jour : 3 octobre 2026.
1. Parties et rôles
1.1 Vous, le client, êtes le responsable du traitement. Tiaro Digital d.o.o. za usluge, Ulica Ivana Meštrovića 35, 10360 Sesvete, Croatie, OIB 50559636036, est le sous-traitant.
1.2 Le présent contrat s’applique à toutes les données à caractère personnel que nous traitons pour votre compte en vertu de tout contrat conclu avec vous (le « contrat principal »). En cas de contradiction entre le contrat principal et le présent contrat en matière de protection des données, le présent contrat prévaut.
2. Objet, durée, nature et finalité
2.1 Objet et finalité : la fourniture des services prévus au contrat principal, par exemple l’hébergement d’un site web ou d’une application, sa maintenance et sa mise à jour, la gestion de ses formulaires et de ses e-mails, l’exécution des sauvegardes, la correction des pannes, la migration de données, la mise en place et la conduite de campagnes marketing, et le support.
2.2 Nature du traitement : conservation, hébergement, sauvegarde, transmission, organisation, extraction, rectification, effacement et, uniquement lorsque le contrat principal le prévoit, analyse.
2.3 Durée : aussi longtemps que court le contrat principal, augmentée de la période nécessaire pour restituer et effacer les données conformément à l’article 9.
3. Types de données et personnes concernées
3.1 Personnes concernées : les visiteurs de votre site web ou de votre application, vos clients et prospects, les personnes qui vous contactent, votre personnel et les autres utilisateurs disposant d’un compte.
3.2 Types de données, selon ce que fait votre site : coordonnées (nom, e-mail, téléphone, adresse), contenu des messages et des saisies de formulaires, données de compte et de connexion, données de commande et de facturation, données techniques (adresses IP, données du navigateur, fichiers journaux), et toute autre donnée que vous choisissez de conserver dans le système.
3.3 Les catégories particulières de données (article 9 du RGPD), telles que les données de santé, ne sont traitées que si le contrat principal le prévoit expressément et avec les mesures supplémentaires qui y sont convenues.
4. Instructions
4.1 Nous ne traitons les données que sur vos instructions documentées : le contrat principal, le présent contrat et toute instruction complémentaire que vous donnez par écrit (un e-mail suffit). Cela vaut également pour les transferts vers des pays situés hors de l’UE/EEE.
4.2 Si la loi nous impose de traiter les données d’une autre manière, nous vous en informons avant de le faire, sauf si la loi l’interdit.
4.3 Si nous estimons qu’une instruction enfreint le droit de la protection des données, nous vous en informons sans délai et pouvons attendre, pour l’exécuter, que vous la confirmiez ou la modifiiez.
5. Confidentialité
Toute personne chez Tiaro Digital et chez nos prestataires qui peut accéder aux données est tenue à la confidentialité, par contrat ou par la loi, et ne reçoit que les accès que son travail exige.
6. Sécurité
6.1 Nous prenons les mesures techniques et organisationnelles appropriées au titre de l’article 32 du RGPD, compte tenu de l’état des connaissances, des coûts et des risques pour les personnes concernées. Elles comprennent :
- des connexions chiffrées (HTTPS/TLS) pour les sites web, l’administration et les transferts de données ;
- un accès aux serveurs et aux espaces d’administration réservé aux personnes qui en ont besoin, avec des comptes individuels et des mots de passe robustes ;
- des mises à jour de sécurité rapides pour l’environnement d’exploitation, le CMS, les thèmes et les extensions que nous maintenons ;
- des sauvegardes permettant de restaurer les données après un incident, comme convenu dans le contrat principal ;
- la séparation des systèmes des clients, de sorte que les données d’un client ne soient pas accessibles depuis ceux d’un autre ;
- la journalisation et la surveillance, pour détecter les attaques et les pannes ;
- l’effacement des données qui ne sont plus nécessaires et l’élimination sécurisée des supports de stockage.
6.2 Nous réexaminons et améliorons ces mesures à mesure que la technique et les risques évoluent. Nous pouvons les modifier tant que le niveau de protection ne baisse pas.
7. Sous-traitants ultérieurs
7.1 Vous nous donnez une autorisation générale de recruter des sous-traitants ultérieurs. Les sous-traitants ultérieurs auxquels nous recourons aujourd’hui sont :
- hosting.com (A2 Hosting, Inc., États-Unis) : hébergement de serveurs, hébergement des e-mails et sauvegardes, serveurs situés dans l’Union européenne ;
- MailChannels Corporation (Canada) : relais des e-mails sortants.
7.2 Les autres sous-traitants ultérieurs désignés dans le contrat principal ou dans l’offre pour un projet précis (par exemple un prestataire de paiement ou une plateforme publicitaire que vous choisissez) sont autorisés par votre acceptation de ce document.
7.3 Nous vous informons au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez émettre une objection pour un motif important de protection des données dans ce délai ; si nous ne trouvons pas de solution ensemble, chaque partie peut résilier le service concerné.
7.4 Nous imposons à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles du présent contrat, et restons responsables de son travail envers vous.
7.5 Les transferts vers des pays situés hors de l’UE/EEE n’ont lieu que lorsque les exigences du chapitre V du RGPD sont remplies, en particulier sur la base d’une décision d’adéquation ou des clauses contractuelles types de la Commission européenne.
8. Assistance et violations de données
8.1 Nous vous aidons, dans la mesure de ce qui est raisonnablement possible, à répondre aux demandes des personnes concernées qui exercent leurs droits, à maintenir la sécurité de vos systèmes, à réaliser des analyses d’impact relatives à la protection des données et à consulter l’autorité de contrôle. Si une personne concernée nous contacte directement, nous vous transmettons sa demande sans délai et n’y répondons pas nous-mêmes, sauf instruction de votre part.
8.2 Nous vous informons dans les meilleurs délais, et si possible dans les 48 heures, après avoir pris connaissance d’une violation de données à caractère personnel touchant vos données. Nous vous fournissons les informations dont vous avez besoin pour l’évaluer et pour remplir vos propres obligations de notification au titre des articles 33 et 34 du RGPD, et prenons les mesures nécessaires pour limiter le dommage.
8.3 L’assistance qui va au-delà de ce que comprend le contrat principal et qui n’est pas causée par un manquement de notre part peut être facturée au taux horaire prévu dans le contrat principal.
9. Fin du traitement
À la fin du contrat principal, nous vous restituons toutes les données à caractère personnel (sous la forme d’un export complet des fichiers et de la base de données) ou les effaçons, selon votre choix, et effaçons les copies existantes, sauf si le droit de l’UE ou le droit croate nous impose de les conserver. En l’absence d’autres instructions, nous conservons les données pendant 30 jours après la fin du contrat afin que vous puissiez les emporter, puis nous les effaçons ; les données contenues dans les sauvegardes sont effacées au fil de leur rotation normale.
10. Preuve et audits
10.1 Nous vous fournissons les informations nécessaires pour démontrer que nous respectons les obligations du présent contrat.
10.2 Vous pouvez le vérifier vous-même ou par l’intermédiaire d’un auditeur tenu à la confidentialité, après un préavis d’au moins 14 jours, pendant les heures de bureau et sans perturber déraisonnablement notre travail ni porter atteinte à la confidentialité due aux autres clients. Chaque partie supporte ses propres frais, sauf si l’audit révèle un manquement substantiel de notre part.
11. Responsabilité et dispositions finales
11.1 La responsabilité est régie par l’article 82 du RGPD et par le contrat principal.
11.2 Le droit croate s’applique. Les modifications requièrent la forme écrite ; un e-mail suffit.
11.3 Si une disposition est invalide, le reste du présent contrat demeure valable.
11.4 Besoin d’un exemplaire signé pour vos dossiers ? Écrivez à info@tiaro.eu et nous vous en envoyons un, complété avec le détail de vos services.