Accord de sous-traitance (DPA)

1. Quand un DPA est nécessaire

Pour la plupart des interactions avec le Site (navigation, formulaire de contact, newsletter LinkedIn, achat d’une formation sur Teachable), Altanest SAS est responsable de traitement pour ses propres données et la liste des sous-traitants est publiée à l’adresse /fr/sub-processors. Aucun DPA bilatéral n’est requis pour ces flux.

Un DPA est nécessaire lorsque, dans le cadre d’une mission de Conseil rémunérée, Altanest SAS traite des données personnelles pour votre compte en tant que sous-traitant. Cela s’applique typiquement à :

• la mission Partenaire de conformité, où nous pouvons recevoir des données fournisseurs et produits issues de vos systèmes pour analyse ou pour intégration aux livrables ;
• la mission Stratégie d’implémentation, où nous pouvons recevoir un export de votre PIM ou de votre base fournisseurs pour réaliser l’analyse d’écart ;
• toute mission sur mesure impliquant le traitement par nos soins de données personnelles identifiant vos collaborateurs, vos fournisseurs ou vos clients finaux.

La mission Audit de préparation ne requiert généralement pas de DPA : les livrables sont fondés sur la documentation que vous partagez, qui n’est généralement pas constituée de données personnelles, et nous n’en conservons pas de copie après la clôture de l’audit.

2. Comment obtenir un DPA signé

Deux voies, toutes deux à initier par e-mail à contact@go-trace.com :

1. Vous fournissez votre modèle de DPA. Envoyez votre DPA standard avec les détails de la mission. Nous l’examinons sous 5 jours ouvrés, vous renvoyons des marques de révision ou signons en l’état, et contre-signons sur papier à en-tête. Nous connaissons les modules CCT recommandés par l’EDPB et n’acceptons pas de clauses contraires aux exigences de l’article 28(3) du RGPD.
2. Vous nous demandez notre modèle. Nous vous adressons sous 5 jours ouvrés un modèle de DPA conforme à l’article 28 du RGPD, rédigé autour des Clauses contractuelles types (CCT) 2021 de la Commission européenne (modules 1 à 4 selon le cas). Le modèle couvre : objet et durée ; nature et finalité du traitement ; types de données et catégories de personnes concernées ; obligations et droits du responsable de traitement ; mesures techniques et organisationnelles (TOM) ; liste et autorisation des sous-traitants ultérieurs ; assistance à l’exercice des droits ; notification de violation ; droits d’audit ; suppression ou restitution des données en fin de mission.

3. Sous-traitants autorisés au titre du DPA

Lorsque Altanest SAS agit comme votre sous-traitant, les sous-traitants ultérieurs suivants peuvent être mobilisés dans la mission :

• Hetzner Online GmbH (Allemagne, UE) pour toute donnée que nous hébergeons sur notre infrastructure pendant la mission ;
• Google Workspace (UE/US, Data Privacy Framework UE-US + CCT) pour la correspondance e-mail relative à la mission.

Web3Forms n’est pas mobilisé dans le flux de sous-traitance (il n’est utilisé que pour le formulaire de contact public, où nous sommes responsables). Teachable n’est pas mobilisé non plus.

Si vous exigez une liste plus restrictive (par exemple uniquement UE, sans sous-traitants US), signalez-le au stade de la proposition ; nous pouvons cadrer la mission de sorte que seul Hetzner soit impliqué.

4. Mesures techniques et organisationnelles (TOM)

Synthèse non exhaustive ; le détail figure dans le modèle de DPA :

• HTTPS/TLS pour toutes les données en transit ; chiffrement au repos sur les disques gérés par Hetzner.
• Contrôle d’accès : accès réservé à Catherine Lomonaco Membré et, lorsqu’ils sont nommés au cahier des charges, à des sous-traitants spécifiés sous engagement écrit de confidentialité.
• Sauvegardes chiffrées ; conservation alignée sur la clause de suppression de la mission.
• Notification de violation dans les 72 heures suivant la prise de connaissance (article 33 du RGPD).
• À la fin de la mission, suppression ou restitution des données dans les 30 jours, certifiée par écrit sur demande.

5. Contact

Pour demander notre modèle de DPA GO TRACE, ou pour nous transmettre le vôtre pour examen, écrivez à contact@go-trace.com avec pour objet « Demande DPA : [votre entreprise] ».

Altanest SAS
20 rue Guillaume Fichet
74000 Annecy, France
E-mail : contact@go-trace.com