Parties et priorité
Le client professionnel est le « responsable de traitement ». Jean-Baptiste BORZYCKI, entrepreneur individuel, SIREN 844 092 320, 830 route de Tramayes, 71520 Navour-sur-Grosne est le « sous-traitant ». La présente annexe fait partie du contrat VendeurBrief et prévaut pour les questions de données personnelles en cas de contradiction avec les CGU ou CGV.
Description du traitement
Les catégories particulières de données au sens de l’article 9 du RGPD, documents d’identité, données bancaires, médicales ou numéros de sécurité sociale ne sont pas nécessaires et ne doivent pas être saisis.
Instructions documentées
Le sous-traitant traite les données uniquement pour fournir, sécuriser, maintenir et assister VendeurBrief selon le contrat et les actions du client. Toute instruction supplémentaire doit être écrite. Si une instruction paraît contraire au RGPD, le sous-traitant en informe immédiatement le client et peut suspendre son exécution.
Confidentialité et accès
Les personnes autorisées à intervenir sur les données sont soumises à une obligation de confidentialité et n’y accèdent que selon le besoin d’en connaître. Les API de l’espace contrôlent l’appartenance au workspace. Le client reste responsable de l’attribution des accès, du départ de ses collaborateurs et de la transmission des liens vendeurs.
Sécurité
Le sous-traitant met en œuvre les mesures décrites sur la page Sécurité, notamment contrôle d’accès, séparation logique des espaces, requêtes préparées, stockage objet protégé, liens vendeurs à forte entropie et révocables, limites d’upload, absence de cache pour les données privées, export et suppression.
Ces mesures évoluent avec le risque et l’état de l’art. Elles ne constituent ni une certification ni une garantie d’absence totale d’incident.
Sous-traitants ultérieurs
Le client autorise de manière générale le recours aux sous-traitants nécessaires à l’infrastructure, à l’authentification, aux e-mails, au paiement et au support. Toute modification significative est annoncée au moins 30 jours à l’avance lorsque cela est raisonnablement possible. Le client peut formuler une objection documentée liée à la protection des données ; les parties recherchent alors une solution proportionnée.
Transferts internationaux
L’annexe de traitement de ChatGPT Sites prévoit que les données de l’EEE peuvent être transférées à des affiliés ou sous-traitants situés hors EEE. Ces transferts doivent reposer sur une décision d’adéquation ou sur les clauses contractuelles types de la Commission européenne. VendeurBrief ne présente donc pas l’hébergement comme exclusivement européen et tient à disposition le mécanisme applicable à chaque prestataire.
Droits des personnes
Le sous-traitant transmet au client toute demande concernant un dossier, sauf instruction ou obligation légale contraire, et fournit une assistance raisonnable pour rechercher, exporter, rectifier ou supprimer les données. Le client répond directement à la personne concernée et reste responsable des délais.
Violation de données
Après confirmation d’une violation affectant les données confiées, le sous-traitant informe le client sans retard injustifié et vise une première notification dans les 24 heures. Celle-ci précise, à mesure des informations disponibles, la nature de l’incident, les catégories de données et personnes, les conséquences probables, les mesures prises et un point de contact. Le client décide des notifications à la CNIL et aux personnes concernées.
Analyse d’impact, autorités et audits
Le sous-traitant fournit les informations raisonnablement disponibles pour les analyses d’impact, consultations et contrôles. Une fois par an au plus, sauf incident ou demande d’autorité, le client peut demander les documents de conformité puis, si cela ne suffit pas, un audit encadré avec préavis de 30 jours, sans compromettre la sécurité ou les données d’autres clients. Les coûts exceptionnels sont supportés par le client sauf non-conformité substantielle du sous-traitant.
Sort des données
Pendant le service, le client dispose d’un export et d’une suppression autonome. À la fin, le sous-traitant supprime ou restitue les données selon l’instruction du client, au plus tard dans les 12 mois prévus par la politique, hors copies strictement nécessaires à une obligation légale. Les sauvegardes résiduelles, lorsqu’elles existent, restent protégées et sont écrasées selon le cycle de rétention de l’infrastructure.
Contact
Contact protection des données du sous-traitant : Jean-Baptiste BORZYCKI — vendeurbrief@gmail.com — 06 67 22 42 12. Contact du responsable de traitement : celui renseigné par le client dans son espace ou son bon de commande.