Accord de traitement

1. Parties et objet

Le client qui souscrit au service SiteNorma agit en tant que responsable du traitement. Gassiot & Llobet, dont le numéro d’identification fiscale (NIF) est J66534553, agit en tant que sous-traitant et ne traite les données que pour fournir le service contracté, en suivant les instructions documentées du client, qui sont ces conditions et l’usage que le client fait du service.

2. Durée

Cet accord dure aussi longtemps que le contrat de service. À sa fin, les dispositions de la section 8 s’appliquent.

3. Nature et finalité du traitement

• Analyser les pages web publiques du client. Ces pages peuvent contenir des données personnelles, comme des noms, photographies ou coordonnées publiées par le client lui-même, capturées dans des captures d’écran et des extraits de code.
• Stocker les résultats, preuves et documents générés.
• Gérer les utilisateurs que le client invite dans son organisation.
• Une fois le Centre d’accessibilité existant, recevoir et gérer les signalements envoyés par les personnes qui visitent le site du client.

4. Types de données et personnes concernées

Données traitées pour le compte du client

Personnes concernées	Données
Personnes dont les données apparaissent sur les sites analysés	Les données que le client publie sur son site : noms, images, coordonnées.
Utilisateurs invités par le client	Nom, e-mail, rôle et journal d’activité.
Personnes qui signalent un problème d’accessibilité (futur)	Coordonnées facultatives et contenu du signalement.

5. Obligations du sous-traitant

• Traiter les données uniquement conformément aux instructions du client et l’informer si une instruction peut enfreindre la réglementation applicable.
• Veiller à ce que les personnes autorisées à traiter les données se soient engagées à en respecter la confidentialité.
• Appliquer les mesures de sécurité de l’article 32 du RGPD : chiffrement en transit et au repos, contrôle d’accès, journalisation d’audit et sauvegardes chiffrées avec restauration testée.
• Aider le client à répondre aux demandes d’exercice des droits des personnes concernées et à remplir ses obligations en matière de sécurité, de notification de violation et d’analyses d’impact.
• Notifier le client, sans retard injustifié, de toute violation de données personnelles dont il a connaissance.
• Mettre à la disposition du client les informations nécessaires pour démontrer la conformité, et permettre des audits raisonnables.

6. Obligations du client

• N’analyser que ses propres sites ou des sites pour lesquels il a une autorisation.
• Informer les personnes concernées le cas échéant, par exemple dans le formulaire du Centre d’accessibilité.
• N’inviter que les utilisateurs qui ont besoin d’un accès, et revoir leurs permissions.

7. Sous-traitants ultérieurs

Le client donne une autorisation générale pour l’engagement des sous-traitants nécessaires à la fourniture du service. Nous préviendrons à l’avance de tout changement de la liste pour que le client puisse s’y opposer. Chaque sous-traitant assume les mêmes obligations de protection des données par contrat.

Liste provisoire des sous-traitants (à confirmer)

Prestataire	Service	Localisation des données
Hetzner Online GmbH	Serveurs et stockage	Allemagne et Finlande (UE)
Anthropic	Suggestions d’IA, en utilisant uniquement des fragments de HTML public	[PENDIENTE DE CONFIRMAR]
Sentry	Journalisation des erreurs de l’application	Union européenne
[PROVEEDOR DE EMAIL]	Envoi des e-mails de service	Union européenne
Stripe	Paiements et abonnements	[PENDIENTE DE CONFIRMAR]

8. Fin de l’accord

Lorsque le service prend fin, le client peut exporter ses données. Nous les supprimerons ensuite, sauf si une loi nous oblige à en conserver une partie, auquel cas nous les garderons bloquées pendant la durée requise. [PLAZOS PENDIENTES]

9. Transferts internationaux

Si un sous-traitant traite des données hors de l’Espace économique européen, il le fera avec les garanties prévues au chapitre V du RGPD, comme les clauses contractuelles types de la Commission européenne.