Contrat de sous-traitance

Article 28 du règlement général sur la protection des données

Préambule

Le présent contrat fait partie intégrante des conditions générales et s'impose dès la création d'un compte. Il encadre le traitement, par l'éditeur, des données concernant les personnes que vous accompagnez.

Il est conclu entre :

• Vous, utilisatrice du service, ci-après « le responsable de traitement ». C'est vous qui décidez des données que vous saisissez et de l'usage que vous en faites.
• Enzo Gogibus (EI), 1556 route de la Biolle, 73200 Pallud, France, ci-après « le sous-traitant ». Il héberge et traite ces données pour votre compte, sur votre seule instruction.

Article 1 — Objet et durée

Le sous-traitant traite les données à caractère personnel que vous saisissez, aux seules fins de vous fournir le service : affichage de votre planning, tenue de vos fiches, établissement de vos documents, calcul de vos statistiques.

Le contrat produit ses effets pendant toute la durée de votre compte et prend fin à sa suppression.

Article 2 — Nature des données et personnes concernées

Personnes concernées : les bénéficiaires que vous accompagnez, leurs proches désignés comme personne à prévenir, et le cas échéant les consœurs à qui vous confiez une intervention.

Catégories de données : identité, date de naissance, coordonnées, adresse et modalités d'accès au logement, tâches convenues, horaires d'intervention, conditions tarifaires, notes libres que vous rédigez.

Données exclues : le service ne prévoit aucun champ destiné aux données de santé. Les tâches proviennent d'une liste fermée sans mention médicale. Vous vous engagez à ne pas inscrire de pathologie, de traitement ni de diagnostic dans les champs libres. Le sous-traitant n'étant pas hébergeur certifié de données de santé, une telle saisie vous exposerait personnellement.

Article 3 — Obligations du sous-traitant

Le sous-traitant s'engage à :

• ne traiter les données que sur instruction documentée du responsable de traitement, l'utilisation du service valant instruction ; il vous informe s'il estime qu'une instruction constitue une violation du RGPD ;
• n'utiliser ces données pour aucune finalité propre : ni amélioration commerciale, ni statistique, ni entraînement d'un quelconque système, ni prospection ;
• garantir la confidentialité : seules les personnes strictement nécessaires à l'exploitation technique peuvent accéder aux serveurs, et sont tenues au secret ;
• mettre en œuvre les mesures de sécurité énumérées à l'article 6 ;
• vous aider à répondre aux demandes d'exercice de droits émanant des personnes concernées, notamment par la fonction d'export intégrée ;
• vous assister dans vos obligations de sécurité, de notification de violation et, le cas échéant, d'analyse d'impact ;
• vous notifier toute violation de données dans les quarante-huit heures suivant sa découverte, avec les éléments nécessaires à votre propre notification à la CNIL ;
• restituer ou supprimer les données au terme du contrat, dans les conditions de l'article 8 ;
• tenir à votre disposition la documentation nécessaire pour démontrer le respect de ces obligations.

Article 4 — Obligations du responsable de traitement

Il vous appartient de :

• disposer d'une base légale pour traiter les données des personnes que vous accompagnez — généralement l'exécution du contrat qui vous lie à elles ;
• les informer du traitement, de son objet, de leurs droits et de l'existence de ce sous-traitant ;
• ne saisir que des données exactes et nécessaires ;
• tenir votre registre des traitements, obligation qui vous incombe et non au sous-traitant ;
• veiller à la confidentialité de vos identifiants, qui commandent l'accès à l'ensemble de vos fiches.

Article 5 — Sous-traitants ultérieurs

Vous autorisez le sous-traitant à recourir aux prestataires suivants, dont les engagements sont au moins équivalents aux siens :

• OVH SAS — hébergement de l'infrastructure, centre de données situé en France ;
• Stripe Payments Europe — encaissement de votre abonnement. Ce prestataire n'a accès à aucune donnée concernant les personnes que vous accompagnez ;
• le fournisseur de messagerie acheminant les e-mails du service, qui peut voir le nom et l'adresse e-mail d'un destinataire de document.

Tout changement vous est notifié par e-mail au moins trente jours à l'avance. Vous pouvez vous y opposer en résiliant votre abonnement sans frais avant sa prise d'effet.

Article 6 — Mesures de sécurité

• chiffrement de toutes les communications par TLS, certificat renouvelé automatiquement ;
• mots de passe conservés sous forme d'empreinte bcrypt à coût élevé ;
• cloisonnement des comptes : chaque requête est filtrée par l'identifiant de l'utilisatrice ; aucune ne peut atteindre les fiches d'une autre ;
• limitation du nombre de tentatives de connexion ;
• accès administrateur au serveur par clé cryptographique uniquement ;
• pare-feu n'exposant que les ports strictement nécessaires ;
• sauvegardes quotidiennes chiffrées en transit, conservées trente jours ;
• application exécutée sans privilèges administrateur.

Article 7 — Transmission lors d'un remplacement

Lorsque vous confiez une intervention à une consœur, vous décidez de lui transmettre une fiche réduite, figée au moment de l'envoi. Elle contient uniquement :

• le prénom et le nom de la personne accompagnée ;
• son adresse et les informations d'accès au logement ;
• son numéro de téléphone ;
• les tâches convenues ;
• la personne à prévenir et son téléphone.

En sont exclus : la date de naissance, l'adresse e-mail, vos notes personnelles, le tarif, la taille du contrat et l'historique des interventions.

Retirer la proposition supprime l'enregistrement et, avec lui, l'accès de la remplaçante. Cette transmission relève de votre décision et de votre responsabilité : il vous appartient d'en informer la personne concernée.

Article 8 — Sort des données en fin de contrat

Avant toute suppression, vous pouvez exporter l'intégralité de vos données depuis votre compte, dans un format lisible et réutilisable.

La suppression du compte entraîne l'effacement immédiat et définitif de toutes les données associées. Les sauvegardes encore en circulation s'effacent au terme des trente jours de rotation.

Seules les factures sont conservées au-delà, pour la durée légale de dix ans. Elles ne contiennent aucune information sur les personnes que vous accompagnez.

Article 9 — Audit

Vous pouvez demander, une fois par an et moyennant un préavis raisonnable, les éléments permettant de vérifier le respect des présentes obligations. Le sous-traitant y répond dans un délai d'un mois. Un audit sur site, s'il est justifié, se déroule aux frais du demandeur et sans perturber le service.

Article 10 — Contact

Toute question relative au présent contrat : contact@auxiane.fr.

Auxiane — version du 24 septembre 2026