Accord de sous-traitance des données (DPA)

1. Parties et rôles

Le présent accord est conclu entre le client d'Oplaa Grid, responsable de traitement des données personnelles saisies, importées ou collectées dans ses applications, et GYD GROUP, SAS, 47 rue Vivienne, 75002 Paris, RCS Paris 130 615 297, éditeur d'Oplaa Grid, agissant en qualité de sous-traitant au sens des articles 4 et 28 du RGPD. Il complète les CGU et les CGV et s'applique dès l'acceptation de celles-ci.

2. Objet et durée

Oplaa Grid traite les données pour le compte du client afin de fournir le service : hébergement en base de données, affichage dans les applications, calculs, automatisations, fonctions d'intelligence artificielle, imports et exports. L'accord dure aussi longtemps que le compte du client.

3. Données et personnes concernées

Personnes concernées : collaborateurs, clients, prospects, fournisseurs et utilisateurs des applications du client. Données : identité, coordonnées, données professionnelles et opérationnelles, fichiers importés. Le client s'interdit d'y placer des données sensibles (article 9 du RGPD, dont les données de santé) ou des numéros de carte bancaire complets sans accord écrit préalable.

4. Obligations du sous-traitant

• Traiter les données uniquement sur instruction documentée du client, jamais pour son propre compte ni à des fins publicitaires.
• Soumettre toute personne autorisée à une obligation de confidentialité.
• Mettre en œuvre des mesures de sécurité adaptées : chiffrement en transit (HTTPS/TLS) et au repos, cloisonnement des données par application et par rôle, contrôle des accès, sauvegardes régulières.
• Héberger les données principales dans l'Union européenne ; tout transfert hors UE est encadré par des clauses contractuelles types de la Commission européenne.
• Informer le client si une instruction lui semble contraire au RGPD.

5. Sous-traitants ultérieurs

Le client autorise le recours aux catégories de sous-traitants suivantes :

• Hébergement des données et infrastructure cloud (Union européenne) ;
• Réseau de diffusion et protection du site (sécurité, disponibilité) ;
• Fournisseurs de modèles d'intelligence artificielle, sous engagement de ne pas conserver les données ni les utiliser pour entraîner leurs modèles ;
• Envoi d'e-mails transactionnels.

La liste détaillée est disponible sur demande à contact@gyd.group. Tout nouveau sous-traitant est annoncé 30 jours à l'avance ; le client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier son abonnement. Chaque sous-traitant est tenu aux mêmes obligations que le présent accord.

6. Droits des personnes et assistance

Oplaa Grid aide le client à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, notamment grâce aux outils d'édition et d'export intégrés. Il l'assiste aussi, si besoin, pour les analyses d'impact et la consultation de la CNIL.

7. Violation de données

Oplaa Grid notifie au client toute violation de données le concernant dans un délai maximal de 48 heures après en avoir eu connaissance, avec les informations utiles à sa propre notification à la CNIL : nature de l'incident, données et personnes concernées, conséquences probables et mesures prises.

8. Fin du service

Avant la clôture de son compte, le client peut exporter l'ensemble de ses données (CSV ou JSON). Les données et leurs sauvegardes sont ensuite supprimées de façon définitive sous 30 jours, sauf obligation légale de conservation.

9. Documentation et audit

Oplaa Grid met à disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut réaliser un audit une fois par an, à ses frais, avec un préavis de 30 jours, par un auditeur indépendant tenu à la confidentialité.

10. Droit applicable

Le présent accord est soumis au droit français. Pour toute question : contact@gyd.group. Voir aussi la politique de confidentialité.