Contrat de sous-traitance (article 28 du RGPD)

1. Objet et répartition des rôles

Le client est responsable de traitement des données qu'il saisit dans son organisation. OASYS agit en sous-traitant, pour les seules finalités d'exploitation, de maintenance et de support du service.

L'éditeur ne traite ces données que sur instruction documentée du client, dont le contrat et les présentes conditions constituent le support.

2. Nature des traitements

Hébergement, sauvegarde, restauration, mise à disposition des fonctionnalités de cartographie des risques, de dispositif de maîtrise, de manuel de procédures, d'export documentaire et, lorsque l'administrateur du client l'active avec la clé de son propre fournisseur, d'assistance par intelligence artificielle.

3. Localisation des données

Les données et leurs sauvegardes sont hébergées par Oracle Cloud Infrastructure (OCI), dans la région suivante : Union européenne (France, Marseille).

L'éditeur ne change pas de région d'hébergement sans en informer le client au moins 30 jours à l'avance ; le client peut alors résilier sans pénalité.

4. Durée et sort des données

Le traitement dure le temps du contrat, puis tant que le client conserve son organisation : la consultation et l'export restent ouverts après l'échéance. Aucune suppression n'intervient sans instruction du client.

Sur instruction écrite, l'éditeur restitue les données dans un délai de 10 jours ouvrés (export complet au format JSON, classeurs Excel et fichiers déposés), puis les supprime dans un délai de 30 jours et remet une attestation de suppression. Les sauvegardes s'effacent par rotation, en 14 jours au plus.

5. Sécurité

L'éditeur met en œuvre notamment :

• un cloisonnement strict entre organisations clientes, vérifié par des tests automatisés à chaque livraison ;
• une limitation des tentatives de connexion, un second facteur d'authentification et le chiffrement des communications ;
• une piste d'audit horodatée et nominative des modifications ;
• une sauvegarde quotidienne chiffrée, dont la restauration est rejouée sur MySQL 8 à chaque version du logiciel, et une procédure documentée de copie hors du serveur ;
• le chiffrement au repos des clés d'accès aux fournisseurs d'intelligence artificielle ;
• l'assainissement systématique des contenus soumis par les utilisateurs.

6. Sous-traitants ultérieurs

Le client autorise l'éditeur à recourir aux sous-traitants ultérieurs suivants, dont la politique de confidentialité tient la même liste.

Tout nouveau sous-traitant ultérieur fait l'objet d'une information préalable au moins 30 jours à l'avance ; le client peut formuler des objections et, faute d'accord, résilier sans pénalité.

Les fournisseurs d'intelligence artificielle ne sont sollicités que si l'administrateur du client active la fonctionnalité avec la clé de son propre compte ; le client en est alors le donneur d'ordre.

7. Assistance et notification

L'éditeur assiste le client dans la réponse aux demandes d'exercice de droits, dans la réalisation d'analyses d'impact et dans la notification des violations de données.

Toute violation de données à caractère personnel est notifiée au client dans les meilleurs délais, et au plus tard 24 heures après en avoir pris connaissance, avec les éléments permettant à celui-ci de satisfaire à ses propres obligations.

8. Audit

Le client peut demander, une fois par an et moyennant un préavis de 30 jours, la démonstration du respect des présentes obligations : documentation, mesures de sécurité et leurs preuves.

Pour un client soumis à une autorité de supervision, l'annexe « établissement assujetti » étend ce droit à ses auditeurs et à cette autorité.