Accord de sous-traitance.

1. Les parties et leur qualification

Pour les données déposées dans son espace — comptes, clients, contacts, dossiers, documents et journal d'activité —, le Client est responsable du traitement et GSInformatique sous-traitant : GSI traite ces données pour le compte du Client et sur ses instructions. Dans le présent accord, « vous » et « le Client » désignent l'entreprise ou l'organisation qui a accepté les Conditions du service GSI-GED.

GSInformatique est par ailleurs responsable du traitement, à un titre distinct, pour ses propres données : comptes de son personnel, gestion administrative et commerciale des Clients, et journaux techniques de la plateforme.

Conséquence pratique. Une personne qui exerce ses droits sur des données de votre espace s'adresse à vous, jamais à GSI. GSI met à votre disposition les outils nécessaires — export structuré, anonymisation, registre des demandes avec leurs échéances — mais ne traite aucune demande à votre place.

2. L'objet, la nature et la durée du traitement

Objet : la mise à disposition d'une plateforme de gestion électronique de documents, hébergée par GSInformatique, dont chaque Client dispose d'un espace dédié et cloisonné.

Nature des opérations : hébergement, stockage, indexation, structuration, consultation, transmission aux personnes que vous autorisez, et effacement. Plus largement, toute opération technique nécessitée par les seuls besoins du service.

Personnes concernées : les représentants légaux du Client, ses collaborateurs, les représentants de ses clients, et les personnes mentionnées dans les documents déposés.

Données concernées : identité et coordonnées professionnelles, données de connexion et de sécurité — dont les secrets d'authentification, chiffrés au repos —, métadonnées documentaires, et le contenu des documents déposés sur la plateforme, qui peut comporter, à l'initiative du Client, des données personnelles sensibles au sens de la législation applicable.

Durée : celle du contrat de service, augmentée des durées de conservation prévues à la rubrique 6.

Le contenu des documents est déposé sous la seule responsabilité du Client, responsable du traitement : il lui appartient de s'assurer qu'il dispose d'une base légale pour l'y déposer et que ce dépôt est licite. Hors des sessions d'endossement (rubrique 4), GSI n'en prend pas connaissance et ne le qualifie pas. Lorsque le Client active la recherche dans le contenu des documents, le texte en est extrait et indexé dans les conditions de la rubrique 11 des conditions du service. GSI ne peut donc garantir ni la nature ni la licéité des documents.

3. Les instructions documentées

GSI ne traite les données de votre espace que sur instruction documentée de votre part. Constituent des instructions documentées, au sens du présent accord : le présent accord et le contrat de service ; les actions que vous réalisez dans l'application — paramétrage, création de comptes, dépôt et suppression de documents, réglages de rétention ; et toute demande écrite adressée au support par une personne que vous avez habilitée.

GSI vous informe s'il estime qu'une instruction constitue une violation du droit applicable.

4. Ce que GSInformatique observe de votre espace

GSI dispose, par construction technique, d'une capacité d'observation de la conformité de chaque Client. Elle s'exerce à deux niveaux, et à deux seulement.

Des compteurs agrégés : le nombre de demandes d'exercice de droits reçues, en cours, en retard, traitées, et le nombre d'effacements honorés. Aucune identité de personne, aucun contenu de demande. Cette vue n'est pas journalisée.

La consultation du registre de conformité d'un Client donné, sur motif saisi et pour l'un des fondements prévus. Cette consultation est journalisée durablement dans le registre de conformité de l'espace du Client, qui n'est pas purgeable et où le Client peut la consulter : le motif, le fondement, l'opérateur — désigné par son alias — et le périmètre consulté y sont inscrits. Les fondements admis sont : un litige, le contrôle d'une autorité, un audit au titre du présent accord, et la fin de vie de l'espace. Le Client n'est pas notifié de chaque consultation ; il en retrouve la trace dans son registre.

En matière de demandes d'exercice des droits, GSI observe, il n'agit jamais. Traiter ou relayer la demande d'une personne le ferait glisser de sous-traitant vers responsable du traitement. Aucune surface permettant à GSI d'agir sur une demande n'existe dans la plateforme, hors session d'endossement, et aucune n'est prévue.

Pour assister le Client ou préserver la sécurité de son espace, un administrateur de GSI peut ouvrir une session d'endossement dans l'espace du Client. Pendant cette session, il dispose des mêmes droits qu'un administrateur du Client, ni plus ni moins : il peut notamment consulter le contenu de l'espace et y agir.

L'ouverture d'une session d'endossement exige un motif. Elle est notifiée aux administrateurs du Client, par e-mail et dans leur espace, avec le motif et l'heure à laquelle la session prendra fin. La session est limitée dans le temps et prend fin automatiquement à cette heure.

Tout administrateur du Client peut mettre fin à une session d'endossement à tout moment ; elle cesse alors immédiatement. Toutes les actions effectuées pendant la session sont inscrites au journal d'activité de l'espace, attribuées à un alias de l'administrateur de GSI et non à son nom ; la correspondance entre l'alias et la personne est conservée par GSI.

GSInformatique étant son propre hébergeur, son personnel d'exploitation dispose en outre d'un accès technique aux données — base de données, stockage des fichiers, sauvegardes. Cet accès n'est pas une fonctionnalité de la plateforme : il est réservé aux personnes habilitées, tenues à la confidentialité, et n'est exercé que pour l'exploitation, la maintenance, la sécurité et la résolution des incidents, jamais pour prendre connaissance du contenu de l'espace du Client.

5. Les mesures de sécurité

Les mesures suivantes sont effectivement en place :

Isolation par Client : un espace de base de données et un espace de stockage des documents dédiés à chaque Client, avec des droits d'accès bridés et des contrôles automatisés vérifiant l'absence de fuite d'un Client à l'autre.

Chiffrement au repos des secrets d'authentification à double facteur, des archives d'export et des pièces jointes des demandes ; chiffrement du volume de stockage par ailleurs. Chiffrement en transit sur toutes les communications qui quittent le serveur.

Authentification : mot de passe vérifié contre les bases de fuites connues, second facteur exigé pour tout compte, et ré-authentification exigée pour les gestes sensibles.

Journal d'activité inaltérable : toute écriture est tracée et attribuée à son auteur ; le journal n'est ni modifié ni anonymisé, et il est supprimé à l'échéance de sa durée de conservation.

Confidentialité et traçabilité des interventions de GSI : les personnes de GSInformatique ayant accès aux données sont tenues à une obligation de confidentialité ; leurs interventions dans votre espace sont tracées sous un alias, dans les conditions de la rubrique 4.

Les mesures décrites ci-dessus constituent le niveau de sécurité minimal auquel GSI s'engage. GSI peut les faire évoluer, notamment pour suivre l'état de l'art, à condition que ces évolutions n'entraînent aucune réduction du niveau global de sécurité du service. La description à jour de ces mesures est tenue à la disposition du Client.

6. La conservation, la rétention et l'effacement

Le journal d'activité est conservé au titre de l'intérêt légitime — sécurité, preuve, défense de droits en justice — et n'est jamais anonymisé. Sa durée de conservation est réglable par vos soins, à l'intérieur de bornes fixées par GSInformatique.

Les bornes en vigueur sont : durée minimale 180 jours, durée par défaut 1 an, durée maximale 3 ans. Le Client peut adapter cette durée dans ces limites en fonction de ses besoins de sécurité, de contrôle interne et d'audit. La durée retenue doit être justifiée par la finalité poursuivie et rester nécessaire et proportionnée à celle-ci, conformément à la nLPD et au RGPD.

L'effacement d'une personne met fin à son accès à la plateforme. L'effacement anonymise son identité et ses contributions (les noms qui figurent sur ses messages, notes et modifications) ; le journal d'activité est conservé jusqu'au terme de sa durée de conservation. L'effacement d'un compte d'accès ne porte pas sur les documents déposés dans le dossier d'un client, même lorsqu'ils mentionnent la personne : leur conservation, ou leur suppression, relève du Client, responsable du traitement.

À la fin du contrat, il appartient au Client d'effectuer le téléchargement de ses données au moyen de l'outil d'export mis à sa disposition sur la plateforme, avant expiration du délai de grâce (voir Conditions commerciales, rubrique 5). Les données exportées sont livrées dans un format structuré, couramment utilisé et lisible par machine. Au-delà de la période de grâce précisée dans les Conditions commerciales, les données sont supprimées de la plateforme. GSI conserve alors une archive scellée du dernier état de l'espace du Client : ses données, ses documents et ses journaux, y compris le registre de conformité avec les motifs qui y sont inscrits. Cette archive est conservée pendant quatre-vingt-dix jours, et jamais moins que la durée de conservation des journaux paramétrée par le Client, afin de préserver la traçabilité au-delà de la fin du contrat et de pouvoir répondre à une demande d'une autorité ; elle n'est ouverte qu'à ces fins, puis supprimée à son échéance. Les copies techniques qui subsistent dans les sauvegardes ne sont consultées que pour une restauration, et disparaissent à l'expiration de celles-ci (rubrique 6, « Sauvegarde »).

Sauvegarde. Les sauvegardes sont conservées pendant une durée maximale de douze mois et ne sont accessibles que dans le cadre des opérations de restauration. En cas de restauration, les effacements et anonymisations intervenus depuis la création de la sauvegarde sont réappliqués par GSI, selon une procédure documentée, avant toute remise en service, afin que le système restauré ne réintroduise aucune donnée ayant fait l'objet d'un effacement ou d'une anonymisation.

7. L'assistance qui vous est due

GSI vous assiste, dans la mesure du possible et compte tenu de la nature du traitement et des informations dont il dispose :

— dans le traitement des demandes d'exercice des droits des personnes concernées, notamment par les outils mis à votre disposition — export structuré, anonymisation que vous opérez vous-même, registre des demandes avec leurs échéances et leurs relances ;

— dans le respect de vos obligations de sécurité, en vous fournissant les informations utiles relatives aux mesures techniques et organisationnelles mises en œuvre par GSI ;

— en vous notifiant toute violation de données personnelles concernant votre espace, dans les conditions précisées ci-après ;

— en vous fournissant les informations dont il dispose et qui sont nécessaires à la réalisation d'une analyse d'impact relative à la protection des données (AIPD) lorsque celle-ci est requise et, le cas échéant, à une consultation préalable de l'autorité de contrôle.

GSI ne répond pas à une personne concernée au sujet des données traitées pour votre compte, et ne relaie pas sa demande : la personne qui s'adresse à GSI est orientée vers vous, sauf obligation légale applicable à GSI.

GSI vous notifie de toute violation de données personnelles concernant votre espace sans délai injustifié après en avoir pris connaissance et, au plus tard, dans les 48 heures. La notification est adressée, par courrier électronique, à l'adresse de contact administratif de votre espace. Elle contient, dans la mesure où ces informations sont disponibles :

— la nature de la violation ;

— les catégories et, si possible, le nombre approximatif de personnes concernées ;

— les catégories et, si possible, le nombre approximatif de données ou d'enregistrements concernés ;

— les conséquences probables de la violation ;

— les mesures prises ou envisagées pour y remédier et en limiter les conséquences ;

— les coordonnées du point de contact GSI auprès duquel des informations complémentaires peuvent être obtenues.

Lorsque toutes ces informations ne sont pas disponibles dans le délai initial, GSI vous transmet les premiers éléments disponibles puis complète la notification sans délai injustifié à mesure que les informations sont établies. Il vous appartient, en votre qualité de responsable du traitement, d'évaluer si la violation doit être notifiée à l'autorité de contrôle ou communiquée aux personnes concernées. GSI vous fournit les informations dont il dispose pour vous permettre de satisfaire à ces obligations.

8. Les sous-traitants ultérieurs

À la date de la présente version, GSI ne recourt à aucun sous-traitant ultérieur : les données de l'espace du Client sont traitées exclusivement sur des serveurs administrés par GSI, y compris pour l'envoi des courriers électroniques émis par la plateforme.

Si GSI venait à recourir à un sous-traitant ultérieur, il lui imposerait par contrat des obligations de protection des données équivalentes à celles du présent accord, et demeurerait responsable envers le Client de leur exécution.

GSI informe le Client de tout ajout ou remplacement d'un sous-traitant ultérieur au moins trente jours avant qu'il ne prenne effet. Le Client peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut d'accord entre les parties, il peut mettre fin à son abonnement avant la prise d'effet du changement.

Prestataires techniques complémentaires. Par souci de transparence, GSI porte également à la connaissance du Client le recours aux prestataires techniques suivants, qui ne sont pas considérés comme des sous-traitants ultérieurs pour les prestations décrites ci-dessous :

— Infomaniak (Suisse) : fournit l'infrastructure physique d'hébergement des serveurs de GSI (emplacement, alimentation électrique, refroidissement et connectivité) et la résolution de ses noms de domaine. Les serveurs sont administrés et exploités exclusivement par GSI. Infomaniak ne dispose d'aucun accès logique ou administratif aux données hébergées.

— Have I Been Pwned — Pwned Passwords : service de vérification permettant de détecter si un mot de passe choisi figure parmi ceux compromis lors de fuites de données connues. La vérification repose sur une empreinte cryptographique dont seuls les cinq premiers caractères sont transmis au service. Ni le mot de passe ni son empreinte complète ne sont communiqués. La requête est émise par les serveurs de GSI, et la comparaison définitive est effectuée par GSI, sans transmission de l'identité ni de l'adresse de l'utilisateur au service.

Ces prestataires sont mentionnés à titre informatif : aucun traitement de données personnelles ne leur est confié pour le compte du Client.

9. L'audit et le contrôle

Le Client peut vérifier le respect du présent accord par GSI.

Vérification sur documents. Sur demande écrite, et au plus une fois par année civile, GSI fournit au Client sans frais la description à jour des mesures techniques et organisationnelles mises en œuvre et répond à un questionnaire de sécurité raisonnable.

Audit. Lorsque cette vérification ne suffit pas à établir le respect du présent accord, ou lorsqu'une autorité de contrôle l'exige ou à la suite d'une violation de données concernant son espace, le Client peut faire procéder à un audit, y compris sur site, par lui-même ou par un auditeur indépendant tenu au secret professionnel et qui n'est pas un concurrent de GSI. La demande est adressée au moins trente jours à l'avance ; la date, le périmètre et la durée de l'audit sont convenus entre les parties.

Protection des autres Clients. L'audit porte sur les mesures et les processus de GSI et sur les données de l'espace du Client. Il ne donne accès ni aux données des autres Clients de GSI, ni aux informations dont la divulgation compromettrait la sécurité de la plateforme ; il se déroule en présence de GSI, sans accès direct de l'auditeur aux serveurs.

Coûts. Chaque partie supporte ses propres frais. Le temps consacré par GSI à un audit au-delà d'une journée peut être facturé au Client, sur devis préalablement accepté, sauf si l'audit révèle un manquement significatif de GSI à ses obligations.

10. La confidentialité

Les personnes que GSInformatique autorise à accéder aux données sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure strictement nécessaire à l'exploitation de la plateforme et au support.