1. Rôles
Le client d'Omnifloo est responsable du traitement des données personnelles contenues dans son espace. Omnifloo (DYONYSOS SASU) les traite pour son compte, en qualité de sous-traitant. Lorsqu'un Éditeur accède à ces données — assistance à la demande d'un client, maintenance à distance, service externe appelé par son application — il agit comme sous-traitant ultérieur d'Omnifloo, au sens de l'article 28, paragraphe 4, du règlement (UE) 2016/679 (RGPD). La présente annexe fait partie du Contrat éditeur et s'applique à chacun de ces accès.
Une application qui ne fait que s'exécuter dans l'espace du client, sans rien transmettre à l'Éditeur, ne donne à celui-ci aucun accès aux données : la présente annexe ne s'applique alors qu'en cas d'assistance.
2. Description des traitements
| Objet | assistance, maintenance et, le cas échéant, service externe fourni par l'application |
|---|---|
| Durée | durée de l'intervention, ou du service externe tant que le client l'utilise |
| Nature | consultation, et seulement si nécessaire à l'intervention, modification ou transmission |
| Données | celles de l'espace du client strictement nécessaires (par exemple : contacts, documents commerciaux, utilisateurs) |
| Personnes concernées | clients, prospects, fournisseurs, salariés et utilisateurs du client |
L'Éditeur décrit sur la fiche de chaque application tout service externe, les données transmises et leur destination.
3. Obligations de l'Éditeur
- traiter les données uniquement sur instruction documentée d'Omnifloo ou du client relayée par Omnifloo, et pour la seule intervention demandée ; informer Omnifloo s'il estime qu'une instruction enfreint la réglementation ;
- soumettre à une obligation de confidentialité les personnes autorisées à accéder aux données, et limiter ces personnes au strict nécessaire ;
- mettre en œuvre les mesures de sécurité de l'article 32 du RGPD, au minimum : comptes nominatifs protégés par double authentification, chiffrement des échanges, journalisation des accès, effacement des copies de travail à la fin de l'intervention ;
- ne pas recruter d'autre sous-traitant sans autorisation écrite préalable d'Omnifloo, et lui imposer les mêmes obligations ; l'Éditeur reste responsable de ses sous-traitants ;
- aider Omnifloo à répondre aux demandes d'exercice des droits des personnes et à respecter ses obligations de sécurité, de notification des violations et d'analyse d'impact ;
- notifier à Omnifloo toute violation de données personnelles dans les 24 heures après en avoir pris connaissance, avec les informations utiles à la notification de l'autorité de contrôle ;
- à la fin de l'intervention ou du service, supprimer les données et leurs copies, ou les restituer si Omnifloo le demande, et le confirmer par écrit ;
- mettre à disposition les informations nécessaires pour démontrer le respect de la présente annexe et permettre des audits, y compris des inspections, par Omnifloo ou un auditeur mandaté, moyennant un préavis raisonnable.
4. Transferts hors de l'Union européenne
Aucune donnée n'est transférée hors de l'Espace économique européen sans l'accord écrit préalable d'Omnifloo et sans garanties appropriées (décision d'adéquation ou clauses contractuelles types de la Commission européenne, complétées si nécessaire).
5. Responsabilité
L'Éditeur répond envers Omnifloo de tout manquement à la présente annexe ; Omnifloo demeure responsable envers son client de l'exécution des obligations de l'Éditeur, conformément à l'article 28, paragraphe 4, du RGPD. Les limitations de responsabilité du Contrat éditeur ne s'appliquent pas aux manquements à la présente annexe.
6. Durée
La présente annexe s'applique tant que l'Éditeur a accès à des données de clients d'Omnifloo, y compris après la fin du Contrat éditeur, jusqu'à la suppression effective des données.