1. Objet de l’annexe

La présente annexe a pour objet de définir les conditions dans lesquelles DADDYWEB agit, le cas échéant, en qualité de sous-traitant pour le compte du Client, lorsque DADDYWEB est amenée à traiter des données à caractère personnel dans le cadre des prestations commandées.

La présente annexe s’applique uniquement dans les hypothèses où le Client détermine les finalités et les moyens essentiels du traitement, et où DADDYWEB traite des données personnelles pour le compte du Client, sur instruction de celui-ci.

Les termes « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « données à caractère personnel », « violation de données à caractère personnel » et, plus généralement, l’ensemble des termes issus du RGPD, ont le sens qui leur est donné par le Règlement (UE) 2016/679 du 27 avril 2016.

2. Description générale des traitements couverts

Selon la ou les prestations commandées par le Client, DADDYWEB peut être amenée à traiter des données à caractère personnel pour le compte du Client dans le cadre notamment :

• de prestations de création, refonte, maintenance ou hébergement de site internet ou de boutique en ligne ;
• de prestations d’assistance technique, de sauvegarde, de restauration, de supervision ou d’accès au back-office ;
• de prestations de community management ou de gestion de contenus sur des plateformes tierces ;
• de prestations de référencement local, d’optimisation SEO, d’optimisation de performance ou d’évolutions techniques, lorsque ces prestations impliquent un accès à des données personnelles du Client ou de ses utilisateurs.

Ces traitements sont réalisés uniquement dans la mesure strictement nécessaire à l’exécution des prestations commandées.

3. Nature, finalité, types de données et catégories de personnes concernées

3.1 Nature et finalité des traitements

Les traitements susceptibles d’être effectués par DADDYWEB pour le compte du Client peuvent notamment consister à :

• héberger des données ;
• permettre l’accès technique aux outils, sites ou interfaces du Client ;
• assurer la maintenance, la sauvegarde, la restauration, la supervision ou la correction d’incidents ;
• intégrer, modifier, publier ou gérer certains contenus ou formulaires ;
• traiter des données contenues dans les sites, boutiques, formulaires ou messageries gérés pour le compte du Client ;
• assurer des prestations de support, d’assistance ou de paramétrage.

La finalité de ces traitements est exclusivement l’exécution des prestations prévues au contrat, au bon de commande et aux annexes applicables.

3.2 Types de données susceptibles d’être traitées

Selon la prestation effectivement commandée, les données susceptibles d’être traitées peuvent inclure :

• données d’identification ;
• coordonnées de contact ;
• données issues de formulaires ;
• données de connexion ou journaux techniques ;
• contenus de messages ou demandes adressées via les outils gérés ;
• données relatives aux commandes, réservations, demandes de contact ou contrats du Client ;
• données éventuellement stockées dans le site, la boutique ou les outils administrés pour le compte du Client.

DADDYWEB n’a pas vocation à traiter plus de données que nécessaire à la bonne exécution de la prestation commandée.

3.3 Catégories de personnes concernées

Selon la nature des prestations commandées, les personnes concernées peuvent notamment être :

• les prospects du Client ;
• les clients du Client ;
• les visiteurs du site ou de la boutique du Client ;
• les utilisateurs des formulaires ou services en ligne du Client ;
• les contacts professionnels du Client ;
• les collaborateurs ou prestataires du Client lorsque leurs données sont intégrées aux outils concernés.

4. Durée du traitement

Les données personnelles ne sont traitées par DADDYWEB que pendant la durée nécessaire à l’exécution des prestations commandées, et, le cas échéant, pendant la durée strictement nécessaire à la conservation technique, à la sauvegarde, à la sécurité, à l’archivage ou au respect d’une obligation légale applicable.

La présente annexe s’applique pendant toute la durée de la relation contractuelle au titre de laquelle DADDYWEB agit en qualité de sous-traitant.

5. Obligations de DADDYWEB en qualité de sous-traitant

DADDYWEB s’engage à :

• traiter les données à caractère personnel uniquement sur instruction documentée du Client, sauf obligation légale contraire ;
• veiller à ce que les personnes autorisées à traiter les données s’engagent à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• prendre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque ;
• aider le Client, dans la mesure du possible et compte tenu de la nature du traitement, à répondre aux demandes d’exercice des droits des personnes concernées ;
• aider le Client, dans la mesure du possible, pour satisfaire à ses obligations en matière de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable lorsque cela est requis ;
• mettre à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations de sous-traitant.

6. Instructions du Client

Le Client s’engage à fournir à DADDYWEB des instructions licites, documentées et compatibles avec les prestations commandées.

Si DADDYWEB estime qu’une instruction constitue une violation de la réglementation applicable en matière de protection des données, DADDYWEB en informera le Client dans les meilleurs délais.

DADDYWEB peut suspendre l’exécution d’une instruction manifestement illicite ou manifestement incompatible avec ses obligations légales ou contractuelles, jusqu’à clarification écrite par le Client.

7. Mesures de sécurité

DADDYWEB met en œuvre des mesures techniques et organisationnelles adaptées afin de préserver la confidentialité, l’intégrité, la disponibilité et la résilience des données personnelles traitées pour le compte du Client.

Ces mesures peuvent notamment inclure, selon les cas :

• gestion des habilitations et restriction des accès ;
• protection des identifiants et mots de passe ;
• sauvegardes ;
• surveillance et maintenance technique ;
• sécurisation des environnements d’hébergement ;
• procédures internes de gestion d’incident ;
• limitation de l’accès aux seules personnes habilitées.

Le Client reconnaît que les mesures de sécurité s’apprécient au regard de l’état de l’art, des coûts de mise en œuvre, de la nature des traitements, et du niveau de risque présenté.

8. Recours à des sous-traitants ultérieurs

Le Client autorise DADDYWEB à recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à l’exécution des prestations commandées, notamment pour l’hébergement, la sauvegarde, la messagerie, l’infrastructure, la maintenance technique ou certains outils associés.

DADDYWEB s’engage à sélectionner des sous-traitants ultérieurs présentant des garanties suffisantes en matière de protection des données personnelles et à imposer contractuellement à ces sous-traitants des obligations de protection des données au moins équivalentes à celles prévues par la présente annexe.

Sur demande écrite du Client, DADDYWEB pourra communiquer les catégories de sous-traitants ultérieurs mobilisés ou, lorsque cela est pertinent et possible, leur identité dans le cadre de la prestation concernée.

En cas de changement substantiel affectant un sous-traitant ultérieur ayant un impact significatif sur le traitement, DADDYWEB en informera le Client dans un délai raisonnable.

9. Localisation des données et transferts hors EEE

DADDYWEB s’efforce, dans la mesure du possible et selon les solutions souscrites, de recourir à des prestataires et infrastructures présentant des garanties adaptées en matière de localisation et de protection des données.

Lorsque l’exécution d’une prestation implique un transfert de données hors de l’Espace économique européen, DADDYWEB veillera à ce que ce transfert repose sur un mécanisme de transfert juridiquement valable au regard du RGPD.

Aucun transfert hors EEE n’est réputé autorisé de manière générale par la présente annexe. Il doit, lorsqu’il existe, être justifié par la prestation concernée et encadré conformément à la réglementation applicable. La CNIL recommande de ne pas recourir à des services cloud sans garanties sur la localisation effective des données et sur les conditions légales des transferts hors UE.

10. Assistance relative aux droits des personnes concernées

Compte tenu de la nature du traitement, DADDYWEB aide le Client, dans la mesure du possible, à s’acquitter de son obligation de répondre aux demandes d’exercice des droits des personnes concernées, notamment :

• droit d’accès ;
• droit de rectification ;
• droit d’effacement ;
• droit d’opposition ;
• droit à la limitation du traitement ;
• droit à la portabilité, lorsque applicable ;
• droit de ne pas faire l’objet d’une décision individuelle automatisée, lorsque applicable.

Lorsqu’une personne concernée adresse directement une demande à DADDYWEB concernant un traitement effectué pour le compte du Client, DADDYWEB pourra, sauf interdiction légale, transmettre cette demande au Client.

11. Notification des violations de données

DADDYWEB notifie au Client, dans les meilleurs délais après en avoir pris connaissance, toute violation de données à caractère personnel affectant les traitements réalisés pour le compte du Client, lorsque cette violation est susceptible d’avoir un impact sur les données concernées.

Cette notification est accompagnée, dans la mesure du possible, des informations utiles disponibles pour permettre au Client d’évaluer la situation et, le cas échéant, de satisfaire à ses obligations réglementaires.

12. Audit et informations de conformité

DADDYWEB met à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations de sous-traitant.

Le Client peut solliciter un audit portant exclusivement sur les obligations de protection des données en lien avec les prestations confiées, sous réserve :

• d’un préavis raisonnable ;
• d’une réalisation pendant les heures ouvrées ;
• d’une limitation à un audit par période de douze mois, sauf incident grave ou obligation légale particulière ;
• du respect de la confidentialité, de la sécurité et du secret des affaires ;
• et d’une prise en charge des coûts correspondants par le Client, sauf faute grave démontrée de DADDYWEB.

13. Sort des données à l’issue de la relation contractuelle

À l’issue de la relation contractuelle, et sauf obligation légale de conservation ou nécessité technique temporaire justifiée, DADDYWEB supprimera ou restituera, selon le cas et selon ce qui est techniquement possible et contractuellement prévu, les données personnelles traitées pour le compte du Client.

Le Client doit formuler sa demande de restitution dans un délai raisonnable suivant la fin de la relation contractuelle. À défaut, DADDYWEB pourra procéder à la suppression des données dans les conditions prévues par son cycle normal de purge, de sauvegarde et d’archivage technique.

Les sauvegardes résiduelles ou copies temporaires peuvent être conservées pendant la durée strictement nécessaire à la sécurité, à l’intégrité des systèmes ou au respect d’obligations légales, puis supprimées selon les procédures applicables.

14. Obligations du Client

Le Client, en sa qualité de responsable de traitement, s’engage à :

• fournir à DADDYWEB des instructions licites, documentées et proportionnées ;
• s’assurer de la licéité des traitements qu’il met en œuvre ;
• informer les personnes concernées conformément à la réglementation applicable ;
• veiller au respect de ses propres obligations en matière de base légale, durée de conservation, sécurité, information et droits des personnes ;
• vérifier que les prestations qu’il confie à DADDYWEB correspondent bien à ses besoins de conformité ;
• documenter, lorsque cela lui incombe, ses traitements, analyses d’impact et obligations réglementaires.

15. Hiérarchie contractuelle

La présente annexe fait partie intégrante du contrat, du bon de commande et des annexes applicables selon la solution souscrite.

En cas de contradiction entre la présente annexe et une clause générale non spécifique à la protection des données, la présente annexe prévaut pour les seules questions relatives à la sous-traitance de données à caractère personnel.

DADDYWEB SAS capital de 20 000 € 45 rue de Villeneuve 94573 Rungis Tel N° 09 80 80 90 36 RC N°853 034 270 N° de TVA FR31853034270