Accord de sous-traitance

Le présent accord encadre les traitements de données à caractère personnel réalisés par Oneria Pro pour le compte de son client dans le cadre de la fourniture du service.

Les traitements dont Oneria Pro est lui-même responsable — gestion de votre compte, facturation de l'abonnement, mesure d'audience du site — ne relèvent pas de cet accord mais de la politique de confidentialité.

Nature et finalité : hébergement, stockage, structuration et restitution des données saisies par le Client, aux seules fins de lui fournir les fonctionnalités de facturation, de gestion de la relation client, de prise de rendez-vous, de suivi de stock, de trésorerie, d'assistance IA et de campagnes.

Catégories de personnes concernées et de données :

Oneria Pro ne traite les données que sur instruction documentée du Client. Les instructions sont constituées par le présent accord, les conditions générales et l'usage que le Client fait des fonctionnalités du service : créer une facture, envoyer une relance ou déclencher un rappel de rendez-vous constitue une instruction.

Si une instruction du Client paraît constituer une violation du RGPD, Oneria Pro l'en informe sans délai et peut suspendre son exécution.

Les personnes autorisées à traiter les données sont tenues à une obligation contractuelle de confidentialité et ne reçoivent d'accès que dans la stricte mesure nécessaire à l'exploitation et au support du service. Les accès d'administration sont nominatifs et journalisés.

Conformément à l'article 32 du RGPD, Oneria Pro met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement des données en transit (TLS) et au repos.
• Cloisonnement logique strict des données entre comptes clients.
• Authentification par mot de passe haché, double authentification disponible et verrouillage après tentatives répétées.
• Contrôle d'accès par rôles et permissions au sein de chaque compte.
• Journalisation des accès et des opérations sensibles.
• Sauvegardes régulières et restauration testée.
• Supervision technique et suivi des erreurs en production.

Ces mesures peuvent évoluer pour tenir compte de l'état de l'art, sans jamais abaisser le niveau de protection.

Le Client autorise de manière générale Oneria Pro à faire appel aux sous-traitants ultérieurs listés ci-dessous. Chacun est lié par des obligations de protection équivalentes à celles du présent accord. Cette liste est exhaustive à la date d'entrée en vigueur.

Tout ajout ou remplacement de sous-traitant est annoncé par email au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut d'accord, il peut résilier sans pénalité.

L'hébergement de l'application et de la base de données a lieu dans l'Union européenne, à Stockholm. Certains sous-traitants listés ci-dessus sont néanmoins établis aux États-Unis ou y opèrent des transferts intragroupe.

Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification du prestataire au EU-US Data Privacy Framework. Aucun transfert n'a lieu vers un pays tiers sans garantie appropriée au sens du chapitre V du RGPD.

Oneria Pro assiste le Client, compte tenu de la nature du traitement et des informations dont il dispose :

• Droits des personnes — les fonctionnalités d'export, de rectification et de suppression permettent au Client de répondre lui-même et immédiatement aux demandes d'accès, de portabilité et d'effacement. Le support intervient si l'outil ne suffit pas.
• Sécurité et analyses d'impact — Oneria Pro fournit les informations nécessaires à une éventuelle analyse d'impact et à la consultation préalable de la CNIL.

En cas de violation de données affectant les données du Client, Oneria Pro l'en informe par email sans délai injustifié et au plus tard sous 48 heures après en avoir pris connaissance.

La notification précise la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises. Il appartient au Client, en sa qualité de responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées.

À la fin du contrat, le Client dispose d'un délai de 30 jours pour exporter l'ensemble de ses données depuis son espace, dans des formats réutilisables.

À l'expiration de ce délai, les données sont supprimées des systèmes de production, puis des sauvegardes selon leur cycle de rotation. Seules sont conservées au-delà les données qu'une obligation légale impose de garder — notamment les factures d'abonnement émises par Oneria Pro, soumises à la prescription comptable et fiscale.

Oneria Pro met à disposition du Client les informations nécessaires pour démontrer le respect des obligations de l'article 28 et permet la réalisation d'audits, y compris d'inspections, par le Client ou un auditeur qu'il mandate.

Les audits se déroulent après un préavis raisonnable, pendant les heures ouvrables, au maximum une fois par an sauf incident de sécurité avéré, et dans des conditions préservant la confidentialité des autres clients.

Le présent accord est régi par le droit français. En cas de contradiction avec les conditions générales sur un point relatif à la protection des données personnelles, le présent accord prévaut.

Le Client garantit disposer d'une base légale pour les données qu'il saisit et avoir informé les personnes concernées, conformément aux articles 13 et 14 du RGPD.