Annexe de sous-traitance (RGPD, art. 28)

1. Parties et objet

La présente annexe fait partie des conditions générales de vente. Elle est conclue entre le Client, responsable de traitement (ci-après « le Client »), et [à compléter], Entrepreneur individuel (EI), SIREN [à compléter], exploitant le service CarnetEau, sous-traitant (ci-après « le Sous-traitant »). Elle a été acceptée à la souscription.

Elle précise les conditions dans lesquelles le Sous-traitant traite, pour le compte du Client, les données personnelles que le Client enregistre dans son carnet sanitaire, conformément à l'article 28 du règlement (UE) 2016/679 (RGPD).

2. Description du traitement

• Finalité : tenue du carnet sanitaire des piscines et du suivi de l'eau chaude sanitaire, alertes, échéances, documents à remettre à l'autorité sanitaire, fiche d'information des baigneurs publiée par le Client.
• Personnes concernées : personnes qui relèvent les mesures pour le Client (salariés, saisonniers, prestataires), utilisateurs invités, destinataires d'alertes désignés par le Client.
• Données : nom tel que saisi en face des relevés et interventions ; adresse e-mail des utilisateurs invités et des destinataires d'alertes ; horodatages ; adresse IP tronquée des accès par QR code.
• Durée : celle de l'abonnement, puis jusqu'à la suppression du compte. Les carnets et analyses ne sont jamais supprimés automatiquement : le Client décide de leur conservation au-delà de la durée réglementaire.
• Opérations : enregistrement, conservation, consultation, calcul, export, envoi de messages, effacement.

3. Obligations du Sous-traitant

Le Sous-traitant :

• ne traite les données que sur instruction documentée du Client, constituée par l'utilisation du service et par les présentes ; il informe le Client s'il estime qu'une instruction enfreint la réglementation ;
• garantit la confidentialité des données et veille à ce que toute personne autorisée à les traiter soit tenue au secret ;
• met en œuvre les mesures de sécurité décrites à l'article 6 ;
• aide le Client à répondre aux demandes d'exercice des droits des personnes concernées, notamment par l'export complet et par la fonction d'anonymisation d'une personne ; toute demande reçue directement est transmise au Client sans délai, sans y répondre lui-même ;
• aide le Client à respecter ses obligations de sécurité, de notification des violations et, le cas échéant, d'analyse d'impact ;
• notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification ;
• au terme du contrat, supprime les données selon la procédure de suppression du compte, après la possibilité donnée au Client de les exporter ; les sauvegardes chiffrées, conservées au plus douze mois, s'effacent au fil de leur rotation et ne sont utilisées que pour restaurer le service après un incident ;
• met à la disposition du Client les informations nécessaires pour démontrer le respect de la présente annexe et permet des audits raisonnables, à la charge du Client, avec un préavis de 30 jours.

4. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants ultérieurs suivants :

Sous-traitant	Prestation	Localisation des données	Garanties en cas de transfert
[à compléter], [à compléter]	Hébergement du service, de la base de données et des fichiers	[à compléter]	[à compléter]
[à compléter]	Stockage chiffré des sauvegardes	[à compléter]	[à compléter]
Resend, Inc.	Envoi des e-mails (alertes, invitations, liens de connexion)	[à compléter]	[à compléter]

Le Sous-traitant impose à chacun les mêmes obligations de protection que celles de la présente annexe.

Toute modification de cette liste (ajout ou remplacement) fait l'objet d'une nouvelle version de l'annexe, notifiée par e-mail au moins 30 jours avant son entrée en vigueur. Le Client peut s'y opposer pendant ce délai en résiliant son abonnement, sans frais.

Autres destinataires (hors sous-traitance). Le prestataire de paiement Stripe Payments Europe, Limited traite les données de facturation du Client pour le compte de l'Éditeur, responsable de traitement ; il ne reçoit aucune donnée du carnet.

5. Localisation et transferts

Les données sont hébergées dans le pays indiqué ci-dessus. Tout transfert hors de l'Union européenne est encadré par une décision d'adéquation ou par les clauses contractuelles types de la Commission européenne, indiquées dans le tableau.

6. Mesures de sécurité

• Chiffrement des échanges (HTTPS, HSTS) et politique de sécurité du contenu stricte.
• Cloisonnement des comptes vérifié par des tests automatiques ; accès par QR code limité à un bassin ou à une installation, révocable.
• Connexion par lien à usage unique, sessions révocables, journal d'audit consultable par le Client.
• Journaux d'erreurs sans donnée du carnet, conservés douze mois.
• Sauvegarde quotidienne chiffrée hors du serveur applicatif, restauration testée chaque mois.
• Immuabilité du carnet : une correction crée une nouvelle version et conserve la précédente.

7. Contact

Pour toute question relative à la présente annexe : [à compléter].