Contrat de sous-traitance des données — Business Edition

1. Objet et durée

1.1 Le Prestataire traite des données à caractère personnel pour le compte du Client uniquement afin de fournir Trusted Codes Business Edition : un service de vérification qui émet et contrôle des codes d’accès composés de mots entre personnes identifiées, ainsi que les fonctions d’administration de l’organisation, de notification et d’assistance décrites dans la documentation du produit.

1.2 La durée du traitement correspond à la durée de l’abonnement du Client, prolongée des délais de suppression prévus à la section 10.

2. Nature et finalité du traitement

2.1 Le Prestataire traite les données à caractère personnel uniquement pour :

• créer et administrer les comptes utilisateurs et l’appartenance aux organisations ;
• générer, distribuer et vérifier les codes d’accès et le matériel cryptographique associé ;
• délivrer les notifications par courrier électronique et par message push ;
• fournir la console d’administration, les rapports et l’assistance ;
• protéger le service contre la fraude et les abus ;
• satisfaire à ses propres obligations légales.

2.2 Le Prestataire ne vend pas de données personnelles et ne les utilise pas pour entraîner des modèles d’apprentissage automatique. Le Prestataire traite les données suivantes en qualité de responsable du traitement indépendant et non pour le compte du Client : les données nécessaires pour protéger le service contre la fraude et les abus (y compris l’évaluation du risque lors de la connexion), les données de facturation, les données nécessaires au respect de ses obligations légales et les statistiques d’utilisation du service. Lorsqu’un utilisateur final enregistre sa propre clé d’API pour l’assistant, l’entreprise qui a émis cette clé reçoit le contenu de l’assistant sur instruction de l’utilisateur final ; cette entreprise n’est pas un sous-traitant ultérieur du Prestataire.

3. Types de données à caractère personnel

3.1 Les catégories suivantes peuvent être traitées :

3.2 Secrets des codes. Lorsque l’application de l’utilisateur final le permet, les secrets des codes sont chiffrés sur l’appareil de l’utilisateur final à destination d’appareils déterminés (X25519, AES-GCM), et le Prestataire ne peut pas déchiffrer cette copie. Les secrets des codes sont également traités par le Prestataire dans les cas suivants, où ils sont chiffrés au repos en AES-256-GCM sous une clé que le Prestataire contrôle, conservée dans un service de gestion de clés situé dans l’Union européenne et distinct de la base de données, et peuvent être déchiffrés par les serveurs du Prestataire : (a) codes de connexion et d’organisation générés par le service ; (b) génération de codes pour les clients automatisés et l’application de bureau ; (c) remise des invitations jusqu’à ce que l’appareil du destinataire ait reçu le secret ; (d) comptes utilisant la sauvegarde des clés sur le serveur ; (e) comptes de démonstration.

4. Catégories de personnes concernées

• les membres, salariés et administrateurs du Client ;
• les contacts vérifiés du Client, c’est-à-dire les personnes externes que le Client vérifie ;
• les personnes invitées par le Client qui n’ont pas encore accepté ;
• les personnes qui contrôlent un code émis par le Client.

5. Instructions du responsable du traitement

5.1 Le Prestataire traite les données à caractère personnel uniquement sur instructions documentées du Client. Le présent contrat, les Conditions d’utilisation et l’usage que le Client fait des fonctions du produit constituent ces instructions.

5.2 Le Prestataire informe le Client sans délai si, selon lui, une instruction enfreint le droit de la protection des données. Le Prestataire peut suspendre l’exécution de cette instruction jusqu’au règlement de la question.

5.3 Lorsque le droit de l’Union ou d’un État membre oblige le Prestataire à traiter des données au-delà des instructions du Client, le Prestataire informe le Client de cette obligation légale avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d’intérêt public.

5.4 Lorsque les utilisateurs du Client se connectent avec des utilisateurs de serveurs exploités par d’autres opérateurs (fédération), le Prestataire transmet à ces serveurs, sur instruction du Client, les données nécessaires à cette connexion. Les autres opérateurs ne sont pas des sous-traitants ultérieurs du Prestataire.

6. Confidentialité

6.1 Le Prestataire veille à ce que toute personne autorisée à traiter les données à caractère personnel soit tenue à une obligation de confidentialité, contractuelle ou légale, et à ce que cette obligation survive à la fin de son engagement.

6.2 L’accès est limité aux personnes qui en ont besoin pour fournir le service ou pour satisfaire à une obligation légale.

7. Sécurité du traitement (article 32 du RGPD)

7.1 Le Prestataire applique les mesures techniques et organisationnelles décrites à l’annexe 1. Le Client a examiné ces mesures et les considère adaptées au risque.

7.2 Le Prestataire peut modifier les mesures à condition que le niveau de protection ne soit pas réduit.

8. Sous-traitants ultérieurs

8.1 Le Client donne une autorisation générale au recours à des sous-traitants ultérieurs. La liste actuelle constitue l’annexe 2 ; elle est également publiée sur sa propre page, afin de pouvoir être datée et remplacée indépendamment du présent contrat.

8.2 Le Prestataire informe le Client au moins 30 jours avant qu’un nouveau sous-traitant ultérieur ne commence à traiter des données ou qu’un sous-traitant existant ne soit remplacé. L’information est donnée par courrier électronique au contact administratif du Client et par la mise à jour de la liste publiée.

8.3 Le Client peut s’y opposer pour des motifs raisonnables tenant à la protection des données pendant ce délai. Si les parties ne parviennent pas à résoudre l’objection, le Client peut résilier l’abonnement concerné, avec remboursement de la période prépayée non utilisée.

8.4 Le Prestataire impose contractuellement à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que celles du présent contrat, et demeure pleinement responsable envers le Client de l’exécution par ce sous-traitant.

9. Assistance au responsable du traitement

9.1 Droits des personnes concernées. Compte tenu de la nature du traitement, le Prestataire aide le Client, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes relevant du chapitre III du RGPD. Le produit offre des fonctions d’export et de suppression qui permettent au Client de répondre à la plupart des demandes sans solliciter le Prestataire. Chaque utilisateur final peut également exporter ses propres données personnelles dans le produit.

9.2 Le Prestataire transmet au Client, sans retard injustifié, toute demande qu’il reçoit directement d’une personne concernée au sujet des données du Client, et n’y répond pas lui-même sauf obligation légale ou instruction.

9.3 Violation de données à caractère personnel. Le Prestataire informe le Client sans retard injustifié et, en tout état de cause, dans les 48 heures après avoir eu connaissance d’une violation affectant les données du Client. L’information décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements touchés, les conséquences probables et les mesures prises ou proposées.

9.4 Le Prestataire assiste le Client pour les analyses d’impact relatives à la protection des données et les consultations préalables au titre des articles 35 et 36 du RGPD, dans la mesure où l’information est à la disposition du Prestataire et non à celle du Client.

10. Suppression et restitution

10.1 Les administrateurs du Client peuvent exporter les données de l’organisation au moyen de la fonction d’exportation du produit pendant toute la durée de l’abonnement et pendant 30 jours après la fin du contrat. Chaque fichier d’exportation reste téléchargeable pendant 7 jours après sa création. Si la fonction d’exportation n’est plus accessible au Client après la fin du contrat, le Prestataire fournit l’exportation sur demande dans ce même délai de 30 jours.

10.2 Passé ce délai, le Prestataire supprime les données à caractère personnel dans un délai supplémentaire de 60 jours, y compris des sauvegardes selon le cycle de rotation des sauvegardes, sauf si le droit de l’Union ou d’un État membre impose leur conservation.

10.3 Les documents de facturation sont conservés pendant la durée légale de conservation prévue par le droit commercial et fiscal allemand.

11. Audit

11.1 Le Prestataire met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD.

11.2 Le Prestataire satisfait aux obligations d’audit en premier lieu par la fourniture de documents, dont le présent contrat, l’annexe 1, la liste des sous-traitants ultérieurs et toute certification ou tout rapport de tiers dont il dispose.

11.3 Lorsque ces documents ne suffisent pas, le Client peut réaliser un audit ou mandater un auditeur indépendant qui n’est pas un concurrent du Prestataire, sous réserve : d’un préavis raisonnable d’au moins 30 jours, d’une fréquence maximale d’une fois par année civile sauf après une violation de données, d’une réalisation pendant les heures ouvrables normales, de l’absence de perturbation du service et d’un engagement écrit de confidentialité. Le Client supporte ses propres coûts.

12. Transferts internationaux

12.1 Certains sous-traitants ultérieurs sont établis hors de l’Espace économique européen, comme indiqué à l’annexe 2.

12.2 Pour chacun de ces transferts, le Prestataire s’appuie sur les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914), assorties des mesures complémentaires décrites à l’annexe 1. Lorsque le destinataire est couvert par une décision d’adéquation, le Prestataire peut s’appuyer sur celle-ci.

12.3 Le Prestataire choisit une région de déploiement européenne lorsque le sous-traitant ultérieur en propose une.

13. Responsabilité et dispositions finales

13.1 La responsabilité suit les Conditions d’utilisation. L’article 82 du RGPD demeure inchangé.

13.2 En cas de contradiction entre les Conditions d’utilisation et le présent contrat quant au traitement des données à caractère personnel, le présent contrat prévaut.

13.3 Le Prestataire peut modifier le présent contrat lorsque la loi ou une évolution du service l’exige. Les modifications substantielles sont notifiées au moins 30 jours à l’avance. Si le Client s’y oppose, il peut résilier l’abonnement concerné avec remboursement de la période prépayée non utilisée.

13.4 Le droit allemand s’applique. Le lieu de juridiction est Munich, dans la mesure où la loi permet ce choix.

13.5 Si une disposition est invalide, le reste demeure en vigueur.

Annexe 1 — Mesures techniques et organisationnelles

Annexe 2 — Sous-traitants ultérieurs

Cette liste est également publiée sur sa propre page : trusted.codes/legal/subprocessors, où elle porte sa propre date et est remplacée indépendamment du présent contrat.

À jour au 2026-10-01

Enregistrement de l’acceptation

Le Prestataire enregistre, pour chaque acceptation : l’utilisateur qui accepte, l’organisation, l’identifiant et la version du document, la date et l’heure, l’adresse d’origine et l’identification du client.

Le Client peut à tout moment consulter la version exacte qu’il a acceptée, à l’adresse versionnée indiquée en haut de cette page. L’identifiant de version ne dépend pas de la langue lue : les six traductions de ce texte portent la version 2026-10-04.

Lorsque les parties concluent plutôt un contrat négocié ou signé, l’enregistrement conserve une référence à ce document et marque l’origine comme hors ligne.

Contrat négocié ou signé

Un client dont le service juridique a besoin d’un document négocié ou contresigné peut en faire la demande à privacy@trusted.codes. Accepter ce contrat permanent ne vaut pas renonciation à cette demande, et la demande n’a pas à être réglée avant l’achat d’un abonnement : ce contrat permanent s’applique dans l’intervalle, et un document négocié le remplace à compter de la date de signature par les deux parties.