Annexe de sous-traitance RGPD

Parties, rôles et objet

À compléter : identité du client responsable de traitement et de BHS sous-traitant. BHS demeure responsable de traitement distinct pour ses propres devis, factures et obligations. L’annexe s’applique seulement aux opérations réellement effectuées pour le compte du client et doit être acceptée avant ces opérations.

Instructions et confidentialité

BHS agit sur instructions documentées du client. Une instruction estimée contraire au RGPD est signalée. Les données ne sont ni réutilisées pour son marketing ni versées dans un outil d’IA ou une autre plateforme hors des instructions et garanties convenues. Seules des personnes habilitées et tenues à la confidentialité accèdent aux données.

Mesures de protection à arrêter

L’annexe opérationnelle doit fixer les mesures selon les risques : comptes individuels, droits minimaux, authentification renforcée, transferts sécurisés, mises à jour, sauvegardes, révocation d’accès et gestion des incidents. Leur mise en place doit être vérifiable ; cette liste ne certifie pas qu’elles sont déjà toutes déployées.

Sous-traitants ultérieurs et pays

La liste des intervenants doit préciser leur identité juridique, leur rôle, les données accessibles et les pays de traitement. Le client autorise spécifiquement les intervenants convenus ; tout changement exige une autorisation écrite avant accès. Les obligations sont répercutées par contrat. Les garanties de transfert hors EEE sont documentées avant le transfert. Aucun intervenant n’est autorisé par la seule présence de cette page.

Assistance, incidents et vérifications

BHS assiste le client pour les droits, la sécurité et, selon le besoin, les analyses d’impact. Une violation de données est signalée au client sans délai indu, avec les informations disponibles et les mises à jour nécessaires. BHS conserve la documentation utile et permet les vérifications proportionnées nécessaires à la démonstration de conformité, dans un cadre préservant les autres clients.

Fin de mission et éléments à signer

Au choix du client, les données sont restituées ou supprimées après la mission, sauf conservation légalement imposée. Le calendrier, les sauvegardes résiduelles et les modalités de confirmation sont documentés. Les accès sont retirés.

Avant signature : compléter les parties, le tableau de mission, la liste des sous-traitants et pays, les mesures effectives, les contacts d’incident et les instructions. Une simple page publique non complétée ne remplace pas cet accord.