Accord de sous-traitance des données

Cadre contractuel publié. Ce cadre ne prend effet pour un client que s’il est intégré à l’accord écrit accepté et complété par les traitements, garanties et prestataires autorisés propres au projet. Sa présence sur ce site ne constitue pas, à elle seule, un accord conclu.

Webility SRL, Welleplein 12, 9473 Welle, Belgique, numéro d’entreprise 1026.663.836, TVA BE1026663836, intervient comme sous-traitant lorsqu’elle traite des données personnelles sur les instructions documentées d’un client. Ce cadre couvre ces prestations au titre de l’article 28 du RGPD et du droit belge applicable à la protection des données. Le site, le recrutement et l’administration propres à Webility relèvent de la Politique de confidentialité.

1. Rôles des parties

Pour les données personnelles traitées afin de fournir les services au client :

Webility reste responsable du traitement distinct pour sa propre administration, notamment la facturation, la gestion des fournisseurs, le respect des obligations légales, les statistiques du site et les échanges directs avec ses contacts professionnels. Ces activités sont couvertes par notre Politique de confidentialité.

2. Articulation des accords et ordre de priorité

Le présent accord complète l’accord commercial applicable, notamment la proposition, le cahier des charges, les conditions de service ou l’accord d’hébergement ou d’assistance.

En cas de contradiction :

1. Le présent accord prévaut pour les obligations de protection des données liées aux prestations de sous-traitance.
2. L’accord commercial signé prévaut pour le périmètre commercial, les prix, la livraison, le paiement et la responsabilité, sauf disposition expresse contraire.
3. Toute instruction écrite plus stricte approuvée par les deux parties prévaut pour le traitement concerné.

3. Description du traitement

L’objet, la durée, la nature, la finalité, les catégories de données personnelles et les catégories de personnes concernées sont décrits à l’annexe A.

Webility ne traite pas intentionnellement de catégories particulières de données, de données relatives à des infractions pénales, de données de santé, de données d’enfants ou de données financières hautement sensibles, sauf si le Client les identifie clairement par écrit et si Webility accepte leur traitement dans le cahier des charges ou une instruction écrite applicable.

4. Instructions du Client

Webility ne traite les données personnelles que sur les instructions documentées du Client, notamment celles figurant dans l’accord commercial, les tickets de projet, les formulaires de démarrage, les demandes d’assistance, les e-mails et les configurations approuvées.

Webility ne vend pas les données personnelles du Client, ne les utilise pas pour de la publicité sans rapport avec le projet ni pour entraîner des modèles publics d’IA, sauf autorisation écrite explicite du Client pour un cas d’usage précis.

Si Webility estime qu’une instruction enfreint le RGPD, le droit belge de la protection des données ou une autre règle applicable de l’Union ou d’un État membre, elle en informe le Client sans retard injustifié, sauf interdiction légale.

5. Responsabilités du Client

Le Client est responsable des points suivants :

• Disposer d’une base juridique pour collecter les données et les partager avec Webility.
• Fournir aux personnes concernées les informations de confidentialité requises.
• Veiller à ce que les données transmises soient exactes, pertinentes et limitées au nécessaire.
• Donner des instructions claires et répondre rapidement aux questions de Webility sur la protection des données.
• Assurer une sécurité appropriée des comptes, appareils, mots de passe et utilisateurs administrateurs sous son contrôle.
• Relire et approuver les notices de confidentialité et de cookies, les paramètres de consentement et le contenu du site avant publication.

6. Confidentialité

Webility veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité ou à une obligation légale appropriée de secret.

L’accès aux données est limité aux membres du personnel, prestataires et sous-traitants ultérieurs qui en ont besoin pour fournir les services convenus.

7. Mesures de sécurité

Webility met en œuvre des mesures techniques et organisationnelles appropriées visant à protéger les données contre la destruction, la perte, l’altération, la divulgation ou l’accès non autorisés, accidentels ou illicites.

Les mesures de sécurité actuelles sont décrites à l’annexe B. Elles peuvent évoluer, à condition de ne pas réduire substantiellement le niveau global de protection des données.

8. Sous-traitants ultérieurs

L’annexe de projet acceptée identifie chaque sous-traitant ultérieur autorisé et précise si l’autorisation est spécifique ou générale. Une catégorie de prestataires ne suffit pas à autoriser un fournisseur non identifié. En cas d’autorisation générale écrite, Webility informe à l’avance le Client des ajouts ou remplacements envisagés afin qu’il puisse s’y opposer avant que le nouveau prestataire traite les données concernées.

Webility s’engage à :

• Recourir aux sous-traitants ultérieurs uniquement pour la prestation, l’assistance, l’infrastructure, la collaboration, les communications, les statistiques, le paiement, l’hébergement, l’IA ou les tâches spécialisées de mise en œuvre.
• Leur imposer par écrit des obligations de protection des données substantiellement équivalentes à celles du présent accord.
• Rester responsable envers le Client de l’exécution de leurs obligations de protection des données.
• Tenir à jour le registre nominatif des sous-traitants ultérieurs propre au projet, à l’annexe C.
• Informer directement par écrit le contact désigné du Client des ajouts ou remplacements envisagés, en précisant l’identité, le rôle, la localisation et les garanties applicables.

Le Client peut s’opposer à un nouveau sous-traitant ultérieur pour des motifs raisonnables liés à la protection des données dans les 10 jours ouvrables suivant la notification. Les parties cherchent de bonne foi à résoudre l’objection. Si aucune solution raisonnable n’est possible, Webility peut suspendre ou mettre fin au service concerné sans pénalité ; tout remboursement est traité conformément à l’accord commercial applicable.

9. Transferts internationaux

Pour les projets clients, un hébergement exclusivement dans l’UE/EEE peut être prévu si nécessaire. Avant le traitement, la commande finale et son annexe de sous-traitance précisent les prestataires retenus, lieux, sauvegardes, accès de support, garanties de transfert et restrictions géographiques convenues. Nous sélectionnons un prestataire et une configuration compatibles avec ce périmètre ; ces restrictions ne sont pas présumées pour tous les services.

En cas de transfert hors de l’UE ou de l’EEE, Webility utilise un mécanisme de transfert approprié, notamment :

• Une décision d’adéquation reconnue par la Commission européenne.
• Les clauses contractuelles types approuvées par la Commission européenne.
• Le cadre de protection des données UE–États-Unis, lorsqu’il est applicable.
• Un autre mécanisme licite autorisé par le RGPD.

Le Client autorise Webility à conclure en son nom les garanties de transfert avec les sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture des services.

10. Demandes des personnes concernées

Compte tenu de la nature du traitement, Webility apporte une assistance raisonnable au Client pour répondre aux demandes d’exercice des droits prévus par le RGPD, notamment l’accès, la rectification, l’effacement, la limitation, la portabilité, l’opposition et le retrait du consentement.

Si une personne contacte directement Webility au sujet de données traitées pour le compte du Client, Webility transmet la demande au Client ou invite la personne à le contacter, dans la mesure permise par la loi.

11. Incidents de sécurité et violations de données personnelles

Webility informe le Client sans retard injustifié après avoir pris connaissance d’une violation affectant les données traitées pour son compte. Les premières informations sont transmises rapidement, puis complétées par étapes si nécessaire ; les procédures internes de confirmation ne doivent pas retarder la notification après la prise de connaissance de la violation.

La notification contient les informations raisonnablement disponibles, notamment :

• La nature de la violation.
• Les catégories de données et de personnes concernées, lorsqu’elles sont connues.
• Les conséquences probables, lorsqu’elles sont connues.
• Les mesures prises ou proposées pour remédier à la violation et en atténuer les effets.
• Un point de contact pour les questions complémentaires.

Webility peut communiquer les informations par étapes si tous les détails ne sont pas immédiatement disponibles. Le Client reste responsable de déterminer si une notification à l’autorité de contrôle ou aux personnes concernées est légalement requise.

12. Assistance à la conformité

Compte tenu de la nature du traitement et des informations dont elle dispose, Webility apporte une assistance raisonnable au Client pour respecter les articles 32 à 36 du RGPD, notamment en matière de sécurité, d’évaluation des violations, d’analyses d’impact et, si nécessaire, de consultation préalable de l’autorité de contrôle.

L’assistance dépassant le périmètre habituel du service peut être facturée aux tarifs professionnels alors en vigueur chez Webility, sauf si elle est rendue nécessaire par un manquement de Webility au présent accord.

13. Restitution et suppression des données

À la fin des services, Webility restitue ou supprime, au choix du Client, les données traitées pour son compte, sauf obligation légale de conservation.

Sauf calendrier licite différent expressément convenu dans la commande, le Client choisit la restitution ou la suppression au plus tard à la fin du service. Webility fournit l’export standard convenu sous 30 jours et supprime les copies actives traitées comme sous-traitant sous 30 jours après confirmation de la remise ou instruction de suppression. Les sauvegardes résiduelles protégées expirent sous 90 jours après suppression active ; toute contrainte fournisseur nécessitant un autre délai doit être annoncée et convenue avant le traitement. Sans instruction, Webility la demande et conserve les données en sécurité, sans autre utilisation, jusqu’à résolution du choix. Les exceptions légales sont limitées aux pièces nécessaires et documentées séparément.

Lorsqu’une règle de l’Union ou d’un État membre impose une conservation, Webility identifie cette exigence et limite l’accès et l’usage à cette finalité. Les sauvegardes restent protégées et sont supprimées selon le cycle documenté convenu. Elles ne sont pas remises en usage courant, sauf récupération nécessaire, après laquelle l’instruction de suppression est réappliquée. Une conservation sans rapport avec ces besoins, pour la seule commodité de Webility, n’est pas autorisée. Les documents administratifs requis à titre indépendant sont distingués des données traitées pour le Client.

14. Droits d’information et d’audit

Webility met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent accord.

Webility permet les audits, y compris les inspections, menés par le Client ou un auditeur qu’il mandate, et y contribue. Les modalités pratiques ne doivent pas empêcher l’exercice des droits d’information et d’audit prévus à l’article 28 du RGPD.

Les audits doivent :

• Être demandés par écrit avec un préavis d’au moins 30 jours, sauf urgence.
• Se dérouler pendant les heures normales d’activité.
• Éviter de perturber l’activité de Webility et celle des autres clients.
• Protéger les informations confidentielles, sensibles pour la sécurité et appartenant à des tiers.
• Être réalisés par le Client ou un auditeur indépendant soumis à la confidentialité.

Les parties peuvent utiliser des questionnaires, preuves de contrôles, rapports de tiers ou examens à distance lorsque cela convient, sans supprimer un droit d’inspection nécessaire. Webility informe rapidement le Client lorsqu’une instruction semble enfreindre le droit applicable à la protection des données.

15. IA et outils automatisés

Webility peut utiliser des outils d’IA pour soutenir la rédaction, le design, le développement, l’assistance, les statistiques et l’automatisation, comme indiqué dans la Politique d’utilisation de l’IA et des données.

Webility ne transmet pas de données personnelles sous le contrôle du Client à des fournisseurs d’IA, sauf si :

• Le Client a autorisé le traitement dans le périmètre du projet, une instruction écrite ou la configuration du système.
• L’usage est nécessaire au service convenu faisant appel à l’IA.
• Les garanties contractuelles et de transfert appropriées sont en place lorsqu’elles sont requises.

Le Client ne doit pas fournir de données personnelles sensibles pour un traitement par IA, sauf approbation écrite explicite de cet usage.

16. Responsabilité

Chaque partie reste responsable de ses propres obligations au titre du RGPD et du droit applicable à la protection des données.

Sauf disposition contraire d’un accord signé, la responsabilité au titre du présent accord est soumise aux limitations, exclusions et recours prévus dans l’accord commercial applicable entre les parties.

Aucune disposition ne limite la responsabilité lorsque le droit applicable interdit une telle limitation.

17. Notifications et contact

Les notifications relatives à la protection des données au titre du présent accord sont adressées à :

Webility SRL

Welleplein 12, 9473 Welle, Belgique E-mail : legal@webility.be

Le Client indique son contact chargé de la protection des données dans l’accord du projet, le formulaire de démarrage ou une instruction écrite.

18. Droit applicable

Le présent accord est régi par le droit belge. Les tribunaux de Bruxelles sont compétents, sauf si une règle impérative de protection des données accorde à une personne concernée ou à une autorité de contrôle un autre droit ou une autre juridiction.

Annexe A — Description du traitement

Annexe B — Mesures techniques et organisationnelles

Annexe C — Registre des sous-traitants ultérieurs du projet

Avant le début du traitement, l’annexe acceptée doit nommer chaque fournisseur et préciser son entité juridique, le service, les données concernées, les pays de traitement, la date d’autorisation et les garanties de transfert international. Les catégories suivantes aident à préparer ce registre ; elles ne constituent ni une autorisation globale ni la preuve que chaque service indiqué est utilisé :

Le registre complété est fourni avec l’accord du projet et reste accessible au Client. Les changements suivent la section 8. Les déclarations générales d’un fournisseur ne prouvent pas qu’un compte particulier a accepté un accord de sous-traitance ou remplit les conditions d’un mécanisme de transfert.

Historique du document

Compléter l’annexe du projet avant signature

Le dossier de projet signé doit préciser l’identité juridique et le contact vie privée du Client ; le service et sa durée ; les opérations et finalités réelles ; les personnes et catégories de données ; les systèmes approuvés et fournisseurs nommés ; les lieux de traitement et garanties de transfert ; les rôles d’accès et la confidentialité ; les mesures de sécurité et contacts d’incident ; ainsi que le calendrier de restitution, suppression et sauvegarde. Les données sensibles, l’IA et les destinataires supplémentaires exigent un périmètre et des instructions explicites.

Les annexes A et B sont un cadre à adapter à ces faits, et non la preuve que chaque mesure est déployée. Contactez legal@webility.be pour préparer ou relire l’annexe applicable. La publication ne fait pas du visiteur du site une partie à un accord de sous-traitance.