Contrat de sous-traitance (CST)

conformément à l'art. 28 RGPD – octoja GmbH

octoja GmbH — État : août 2026

Ceci est une traduction de courtoisie. La version juridiquement contraignante est l'original allemand.

Préambule

octoja GmbH (ci-après le « Sous-traitant ») traite des données à caractère personnel pour le compte du partenaire contractuel concerné (ci-après le « Responsable du traitement ») dans le cadre de la fourniture de la plateforme RMM octoja. Le présent contrat de sous-traitance (ci-après « CST ») régit les droits et obligations des deux parties en ce qui concerne ce traitement conformément à l'art. 28 RGPD et complète les documents contractuels principaux existants (conditions d'utilisation) entre les parties.

§ 1 Objet et durée du traitement

  1. Le Sous-traitant traite les données à caractère personnel pour le compte du Responsable du traitement exclusivement aux fins de la fourniture, de l'exploitation et de la maintenance de la plateforme RMM octoja ainsi que des services d'assistance associés.
  2. Le traitement s'effectue pendant la durée de la relation contractuelle principale existante. Après la fin du contrat principal, les dispositions relatives à la restitution et à la suppression conformément au § 9 du présent CST s'appliquent.

§ 2 Nature et finalité du traitement

Finalité du traitement : Exploitation d'une plateforme SaaS de surveillance et de gestion à distance (RMM) pour la gestion, la surveillance et l'automatisation de systèmes informatiques par le Responsable du traitement (MSP/Revendeur) pour ses clients finaux.

Nature du traitement : Collecte, stockage, transmission, modification, consultation, utilisation, suppression dans le cadre de l'exploitation de la plateforme.

Catégories de personnes concernées :

  • Employés et comptes utilisateurs du Responsable du traitement (MSP/Revendeur)
  • Employés et utilisateurs informatiques des clients finaux du Responsable du traitement
  • Personnes de contact techniques chez les clients finaux

Catégories de données à caractère personnel :

  • Données de compte : nom, adresse e-mail, nom d'utilisateur, rôle, hash du mot de passe
  • Données système des terminaux gérés : nom de l'appareil, adresse IP, adresse MAC, nom d'hôte, données du système d'exploitation, logiciels installés, informations matérielles
  • Données de connexion et d'accès : horodatages de connexion, adresses IP, données de session
  • Données de support et de communication : contenu des tickets, communication par e-mail dans un contexte de support
  • Données de journalisation (logs) : logs d'activité, exécutions de scripts, logs de correctifs

Catégories particulières de données à caractère personnel (art. 9 RGPD) : Le traitement de catégories particulières de données à caractère personnel n'est pas prévu et doit être évité par le Responsable du traitement, sauf accord écrit séparé.

§ 3 Obligations du Sous-traitant

  1. Le Sous-traitant traite les données à caractère personnel exclusivement sur la base d'instructions documentées du Responsable du traitement – y compris en ce qui concerne le transfert de données à caractère personnel vers un pays tiers –, sauf s'il est tenu de le faire en vertu du droit de l'UE ou d'un État membre.
  2. Le Sous-traitant informe sans délai le Responsable du traitement s'il estime qu'une instruction viole le RGPD ou d'autres dispositions en matière de protection des données de l'Union ou des États membres. Le Sous-traitant est en droit de suspendre l'exécution de l'instruction concernée jusqu'à ce que le Responsable du traitement la confirme ou la modifie.
  3. Le Sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel se soient engagées à la confidentialité ou soient soumises à une obligation légale de secret appropriée et, le cas échéant, soient tenues au secret conformément au § 203 du Code pénal allemand (StGB) (voir § 11).
  4. Le Sous-traitant prend toutes les mesures requises conformément à l'art. 32 RGPD. Les mesures techniques et organisationnelles spécifiques sont documentées dans l'annexe 1 (MTO) du présent CST.
  5. Le Sous-traitant aide le Responsable du traitement, dans la mesure du possible, par des mesures techniques et organisationnelles appropriées à satisfaire à son obligation de répondre aux demandes des personnes concernées conformément au chapitre III du RGPD.
  6. Le Sous-traitant aide le Responsable du traitement à respecter les obligations visées aux art. 32 à 36 RGPD (sécurité des données, obligations de notification, analyse d'impact relative à la protection des données).
  7. Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'art. 28 RGPD et permet la réalisation d'audits, y compris des inspections, menés par le Responsable du traitement ou un auditeur mandaté par celui-ci. Les audits doivent être annoncés au moins 4 semaines à l'avance, se limiter aux heures ouvrables d'octoja et ne pas perturber de manière disproportionnée les activités commerciales. Les frais de l'audit sont à la charge du Responsable du traitement. Cette prise en charge ne s'applique pas aux audits déclenchés par une violation de la protection des données à caractère personnel imputable au Sous-traitant.

§ 4 Obligations du Responsable du traitement

  1. Le Responsable du traitement est la partie responsable au sens du RGPD – ou, dans la mesure où il traite lui-même les données pour le compte de ses clients finaux, leur sous-traitant – pour toutes les données à caractère personnel traitées ou faisant l'objet d'un traitement via la Plateforme. Il veille à ce qu'une base juridique suffisante existe pour chaque traitement, y compris les accords de sous-traitance requis avec ses clients finaux ; dans ce cas, le Sous-traitant agit en tant que sous-traitant ultérieur.
  2. Le Responsable du traitement donne des instructions de traitement exclusivement par écrit ou via les fonctions prévues à cet effet sur la Plateforme. Les instructions orales doivent être confirmées par écrit sans délai.
  3. Le Responsable du traitement informe le Sous-traitant sans délai s'il constate des erreurs ou des irrégularités lors de l'examen des instructions ou du traitement.
  4. Le Responsable du traitement veille à remplir les obligations d'information requises en matière de protection des données envers ses clients finaux et leurs employés.

§ 5 Sous-traitants ultérieurs

  1. Le Responsable du traitement accorde par la présente au Sous-traitant une autorisation générale de faire appel à des sous-traitants ultérieurs. Le Sous-traitant informe le Responsable du traitement au moins quatre semaines avant l'ajout ou le remplacement prévu d'un sous-traitant ultérieur sous forme textuelle (e-mail ou notification via la Plateforme). Le Responsable peut s'y opposer sous forme textuelle dans un délai de deux semaines à compter de la réception, pour un motif important en matière de protection des données. À défaut d'accord amiable en cas d'opposition, le Responsable est en droit de résilier le contrat principal à titre extraordinaire à la date de prise d'effet du changement.
  2. Sous-traitants ultérieurs actuels :
    Sous-traitantSiègeFinalité du traitement
    Hetzner Online GmbHAllemagne (Nuremberg/Falkenstein)Hébergement, exploitation du centre de données, stockage des données
    Hetzner Online GmbH (Object Storage)AllemagneStockage de sauvegardes de bases de données chiffrées
    Supabase Pte. Ltd.Singapour ; traitement des données exclusivement dans l'UE (région de Francfort-sur-le-Main) ; garanti par les clauses contractuelles types de l'UEBase de données pour la gestion des clients
    CORDNET OÜ (d/b/a Featurebase)Estonie (Viimsi, Harju maakond, UE)Système de tickets, support client
    Microsoft Ireland Operations Ltd.Irlande (UE)Communication par e-mail dans le cadre du support (peut contenir des données personnelles issues des demandes d'assistance)
    BunnyWay d.o.o. (Bunny CDN)Slovénie (UE)Réseau de diffusion de contenu, livraison de contenus statiques de la plateforme
    Sendinblue GmbH (Brevo)Allemagne (Berlin)Notifications par e-mail, e-mails transactionnels
    seven communications GmbH & Co. KGAllemagneAlertes par appel téléphonique, SMS et WhatsApp. Remarque : en cas d'alerte via WhatsApp, les numéros de téléphone sont transmis à WhatsApp Ireland Ltd. / Meta ; l'utilisation du canal WhatsApp est facultative et activée par le Responsable du traitement.
  3. Ne sont pas des sous-traitants ultérieurs au sens du présent CST les services tiers que le Responsable du traitement active et configure sous sa propre responsabilité via la Plateforme (par ex. ThreatDown, Lywand, Acronis ; aperçu actuel sur https://octoja.de/fr/features/integrations). Dans cette mesure, le Sous-traitant n'intervient qu'en tant que couche technique d'intégration ; la responsabilité au regard de la protection des données pour l'utilisation de ces services incombe au Responsable du traitement (cf. § 8 des Conditions d'utilisation).
  4. Tous les sous-traitants ultérieurs sont contractuellement tenus de maintenir un niveau de protection des données équivalent à celui du présent CST, y compris les obligations prévues au § 11. Pour les sous-traitants ultérieurs situés en dehors de l'UE/EEE, le Sous-traitant assure un niveau de protection des données adéquat par des garanties appropriées (par ex. clauses contractuelles types de l'UE).
  5. Le Sous-traitant est responsable envers le Responsable du traitement du respect des obligations de protection des données par ses sous-traitants ultérieurs dans la même mesure que pour ses propres manquements.

§ 6 Droits des personnes concernées

  1. Le Sous-traitant transmet sans délai au Responsable du traitement les demandes de personnes concernées qui s'adressent directement à lui. Le Sous-traitant ne répond pas à ces demandes de manière autonome, sauf instruction expresse du Responsable du traitement.
  2. Le Sous-traitant aide le Responsable du traitement, sur demande, à satisfaire aux droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition), dans la mesure où cela est techniquement possible et réalisable dans le cadre de l'exploitation de la plateforme.

§ 7 Obligations de notification en cas de violation de données

  1. Le Sous-traitant signale au Responsable du traitement toute violation de la protection des données à caractère personnel (art. 4, point 12, RGPD) affectant les données traitées pour son compte, sans délai indu après en avoir eu connaissance, en règle générale dans les 24 heures. Si toutes les informations visées au paragraphe 2 ne sont pas disponibles à ce moment, une notification préliminaire est effectuée dans un premier temps ; les informations complémentaires sont transmises sans délai par la suite.
  2. La notification contient au minimum :
    • la nature de la violation et les catégories de données concernées,
    • le nombre approximatif de personnes et d'enregistrements de données concernés,
    • les conséquences probables de la violation,
    • les mesures prises ou proposées pour remédier à la violation.
  3. Le Responsable du traitement est seul responsable de la notification à l'autorité de contrôle compétente et, le cas échéant, de l'information des personnes concernées conformément aux art. 33 et suivants du RGPD.

§ 8 Analyse d'impact relative à la protection des données

Si une activité de traitement du Responsable du traitement nécessite une analyse d'impact relative à la protection des données conformément à l'art. 35 RGPD, le Sous-traitant assiste le Responsable du traitement sur demande en fournissant les informations pertinentes sur l'exploitation de la plateforme et les mesures techniques mises en œuvre.

§ 9 Suppression et restitution après la fin du contrat

  1. Après la fin du contrat principal, le Sous-traitant supprime toutes les données à caractère personnel du Responsable du traitement, sauf obligations légales de conservation contraires. La suppression intervient au plus tard 30 jours après la fin du contrat.
  2. Sur demande du Responsable du traitement, qui doit être formulée avant l'expiration du délai de 30 jours, le Sous-traitant met les données à disposition dans un format d'exportation courant. Les frais d'un export de données peuvent être facturés au Responsable du traitement.
  3. Le Sous-traitant confirme par écrit au Responsable du traitement, sur demande, la suppression complète.

§ 10 Responsabilité

La responsabilité des parties dans le cadre du présent CST est régie par les dispositions de responsabilité du contrat principal (Conditions d'utilisation § 6). Dans les relations avec les personnes concernées, l'art. 82 RGPD s'applique.

§ 11 Dépositaires du secret professionnel (§ 203 du Code pénal allemand – StGB)

  1. Dans la mesure où le Responsable du traitement est lui-même dépositaire du secret professionnel au sens du § 203 al. 1 StGB ou utilise la Plateforme pour des clients finaux qui sont dépositaires du secret professionnel (notamment conseillers fiscaux, commissaires aux comptes, avocats, médecins et autres membres des professions de santé, entreprises d'assurance), le Sous-traitant intervient en tant qu'autre personne participante au sens du § 203 al. 3 phrase 2 StGB.
  2. Le Sous-traitant s'engage à garder le silence sur tous les secrets d'autrui dont il a connaissance dans le cadre de la fourniture des prestations, en particulier les secrets relevant de la sphère de la vie privée ainsi que les secrets d'exploitation et d'affaires, et à ne pas les divulguer ni les exploiter sans autorisation. Le Sous-traitant ne prend connaissance des informations protégées que dans la mesure nécessaire à la bonne exécution de la prestation contractuelle.
  3. Le Sous-traitant oblige toutes les personnes qui participent à la fourniture des prestations ou qui peuvent avoir accès aux données du Responsable du traitement, par écrit et avant le début de leur activité, à la confidentialité conformément au § 203 StGB et les informe du caractère pénalement répréhensible de toute divulgation non autorisée conformément au § 203 al. 4 StGB. Le Sous-traitant justifie de cet engagement auprès du Responsable du traitement sur demande.
  4. Si le Sous-traitant fait appel à des sous-traitants ultérieurs conformément au § 5 pouvant avoir accès à des informations protégées, il les oblige de la même manière à la confidentialité conformément au § 203 StGB et veille à ce qu'ils obligent à leur tour, de manière correspondante, les personnes travaillant chez eux.
  5. Le Sous-traitant est autorisé à divulguer des informations dans la mesure où il y est légalement tenu ; il en informe préalablement le Responsable du traitement, dans la mesure où la loi le permet.
  6. Les obligations prévues au présent paragraphe subsistent sans limitation de durée au-delà de la fin du contrat principal.

§ 12 Dispositions finales

  1. Le présent CST fait partie intégrante du contrat principal et est soumis au même droit applicable (droit allemand).
  2. En cas de conflit entre le présent CST et le contrat principal, le présent CST prévaut en ce qui concerne les questions de protection des données.
  3. Les modifications du présent CST nécessitent la forme textuelle. Le Sous-traitant notifie les modifications au Responsable du traitement sous forme textuelle au moins 30 jours avant leur prise d'effet ; le § 5 al. 1 reste inchangé pour les modifications de sous-traitants ultérieurs.

octoja GmbH – État août 2026