Accord de sous-traitance

1. Parties

Le Client, titulaire du compte Klientys, agissant en qualité de responsable de traitement.

ADUMIS, Jordan Djilla, entrepreneur individuel, 14 rue Villa Oddo, 13015 Marseille, France, SIREN 131374936, éditeur de Klientys, agissant en qualité de sous-traitant (ci-après « Klientys »).

2. Objet, durée et nature du traitement

Klientys traite des données à caractère personnel pour le seul compte du Client, aux fins de lui fournir la plateforme : gestion de la relation client, prise et suivi de rendez-vous, envoi de messages, facturation, site vitrine et fonctions d'analyse.

Le traitement dure aussi longtemps que le contrat d'abonnement, et se poursuit pendant la période de restitution et de suppression prévue à l'article 9.

Catégories de personnes concernées

• Clients, patients et prospects du Client
• Utilisateurs de l'espace professionnel du Client (ses collaborateurs)
• Visiteurs du site vitrine publié par le Client

Catégories de données

• Identité et coordonnées : nom, prénom, adresse postale, téléphone, e-mail
• Données de relation : historique des échanges, notes, rendez-vous, pièces jointes
• Données de facturation : prestations, montants, statuts de règlement
• Données de connexion des utilisateurs de l'espace professionnel
• Champs libres créés par le Client, dont il détermine seul le contenu

Données sensibles

Klientys n'est pas conçu pour héberger des données de santé au sens de l'article 9 du RGPD, ni aucune autre catégorie particulière de données. Il appartient au Client de ne pas en saisir, notamment dans les champs libres et les notes. Le Client qui exerce une profession de santé reconnaît que la nature des informations qu'il saisit relève de sa responsabilité et s'engage à vérifier la compatibilité de son usage avec les obligations propres à son secteur.

3. Instructions du Client

Klientys ne traite les données que sur instruction documentée du Client. Constituent de telles instructions l'utilisation des fonctionnalités de la plateforme, les paramètres choisis dans l'espace professionnel, et toute demande adressée au support.

Klientys informe le Client s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données.

4. Confidentialité

Les personnes autorisées à traiter les données sont tenues à une obligation de confidentialité contractuelle, et leurs accès sont nominatifs, individualisés et limités au nécessaire. Chaque accès administrateur à un espace client est tracé dans un journal horodaté et notifié au Client, dans les conditions prévues aux conditions générales d'utilisation.

5. Sécurité

Compte tenu de l'état de l'art et des risques, Klientys met en œuvre notamment :

• le chiffrement des données en transit (TLS) et au repos ;
• le cloisonnement des espaces clients au niveau de la base de données, par des règles d'accès appliquées à chaque enregistrement ;
• l'authentification des utilisateurs par jetons signés à durée limitée ;
• la journalisation horodatée des accès aux fiches et des actions d'administration ;
• une sauvegarde automatique quotidienne de la base de données, conservée sept (7) jours, restaurable à la demande, avec un délai de restauration cible de quatre (4) heures ouvrées ;
• la séparation des environnements et la limitation des accès de production aux profils habilités.

6. Sous-traitants ultérieurs

Le Client autorise Klientys à recourir aux sous-traitants ultérieurs listés sur la page Sous-traitants ultérieurs, qui fait partie intégrante du présent accord.

Tout ajout ou remplacement est publié sur cette page et notifié par e-mail au moins trente (30) jours avant sa prise d'effet. Le Client peut formuler une objection motivée pendant ce délai ; à défaut de solution, il peut résilier sans frais la partie du service concernée. Chaque sous-traitant ultérieur est lié par des obligations au moins équivalentes à celles du présent accord.

7. Transferts hors Union européenne

Les données saisies par le Client sont stockées dans l'Union européenne, à Francfort. Certains sous-traitants ultérieurs sont établis hors de l'Union ou y opèrent des traitements techniques ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, comme indiqué sur la page des sous-traitants.

8. Assistance au Client

Klientys assiste le Client, dans la mesure du possible et compte tenu de la nature du traitement :

• pour répondre aux demandes d'exercice des droits des personnes concernées : la plateforme permet au Client d'exporter, de rectifier et de supprimer lui-même les données, sans intervention de Klientys ;
• pour la réalisation d'une analyse d'impact, par la communication des informations techniques en sa possession ;
• pour la démonstration du respect de ses obligations, par la mise à disposition des informations prévues à l'article 10.

Violation de données

Klientys notifie au Client toute violation de données à caractère personnel le concernant dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, par e-mail aux administrateurs du compte, en précisant la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises. Il appartient au Client de notifier l'autorité de contrôle.

9. Sort des données en fin de contrat

Le Client peut à tout moment exporter ses données depuis son espace, sans demande préalable et sans intervention de Klientys.

À la fin du contrat, l'accès en lecture seule est maintenu pendant trente (30) jours. Au terme de ce délai, les données sont supprimées dans un délai de trente (30) jours ; les sauvegardes résiduelles sont purgées selon le cycle de rétention de l'hébergeur. Klientys ne conserve ensuite que ce qu'une obligation légale lui impose de conserver, notamment les pièces comptables.

10. Audit

Klientys met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations. Le Client peut demander un audit, au maximum une fois par an, moyennant un préavis de trente (30) jours, pendant les heures ouvrées, et sans perturber l'exploitation. Les coûts d'un audit conduit par un tiers sont à la charge du Client, sauf si l'audit révèle un manquement substantiel.

11. Durée, droit applicable et contact

Le présent accord s'applique pendant toute la durée de l'abonnement. Il est régi par le droit français. L'autorité de contrôle compétente est la CNIL.

Contact pour toute question relative à la protection des données : support@klientys.co.

Un exemplaire signé peut être adressé sur demande aux clients dont les procédures internes l'exigent.