Accord de sous-traitance (DPA)

Traitement de données à caractère personnel — Article 28 du RGPD

Dernière mise à jour : [À COMPLÉTER — date de mise en ligne]

Le présent Accord de sous-traitance (ci-après « l'Accord » ou « DPA ») fait partie intégrante des Conditions Générales d'Utilisation et de Vente du service NavAero. Il encadre le traitement des données à caractère personnel effectué par NavAero pour le compte de l'organisation cliente, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).

1. Parties

Le Responsable de traitement : l'organisation cliente (aéroclub, structure ou propriétaire) qui souscrit au Service et saisit des données concernant ses membres (ci-après « le Responsable »).
Le Sous-traitant : Marius Vaulot, Entrepreneur individuel (EI), éditeur de NavAero (ci-après « le Sous-traitant »). Contact : contact.navaero@gmail.com.

En souscrivant au Service et en y saisissant des données personnelles, le Responsable accepte le présent Accord.

2. Objet

Le présent Accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte et sur instruction du Responsable, les données à caractère personnel nécessaires à la fourniture du Service NavAero (gestion de la navigabilité des aéronefs).

3. Description du traitement

Élément	Description
Nature du traitement	Hébergement, stockage, organisation, consultation, structuration des données saisies dans le Service
Finalité	Permettre au Responsable de gérer la navigabilité de ses aéronefs et les accès de ses membres
Durée	Pendant toute la durée de l'abonnement, puis selon l'article 9 ci-dessous
Catégories de personnes concernées	Membres de l'organisation (administrateurs, mécaniciens, pilotes, lecteurs)
Catégories de données	Identité (nom, prénom), e-mail, rôle, journaux d'activité. Aucune donnée sensible au sens de l'art. 9 du RGPD n'est requise par le Service.

4. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

Traiter les données uniquement sur instruction documentée du Responsable, y compris pour les transferts hors UE, sauf obligation légale contraire.
Garantir la confidentialité : veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité.
Mettre en œuvre les mesures de sécurité appropriées (article 32 du RGPD), décrites à l'article 6.
Respecter les conditions de recours à un sous-traitant ultérieur (article 7).
Aider le Responsable à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, etc.).
Aider le Responsable à respecter ses obligations de sécurité, de notification de violation et d'analyse d'impact (articles 32 à 36 du RGPD).
Notifier au Responsable toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans un délai permettant au Responsable de respecter son obligation de notification à la CNIL (72 heures).
Mettre à disposition du Responsable toute information nécessaire pour démontrer le respect des obligations de l'article 28 et permettre la réalisation d'audits.
À l'issue du contrat, supprimer ou restituer les données selon le choix du Responsable (article 9).

5. Obligations du Responsable

Le Responsable s'engage à :

Documenter par écrit ses instructions concernant le traitement.
S'assurer du respect des obligations RGPD côté collecte : information des personnes concernées, base légale, recueil du consentement le cas échéant.
Veiller au respect des obligations du présent Accord par ses propres membres autorisés.
Ne saisir que les données strictement nécessaires à la finalité du Service (minimisation).

6. Mesures de sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes :

Chiffrement des communications (HTTPS/TLS).
Isolation stricte des données entre organisations (sécurité au niveau des lignes en base de données / RLS) : une organisation ne peut jamais accéder aux données d'une autre.
Contrôle d'accès basé sur les rôles (administrateur, mécanicien, pilote, lecteur).
Authentification sécurisée, mots de passe chiffrés.
Journalisation des actions sensibles (journal d'audit horodaté).
Sauvegardes régulières de la base de données.
Hébergement de la base de données dans l'Union européenne.

7. Sous-traitants ultérieurs

Le Responsable autorise le Sous-traitant à recourir aux sous-traitants ultérieurs suivants pour la fourniture du Service :

Sous-traitant ultérieur	Rôle	Localisation
Supabase, Inc.	Hébergement base de données et authentification	Union européenne
Vercel, Inc.	Hébergement et diffusion de l'application	[À COMPLÉTER / VÉRIFIER — région]
Stripe Payments Europe, Ltd.	Traitement des paiements	Irlande (UE)
[À COMPLÉTER — service d'e-mails si distinct]	E-mails transactionnels	[À COMPLÉTER]

Le Sous-traitant informera le Responsable de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, laissant au Responsable la possibilité d'émettre des objections.

8. Transferts hors Union européenne

Les données sont principalement hébergées dans l'Union européenne. Tout transfert éventuel hors UE par un sous-traitant ultérieur est encadré par des garanties appropriées (Clauses Contractuelles Types de la Commission européenne, ou autre mécanisme prévu par le chapitre V du RGPD). [À VÉRIFIER avec les prestataires définitifs.]

9. Sort des données en fin de contrat

À l'expiration ou à la résiliation du contrat, le Responsable dispose d'un délai de 30 jours pour récupérer ses données. À l'issue de ce délai, le Sous-traitant procède, au choix du Responsable, à la suppression ou à la restitution de l'ensemble des données, et détruit les copies existantes, sauf obligation légale de conservation.

10. Responsabilité

Chaque partie répond des dommages causés par le non-respect de ses obligations au titre du RGPD et du présent Accord, dans les conditions prévues à l'article 82 du RGPD.

11. Durée

Le présent Accord prend effet à la souscription du Service et reste en vigueur pendant toute la durée du traitement des données par le Sous-traitant pour le compte du Responsable.