Contrat de sous-traitance (CST)

§ 1 Objet et durée du traitement

(1) Objet : le traitement des données à caractère personnel a lieu dans le cadre de l'utilisation du logiciel cloud « BISpicy Warenwirtschaft ».

(2) Durée : le traitement est effectué pendant la durée du contrat principal. Après la résiliation, toutes les données à caractère personnel sont supprimées dans un délai de 30 jours, sauf obligations légales de conservation.

(3) Nature du traitement :

• Collecte, stockage et utilisation des données de base des clients
• Traitement des données de commande et des transactions
• Génération de factures et de bons de livraison
• Transmission aux transporteurs pour l'exécution des commandes

§ 2 Catégories de personnes concernées et de données

2.1 Catégories de personnes concernées

• Clients / clients finaux du responsable du traitement
• Fournisseurs du responsable du traitement
• Salariés du responsable du traitement
• Personnes de contact chez les partenaires commerciaux

2.2 Catégories de données à caractère personnel

Catégorie de données	Exemples
Données de contact	Nom, adresse, e-mail, numéro de téléphone
Données contractuelles	Commandes, factures, numéros de client
Données de paiement	Coordonnées bancaires, historique des paiements (chiffré)
Données d'expédition	Adresses de livraison, numéros de suivi

§ 3 Obligations du sous-traitant

Le sous-traitant s'engage à :

1. Respect des instructions : ne traiter les données à caractère personnel que sur instructions documentées du responsable du traitement (art. 28, par. 3, point a) RGPD)
2. Confidentialité : veiller à ce que toutes les personnes autorisées à traiter les données s'engagent à respecter la confidentialité (art. 28, par. 3, point b) RGPD)
3. Mesures de sécurité : mettre en œuvre toutes les mesures techniques et organisationnelles requises par l'art. 32 RGPD
4. Sous-traitants ultérieurs : ne recourir à d'autres sous-traitants qu'avec l'accord préalable du responsable du traitement (art. 28, par. 2 RGPD)
5. Assistance : assister le responsable du traitement dans le respect des obligations prévues aux art. 32 à 36 RGPD
6. Suppression : supprimer ou restituer toutes les données à caractère personnel après la fin du contrat
7. Obligation de rendre compte : mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer la conformité

§ 4 Mesures techniques et organisationnelles (MTO)

Le sous-traitant a mis en œuvre les mesures suivantes conformément à l'art. 32 RGPD :

4.1 Confidentialité

• Contrôle de l'accès physique : centres de données avec contrôles d'accès physiques (DigitalOcean EU)
• Contrôle de l'accès logique : comptes utilisateurs protégés par mot de passe, authentification à deux facteurs en option
• Contrôle des autorisations : système de droits basé sur les rôles
• Contrôle de la séparation : séparation des locataires par bases de données individuelles

4.2 Intégrité

• Contrôle de la transmission : chiffrement TLS 1.3 pour toutes les transmissions de données
• Contrôle de la saisie : journalisation de toutes les saisies et modifications de données

4.3 Disponibilité et résilience

• Contrôle de la disponibilité : garantie de disponibilité de 99,9 %, systèmes redondants
• Capacité de récupération : sauvegardes automatiques quotidiennes, procédures de restauration testées

4.4 Procédures de contrôle régulier

• Audits de sécurité réguliers
• Tests d'intrusion par des prestataires externes
• Surveillance des systèmes 24h/24 et 7j/7

§ 5 Sous-traitants ultérieurs

(1) Le responsable du traitement consent au recours aux sous-traitants ultérieurs suivants :

Sous-traitant ultérieur	Localisation	Finalité du traitement
DigitalOcean LLC	Francfort (UE)	Hébergement backend, base de données, sauvegardes cloud (Spaces, compatible S3)
Stripe Payments Europe Ltd.	Dublin (UE)	Traitement des paiements de la licence logicielle
Google LLC (Firebase Cloud Messaging)	UE/USA (clauses contractuelles types)	Notifications push vers les caisses connectées (aucun contenu personnel)
Anthropic PBC (uniquement en cas d'utilisation des fonctions IA)	USA (clauses contractuelles types, art. 46 RGPD)	Reconnaissance assistée par IA des factures fournisseurs, création d'articles par IA et repricing par IA. Les données transmises ne sont pas utilisées pour l'entraînement des modèles (Anthropic Commercial Terms / DPA).
Fiskaly GmbH (en cas d'intégration de caisse active)	Allemagne / Autriche (UE)	TSE cloud (KassenSichV) et signature cloud RKSV
Transporteurs (DHL, DPD, GLS, Hermes, UPS, FedEx) — si activés	UE	Création d'étiquettes d'expédition, track & trace (sur instruction)
Places de marché et boutiques (Amazon, eBay, Etsy, Shopify, Magento, WooCommerce, Shopware) — si activées	UE / monde entier (selon le fournisseur)	Synchronisation des commandes et des articles sur instruction du responsable du traitement

(2) Le sous-traitant informe le responsable du traitement avant de recourir à d'autres sous-traitants ultérieurs. Le responsable du traitement peut s'y opposer dans un délai de 14 jours.

(3) Remarque concernant les transporteurs : la transmission des données du destinataire aux transporteurs n'est effectuée que sur instruction explicite du responsable du traitement (par la création d'une étiquette d'expédition dans le logiciel) aux fins de l'exécution de la commande d'expédition.

§ 6 Droits des personnes concernées

(1) Le sous-traitant assiste le responsable du traitement dans le respect des droits des personnes concernées (art. 12 à 22 RGPD) :

• Droit d'accès (art. 15 RGPD)
• Droit de rectification (art. 16 RGPD)
• Droit à l'effacement (art. 17 RGPD)
• Droit à la limitation du traitement (art. 18 RGPD)
• Droit à la portabilité des données (art. 20 RGPD)

(2) Le sous-traitant fournit une fonction d'exportation qui exporte toutes les données à caractère personnel dans un format lisible par machine (CSV/JSON).

§ 7 Obligations de notification en cas de violations de données

(1) Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel sans retard injustifié, et au plus tard 24 heures après en avoir pris connaissance.

(2) La notification contient au minimum :

• La description de la nature de la violation
• Les catégories de données concernées et le nombre approximatif d'enregistrements
• Les conséquences probables
• Les mesures prises ou proposées pour remédier à la violation

§ 8 Suppression et restitution des données

(1) À la fin du contrat principal, toutes les données à caractère personnel sont :

• Exportées et remises au responsable du traitement dans un format courant sur demande
• Supprimées de manière irrévocable après un délai de 30 jours

(2) Des exceptions s'appliquent aux données qui doivent être conservées plus longtemps en raison d'obligations légales de conservation (p. ex. factures : 10 ans).

§ 9 Droits de contrôle

(1) Le responsable du traitement a le droit de vérifier le respect du présent contrat.

(2) Le sous-traitant met à disposition à cette fin :

• Des preuves des mesures techniques et organisationnelles
• Les certifications et rapports d'audit actuels
• Sur demande : des inspections sur site (sur rendez-vous)

§ 10 Dispositions finales

(1) Droit applicable : le droit allemand s'applique, dans le respect du RGPD.

(2) Modifications : les modifications du présent contrat requièrent la forme écrite.

(3) Clause de divisibilité : si certaines dispositions devaient être nulles, la validité des dispositions restantes n'en serait pas affectée.