Contrat de sous-traitance (CST)

§ 1 Objet et durée du traitement

(1) Objet : le traitement des données à caractère personnel a lieu dans le cadre de l'utilisation du logiciel cloud « BISpicy Warenwirtschaft ».

(2) Durée : le traitement est effectué pendant la durée du contrat principal. Après la résiliation, toutes les données à caractère personnel sont supprimées dans un délai de 30 jours, sauf obligations légales de conservation.

(3) Nature du traitement :

• Collecte, stockage et utilisation des données de base des clients
• Traitement des données de commande et des transactions
• Génération de factures et de bons de livraison
• Transmission aux transporteurs pour l'exécution des commandes
• Envoi automatique par e-mail de rapports de caisse (journal de caisse, lots d'écritures DATEV des recettes de caisse et des mouvements de caisse, export DSFinV-K en option) à des destinataires désignés par le responsable du traitement, qui ont eux-mêmes confirmé la réception via un lien (uniquement si BIS Insights est actif) ; envoi via l'accès SMTP du responsable, à défaut via le serveur de messagerie du sous-traitant. La transmission a lieu sur instruction du responsable ; les destinataires ne sont pas des sous-traitants ultérieurs.
• Envoi de reçus aux clients finaux à leur demande (si utilisé en caisse) : transmission d'un lien vers le reçu numérique à l'adresse e-mail saisie en caisse par le client final, via le serveur de messagerie du sous-traitant. L'adresse n'est pas enregistrée ; pour se protéger contre un envoi abusif (art. 32 RGPD), le sous-traitant génère une valeur de contrôle pseudonyme (HMAC-SHA256) de l'adresse, qu'il supprime après 48 heures, et consigne l'heure, l'appareil, le reçu et l'état de l'envoi pendant 90 jours. Un reçu numérique envoyé par e-mail reste consultable au moins 90 jours à compter de l'envoi, même si le responsable du traitement a défini une validité plus courte. La transmission a lieu sur instruction du responsable du traitement ; les destinataires ne sont pas des sous-traitants ultérieurs du sous-traitant.
• Archivage « Données de l'ancien système » (uniquement en cas d'utilisation) : réception, conservation à l'identique et mise à disposition des exports originaux de l'ancien système de caisse ou d'enregistrement téléversés par le responsable du traitement (p. ex. export DSFinV-K, export TSE, journaux, tickets Z, protocoles de programmation, documentation des procédures). Cela comprend une empreinte de contrôle (SHA-256), un contrôle technique automatique de la structure, de l'exhaustivité et de la période, un verrouillage logiciel contre la suppression, la journalisation du téléversement, des consultations et des contrôles, un accusé de réception par e-mail ainsi que l'intégration dans les sauvegardes et dans le paquet d'export. Le contenu des fichiers n'est pas analysé.
• Archivage des e-mails (BIS Archiv, uniquement en cas d'utilisation) : récupération des e-mails depuis les boîtes aux lettres reliées par le responsable du traitement – avec IMAP depuis le dossier indiqué (par défaut : boîte de réception), avec l'interface Google depuis l'ensemble de la boîte hors spam et corbeille –, conservation à l'identique des messages archivés, pièces jointes comprises, avec une empreinte de contrôle (SHA-256), ainsi que mise à disposition pour retrouver et consulter les messages. Une présélection automatique exclut de la conservation les messages dont le nom de dossier, les adresses ou l'objet contiennent certains mots-clés (p. ex. « privat », « betriebsrat », « newsletter »). Il s'agit d'un paramétrage technique par défaut, actuellement non configurable par le responsable du traitement, et non d'une garantie que des messages privés ou autrement non soumis à conservation ne soient pas conservés. Le responsable du traitement ne relie que des boîtes dont il est en droit d'archiver le contenu et vérifie lui-même la licéité (p. ex. protection des données des salariés, accord d'entreprise). Le mot de passe ou le jeton d'accès à la boîte aux lettres est conservé sous forme chiffrée.

§ 2 Catégories de personnes concernées et de données

2.1 Catégories de personnes concernées

• Clients / clients finaux du responsable du traitement
• Fournisseurs du responsable du traitement
• Salariés du responsable du traitement
• Personnes de contact chez les partenaires commerciaux
• Destinataires des rapports désignés par le responsable (p. ex. conseiller fiscal, comptabilité)
• Salariés (y compris anciens salariés), clients et partenaires commerciaux du responsable du traitement enregistrés dans les données de son ancien système de caisse ou d'enregistrement (archivage, uniquement en cas d'utilisation)
• Correspondants du responsable du traitement (expéditeurs et destinataires des e-mails archivés) et tiers cités dans les messages et pièces jointes, p. ex. candidats, salariés et clients (archivage des e-mails, uniquement en cas d'utilisation)

2.2 Catégories de données à caractère personnel

Catégorie de données	Exemples
Données de contact	Nom, adresse, e-mail, numéro de téléphone
Données contractuelles	Commandes, factures, numéros de client
Données de paiement	Coordonnées bancaires, historique des paiements (chiffré)
Métadonnées des paiements par carte (en cas d'intégration de caisse active)	Type de carte, numéro de carte masqué (quatre derniers chiffres uniquement), numéro d'autorisation, résultat du terminal; à l'initiative expresse du caissier, en outre le ticket du terminal avec numéro de carte abrégé (quatre derniers chiffres uniquement), identifiant du terminal, heure, montant et autres mentions imprimées sur le ticket (p. ex. date de validité, numéros d'autorisation, de trace et de ticket, numéro VU, données EMV) (rapport d'incident pour clarifier des paiements incertains ; le texte du ticket est supprimé 18 mois après la clôture du dossier, au plus tard à la suppression du compte client)
Données d'expédition	Adresses de livraison, numéros de suivi
Données de rendez-vous	Réservations de rendez-vous, affectation aux clients et aux employés (si le module de rendez-vous est utilisé)
Destinataires des rapports	adresse e-mail, date d'accord/de refus/de désinscription, utilisateur ayant créé l'entrée, preuve d'envoi par destinataire, journal des modifications ; les rapports contiennent les données de caisse, y compris les noms des caissiers et les motifs saisis librement pour les mouvements de caisse
Envoi de reçus aux clients finaux	adresse e-mail (uniquement pour l'envoi, non enregistrée), valeur de contrôle pseudonyme de l'adresse (48 heures), journal d'envoi sans adresse : heure, appareil, reçu, statut (90 jours)
Données de caisse issues d'anciens systèmes (archivage, uniquement en cas d'utilisation)	contenu des fichiers originaux téléversés tel qu'enregistré dans l'ancien système : enregistrements individuels des ventes avec identifiant de l'opérateur et noms des caissiers, données clients figurant sur les tickets (p. ex. nom, adresse, numéro de TVA), moyens de paiement, données de carte masquées (le cas échéant), notes en texte libre, journaux TSE avec numéros de série ; données relatives à l'archivage : utilisateur ayant téléversé, date et heure, nom du fichier, taille, empreinte de contrôle, résultat du contrôle, destinataires de l'accusé de réception, journal des accès
Archivage des e-mails (BIS Archiv, uniquement en cas d'utilisation)	expéditeur, destinataire, destinataires en copie et en copie cachée (s'ils figurent dans le fichier original), date, objet, contenu du message et pièces jointes des e-mails archivés (sous forme de fichier original inchangé, y compris les en-têtes techniques avec le chemin de transmission et les adresses IP), identifiant du message ; les contenus et pièces jointes peuvent contenir des données de toute nature, y compris des catégories particulières de données à caractère personnel au sens de l'art. 9 RGPD (p. ex. arrêts maladie, dossiers de candidature, données de santé) ainsi que des informations sur des tiers cités dans les messages ; adresse de la boîte aux lettres, nom d'utilisateur et identifiants d'accès à la boîte (mot de passe ou jeton d'accès, chiffré) ; journal des accès

§ 3 Obligations du sous-traitant

Le sous-traitant s'engage à :

1. Respect des instructions : ne traiter les données à caractère personnel que sur instructions documentées du responsable du traitement (art. 28, par. 3, point a) RGPD)
2. Confidentialité : veiller à ce que toutes les personnes autorisées à traiter les données s'engagent à respecter la confidentialité (art. 28, par. 3, point b) RGPD)
3. Mesures de sécurité : mettre en œuvre toutes les mesures techniques et organisationnelles requises par l'art. 32 RGPD
4. Sous-traitants ultérieurs : ne recourir à d'autres sous-traitants qu'avec l'accord préalable du responsable du traitement (art. 28, par. 2 RGPD)
5. Assistance : assister le responsable du traitement dans le respect des obligations prévues aux art. 32 à 36 RGPD
6. Suppression : supprimer ou restituer toutes les données à caractère personnel après la fin du contrat
7. Obligation de rendre compte : mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer la conformité

§ 4 Mesures techniques et organisationnelles (MTO)

Le sous-traitant a mis en œuvre les mesures suivantes conformément à l'art. 32 RGPD :

4.1 Confidentialité

• Contrôle de l'accès physique : centres de données avec contrôles d'accès physiques (DigitalOcean EU)
• Contrôle de l'accès logique : comptes utilisateurs protégés par mot de passe, authentification à deux facteurs en option
• Contrôle des autorisations : système de droits basé sur les rôles
• Contrôle de la séparation : séparation des locataires par bases de données individuelles

4.2 Intégrité

• Contrôle de la transmission : chiffrement TLS 1.3 pour toutes les transmissions de données
• Contrôle de la saisie : journalisation de toutes les saisies et modifications de données
• Archivage : empreinte de contrôle SHA-256 par fichier à la réception, verrouillage logiciel contre la suppression et la modification (aucune fonction de modification ou d'écrasement, versions avec chaîne de hachage), journal des téléversements, consultations et contrôles ; pas de protection matérielle contre l'écriture (stockage WORM) ni d'horodatage externe

4.3 Disponibilité et résilience

• Contrôle de la disponibilité : garantie de disponibilité de 99,9 %, systèmes redondants
• Capacité de récupération : sauvegardes automatiques quotidiennes, procédures de restauration testées

4.4 Procédures de contrôle régulier

• Audits de sécurité réguliers
• Tests d'intrusion par des prestataires externes
• Surveillance des systèmes 24h/24 et 7j/7

§ 5 Sous-traitants ultérieurs

(1) Le responsable du traitement consent au recours aux sous-traitants ultérieurs suivants :

Sous-traitant ultérieur	Localisation	Finalité du traitement
DigitalOcean LLC	Francfort (UE)	Hébergement backend, base de données, stockage de fichiers et sauvegardes cloud (Spaces, compatible S3, Francfort)
Cloudflare, Inc. (mandaté par DigitalOcean)	UE/États-Unis (clauses contractuelles types)	Proxy inverse et réseau de diffusion de contenu (diffusion des pages web, données de connexion/IP) — mandaté par DigitalOcean en tant que sous-traitant ultérieur de l'App Platform ; aucune relation contractuelle distincte avec le sous-traitant
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Allemagne (UE)	Envoi et réception d'e-mails (serveur de messagerie du système, si aucun accès SMTP propre n'est configuré ; boîtes aux lettres des domaines bispicy.com et bispos.app)
Stripe Payments Europe Ltd.	Dublin (UE)	Traitement des paiements de la licence logicielle
Google LLC (Firebase Cloud Messaging)	UE/USA (clauses contractuelles types)	Notifications push vers les caisses connectées (aucun contenu personnel)
Anthropic PBC (uniquement en cas d'utilisation des fonctions IA)	USA (clauses contractuelles types, art. 46 RGPD)	Reconnaissance assistée par IA des factures fournisseurs, création d'articles par IA et repricing par IA. Les données transmises ne sont pas utilisées pour l'entraînement des modèles (Anthropic Commercial Terms / DPA).
Fiskaly GmbH (en cas d'intégration de caisse active)	Allemagne / Autriche (UE)	TSE cloud (KassenSichV) et signature cloud RKSV
Transporteurs (DHL, DPD, GLS, Hermes, UPS, FedEx) — si activés	UE	Création d'étiquettes d'expédition, track & trace (sur instruction)
Places de marché, boutiques et logiciels de gestion (Amazon, eBay, Etsy, Shopify, Magento, WooCommerce, Shopware, Gambio, Shopee, Whatnot, Odoo) — si activés	UE / monde entier (selon le fournisseur)	Synchronisation des commandes et des articles sur instruction du responsable du traitement

(2) Le sous-traitant informe le responsable du traitement avant de recourir à d'autres sous-traitants ultérieurs. Le responsable du traitement peut s'y opposer dans un délai de 14 jours.

(3) Remarque concernant les transporteurs : la transmission des données du destinataire aux transporteurs n'est effectuée que sur instruction explicite du responsable du traitement (par la création d'une étiquette d'expédition dans le logiciel) aux fins de l'exécution de la commande d'expédition.

§ 6 Droits des personnes concernées

(1) Le sous-traitant assiste le responsable du traitement dans le respect des droits des personnes concernées (art. 12 à 22 RGPD) :

• Droit d'accès (art. 15 RGPD)
• Droit de rectification (art. 16 RGPD)
• Droit à l'effacement (art. 17 RGPD)
• Droit à la limitation du traitement (art. 18 RGPD)
• Droit à la portabilité des données (art. 20 RGPD)

(2) Le sous-traitant fournit une fonction d'exportation qui exporte toutes les données à caractère personnel dans un format lisible par machine (CSV/JSON).

§ 7 Obligations de notification en cas de violations de données

(1) Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel sans retard injustifié, et au plus tard 24 heures après en avoir pris connaissance.

(2) La notification contient au minimum :

• La description de la nature de la violation
• Les catégories de données concernées et le nombre approximatif d'enregistrements
• Les conséquences probables
• Les mesures prises ou proposées pour remédier à la violation

§ 8 Suppression et restitution des données

(1) À la fin du contrat principal, toutes les données à caractère personnel sont :

• Exportées et remises au responsable du traitement dans un format courant sur demande
• Supprimées de manière irrévocable après un délai de 30 jours

(2) Des exceptions s'appliquent aux données qui doivent être conservées plus longtemps en raison d'obligations légales de conservation (p. ex. factures : 10 ans).

(3) Archivage « Données de l'ancien système » : Par le téléversement, le responsable du traitement charge le sous-traitant de conserver les fichiers sans modification. Par dérogation à l'alinéa 1 et au § 1 alinéa 2, ces fichiers ne sont pas supprimés automatiquement après la fin du contrat principal ; dans cette mesure, le présent accord continue de s'appliquer jusqu'à ce que les fichiers aient été restitués ou supprimés sur instruction du responsable. Le responsable peut télécharger les fichiers à tout moment ; ils sont inclus dans le paquet d'export. Sur instruction expresse sous forme textuelle, le sous-traitant supprime des fichiers individuels ou l'ensemble de l'archive également plus tôt ; la suppression est journalisée. Le responsable du traitement peut également supprimer lui-même des fichiers individuels dans l'espace client ; la suppression est journalisée. Le sous-traitant annonce sous forme textuelle, au moins 30 jours à l'avance, toute suppression non demandée par le responsable. Les obligations de conservation (notamment le § 147 du code fiscal allemand, AO) incombent au responsable ; le délai affiché est calculé à partir de ses indications, et il appartient au responsable d'apprécier s'il est prolongé dans un cas particulier (§ 147 al. 3 phrase 5 AO). Si le responsable informe l'administration fiscale que les données se trouvent chez le sous-traitant (§ 147 al. 6 AO), le sous-traitant les met à disposition conformément à cette disposition.

§ 9 Droits de contrôle

(1) Le responsable du traitement a le droit de vérifier le respect du présent contrat.

(2) Le sous-traitant met à disposition à cette fin :

• Des preuves des mesures techniques et organisationnelles
• Les certifications et rapports d'audit actuels
• Sur demande : des inspections sur site (sur rendez-vous)

§ 10 Dispositions finales

(1) Droit applicable : le droit allemand s'applique, dans le respect du RGPD.

(2) Modifications : les modifications du présent contrat requièrent la forme écrite.

(3) Clause de divisibilité : si certaines dispositions devaient être nulles, la validité des dispositions restantes n'en serait pas affectée.