Accord de sous-traitance

Le présent accord est conclu entre le Professionnel, l'agence ou le client de la marque blanche qui utilise Referaly (le « Client »), responsable du traitement, et Referaly OÜ, société enregistrée en Estonie sous le numéro 16957852, Tartu mnt 67/1-13b, 10115 Tallinn (« Referaly »), sous-traitant.

Il applique l'article 28 du règlement (UE) 2016/679 (RGPD) aux données que le Client gère dans Referaly. Il s'ajoute aux Conditions Générales d'Utilisation et entre en vigueur avec elles : l'acceptation des Conditions vaut acceptation du présent accord. Sur demande à hello@referaly.fr, nous vous adressons une version à signer.

Referaly s'engage à :

• ne traiter les données que sur instruction documentée du Client : les Conditions, les réglages qu'il choisit dans Referaly et ses instructions écrites. Si une instruction lui paraît contraire au RGPD, Referaly en informe immédiatement le Client ;
• ne pas utiliser les données pour son propre compte, ne pas les vendre et ne pas contacter les personnes concernées pour sa propre prospection ;
• veiller à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité ;
• prendre les mesures de sécurité prévues à l'article 32 du RGPD, décrites en annexe ;
• aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice de droits des personnes concernées, en lui transmettant sans délai toute demande reçue directement ;
• aider le Client à respecter ses obligations de sécurité, de notification des violations, d'analyse d'impact et de consultation de l'autorité, compte tenu des informations dont Referaly dispose ;
• mettre à disposition du Client les informations nécessaires pour démontrer le respect du présent accord (article 9).

Le Client autorise Referaly à recourir aux sous-traitants ultérieurs listés à l'article 5 de notre Politique de Confidentialité. Referaly leur impose par contrat des obligations de protection des données équivalentes à celles du présent accord et reste responsable envers le Client de leur respect.

Referaly informe le Client par email au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut d'accord, il peut résilier son abonnement sans frais avant le changement.

Referaly notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou proposées. Les informations manquantes sont transmises dès qu'elles sont connues.

• Le Client dispose d'une base légale pour chaque traitement qu'il confie à Referaly.
• Il informe les personnes concernées, notamment les personnes qui lui sont recommandées, au plus tard lors de son premier contact avec elles (article 14 du RGPD).
• Il ne saisit que les données nécessaires et aucune donnée sensible.
• Il répond aux demandes d'exercice de droits des personnes concernées, avec l'aide de Referaly.
• Il donne des instructions conformes au RGPD.

Les serveurs et la base de données de Referaly sont hébergés à Paris. Lorsqu'un sous-traitant ultérieur traite des données hors de l'Union européenne, le transfert repose sur une décision d'adéquation de la Commission européenne ou sur les clauses contractuelles types qu'elle a adoptées.

L'accord dure aussi longtemps que le Client utilise les Services. À la fermeture de son compte, le Client peut demander dans les 30 jours l'export de ses données dans un format courant (CSV). Referaly supprime ensuite les données et leurs copies, sauf obligation légale de conservation, et le confirme au Client sur demande. Les copies de sauvegarde sont effacées à l'expiration de leur cycle de conservation.

Referaly répond aux questions écrites du Client sur le respect du présent accord dans un délai de 30 jours. Si ces réponses ne suffisent pas, le Client peut faire réaliser un audit par un auditeur tenu au secret, au plus une fois par an, à ses frais, avec un préavis de 30 jours et sans accès aux données des autres clients. Un audit demandé par une autorité de contrôle n'est pas soumis à ces limites.

La responsabilité de chaque partie est régie par les Conditions Générales d'Utilisation, sans préjudice de l'article 82 du RGPD.

• Serveurs, base de données, fichiers et sauvegardes hébergés chez Amazon Web Services, à Paris.
• Échanges chiffrés entre les appareils et les serveurs (TLS).
• Mots de passe enregistrés sous forme hachée ; jetons de connexion aux services tiers chiffrés au repos.
• Cloisonnement des données : chaque Client ne voit que son réseau, ses recommandations et ses contrats ; un Apporteur ne voit que ses propres recommandations.
• Accès de l'équipe Referaly limité aux personnes habilitées, avec authentification individuelle.
• Sauvegarde quotidienne de la base de données, testée par restauration.
• Journaux techniques conservés 90 jours.