Accord de sous-traitance des données personnelles (DPA)

1. Parties

Responsable de traitement

[Dénomination de la commune, adresse, représentant, contact vie privée]

Sous-traitant

Martin Lechêne, sous l'enseigne DOG&DEV (Bruxelles, Belgique ; adresse de facturation : Smart coop, rue Coenraets 72, 1060 Bruxelles, Belgique ; n° 0896.755.397 (BCE, Smart coop)), contact : contact@doganddev.eu

Délégué à la protection des données du Sous-traitant

Aucun DPO désigné (la loi n'en exige pas pour cette activité) ; point de contact : Martin Lechêne

2. Objet et durée

Le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement afin de fournir la Plateforme, pendant la durée du contrat de service. Le détail du traitement figure à l'annexe 1.

3. Obligations du Responsable de traitement

• Le Responsable décide des finalités et des moyens du traitement et choisit la base légale de chaque traitement (mission d'intérêt public, obligation légale, consentement, etc.).
• Il informe les personnes concernées (habitants, agents, élus), tient son registre des traitements, réalise les analyses d'impact nécessaires et désigne son délégué à la protection des données lorsque la loi l'exige.
• Il fixe les durées de conservation dans la configuration de la Plateforme et supprime les données qui ne sont plus nécessaires.
• Il s'assure que les données qu'il saisit ou fait saisir sont exactes et licites, qu'aucune donnée sensible n'est collectée sans fondement et que ses instructions sont conformes à la loi.
• Il habilite ses utilisateurs, protège leurs identifiants et répond aux demandes d'exercice des droits des personnes ; le Sous-traitant l'aide dans les limites de la clause « Droits des personnes ».
• Il notifie lui-même les violations de données à l'autorité de contrôle et aux personnes concernées lorsque la loi l'exige, sur la base des informations fournies par le Sous-traitant.

4. Instructions

Le Sous-traitant ne traite les données que sur instruction écrite et documentée du Responsable de traitement, y compris pour les transferts. Le contrat de service et la configuration de la Plateforme par la commune valent instructions. Il informe immédiatement le Responsable s'il estime qu'une instruction viole la réglementation.

5. Confidentialité du personnel

Les personnes autorisées à traiter les données sont tenues à la confidentialité et ont reçu une formation adaptée. L'accès est limité au strict nécessaire et journalisé.

6. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles de l'annexe 2 et les tient à jour au regard de l'état de l'art.

7. Sous-traitants ultérieurs

• Le Responsable autorise de manière générale le recours aux sous-traitants ultérieurs de l'annexe 3.
• Le Sous-traitant informe le Responsable de tout ajout ou remplacement avec un préavis raisonnable ; le Responsable peut s'y opposer pour un motif légitime, sinon il peut résilier sans frais.
• Le Sous-traitant impose à ses sous-traitants des obligations équivalentes et reste responsable de leur exécution.

8. Transferts hors de l'Union européenne

Les données sont hébergées dans la région choisie (Union européenne, ou Suisse pour les communes suisses). Les notifications push transitent par Google et Apple, qui peuvent traiter des données hors de l'Union ; les garanties applicables (décision d'adéquation ou clauses contractuelles types) figurent à l'annexe 3. Aucun autre transfert n'a lieu sans instruction.

9. Droits des personnes

Le Sous-traitant aide le Responsable à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition). La Plateforme permet à chaque habitant d'exporter ou de supprimer ses données ; toute demande reçue directement est transmise au Responsable.

10. Violation de données

Le Sous-traitant notifie le Responsable de toute violation de données personnelles : dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les données et personnes concernées, les conséquences probables et les mesures prises.

11. Assistance

Le Sous-traitant assiste le Responsable pour les analyses d'impact, les consultations préalables de l'autorité de contrôle et le registre des traitements, dans la mesure de ses informations.

12. Audits

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l'accord et permet les audits raisonnables, avec un préavis, pendant les heures ouvrables et sans perturber les autres clients.

13. Sort des données à la fin du contrat

À la fin du contrat, le Sous-traitant restitue les données au Responsable dans un format courant, puis les supprime, y compris les copies, dans un délai de 90 jours, sauf obligation légale de conservation. Les sauvegardes sont purgées selon leur durée de conservation (35 jours).

14. Responsabilité

La responsabilité des parties est régie par le contrat de service et par l'article 82 du RGPD. Le Sous-traitant ne répond que des dommages causés par un manquement à ses propres obligations au titre du présent accord ou par un traitement hors des instructions licites du Responsable ; il n'est pas responsable des traitements décidés par le Responsable, de ses instructions ni des contenus qu'il ou ses utilisateurs saisissent.

15. Droit applicable

Droit : le droit belge. Juridiction : les tribunaux de Bruxelles, sous réserve des règles impératives de compétence. Pour une commune suisse, une annexe adapte l'accord à la loi fédérale sur la protection des données (à rédiger avec un avocat suisse).

16. Annexe 1 : description du traitement

Nature et finalité

Hébergement et exploitation de la Plateforme : comptes et profils, alertes et notifications, actualités, signalements, annuaire, réseau local modéré, assistant IA, outils de gestion et journaux.

Personnes concernées

Habitants et abonnés aux alertes, utilisateurs du réseau « Voisins », agents, élus et administrateurs de la commune, commerçants et associations inscrits.

Catégories de données

Identité (prénom, initiale), adresse déclarée ou quartier, coordonnées (e-mail, téléphone, chiffrés), préférences et consentements, contenus publiés, signalements (photos, position), journaux de connexion et de modération, échanges avec l'assistant IA (sans données personnelles transmises au modèle).

Données sensibles

Non prévues. Les contenus saisis librement par les habitants peuvent en contenir : la charte l'interdit et les outils de modération permettent de les retirer.

Durées de conservation

Fixées par le Responsable dans la configuration de la Plateforme ; par défaut, conformes au contrat de service.

17. Annexe 2 : mesures de sécurité

• Isolation des données entre communes au niveau des lignes de la base de données, vérifiée par des tests automatiques.
• Chiffrement des communications ; chiffrement des coordonnées sensibles avec rotation de clés ; mots de passe hachés.
• Authentification par code à usage unique ou mot de passe ; double authentification obligatoire pour les administrateurs de la plateforme ; limitation des tentatives.
• Journal d'audit non modifiable des actions d'administration.
• Minimisation : aucune donnée personnelle dans les requêtes à l'assistant IA ; empreintes non réversibles pour les adresses IP.
• Sauvegardes régulières (conservées 35 jours) et procédure de restauration.
• Secrets conservés hors du code et de la base de données (références à des variables d'environnement) ; gestion des vulnérabilités et des mises à jour de sécurité.
• Test d'intrusion indépendant : prévu avant l'ouverture publique (non encore réalisé à la date de ce modèle).

18. Annexe 3 : sous-traitants ultérieurs