Document légal
Projet de cadre de sous-traitance entre le client, responsable de traitement, et Haras Zen, sous-traitant.
Version de travail — à compléter/valider avant commercialisation.
Pour les données personnelles que le client saisit dans l'application pour ses propres finalités, le client agit en principe comme responsable de traitement et Haras Zen comme sous-traitant. Le DPA définitif devra identifier juridiquement les deux parties et être intégré ou annexé au contrat de service.
Les traitements ont vocation à durer pendant la fourniture du service et les opérations de sortie convenues. Ils portent notamment sur la collecte, l'hébergement, la consultation, l'organisation, la modification, l'export et la suppression des données nécessaires aux modules activés par le client.
Selon les modules utilisés, les personnes concernées peuvent inclure propriétaires, clients, cavaliers, salariés, intervenants et autres contacts professionnels. Les données peuvent comprendre identité, coordonnées, relations avec les chevaux ou l'établissement, éléments contractuels, administratifs, de planning et de facturation. Les catégories exactes et les traitements de données particulières éventuellement concernés doivent être inventoriés avant commercialisation.
Haras Zen traite les données du client sur instructions documentées de celui-ci, sous réserve des obligations légales applicables. Les personnes autorisées à accéder aux données doivent être soumises à une obligation de confidentialité et disposer de droits adaptés à leurs fonctions.
Le DPA définitif doit décrire les mesures techniques et organisationnelles réellement appliquées : authentification, contrôle d'accès et isolation des établissements, chiffrement en transit, sauvegardes, journalisation, gestion des incidents et procédures de restauration. Aucun engagement de sécurité non vérifié ne doit être ajouté au contrat.
La liste des sous-traitants ultérieurs nécessaires au fonctionnement de Haras Zen, leurs rôles, les localisations pertinentes et les mécanismes encadrant d'éventuels transferts hors Espace économique européen doivent être documentés avant mise en production commerciale et maintenus à jour.
Haras Zen doit assister le client, dans la mesure applicable, pour répondre aux demandes d'exercice de droits et pour respecter ses obligations en cas de violation de données. Les délais opérationnels, canaux de notification et informations communiquées au client doivent être précisés dans la version contractuelle.
Les modalités d'export ou de restitution des données, la période pendant laquelle elles restent récupérables après la fin du contrat, la suppression des copies actives et le traitement des sauvegardes doivent être définis en cohérence avec les capacités techniques réelles de Haras Zen.
Haras Zen doit mettre à disposition les informations nécessaires pour démontrer le respect des obligations applicables au sous-traitant. Le cadre, la fréquence et les conditions d'éventuels audits doivent être définis dans le DPA final afin de rester proportionnés au service fourni.
Ce document est un support de travail interne. Il ne constitue pas un engagement contractuel dans sa version actuelle.
