Contrat de sous-traitance des données

Le présent accord (« DPA ») est conclu entre l'Église cliente (le « Responsable de traitement ») et Damien Maupetit, entrepreneur individuel (EI), SIRET 106 968 621 00016, dont le siège est situé au 43 Chemin de Belair, 32550 Pavie (le « Sous-traitant »), éditeur de la plateforme Bethesda CRM. Il encadre, conformément à l'article 28 du RGPD, le traitement des données personnelles effectué par le Sous-traitant pour le compte du Responsable de traitement. Le présent DPA fait partie intégrante des Conditions Générales de Vente, qu'il complète en annexe : l'acceptation des CGV emporte acceptation du présent DPA.

Finalité : fournir le service de gestion d'équipe et de planning (gestion des membres, cultes, disponibilités, messagerie, newsletters, ressources).
Durée : pendant toute la durée de l'abonnement du Responsable de traitement.

Personnes concernées : membres, bénévoles et responsables de l'église cliente.

Données traitées : identité (nom, prénom), coordonnées (e-mail, téléphone, adresse), appartenance aux équipes, rôles, disponibilités, messages internes, et toute donnée saisie par le Responsable de traitement.

Données de catégorie particulière (article 9 RGPD) : la liste des membres d'une communauté religieuse révèle, par nature, des convictions religieuses. Le Responsable de traitement s'appuie sur l'exception de l'article 9(2)(d) du RGPD (traitement effectué par un organisme à but non lucratif à finalité religieuse, limité à ses membres et contacts réguliers, sans divulgation à des tiers sans consentement). Le Sous-traitant applique en conséquence des mesures de sécurité renforcées (voir art. 06).

• Traiter les données uniquement sur instruction documentée du Responsable de traitement.
• Garantir la confidentialité (personnes autorisées soumises à une obligation de confidentialité).
• Mettre en œuvre des mesures de sécurité appropriées (voir art. 06).
• Assister le Responsable de traitement pour répondre aux demandes des personnes (accès, effacement, portabilité…).
• Notifier toute violation de données dans les meilleurs délais, et au plus tard soixante-douze (72) heures après en avoir pris connaissance.
• Au terme du contrat, supprimer ou restituer les données selon le choix du Responsable de traitement (suppression sous trente (30) jours).
• Mettre à disposition les informations nécessaires pour démontrer sa conformité et permettre des audits.

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants. Tout nouveau sous-traitant sera notifié au préalable, avec possibilité d'objection motivée.

• Chiffrement des données en transit (HTTPS) et au repos (chiffrement de la base et du stockage).
• Authentification sécurisée et contrôle d'accès par rôle (politiques de sécurité au niveau des lignes).
• Accès aux fichiers via liens signés temporaires (stockage privé).
• Sauvegarde automatique quotidienne de l'ensemble des données, conservée trente (30) jours, avec procédure de restauration documentée et testée. Ces sauvegardes sont déposées dans l'espace de stockage du même hébergeur : elles protègent contre une suppression accidentelle ou une erreur de manipulation, et non contre la disparition du service d'hébergement lui-même.
• Hébergement sur des infrastructures certifiées (UE en priorité).

Certains sous-traitants peuvent traiter des données hors de l'Union européenne. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et/ou des garanties appropriées au sens du chapitre V du RGPD.

Le Responsable de traitement (l'église) garantit disposer d'une base légale pour collecter les données de ses membres, les informer de leurs droits, et ne saisir que des données pertinentes. Il reste responsable de la licéité des traitements qu'il initie via la plateforme.