Accord de sous-traitance RGPD

Cet accord lie HG-HOSTING, identifié dans les mentions légales, au titulaire du service d’hébergement. Pour les traitements confiés, le client est responsable du traitement ou sous-traitant autorisé par son propre responsable ; HG-Hosting intervient comme sous-traitant ou sous-traitant ultérieur. Les traitements propres à la facturation et à la sécurité de HG-Hosting restent décrits dans sa politique de confidentialité.

L’objet est le stockage, l’accès, la transmission, les sauvegardes souscrites, l’administration dans le périmètre commandé et l’effacement des données nécessaires au service. La durée est celle du contrat, augmentée des périodes de restitution et de conservation légalement nécessaires. Les instructions documentées résultent du contrat, de la configuration et des demandes autorisées du client.

HG-Hosting ne traite les données que sur instruction documentée, y compris pour les transferts, sauf obligation légale applicable. Dans ce dernier cas, il informe préalablement le client, sauf interdiction légale. Il avertit immédiatement le client s’il estime qu’une instruction enfreint le droit applicable à la protection des données.

Identification du sous-traitant : HG-HOSTING, SAS (Société par actions simplifiée), capital 100 €, SIREN 991 163 932, SIRET 991 163 932 00015, siège 2 Allée du Verger, 44170 Nozay, France. Contact pour cet accord et les demandes relatives aux traitements confiés : privacy@hg-hosting.fr.

Finalités confiées : fonctionnement des applications, sites, serveurs de jeux, espaces de stockage ou bases de données du client. Personnes concernées : utilisateurs, visiteurs, joueurs, collaborateurs, prospects et contacts du client, selon son propre service. Données : identifiants, coordonnées, contenus, journaux et autres catégories licitement déposées par le client.

Le client précise avant le traitement les catégories particulières de données et contraintes nécessitant des garanties supplémentaires. Il ne doit pas présumer que toute offre standard convient à une activité soumise à certification, notamment l’hébergement de données de santé pour lequel une certification HDS est exigée. Les exigences particulières sont définies dans une annexe convenue avant le dépôt des données.

Le client détermine les finalités, assure la licéité du traitement, informe les personnes et gère les habilitations qui lui sont confiées. Il documente ses instructions, choisit un service approprié aux risques et coopère pour traiter les demandes de droits et incidents. Lorsqu’il est lui-même sous-traitant, il dispose des autorisations requises. Cette répartition n’exonère pas HG-Hosting de ses propres obligations.

Les personnes autorisées à traiter les données s’engagent à la confidentialité ou y sont soumises par une obligation légale. Leurs accès sont limités au besoin de leur mission. HG-Hosting ne réutilise pas les données hébergées pour la publicité, la revente ou l’entraînement d’un modèle général sans instruction et base juridique appropriées distinctes.

Un accès de support à une machine ou à des contenus est limité à l’intervention autorisée, à une nécessité de sécurité ou à une obligation légale. Les secrets transmis pour une intervention sont traités avec des accès restreints et ne doivent pas figurer dans des communications publiques.

Les mesures proportionnées au risque comprennent le contrôle des accès administratifs, le cloisonnement des environnements, la protection du réseau, la sécurisation des échanges administratifs, la gestion des vulnérabilités du périmètre administré, la surveillance des incidents et la maîtrise des opérations de maintenance.

Les sauvegardes, la redondance, le chiffrement des disques et les objectifs de reprise sont ceux effectivement inclus dans l’offre ou convenus par écrit. Cet accord ne crée pas une sauvegarde universelle ni un chiffrement au repos inexistant. Le client configure et maintient les systèmes, applications, clés et droits qui relèvent de son administration.

Les mesures sont évaluées et adaptées aux risques et aux évolutions techniques. Les éléments utiles à l’évaluation du client sont communiqués sans exposer les secrets de sécurité ou les données d’autres clients.

Le client autorise les sous-traitants ultérieurs identifiés ci-dessous pour le périmètre applicable au service. HG-Hosting informe le client de l’ajout ou du remplacement envisagé avant qu’il ne produise effet, avec un délai raisonnable d’au moins trente jours pour une objection motivée liée à la protection des données, sauf urgence imposant une mesure immédiate de sécurité ou de continuité.

Une objection fait l’objet d’une recherche de solution : autre prestataire, mesure adaptée ou fin du traitement concerné si aucune solution raisonnable n’est possible. HG-Hosting impose au sous-traitant ultérieur des obligations de protection équivalentes à celles de cet accord et demeure responsable de leur exécution à l’égard du client.

Le registre public des prestataires distingue les traitements de relation commerciale des sous-traitants ayant accès aux données hébergées. Les fournisseurs de paiement et les outils d’audience de la vitrine ne deviennent pas, de ce seul fait, des sous-traitants ultérieurs de tous les contenus clients.

Annexe des intervenants techniques : SERVERD / Netrix (France) intervient sur le transit et la protection DDoS : trafic et métadonnées réseau nécessaires au transport et au filtrage. Cloudflare, Inc. (États-Unis, réseau international) intervient uniquement pour les domaines et interfaces utilisant ses fonctions DNS, proxy/CDN, WAF ou Turnstile : requêtes web, données techniques, et contenu nécessaire à leur traitement lorsque le proxy est utilisé. Les fichiers stockés sur les disques HG ne sont pas envoyés globalement à ces opérateurs. Les identités, périmètres et garanties publiées figurent dans le registre des prestataires. Les outils de paiement, facturation, avis et statistiques de la relation commerciale ne sont pas des sous-traitants des contenus hébergés du seul fait de leur utilisation par HG-Hosting.

Tout transfert soumis au chapitre V du RGPD est encadré par un mécanisme valable et documenté. Le client reçoit les informations utiles sur les destinataires, pays et garanties applicables au service. La seule localisation d’un serveur en France ne remplace pas cette analyse. Les dérogations de l’article 49 ne sont pas utilisées comme justification générale de transferts récurrents.

L’hébergement primaire des contenus confiés reste en France. Pour le périmètre web utilisant Cloudflare, son accord de traitement prévoit les mécanismes du chapitre V, dont les clauses contractuelles types européennes lorsque nécessaires. Une information sur les garanties applicables et leur copie peut être obtenue à privacy@hg-hosting.fr, sous réserve des occultations nécessaires aux secrets et données de tiers. Aucun transfert du contenu hébergé vers un autre service facultatif n’est autorisé par une simple acceptation de cookies de la vitrine.

HG-Hosting aide le client, dans la mesure du possible compte tenu de la nature du traitement et des informations disponibles, à répondre aux demandes d’exercice des droits. Il transmet sans délai utile une demande relative aux données du client et ne décide pas à sa place, sauf obligation légale.

HG-Hosting assiste également le client pour la sécurité, les notifications de violations, les analyses d’impact et les consultations préalables requises. Les modalités pratiques d’une assistance exceptionnelle peuvent être convenues ; d’éventuels frais sont annoncés et ne peuvent neutraliser une obligation légale ni faire supporter au client le coût d’un manquement imputable à HG-Hosting.

HG-Hosting notifie au client une violation de données personnelles sans retard injustifié après en avoir pris connaissance. Il communique les éléments disponibles : nature, catégories et volume approximatif, contact, conséquences probables et mesures prises ou proposées. Les compléments sont transmis progressivement si nécessaire.

HG-Hosting préserve les éléments utiles à l’analyse, contient l’incident dans son périmètre et coopère avec le client. La notification au responsable de traitement n’est pas conditionnée à l’achèvement de toute l’enquête. Le délai de soixante-douze heures prévu pour certaines notifications à l’autorité n’est pas un délai d’attente accordé au sous-traitant.

Au terme des prestations de traitement, HG-Hosting supprime ou restitue, au choix du client, les données personnelles et supprime les copies existantes, sauf obligation légale de conservation. Les modalités techniques, délais de récupération et formats sont précisés dans le document de réversibilité et le bon de commande.

Les copies de sauvegarde résiduelles suivent leur cycle d’expiration documenté ; elles restent protégées, ne sont plus utilisées en exploitation courante et ne sont restaurées que pour une nécessité justifiée. Une conservation obligatoire est limitée aux données et à la durée concernées. La suppression ne peut être affirmée comme immédiate si une copie résiduelle subsiste.

HG-Hosting met à disposition les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et permet les audits, y compris inspections, menés par le client ou un auditeur mandaté. Les modalités protègent la sécurité, les secrets et les données des tiers ; elles ne doivent pas rendre ce droit illusoire.

Un audit documentaire est privilégié lorsqu’il répond au besoin. Le périmètre, le calendrier et les intervenants d’une inspection sont convenus avec un préavis raisonnable, sauf incident ou exigence de l’autorité justifiant l’urgence. Les droits des autorités de contrôle sont préservés.

Pour la protection des données confiées, cet accord prévaut sur une stipulation contradictoire des conditions générales. La responsabilité des parties et les droits des personnes concernées restent soumis aux dispositions impératives du RGPD, notamment son article 82.