Accord de traitement des données (DPA)

Le présent accord de traitement des données (Data Processing Agreement, « DPA ») est conclu en application de l'article 28 du RGPD entre le client (« Responsable de traitement ») et MADI SAS (« Sous-traitant »). Il est mis à disposition des clients B2B qui en font la demande et complète les CGV.

1. Objet et durée

Le Sous-traitant traite les données personnelles pour le compte du Responsable, pour la seule finalité de fourniture du service MADI, pendant toute la durée du contrat et jusqu'à la suppression des données (90 jours après la fin du contrat).

2. Nature et finalité du traitement

Hébergement, stockage, organisation, consultation et restitution des données saisies par le Responsable dans le cadre de la gestion de maintenance (GMAO).

3. Catégories de données et de personnes concernées

• Personnes concernées : utilisateurs du Responsable (gestionnaires, techniciens, occupants), prestataires.
• Données : identité, coordonnées professionnelles, données d'usage, documents techniques.

4. Obligations du Sous-traitant

• traiter les données uniquement sur instruction documentée du Responsable ;
• garantir la confidentialité (personnel habilité et tenu au secret) ;
• mettre en œuvre des mesures de sécurité appropriées (chiffrement, sauvegardes, contrôle d'accès) ;
• notifier toute violation de données dans les meilleurs délais ;
• assister le Responsable pour les demandes d'exercice de droits et les analyses d'impact.

5. Sous-traitants ultérieurs

Le Responsable autorise le recours aux sous-traitants ultérieurs suivants : OVHcloud / Scaleway (Union européenne) (hébergement UE), Stripe (paiement), SendGrid (e-mails). Tout nouveau sous-traitant fera l'objet d'une information préalable.

6. Sécurité

Mesures techniques et organisationnelles : cloisonnement par tenant, chiffrement en transit, contrôle d'accès, journalisation des accès, protection anti-bruteforce, sauvegardes régulières.

7. Sort des données en fin de contrat

À la fin du contrat, le Responsable peut exporter l'intégralité de ses données. Celles-ci sont ensuite conservées 90 jours puis supprimées de façon définitive, sous réserve des obligations légales de conservation (factures : 10 ans).

8. Audit

Le Sous-traitant met à disposition du Responsable les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits dans des conditions raisonnables.

9. Contact

Délégué à la protection des données : dpo@madi-gmao.fr.