Accord de sous-traitance des données

1. Rôles, objet et durée

Le Responsable désigne Lizensa comme sous-traitant, et Lizensa accepte cette mission pour les traitements décrits à la section 2.

• Objet : exploitation de la boutique B2B de gros de Lizensa, du compte client et de ses sous-licences.
• Durée : pour la durée du compte, et jusqu’à l’achèvement de la restitution ou de l’effacement prévus à la section 9.
• Nature et finalités : exécution des commandes et des licences, facturation et comptabilité, gestion du compte et des accès, assistance client, prévention de la fraude et sécurité de la plateforme.

2. Catégories de données et de personnes concernées

Les traitements portent sur :

• Personnes concernées : les salariés, clients, utilisateurs finaux et revendeurs du Responsable dont il saisit les coordonnées dans un compte ou une commande ;
• Catégories de données personnelles : nom, e-mail professionnel, téléphone, adresses de facturation et de livraison, n° de TVA, données de commande et de licence, métadonnées de paiement, factures et pièces comptables, données de compte et de connexion, correspondence d’assistance, ainsi que les données de consentement et d’analytique décrites dans la politique de confidentialité.

Aucune catégorie particulière de données personnelles (art. 9 du RGPD) n’est traitée pour le compte du Responsable.

3. Instructions documentées

Lizensa traite les données personnelles uniquement sur les instructions documentées du Responsable, y compris pour les transferts internationaux, sauf obligation prévue par le droit de l’UE ou d’un État membre ; dans ce cas, Lizensa en informe le Responsable avant le traitement, sauf si la loi l’interdit.

Les instructions sont le contrat de compte, le bon de commande, la configuration choisie par le Responsable dans l’interface d’administration et toute instruction écrite adressée à privacy@lizensa.fr.

4. Confidentialité

Toute personne que Lizensa autorise à traiter des données personnelles est liée par une obligation de confidentialité et n’accède qu’aux données nécessaires à son rôle.

5. Sécurité du traitement

Lizensa met en œuvre les mesures techniques et organisationnelles exigées par l’art. 32 du RGPD, décrites à la section 9 de la politique de confidentialité : TLS 1.3 en transit, chiffrement AES-256 au repos, contrôle d’accès avec authentification à deux facteurs pour le personnel, journalisation des actions privilégiées et sauvegardes régulières. L’hébergement et le traitement par CDN ont lieu dans l’Union européenne.

6. Sous-traitants successifs

Le Responsable donne à Lizensa une autorisation générale et écrite de recourir à des sous-traitants successifs ; Lizensa tient à jour la liste des catégories de destinataires à la section 3 de la politique de confidentialité.

• Lizensa notifie l’ajout ou le remplacement d’un sous-traitant au moins 30 jours à l’avance.
• Le Responsable peut s’opposer par écrit dans ce délai ; si l’opposition n’est pas levée, il peut résilier le compte concerné sans pénalités.
• Lizensa impose contractuellement à chaque sous-traitant des obligations de protection des données au moins aussi_protectrices que celles du présent Accord.

7. Transferts internationaux

Lizensa ne transfère de données personnelles hors de l’EEE que sur le fondement des garanties énumérées à la section 4 de la politique de confidentialité : décision d’adéquation, EU-US Data Privacy Framework, clauses contractuelles types de la Commission européenne ou mesures techniques complémentaires. Lorsqu’un transfert repose sur les clauses contractuelles types, celles-ci sont conclues avec le sous-traitant concerné.

8. Assistance au Responsable

Compte tenu de la nature des traitements, Lizensa assiste le Responsable, dans la mesure du possible, par des mesures techniques et organisationnelles appropriées pour répondre aux demandes des personnes concernées (art. 12 à 22), réaliser une analyse d’impact relative à la protection des données (art. 35), consulter l’autorité de contrôle (art. 36) et notifier et documenter une violation de données (art. 33).

Les demandes reçues par Lizensa au nom du Responsable lui sont transmises sans undue delay.

9. Audit et inspection

Lizensa met à la disposition du Responsable toutes les informations raisonnablement nécessaires pour démontrer la conformité à l’art. 28 du RGPD et autorise des audits, y compris des inspections, par le Responsable ou par un auditeur qu’il mandate, sous réserve :

• d’un préavis écrit d’au moins 14 jours ;
• d’au plus un audit par an sur le même objet ;
• de contraintes raisonnables de confidentialité et d’exploitation ;
• les frais sont à la charge du Responsable, sauf si l’audit révèle un manquement grave de Lizensa.

10. Restitution et effacement

À la fin du compte, Lizensa restitue ou efface les données personnelles traitées pour le compte du Responsable dans un délai de 30 jours, sauf si le droit de l’UE ou d’un État membre impose leur conservation. Lizensa efface ou anonymise à la demande les données d’une personne concernée conformément à l’art. 17 du RGPD, sous réserve des obligations légales de conservation des factures et des pièces comptables.

11. Responsabilité

La responsabilité de Lizensa au titre du présent Accord est limitée aux sommes payées par le Responsable au cours des 12 mois précédant le fait générateur. Cette limitation ne s’applique pas lorsqu’elle est interdite par la loi, ni en cas de faute intentionnelle ou lourde.

12. Contacts

Notifications contractuelles et questions relatives à la protection des données dans le cadre du présent Accord :

• Sous-traitant : Digital Soft Distribution Sp. z o.o., ul. Hoża 86/410, 00-682 Warszawa, PL · privacy@lizensa.fr · support@lizensa.fr
• Autorité de contrôle : la CNIL

Le présent Accord est régi par le règlement (UE) 2016/679 et par le droit polonais, sans préjudice des règles impératives protégeant les personnes concernées dans leur pays de résidence.