Contrat de sous-traitance des données personnelles

Article 28 du Règlement général sur la protection des données (RGPD) — version en vigueur au 15 octobre 2026.

1. Parties et objet

Le présent contrat est conclu entre :

• le client, entreprise ou organisation titulaire d'un compte Parc3, agissant en qualité de responsable de traitement ;
• EASY SCREEN, micro-entreprise, SIRET 817 727 357 00029, éditeur du service Parc3, agissant en qualité de sous-traitant (ci-après « Parc3 »).

Il définit les conditions dans lesquelles Parc3 traite, pour le compte du client, les données personnelles nécessaires au service d'inventaire informatique. Il fait partie intégrante des conditions générales de vente et des conditions d'utilisation : il est accepté avec elles lors de la création du compte et de chaque commande. En cas de contradiction sur la protection des données, le présent contrat prévaut.

2. Description du traitement

3. Durée

Le présent contrat s'applique pendant toute la durée d'utilisation du service par le client, essai gratuit compris, puis jusqu'à la suppression complète de ses données dans les conditions de l'article 9.

4. Instructions du client

Parc3 ne traite les données que sur instruction documentée du client. Constituent ces instructions : le présent contrat, les conditions d'utilisation, les réglages choisis par le client et par ses utilisateurs (données facultatives partagées ou non), et les actions réalisées par le client dans son espace (archivage, suppression, bannissement d'un poste, gestion des accès, régénération de l'identifiant d'entreprise). Si Parc3 estime qu'une instruction est contraire au RGPD ou à une autre disposition légale, il en informe immédiatement le client.

5. Confidentialité

Parc3 garantit la confidentialité des données traitées. Seules les personnes habilitées par l'éditeur, soumises à une obligation de confidentialité, peuvent y accéder, et uniquement lorsque c'est nécessaire au fonctionnement ou à l'assistance du service. Les données ne sont ni vendues, ni louées, ni utilisées à d'autres fins que le service rendu au client.

6. Sécurité

Parc3 met en œuvre les mesures techniques et organisationnelles décrites en annexe 1 pour garantir un niveau de sécurité adapté au risque (article 32 du RGPD). Il peut les faire évoluer, à condition de ne jamais diminuer le niveau de sécurité global.

7. Sous-traitants ultérieurs

Le client autorise Parc3 à recourir aux sous-traitants ultérieurs listés en annexe 2. Parc3 informe le client de tout ajout ou remplacement envisagé au moins 30 jours à l'avance, par e-mail ou dans l'espace client ; le client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier le service sans frais. Parc3 impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données et reste responsable de leur respect envers le client.

8. Assistance au client

• Droits des personnes : le client dispose dans son espace des moyens de consulter, corriger (à la source, sur le poste), exporter et supprimer les données. Parc3 l'assiste sur demande pour répondre aux demandes d'accès, de rectification, d'effacement, de limitation ou d'opposition. Une demande reçue directement par Parc3 est transmise au client sans délai.
• Violation de données : Parc3 notifie au client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou envisagées. Ces informations permettent au client de notifier, s'il y a lieu, la CNIL dans le délai de 72 heures et d'informer les personnes concernées.
• Analyse d'impact et consultation préalable : Parc3 fournit au client les informations utiles à son analyse d'impact et, le cas échéant, à la consultation de la CNIL.

9. Sort des données en fin de contrat

Avant la clôture de son compte, le client peut exporter son inventaire au format CSV depuis son espace. À la clôture, Parc3 supprime l'ensemble des données du compte de sa base de données. Les sauvegardes techniques de l'hébergeur, qui contiennent ces données sous forme chiffrée pour leurs parties identifiantes, sont effacées au fil de leur rotation, au plus tard 3 mois après la clôture. Parc3 ne conserve aucune copie, sauf obligation légale (par exemple les factures).

10. Documentation et audits

Parc3 tient le registre des activités de traitement prévu par l'article 30.2 du RGPD et met à la disposition du client les informations nécessaires pour démontrer le respect du présent contrat, notamment un dossier de sécurité remis sur demande à son délégué à la protection des données. Le client peut faire réaliser un audit, à ses frais, au plus une fois par an, sur demande écrite adressée au moins 30 jours à l'avance, par un auditeur tenu au secret professionnel et sans accès aux données des autres clients.

11. Obligations du client

Le client s'engage à : informer ses collaborateurs de l'installation du logiciel Parc3 et de la nature des données collectées ; disposer d'une base légale pour ce traitement (en règle générale, l'intérêt légitime de gérer son parc informatique) ; l'inscrire à son propre registre des traitements ; réserver les accès à son espace aux personnes qui en ont besoin, avec le rôle adapté ; protéger son mot de passe et son identifiant d'entreprise, et régénérer celui-ci en cas de fuite.

12. Responsabilité et droit applicable

Chaque partie est responsable des manquements qui lui sont imputables, dans les limites prévues par les conditions générales de vente et par l'article 82 du RGPD. Le présent contrat est soumis au droit français.

Annexe 1 — Mesures de sécurité

Synthèse imprimable : fiche « Sécurité et protection des données » (PDF). Le dossier de sécurité détaillé est remis sur demande au délégué à la protection des données du client (article 10).

• Chiffrement des échanges : HTTPS uniquement (TLS), imposé aux navigateurs (HSTS).
• Chiffrement dans la base de données : les données qui identifient une personne ou un poste sont enregistrées chiffrées (chiffrement authentifié à clé de 256 bits). La clé est conservée séparément de la base, hors des fichiers publiés par le serveur web, avec des copies de secours hors ligne.
• Mots de passe : jamais enregistrés, seule une empreinte irréversible est conservée ; 10 caractères minimum ; blocage temporaire après plusieurs mots de passe incorrects et alerte par e-mail du titulaire.
• Contrôle d'accès : chaque client n'accède qu'à ses propres données ; rôles par accès (administrateur, modification, lecture seule) ; journal des connexions et des actions consultable par le client. Second facteur (code à usage unique envoyé par e-mail) à chaque connexion : toujours pour les comptes d'administration de l'éditeur et pour les revendeurs, en option pour chaque client.
• Sécurité applicative : requêtes préparées, échappement systématique des affichages, protection contre la falsification de requêtes, en-têtes de sécurité des navigateurs, limitation des tentatives.
• Logiciel installé sur les postes : sans droits administrateur ; données transmises dans un seul sens (aucune commande ne peut être exécutée à distance) ; mises à jour signées par l'éditeur et vérifiées avant installation ; données facultatives désactivables par chaque utilisateur.
• Disponibilité : hébergement professionnel en Union européenne, sauvegarde quotidienne de la base conservée 3 mois.

Annexe 2 — Sous-traitants ultérieurs

Le paiement en ligne des licences est assuré par Stripe, qui traite les données de facturation du client (et non les données d'inventaire) selon ses propres conditions ; aucune donnée bancaire n'est conservée par Parc3.

Contact

Pour toute question sur la protection des données ou pour exercer un droit : contact@parc3.fr.