1. Objet
Le présent accord (l'« Accord ») fixe les conditions dans lesquelles Clane SAS (« Clane », le « Sous-traitant ») traite des données personnelles pour le compte de l'entreprise cliente (le « Client », le « Responsable de traitement »), dans le cadre du service Clane.
Il est conclu en application de l'article 28 du règlement (UE) 2016/679 (le « RGPD ») et fait partie intégrante des conditions générales de vente (les « CGV »). Il est accepté en même temps qu'elles et s'applique aussi pendant l'offre Essai.
En cas de contradiction entre l'Accord et les CGV sur la protection des données personnelles, l'Accord prévaut. Les termes commençant par une majuscule et non définis ici ont le sens que leur donnent les CGV et les CGU.
2. Répartition des rôles
Le Client est responsable de traitement des données qu'il saisit, ou fait saisir par ses Utilisateurs, sur ses propres clients et sur l'activité de ses salariés dans le Service. Il détermine seul pourquoi ces données sont collectées et ce qui en est fait.
Clane est sous-traitant : il traite ces données uniquement pour fournir le Service, sur les instructions du Client.
Les données des comptes Utilisateurs et de la facturation de l'abonnement ne relèvent pas de l'Accord : Clane en est lui-même responsable, dans les conditions de sa politique de confidentialité.
3. Description du traitement
| Finalité | Permettre au Client de gérer ses clients, leurs installations, ses contrats d'entretien et ses interventions, et d'établir, faire signer et transmettre les documents correspondants |
| Opérations | Hébergement, enregistrement, consultation, modification, synchronisation avec l'application mobile, génération de documents PDF, envoi d'emails aux clients du Client (documents, rappels), sauvegarde, suppression |
| Personnes concernées | Clients du Client (particuliers et contacts d'entreprises) ; signataires des documents ; salariés du Client, pour les documents qu'ils établissent |
| Données traitées | Identité et coordonnées des clients (nom, prénom, email, téléphone) ; adresses des sites d'intervention ; installations (type, marque, modèle, numéro de série, caractéristiques techniques) ; contrats (dates, prix, statut, nom du signataire, signature manuscrite, date de signature) ; fiches d'entretien (relevés, contrôles, remarques) ; rappels (adresse de destination, date, statut d'envoi) ; nom et signature du salarié qui établit le document |
| Données sensibles | Aucune. Le Client s'interdit d'en saisir, notamment dans les champs de remarques libres |
| Durée | La durée de l'utilisation du Service par le Client, puis jusqu'à la suppression des données prévue à l'article 11 |
4. Instructions du Client
Clane traite les données uniquement sur instruction documentée du Client. Les CGV, les CGU, l'Accord et l'utilisation que le Client fait des fonctionnalités du Service constituent ces instructions.
Si Clane considère qu'une instruction constitue une violation du RGPD ou du droit de la protection des données, il en informe immédiatement le Client.
Si le droit de l'Union européenne ou le droit français impose à Clane un traitement non prévu par les instructions, il en informe le Client avant le traitement, sauf si la loi l'interdit.
5. Confidentialité
Clane garantit que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et ont reçu la formation nécessaire. L'accès aux données est limité aux personnes qui en ont besoin pour assurer le fonctionnement, la maintenance et le support du Service.
Clane s'interdit d'utiliser les données pour son propre compte, notamment à des fins commerciales, statistiques ou d'entraînement de modèles.
6. Sécurité
Clane met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :
- chiffrement des échanges (HTTPS) entre les applications et les serveurs ;
- cloisonnement des données par Entreprise : un Utilisateur n'accède qu'aux données de l'Entreprise à laquelle il est rattaché ;
- mots de passe des Utilisateurs stockés sous forme chiffrée irréversible ;
- gestion des droits selon le rôle (Gérant, Technicien) ;
- hébergement dans l'Union européenne, auprès de prestataires professionnels ;
- sauvegardes régulières, conservées 30 jours glissants ;
- suivi des erreurs techniques, sur un serveur administré par Clane et situé en France ;
- mises à jour de sécurité régulières des logiciels utilisés.
Le Client reste responsable de la sécurité de son côté : confidentialité des mots de passe de ses Utilisateurs, protection des appareils utilisés, diffusion de son QR code de rattachement, retrait sans délai des Utilisateurs qui quittent l'Entreprise.
7. Sous-traitants ultérieurs
Le Client autorise Clane à faire appel aux sous-traitants ultérieurs suivants :
| Sous-traitant | Prestation | Localisation |
|---|---|---|
| netcup GmbH | Hébergement de l'application et de la base de données | Allemagne |
| OVH SAS | Stockage des fichiers | France |
| Brevo (Sendinblue SAS) | Envoi des emails aux clients du Client | Union européenne |
| Google (Firebase Cloud Messaging) | Acheminement des notifications push aux Utilisateurs. Seuls des identifiants techniques transitent, sans nom ni coordonnées des clients du Client | États-Unis possibles |
Clane impose à chacun, par contrat, des obligations de protection des données équivalentes à celles de l'Accord, et reste responsable envers le Client de leur respect.
Changement de sous-traitant. Clane informe le Client par email de tout ajout ou remplacement d'un sous-traitant ultérieur, au moins 30 jours à l'avance. Le Client peut s'y opposer pendant ce délai, par email motivé. Si les parties ne trouvent pas de solution, le Client peut résilier son abonnement, sans frais, avant l'entrée en vigueur du changement.
8. Transferts hors de l'Union européenne
Les données des clients du Client sont hébergées dans l'Union européenne. Clane ne les transfère pas hors de l'Union européenne, à l'exception des identifiants techniques transmis à Google pour les notifications push. Ce transfert est encadré par le cadre de protection des données UE–États-Unis (Data Privacy Framework) et par les clauses contractuelles types de la Commission européenne.
Tout nouveau transfert sera soumis à la procédure de l'article 7 et encadré par l'une des garanties prévues au chapitre V du RGPD.
9. Droits des personnes concernées
L'information des clients du Client sur le traitement de leurs données incombe au Client. Clane met à disposition, dans sa politique de confidentialité, une rubrique destinée aux clients de ses clients, qui les renvoie vers le Client.
Le Service permet au Client de consulter, rectifier et supprimer les données de ses clients. Pour les demandes qu'il ne peut pas traiter lui-même dans le Service, notamment l'effacement définitif d'un client supprimé ou l'export de ses données, il en fait la demande à contact@clane.fr ; Clane y donne suite dans un délai de 15 jours.
Lorsqu'un client est supprimé dans le Service, il n'est plus visible, mais ses données sont conservées pour préserver l'historique des documents et la synchronisation des appareils, jusqu'à la suppression de l'Entreprise ou jusqu'à une demande d'effacement définitif du Client.
Si une personne concernée adresse directement à Clane une demande relative à ses droits, Clane la transmet au Client dans un délai de 5 jours ouvrés, sans y répondre lui-même, sauf instruction du Client.
10. Violations de données
Clane notifie au Client toute violation de données personnelles le concernant dans un délai maximum de 48 heures après en avoir pris connaissance, par email adressé au Gérant.
La notification contient, dans la mesure où elles sont connues :
- la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées ;
- le nom et les coordonnées d'un contact chez Clane ;
- les conséquences probables de la violation ;
- les mesures prises ou envisagées pour y remédier et en limiter les effets.
Les informations qui ne sont pas disponibles immédiatement sont transmises au fur et à mesure.
Il appartient au Client, en tant que responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées. Clane l'y assiste sur demande.
11. Sort des données
Pendant la relation. Les données restent accessibles au Client tant que son Entreprise existe sur Clane, y compris après la fin d'un abonnement payant, lorsque l'Entreprise repasse sur l'offre Essai.
Restitution. À tout moment, et notamment avant de supprimer son Entreprise ou pour changer de fournisseur, le Client peut obtenir gratuitement, sur demande à contact@clane.fr, une copie de ses données dans un format structuré et lisible par machine (CSV ou JSON), accompagnée des documents au format PDF. Clane la transmet dans un délai de 30 jours.
Suppression. Lorsque le Gérant supprime l'Entreprise, Clane supprime définitivement ses données dans un délai de 30 jours. Elles disparaissent des sauvegardes au plus tard 30 jours plus tard, à leur expiration. Les données d'une Entreprise dont aucun membre ne s'est connecté pendant 2 ans sont supprimées de la même manière, après un email de prévenance adressé au Gérant.
Clane peut confirmer la suppression par écrit sur demande.
12. Assistance
Clane assiste le Client, dans la mesure de ses moyens et des informations dont il dispose :
- pour répondre aux demandes d'exercice de droits des personnes concernées (article 9) ;
- pour la notification des violations de données (article 10) ;
- pour la réalisation d'une analyse d'impact et la consultation préalable de la CNIL, si elles sont nécessaires.
13. Documentation et audits
Clane tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).
Clane met à la disposition du Client, sur demande, les informations nécessaires pour démontrer le respect de l'Accord, notamment une description des mesures de sécurité et la liste à jour des sous-traitants ultérieurs.
Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, une fois par an au plus, par lui-même ou par un auditeur indépendant tenu à la confidentialité et qui n'est pas un concurrent de Clane. L'audit est demandé par email au moins 30 jours à l'avance, se déroule pendant les heures ouvrées sans perturber le Service ni donner accès aux données des autres clients, et reste à la charge du Client. Un audit demandé par la CNIL n'est pas soumis à ces limites.
14. Obligations du Client
Le Client s'engage à :
- disposer d'une base légale pour chaque traitement réalisé au moyen du Service, notamment pour l'envoi d'emails à ses clients ;
- informer ses clients du traitement de leurs données ;
- ne saisir que des données exactes, pertinentes et nécessaires, et aucune donnée sensible ;
- traiter les demandes d'exercice de droits de ses clients ;
- veiller au respect du RGPD par ses Utilisateurs.
15. Délégué à la protection des données
Clane n'a pas désigné de délégué à la protection des données. Toute question relative à l'Accord est adressée à contact@clane.fr.
16. Responsabilité et durée
Chaque partie est responsable du respect des obligations que le RGPD et l'Accord mettent à sa charge. Entre les parties, la responsabilité de Clane au titre de l'Accord est encadrée par l'article 14 des CGV, sans préjudice des droits que les personnes concernées tiennent de l'article 82 du RGPD.
L'Accord s'applique aussi longtemps que Clane traite des données pour le compte du Client. Les obligations de confidentialité et de suppression survivent à la fin de l'abonnement.