Accord de sous-traitance des données des sites web

1. Objet

Cyclop conçoit, héberge, maintient et supervise le site du Client et les services associés listés sur le devis. Pour cela, Cyclop traite des données personnelles pour le compte du Client, comme le décrit l'annexe 1.

2. Durée

L'accord court tant que Cyclop fournit un service au Client, puis jusqu'à la restitution et la suppression des données prévues à l'article 11.

3. Instructions du Client

Cyclop ne traite les données que sur instruction documentée du Client. Le devis, les conditions, cet accord et les demandes faites depuis la page de projet, par email ou par une demande de changement valent instructions.

Si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données, Cyclop en informe le Client sans délai et peut en suspendre l'exécution jusqu'à confirmation ou modification.

Si le droit de l'Union ou d'un État membre oblige Cyclop à un traitement non demandé, Cyclop en informe le Client avant de le faire, sauf si ce droit l'interdit.

4. Confidentialité

Les personnes autorisées à traiter les données chez Cyclop sont tenues à la confidentialité, par contrat ou par la loi. Aujourd'hui, seul le dirigeant y a accès ; tout nouvel intervenant signe un engagement de confidentialité avant d'y accéder.

5. Sécurité

Cyclop applique les mesures de l'annexe 2, les adapte à l'état de l'art et aux risques, et ne les réduit pas pendant le contrat sans en informer le Client.

6. Sous-traitants ultérieurs

Le Client donne une autorisation générale aux sous-traitants ultérieurs listés en annexe 3.

Cyclop informe le Client par email au moins 30 jours avant tout ajout ou remplacement. Dans ce délai, le Client peut s'y opposer pour un motif raisonnable lié à la protection des données ; faute d'accord, chaque partie peut mettre fin au service concerné sans pénalité.

Cyclop impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles de cet accord et reste responsable envers le Client de leur exécution.

7. Transferts hors de l'Espace économique européen

Les données du site (base, fichiers, boîtes mail, sauvegardes) restent dans l'Union européenne.

Un transfert hors de l'EEE n'a lieu que vers les sous-traitants ultérieurs de l'annexe 3 qui y sont signalés, et seulement sur la base d'une décision d'adéquation (dont le cadre de protection des données UE-États-Unis, décision d'exécution (UE) 2023/1795, pour un destinataire certifié) ou des clauses contractuelles types de la Commission européenne (décision (UE) 2021/914).

8. Aide au Client pour les droits des personnes

Si une personne s'adresse à Cyclop pour exercer un droit sur des données du site du Client, Cyclop transmet la demande au Client sous 5 jours ouvrés et n'y répond pas lui-même, sauf instruction.

Cyclop aide le Client à répondre (extraction, rectification, suppression dans la base, les boîtes mail et les sauvegardes), dans le délai d'un mois de l'article 12(3) du RGPD. Une aide qui dépasse 2 heures par an peut être facturée au tarif du devis, après accord du Client.

9. Violation de données

Cyclop notifie au Client toute violation de données personnelles du site dans les meilleurs délais et au plus tard 24 heures après en avoir pris connaissance, par email et par téléphone au contact du Client.

La notification contient ce que Cyclop sait à ce moment : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements, conséquences probables, mesures prises ou proposées, contact. Le reste suit dès qu'il est connu.

Cyclop aide le Client à notifier l'autorité de contrôle dans les 72 heures (article 33 du RGPD) et, si nécessaire, les personnes concernées (article 34).

10. Analyse d'impact et consultation

Cyclop fournit au Client les informations dont il dispose pour une analyse d'impact (article 35 du RGPD) ou une consultation préalable (article 36).

11. Fin du contrat

À la fin du service, au choix du Client exprimé dans les 30 jours, Cyclop restitue une copie complète (dump de la base au format SQL, fichiers, boîtes mail au format Maildir ou mbox) puis supprime les données, ou il les supprime directement. Sans réponse, les données sont supprimées à l'issue de ces 30 jours.

Les sauvegardes sont supprimées à la fin de leur cycle de rotation. Cyclop confirme la suppression par écrit sur demande.

Cyclop ne garde que ce que la loi l'oblige à garder (ses propres factures, par exemple), ce qui ne contient pas les données des visiteurs du site.

12. Audit

Cyclop met à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et accepte un audit, par le Client ou un auditeur tenu au secret, une fois par an, sur préavis de 30 jours, aux frais du Client. Un audit après une violation n'est pas limité en nombre.

13. Responsabilité et droit applicable

Chaque partie répond de ses manquements selon l'article 82 du RGPD. Le plafond de responsabilité des conditions générales de vente des sites web s'applique, sauf faute intentionnelle ou faute lourde. Le droit applicable et la juridiction sont ceux des conditions générales de vente des sites web.

Annexe 1. Description du traitement

Annexe 2. Mesures de sécurité

Isolement : un serveur virtuel par client, rien de partagé entre clients.

Système : mises à jour de sécurité appliquées ; services en conteneurs ; serveur web frontal avec certificats TLS pour toutes les connexions.

Accès administrateur : par clé SSH uniquement ; l'équipe Cyclop joint les serveurs par un réseau privé ; les mots de passe des comptes du Client sont gardés dans un coffre de mots de passe dédié au Client, jamais dans un dépôt de code.

Base de données : non exposée sur Internet, joignable seulement depuis le conteneur du site.

Sauvegardes : chaque nuit, le serveur de sauvegarde de Cyclop tire une copie complète (configuration, fichiers, boîtes mail, dump de la base) par SSH avec une commande forcée qui ne peut rien faire d'autre ; une alerte part si la dernière copie a plus de 36 heures.

Supervision : sonde de disponibilité, contrôle horaire du site, du disque et des enregistrements SPF, DKIM et DMARC du domaine.

Modifications : chaque changement passe par le dépôt Git du site, est relu, puis déployé. Une demande de changement n'est confiée à un assistant d'IA qu'après validation par Cyclop, et l'assistant n'a accès ni aux secrets, ni aux fichiers des conteneurs, ni aux migrations de base.

Personnel : accès limité au dirigeant ; engagement de confidentialité pour tout nouvel intervenant.

Incidents : une procédure écrite, et une notification au Client sous 24 heures.

Annexe 3. Sous-traitants ultérieurs autorisés