Accord de sous-traitance des données

Entre les soussignés

La Commune de [À COMPLÉTER], représentée par [À COMPLÉTER], dûment habilité(e), SIREN [À COMPLÉTER], ci-après « le Responsable de traitement »,

et [À COMPLÉTER · raison sociale de l'opérateur de la plateforme Balisio], [forme juridique À COMPLÉTER], SIREN [À COMPLÉTER], représentée par [À COMPLÉTER], ci-après « le Sous-traitant »,

ensemble « les Parties ».

Article 1 · Objet et durée

1.1 Le présent accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données à caractère personnel nécessaires à la fourniture de la plateforme Balisio (consultations citoyennes et observatoire de signalements), conformément à l'article 28 du RGPD.

1.2 Il prend effet à la date de signature et demeure en vigueur pendant toute la durée du contrat de service principal, soit [À COMPLÉTER].

Article 2 · Nature et finalité du traitement

2.1 Nature des opérations · collecte, enregistrement, conservation, consultation, modération avant publication, classification et synthèse assistées par IA, publication, effacement.

2.2 Finalités · organisation de consultations citoyennes ; recueil et suivi de signalements citoyens ; information des citoyens l'ayant demandé ; sécurisation de la plateforme (limitation de débit, mesure d'audience sans cookies).

2.3 Le Sous-traitant traite les données exclusivement pour ces finalités et sur instruction documentée du Responsable de traitement.

Article 3 · Catégories de données et de personnes concernées

3.1 Personnes concernées · citoyens contribuant aux consultations et signalements ; agents communaux utilisateurs de la plateforme.

3.2 Catégories de données ·

Catégorie	Détail
Contributions citoyennes	texte libre, géolocalisation approximative, pseudonyme optionnel
Coordonnées de contact optionnelles	email et/ou téléphone, uniquement si le citoyen demande à être tenu informé
Données techniques	adresses IP hachées avec sel rotatif quotidien (limitation de débit et mesure d'audience sans cookies)
Comptes agents communaux	nom, email professionnel

3.3 Aucune donnée dite « sensible » au sens de l'article 9 du RGPD n'est collectée à dessein. Les contributions en texte libre pouvant en contenir, elles font l'objet d'une modération avant publication.

Article 4 · Obligations du Sous-traitant

4.1 Instructions documentées. Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement, y compris en matière de transfert hors UE. Il informe immédiatement le Responsable de traitement si une instruction constitue, selon lui, une violation du RGPD ou d'une autre disposition applicable.

4.2 Confidentialité. Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

4.3 Sécurité (article 32 RGPD). Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, notamment : chiffrement TLS 1.2/1.3, authentification par lien magique avec TOTP obligatoire pour les super-administrateurs, cloisonnement strict des données par commune appliqué côté serveur, sauvegardes horaires, journal d'audit horodaté.

4.4 Sous-traitance ultérieure. Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs listés en Annexe 3. Le Sous-traitant informe préalablement le Responsable de traitement de tout ajout ou remplacement envisagé, lui laissant la possibilité d'émettre des objections dans un délai de trente (30) jours. Le Sous-traitant impose à ses sous-traitants ultérieurs, par contrat, les mêmes obligations que celles du présent accord et demeure pleinement responsable de leur exécution.

4.5 Assistance · droits des personnes. Le Sous-traitant aide le Responsable de traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité). Toute demande reçue directement par le Sous-traitant est transmise sans délai au Responsable de traitement.

4.6 Assistance · AIPD et consultation préalable. Le Sous-traitant assiste le Responsable de traitement pour la réalisation d'analyses d'impact (article 35 RGPD) et, le cas échéant, pour la consultation préalable de la CNIL (article 36 RGPD).

4.7 Notification des violations de données. Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et sans délai injustifié après en avoir pris connaissance, afin de permettre au Responsable de traitement de respecter son obligation de notification à la CNIL dans les 72 heures (article 33 RGPD). La notification comprend, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises.

4.8 Sort des données en fin de contrat. Au terme du contrat, le Sous-traitant, selon le choix du Responsable de traitement, supprime toutes les données ou les restitue dans un format structuré et couramment utilisé, puis détruit les copies existantes, sauf obligation légale de conservation. La suppression est confirmée par écrit.

4.9 Audit et documentation. Le Sous-traitant met à disposition toute la documentation nécessaire pour démontrer le respect de ses obligations et permet la réalisation d'audits, y compris des inspections, par le Responsable de traitement ou un auditeur mandaté, moyennant un préavis raisonnable et sous réserve de confidentialité.

4.10 Registre. Le Sous-traitant tient un registre des catégories d'activités de traitement effectuées pour le compte du Responsable de traitement (article 30.2 RGPD).

4.11 Localisation des données. Les données sont hébergées en France (OVH, Gravelines). Aucun transfert hors Union européenne n'est effectué à l'initiative du Sous-traitant sans instruction documentée et sans garanties appropriées au sens du chapitre V du RGPD.

Article 5 · Obligations du Responsable de traitement

• fournir au Sous-traitant les données visées à l'article 3 et documenter par écrit toute instruction relative au traitement ;
• veiller au respect des obligations du RGPD lui incombant, notamment la licéité du traitement et l'information des personnes concernées (articles 13 et 14 RGPD) ;
• superviser le traitement, y compris par la réalisation des audits prévus à l'article 4.9 ;
• répondre aux demandes d'exercice des droits des personnes concernées, avec l'assistance du Sous-traitant.

Article 6 · Points de contact protection des données

• DPO du Responsable de traitement · [À COMPLÉTER · nom et coordonnées, ou « non désigné à ce jour »]
• Point de contact du Sous-traitant · [À COMPLÉTER · aucun DPO désigné à ce jour ; point de contact à préciser]

Article 7 · Durées de conservation

• Contributions citoyennes · conservées pendant la durée de la consultation ou du traitement du signalement, puis archivées conformément aux instructions du Responsable de traitement et aux règles applicables aux archives publiques.
• Coordonnées de contact optionnelles · conservées tant que le citoyen souhaite être tenu informé ; supprimables sur simple demande.
• Adresses IP hachées · le sel de hachage est renouvelé quotidiennement, rendant les hachages antérieurs non réidentifiables.
• Comptes agents communaux · durée d'affectation de l'agent, puis suppression.

Annexe 1 · Description du traitement

Objet	Plateforme Balisio · consultations citoyennes et observatoire de signalements
Nature des opérations	Collecte, enregistrement, conservation, modération, classification et synthèse par IA, publication, effacement
Finalités	Participation citoyenne ; suivi des signalements ; information des citoyens volontaires ; sécurité de la plateforme
Personnes concernées	Citoyens contributeurs ; agents communaux
Localisation	France (OVH, Gravelines)

Annexe 2 · Mesures de sécurité (article 32 RGPD)

• Chiffrement des flux en transit · TLS 1.2/1.3.
• Authentification des agents par lien magique ; TOTP obligatoire pour les super-administrateurs.
• Cloisonnement strict des données par commune, appliqué côté serveur.
• Adresses IP jamais stockées en clair · hachage avec sel rotatif quotidien.
• Modération des contributions avant toute publication.
• Sauvegardes horaires · journal d'audit horodaté des actions d'administration.
• Protection périmétrique · CDN et protection anti-DDoS.

Annexe 3 · Sous-traitants ultérieurs autorisés

Sous-traitant	Localisation	Prestation
OVH	France (Gravelines)	Hébergement de la plateforme et des données
Cloudflare	Frontal réseau	Acheminement et protection du trafic (CDN, anti-DDoS)
Mistral AI	France / UE	Classification et synthèse des contributions
Brevo	France	Envoi d'emails transactionnels

Signatures

Fait à [À COMPLÉTER], le [À COMPLÉTER], en deux exemplaires originaux.