Accord de sous-traitance (DPA)

1. Objet et durée

L'objet est le traitement de données personnelles dans le cadre de la fourniture de LogCon en tant que logiciel en tant que service (SaaS). La durée correspond à celle du contrat principal.

2. Nature et finalité du traitement

Gestion des transports, traitement des ordres assisté par IA, exploitation, communication avec les clients, transporteurs et chauffeurs, création de documents, préparation douanière et facturation.

3. Catégories de données et personnes concernées

• Employés du responsable du traitement : nom, e-mail, téléphone, rôle, langue, données de connexion
• Chauffeurs (propres et des sous-traitants) : nom, téléphone, langue, qualifications, données de position pendant les tournées
• Contacts chez les clients et transporteurs : nom, coordonnées, contenu des communications
• Données d'ordres, de documents, de douane et de factures à caractère personnel

4. Obligations du sous-traitant

• Traitement uniquement sur instructions documentées du responsable du traitement
• Obligation de confidentialité pour toutes les personnes autorisées
• Mise en œuvre des mesures techniques et organisationnelles (annexe 1)
• Assistance pour les droits des personnes concernées, les analyses d'impact relatives à la protection des données et les obligations de notification
• Information du responsable du traitement si une instruction, de l'avis du sous-traitant, enfreint le droit de la protection des données

5. Sous-traitants ultérieurs

Le responsable du traitement approuve les sous-traitants ultérieurs énumérés à l'annexe 2. Le sous-traitant informe le responsable du traitement des modifications envisagées au moins 30 jours à l'avance ; le responsable du traitement peut s'y opposer pour un motif légitime au regard du droit de la protection des données.

6. Mesures techniques et organisationnelles (annexe 1)

• Contrôle d'accès physique : centre de données situé dans l'UE avec certification ISO 27001, aucun accès physique par le personnel du sous-traitant
• Contrôle d'accès au système : mots de passe hachés avec bcrypt, authentification à deux facteurs, blocage après échecs répétés, JWT à durée limitée, clés API stockées uniquement sous forme de hash
• Contrôle d'accès aux données : permissions basées sur les rôles, principe du moindre privilège, administration au niveau de la plateforme uniquement avec des permissions vérifiées en base de données
• Contrôle de séparation : ID de tenant sur chaque table, chemins de stockage distincts par tenant
• Chiffrement : TLS en transit, AES-256-GCM pour les identifiants d'intégration, chiffrement du disque chez l'hébergeur
• Contrôle de saisie : journal d'audit avec état avant/après pour les modifications et les actions de l'IA
• Contrôle de transmission : webhooks signés HMAC, e-mails sortants uniquement via des serveurs configurés
• Disponibilité : sauvegardes chiffrées quotidiennes de la base de données et des documents, conservation de 7 sauvegardes journalières, 4 hebdomadaires et 12 mensuelles, copie chiffrée hors site chez un second prestataire, procédure de restauration documentée, surveillance
• Gestion de la protection des données : registre des activités de traitement, plan de suppression, processus de gestion des incidents

7. Notification des violations de données

Le sous-traitant signale les violations de données personnelles sans délai injustifié, au plus tard dans les 24 heures suivant sa prise de connaissance, avec les informations prévues à l'art. 33, par. 3, du RGPD.

8. Droits d'audit

Le responsable du traitement peut vérifier le respect du présent accord en examinant des preuves et rapports et, après notification préalable, par des audits sur site.

9. Suppression et restitution

À la fin du contrat, le sous-traitant met à disposition un export complet des données pendant 30 jours, puis supprime toutes les données du responsable de traitement, y compris les copies, et confirme la suppression. Les obligations légales de conservation restent inchangées ; les copies de sauvegarde chiffrées sont écrasées selon le cycle de rotation habituel, au plus tard après 12 mois.

10. Transferts vers des pays tiers

Les transferts vers des pays tiers n'ont lieu que dans les conditions des art. 44 et suivants du RGPD, notamment sur la base d'une décision d'adéquation ou de clauses contractuelles types.

11. Transparence de l'IA (annexe 4)

Les agents IA formulent des propositions ou – selon le niveau d'autonomie défini par le responsable du traitement – exécutent des actions. Chaque action de l'IA est journalisée avec le modèle, l'heure, le niveau de confiance et l'état avant/après ; les actions automatiques sont réversibles. Les données du client ne sont pas utilisées pour entraîner des modèles d'IA.

12. Dispositions finales

En cas de contradiction, le présent accord prévaut sur le contrat principal en matière de protection des données. Le droit autrichien s'applique ; le for compétent est Wien.

Annexe 2 : sous-traitants ultérieurs

Voir le tableau suivant.