Ductis

Accord de traitement des données

Version du 30 octobre 2026

Accord conclu en application de l’article 28 du règlement (UE) 2016/679 (RGPD) entre le Client, responsable de traitement, et [à compléter : raison sociale de l’éditeur — ORIGO EVERWORKS ou votre nom si entreprise individuelle], sous-traitant. Il fait partie des conditions générales d’utilisation.

1. Objet et durée

Le sous-traitant traite des données personnelles pour le compte du Client, dans le seul but de fournir le Service Ductis (gestion commerciale, facturation, stock, collaboration), pendant toute la durée d’accès du Client et jusqu’à la suppression de ses données.

2. Données et personnes concernées

  • Personnes : clients, prospects, fournisseurs et contacts du Client ; Utilisateurs du Client.
  • Données : identité et coordonnées professionnelles, informations commerciales (devis, commandes, factures, paiements), messages échangés dans le Service.
  • Le Client s’engage à ne pas enregistrer de données sensibles (santé, opinions, etc.) dans le Service.

3. Engagements du sous-traitant

  • traiter les données uniquement sur instruction documentée du Client, ces conditions valant instruction ;
  • garantir la confidentialité des données par les personnes autorisées à les traiter ;
  • mettre en œuvre les mesures de sécurité décrites à l’article 5 ;
  • aider le Client à répondre aux demandes d’exercice des droits et à ses obligations de sécurité et d’analyse d’impact ;
  • notifier au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance ;
  • mettre à disposition les informations nécessaires pour démontrer le respect du présent accord.

4. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants suivants : IONOS SARL (hébergement, centre de données : [à compléter : pays du centre de données du serveur, visible dans l’espace IONOS]) et, lorsque l’envoi d’e-mails sera activé, Brevo (France). Tout ajout ou remplacement est annoncé au Client au moins 30 jours à l’avance ; le Client peut s’y opposer et, à défaut d’accord, cesser d’utiliser le Service. Aucun transfert hors de l’Union européenne n’est réalisé.

5. Mesures de sécurité

  • chiffrement des échanges (HTTPS/TLS) ;
  • mots de passe hachés (scrypt), sessions révocables, double authentification disponible ;
  • cloisonnement strict des données par entreprise, vérifié par des tests automatisés ;
  • gestion des rôles et journal d’audit des actions ;
  • sauvegarde quotidienne conservée 14 jours, avec empreinte d’intégrité ;
  • serveur protégé par pare-feu, accès d’administration par clé uniquement, mises à jour de sécurité automatiques.

Limite connue pendant la phase pilote : les sauvegardes sont stockées sur le même serveur que le Service. Une copie hors site est prévue avant la fin de la phase pilote.

6. Fin du traitement

À la fermeture de l’espace, le Client dispose de 30 jours pour exporter ses données. Elles sont ensuite supprimées du Service, puis des sauvegardes au plus tard 14 jours plus tard. Une attestation de suppression peut être fournie sur demande.

7. Obligations du Client

Le Client garantit disposer d’une base légale pour les traitements qu’il confie, informe les personnes concernées et reste leur interlocuteur pour l’exercice de leurs droits.