Modèle : contrat de sous-traitance de données (CST)

conformément à l’art. 28 RGPD · En date du : 4 novembre 2026 · Modèle de dcyphr.® GmbH pour l’utilisation de dcyphr.® ID

Parties

Responsable du traitement :
Entreprise / organisation : ______________________________
Adresse : ______________________________
Représentée par : ______________________________
Contact protection des données : ______________________________

Sous-traitant :
dcyphr.® GmbH, Hans-Thoma-Straße 40, 69121 Heidelberg, représentée par le gérant Matthias Alexander Walenda
Contact protection des données : contact@dcyphr.ai

§ 1 Objet et durée

(1) Le sous-traitant met dcyphr.® ID et ses applications à la disposition du responsable du traitement (contrat principal : conditions d’utilisation ou contrat distinct). Ce faisant, il traite des données personnelles pour le compte et sur instruction du responsable du traitement.

(2) Le présent contrat s’applique dès la signature et pendant la durée du contrat principal. Le droit de résiliation pour motif grave demeure réservé.

§ 2 Nature, finalité, données et personnes concernées

La nature et la finalité du traitement, les types de données personnelles et les catégories de personnes concernées figurent à l’annexe 1.

§ 3 Instructions

(1) Le sous-traitant ne traite les données que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts vers un pays tiers, à moins d’y être tenu par le droit de l’Union ou d’un État membre ; dans ce cas, il en informe préalablement le responsable du traitement, sauf si la loi l’interdit (art. 28, par. 3, point a RGPD).

(2) Sont des instructions les paramètres que le responsable du traitement définit dans la plateforme ainsi que les communications en forme textuelle. Le sous-traitant informe le responsable du traitement s’il estime une instruction illicite ; il peut alors la suspendre jusqu’à clarification.

§ 4 Obligations du sous-traitant

1. Confidentialité. Il n’emploie que des personnes tenues à la confidentialité (art. 28, par. 3, point b, art. 29 RGPD).
2. Sécurité. Il prend les mesures techniques et organisationnelles décrites à l’annexe 2 (art. 32 RGPD) et les fait évoluer selon l’état de la technique. Il signale toute dégradation substantielle.
3. Droits des personnes concernées. Il assiste le responsable du traitement par des mesures appropriées pour répondre aux demandes d’exercice des droits (art. 15 à 22 RGPD), p. ex. par les fonctions d’accès, de rectification, de suppression et d’export de la plateforme. Il transmet sans délai au responsable du traitement les demandes des personnes concernées.
4. Assistance. Il assiste, dans une mesure raisonnable, pour la sécurité, les obligations de notification, l’analyse d’impact relative à la protection des données et la consultation de l’autorité de contrôle (art. 32 à 36 RGPD).
5. Violations de données. Il notifie au responsable du traitement toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance et fournit les informations nécessaires à une notification.
6. Registre. Il tient un registre des activités de traitement en tant que sous-traitant (art. 30, par. 2 RGPD).
7. Contact protection des données. Aucun délégué à la protection des données n’est actuellement désigné chez le sous-traitant, les conditions légales n’étant pas réunies ; le contact est le gérant (voir ci-dessus).

§ 5 Obligations du responsable du traitement

Le responsable du traitement est responsable de la licéité du traitement et de la sauvegarde des droits des personnes concernées. Il informe les personnes concernées (p. ex. les participants à ses événements) et veille à avoir le droit de saisir les données. Il informe sans délai le sous-traitant de toute irrégularité constatée dans le traitement. Les catégories particulières de données personnelles (art. 9 RGPD) ne peuvent être saisies que si cela a été convenu au préalable en forme textuelle.

§ 6 Sous-traitants ultérieurs

(1) Le responsable du traitement donne une autorisation générale de recourir à d’autres sous-traitants. Ceux utilisés à la date de signature figurent à l’annexe 3.

(2) Le sous-traitant informe des changements prévus au moins 14 jours à l’avance en forme textuelle. Le responsable du traitement peut s’y opposer pour motif grave dans ce délai ; à défaut d’accord, chaque partie peut résilier le contrat principal pour motif grave à la date du changement.

(3) Le sous-traitant impose contractuellement aux sous-traitants ultérieurs au moins ce niveau de protection et répond d’eux comme de ses propres actes.

§ 7 Pays tiers

Le traitement a lieu en principe en Allemagne ou dans l’UE. Si un sous-traitant ultérieur utilise des services en dehors de l’EEE, le sous-traitant veille au respect des exigences des art. 44 et suivants RGPD (décision d’adéquation, clauses contractuelles types de l’UE assorties de mesures complémentaires).

§ 8 Droits de contrôle

Le sous-traitant met à la disposition du responsable du traitement les informations nécessaires pour démontrer le respect de l’art. 28 RGPD et permet la réalisation d’audits, y compris des inspections, et y contribue (art. 28, par. 3, point h RGPD). Les audits sur place doivent être annoncés à temps (en règle générale 14 jours à l’avance), avoir lieu pendant les heures ouvrables normales, ne pas perturber de manière disproportionnée l’exploitation et respecter la confidentialité à l’égard des autres clients. La preuve peut également être apportée par des autodéclarations ou certificats actuels de l’hébergeur.

§ 9 Restitution et suppression

À la fin du contrat principal, le sous-traitant restitue les données au responsable du traitement sur demande dans un format courant (fonctions d’export), puis les supprime au plus tard après 30 jours, copies existantes incluses, sauf obligation légale de conservation. Les sauvegardes sont écrasées selon le cycle habituel. Sur demande, il confirme la suppression en forme textuelle.

§ 10 Responsabilité et dispositions finales

(1) La responsabilité est régie par l’art. 82 RGPD et, entre les parties, par les dispositions de responsabilité du contrat principal (partie E des CGV), sauf disposition impérative contraire.

(2) Les modifications et compléments requièrent la forme textuelle. En cas de contradiction, le présent contrat prévaut sur le contrat principal pour ce qui concerne les données personnelles.

(3) Le droit allemand s’applique. Le for est, lorsque cela est admis, Heidelberg. Si une disposition est invalide, le reste du contrat demeure valable.

Lieu, date : ______________________    Responsable du traitement : ______________________
Lieu, date : ______________________    Sous-traitant (dcyphr.® GmbH) : ______________________

Annexe 1 — Objet du traitement

Annexe 2 — Mesures techniques et organisationnelles

• Contrôle d’accès physique : exploitation dans les centres de données de l’hébergeur en Allemagne avec ses contrôles d’accès ; pas de salle serveur propre.
• Contrôle d’accès au système : comptes personnels, mots de passe stockés uniquement sous forme de hash, blocage après tentatives échouées, second facteur facultatif par e-mail ou SMS, sessions avec cookies sécurisés (HTTPS uniquement, non lisibles par script).
• Contrôle d’accès aux données : concept de rôles et de droits par organisation et par événement ; accès aux fichiers uniquement après connexion et autorisation, fichiers stockés en dehors de la zone web publique.
• Transmission : transmission chiffrée (TLS) ; protection contre les scripts étrangers (Content Security Policy) et contre les requêtes de formulaire inter-sites (protection CSRF).
• Contrôle de la saisie : journalisation des actions essentielles dans le studio d’événements (qui, quand, quoi).
• Contrôle des instructions : traitement uniquement dans le cadre des fonctions de la plateforme et des présentes instructions ; sous-traitants ultérieurs liés par contrat.
• Disponibilité : sauvegardes automatiques régulières des bases de données et fichiers, restauration par le sous-traitant ; surveillance de l’exploitation sans enregistrement d’adresses IP.
• Séparation : séparation des données par compte ou organisation ; bases de données distinctes pour la plateforme et les événements.
• Organisation : collaborateurs tenus à la confidentialité, formation à la protection des données, canal de signalement des incidents de sécurité via contact@dcyphr.ai.

Annexe 3 — Sous-traitants ultérieurs

État de l’annexe : 4 novembre 2026. Modifications selon le § 6.