Un accord à finaliser
Cette annexe prépare l’accord de sous-traitance prévu par l’article 28 du RGPD entre l’association, responsable du traitement, et NEXATECH INFORMATIQUE, sous-traitant. Elle doit être complétée, validée et intégrée au contrat avant d’être considérée comme un accord définitif.
Traitements confiés
Objet : fournir l’application de gestion associative. Opérations : collecte, stockage, consultation, mise à jour, exports et envois autorisés. Personnes concernées : responsables, membres et participants. Données concernées : identités, coordonnées, adhésions, inscriptions, présences et informations financières enregistrées dans le service.
La durée du traitement et les instructions documentées de l’association doivent être arrêtées dans le contrat. Les données non nécessaires, notamment sensibles, ne doivent pas être ajoutées dans les champs libres sans examen préalable.
Obligations à contractualiser
L’accord définitif doit notamment prévoir :
- Le traitement sur instructions documentées, y compris pour les transferts internationaux.
- La confidentialité des personnes habilitées et les mesures de sécurité adaptées aux risques.
- L’autorisation des sous-traitants ultérieurs et l’information en cas de changement.
- L’assistance pour les droits des personnes, les incidents et les analyses d’impact si nécessaires.
- La notification des violations à l’association sans délai indu après en avoir pris connaissance.
- La restitution ou la suppression des données en fin de contrat, sauf conservation légalement obligatoire.
- La mise à disposition des informations de conformité et les modalités d’audit.
Prestataires et lieux de traitement
Lovable Cloud est utilisé pour le fonctionnement du service ; Gmail est utilisé pour les envois connectés concernés. Les entités juridiques, leurs missions, leurs lieux de traitement, les éventuels prestataires de paiement et les garanties de transfert doivent être listés et vérifiés. Ce résumé n’est pas encore un registre exhaustif de sous-traitants.
Sécurité et incidents
Les espaces associatifs disposent de restrictions d’accès par association et par rôle. La documentation des mesures techniques et organisationnelles, des sauvegardes, des délais et du canal de notification des incidents reste à compléter. Aucun délai contractuel ni certification non vérifiés ne sont annoncés.
Contacts et validation
Les interlocuteurs de l’association et de NEXATECH INFORMATIQUE, les coordonnées de notification et la procédure de validation de cette annexe doivent être renseignés avant sa mise en application.