Accord de sous-traitance

Qui fait quoi

Le client est responsable de traitement des données personnelles qu’il dépose dans son espace : ses propres clients, ses salariés, ses contacts. C’est lui qui décide de leur finalité.

L’éditeur — Martin Bellot — EI, Rennes (France), SIREN 915 232 516 — est sous-traitant : il traite ces données sur instruction du client, pour lui fournir le service, et pour rien d’autre.

Les données du compte du client lui-même (son nom, son e-mail, sa facturation) relèvent en revanche de la politique de confidentialité, où l’éditeur est responsable de traitement.

Objet, durée, nature

• Objet : héberger et faire fonctionner l’espace du client.
• Durée : celle de l’abonnement, prolongée de 30 jours après résiliation.
• Nature : hébergement, stockage, sauvegarde, acheminement d’e-mails, et les traitements que le client déclenche lui-même.
• Personnes concernées : celles que le client enregistre — clients, prospects, salariés, fournisseurs.
• Catégories de données : celles que le client choisit d’enregistrer. Le service n’impose aucun champ sensible.

Engagements de l’éditeur

• ne traiter les données que sur instruction documentée du client ;
• garantir la confidentialité des personnes autorisées à y accéder ;
• mettre en œuvre les mesures de sécurité décrites ci-dessous ;
• n’engager de sous-traitant ultérieur que parmi ceux listés plus bas, et informer le client de tout changement avant qu’il ne prenne effet, afin qu’il puisse s’y opposer ;
• aider le client à répondre aux demandes d’exercice de droits, ainsi qu’à ses obligations de sécurité, de notification de violation et d’analyse d’impact ;
• notifier au client toute violation de données dans les meilleurs délais après en avoir pris connaissance ;
• mettre les informations nécessaires à la démonstration du respect de l’article 28 à la disposition du client.

Mesures de sécurité

• Isolation : chaque client dispose d’un espace applicatif et d’une base de données séparés. Les données ne sont pas mêlées.
• Chiffrement de bout en bout pour la messagerie, les fichiers, le coffre-fort et les documents : les contenus sont chiffrés sur l’appareil de l’utilisateur, et les serveurs n’en détiennent pas la clé.
• Chiffrement en transit : HTTPS sur l’ensemble des accès.
• Contrôle d’accès : rôles et permissions par module, cloisonnement par société pour les groupes.
• Sauvegardes régulières, vérifiées, et restauration testée.
• Journalisation des accès d’administration.

Le chiffrement de bout en bout a une conséquence que le client doit connaître : l’éditeur ne peut pas restaurer un contenu dont le mot de passe est perdu, et ne peut donc pas non plus le produire sur réquisition.

Sous-traitants ultérieurs

Liste exhaustive au 18 septembre 2026. Toute addition est notifiée au client avant qu’elle ne prenne effet.

Sort des données à la fin

À la résiliation, le client peut exporter ses données depuis son espace. Elles sont ensuite conservées 30 jours — délai destiné à permettre une reprise ou une récupération tardive — puis supprimées définitivement, avec leurs sauvegardes. Un avis est adressé avant la suppression.

Le client peut demander une suppression immédiate à contact@ondes.pro.

Audit

Le client peut demander, une fois par an et moyennant un préavis raisonnable, les éléments permettant de vérifier le respect du présent accord. Un audit sur place reste possible s’il est justifié, à ses frais, et sans compromettre la confidentialité des données des autres clients.