Accord de sous-traitance des données

1. Parties

Responsable du traitement (« le Client ») : l’entreprise qui souscrit Friolink, identifiée dans la section des signatures ou dans le contrat commercial.

Sous-traitant (« AREAINFO ») : AREAINFO SAS, RUT 218998030010, dont le siège est situé Av. Italia 4663, apto. 103, Montevideo, Uruguay, représentée par Rafael Mauricio Favaro Eula. Contact : [email protected].

Le présent accord fait partie des Conditions générales du service et du contrat commercial, s’il existe. En cas de contradiction en matière de données personnelles, le présent accord prévaut.

2. Objet

AREAINFO traite des données personnelles pour le compte du Client uniquement pour lui fournir le service Friolink de surveillance de la chaîne du froid : enregistrer les relevés, envoyer les alertes d’alarme, tenir les registres de traitement, de signatures et d’audit, générer des rapports et assurer l’assistance. Le détail figure à l’Annexe I.

Le présent accord est régi par la loi uruguayenne n° 18.331 sur la protection des données personnelles (en particulier ses articles 10, 11 et 30) et ses textes d’application. Lorsque le Client est établi en Argentine ou au Brésil, les dispositions de la clause 13 s’appliquent également.

3. Instructions du Client

AREAINFO traite les données uniquement selon les instructions documentées du Client. Constituent des instructions le présent accord, le contrat et la configuration que le Client effectue sur la plateforme (utilisateurs, contacts, canaux d’alerte, conservation des relevés, intégrations).

AREAINFO n’utilise pas les données à ses propres fins et ne les communique pas à des tiers, sauf aux sous-traitants ultérieurs de la clause 6 ou lorsqu’une loi l’exige ; dans ce cas, elle prévient le Client au préalable, si la loi le permet.

Si une instruction lui semble contraire à la loi, AREAINFO en informe le Client et peut suspendre son exécution jusqu’à clarification.

Le Client est responsable de disposer d’une base légale pour les données qu’il saisit et d’informer les personnes concernées.

4. Confidentialité

AREAINFO garantit que les personnes autorisées à traiter les données sont tenues au secret (loi n° 18.331, art. 11), qu’elles n’accèdent qu’à ce qui est nécessaire à leur mission et que cette obligation se poursuit après la fin de leur relation avec AREAINFO.

5. Sécurité

AREAINFO applique des mesures techniques et organisationnelles adaptées au risque pour protéger les données contre la perte, l’accès non autorisé, l’altération ou la divulgation (loi n° 18.331, art. 10). Les principales figurent à l’Annexe II.

AREAINFO peut mettre à jour ces mesures à condition de ne pas réduire le niveau de protection.

6. Sous-traitants ultérieurs

Le Client autorise AREAINFO à faire appel aux sous-traitants ultérieurs de l’Annexe III pour fournir le service.

AREAINFO prévient le Client par e-mail 30 jours à l’avance avant d’ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données ; si aucune solution n’est trouvée, il peut résilier le service concerné sans pénalité.

AREAINFO choisit des sous-traitants ultérieurs qui offrent des garanties suffisantes, leur impose par contrat des obligations de protection équivalentes à celles du présent accord et répond envers le Client de leur respect.

7. Transferts internationaux

Les données sont stockées sur des serveurs d’AREAINFO en Uruguay. Certains sous-traitants ultérieurs traitent des données dans d’autres pays (Annexe III). Ces transferts sont effectués uniquement dans les cas admis par l’article 23 de la loi n° 18.331 et avec les garanties contractuelles offertes par chaque sous-traitant ultérieur. En acceptant le présent accord, le Client donne instruction à AREAINFO d’effectuer les transferts nécessaires à la fourniture du service.

8. Assistance pour les droits des personnes

Si une personne demande à AREAINFO l’accès, la rectification, la mise à jour, l’inclusion ou la suppression de données qu’elle traite pour le compte du Client, AREAINFO transmet la demande au Client dans un délai de 2 jours ouvrables et n’y répond pas d’elle-même, sauf si le Client le lui demande.

AREAINFO aide le Client à répondre, grâce aux fonctions de la plateforme (profil modifiable, suppression de comptes, exportations) ou en fournissant les informations nécessaires.

9. Incidents de sécurité

Si AREAINFO a connaissance d’un incident de sécurité affectant des données personnelles du Client, elle le lui notifie sans délai et au plus tard dans les 48 heures suivant sa prise de connaissance, afin que le Client puisse remplir ses propres obligations de notification auprès de l’URCDP et des personnes concernées (loi n° 19.670, art. 38, et ses textes d’application).

La notification comprend, dans la mesure où ces éléments sont connus : ce qui s’est passé, quelles données et combien de personnes peuvent être concernées, les conséquences probables, les mesures prises ou proposées et un contact. AREAINFO complète les informations au fur et à mesure de l’enquête et documente l’incident.

10. Restitution et suppression à la fin du service

À la fin du service, AREAINFO remet au Client, s’il le demande, une exportation complète de ses données dans des formats ouverts (CSV et PDF) dans un délai de 15 jours ouvrables.

Elle conserve ensuite les données 90 jours pour permettre une récupération, puis les supprime ou les anonymise, y compris dans les sauvegardes lors de leur renouvellement, sauf ce qu’une loi oblige à conserver. À la demande du Client, AREAINFO lui confirme la suppression par écrit.

11. Information et audit

AREAINFO met à la disposition du Client les informations nécessaires pour démontrer qu’elle respecte le présent accord : la documentation de sécurité, les réponses aux questionnaires de sécurité et le journal des modifications.

Le Client peut réaliser, ou confier à un auditeur tenu à la confidentialité, un audit une fois par an, avec un préavis de 30 jours, pendant les heures ouvrables et sans affecter le service ni les données d’autres clients. Chaque partie prend en charge ses propres frais. Un audit supplémentaire peut être réalisé après un incident grave.

12. Responsabilité et durée

Chaque partie répond de ses propres manquements au présent accord et à la loi, dans les limites des Conditions générales du service, dans la mesure permise par la loi.

Le présent accord s’applique tant qu’AREAINFO traite des données pour le compte du Client et jusqu’à ce que la restitution et la suppression soient terminées.

13. Argentine et Brésil

Argentine : lorsque le Client est établi en Argentine, AREAINFO agit en tant que prestataire de services de traitement pour le compte de tiers au sens de l’article 25 de la loi n° 25.326 : elle utilise les données uniquement aux fins prévues par le présent accord, ne les cède pas à d’autres et les détruit à la fin du service, sauf autorisation expresse du Client de les conserver. Les mesures de sécurité sont celles de l’Annexe II.

Brésil : lorsque la LGPD (loi n° 13.709/2018) s’applique, le Client est contrôleur (controlador) et AREAINFO est opérateur (operadora) (art. 39) ; les transferts internationaux sont effectués avec les garanties de l’art. 33 et les incidents sont notifiés au Client dans le délai de la clause 9 afin qu’il puisse prévenir l’ANPD et les personnes concernées.

14. Loi applicable et juridiction

Le présent accord est régi par les lois de la République orientale de l’Uruguay et tout litige est soumis aux tribunaux de la ville de Montevideo, sauf disposition contraire d’une norme impérative.

Annexe I. Détail du traitement

Annexe II. Mesures de sécurité

• Chiffrement en transit : HTTPS avec TLS 1.2 ou supérieur, HSTS ; les équipements se connectent par MQTT avec TLS, avec un identifiant et un mot de passe propres à chaque équipement et des autorisations limitées à leurs données.
• Réseau : les serveurs n’exposent pas le port web sur Internet ; l’accès passe par le tunnel et le pare-feu applicatif de Cloudflare. L’administration se fait uniquement par réseau interne ou VPN.
• Accès : mots de passe uniquement sous forme de hash ; blocage après 5 tentatives échouées ; vérification en deux étapes ; avis par e-mail des connexions depuis de nouveaux appareils ; sessions visibles et révocables ; session web dans un cookie HttpOnly, Secure et SameSite=Strict.
• Autorisations : rôles par module et périmètre par site ; un client ne voit jamais les données d’un autre ; revue périodique des routes de l’API.
• Intégrité : relevés auxquels l’application ne peut qu’ajouter, scellement quotidien chaîné par hash ; registres de conformité et audit en ajout seul ; signatures électroniques qui redemandent le mot de passe.
• Disponibilité : sauvegardes quotidiennes, réplication en direct sur un second site en Uruguay et surveillance du service chaque minute.
• Secrets : hors du code, avec des autorisations restreintes ; recherche automatique de clés à chaque modification du code.
• Personnel : accès minimal nécessaire et obligation de confidentialité.
• Incidents : procédure de réponse, d’enregistrement et de notification conformément à la clause 9.

Annexe III. Sous-traitants ultérieurs

En outre, les services que le Client connecte lui-même (par exemple, son centre de télésurveillance ou un webhook) reçoivent les données des alertes sur instruction du Client et ne sont pas des sous-traitants ultérieurs d’AREAINFO.