Accord de sous-traitance

1. Parties et rôles

Le client (l'entreprise qui a un compte Modudek) est responsable du traitement. Creative Communication, Koerselsesteenweg 192, 3582 Koersel, numéro d'entreprise BE 0683.857.720, est sous-traitant. Cet accord s'applique tant que le client utilise Modudek, puis jusqu'à ce que toutes les données soient effacées ou restituées.

Si le client donne l'accès à un partenaire (agence ou comptable), ce partenaire agit sur instruction et pour le compte du client. Le client décide de cet accès et peut toujours le retirer dans les Paramètres. Modudek ne donne au partenaire que l'accès autorisé par le client (complet, ou factures et frais uniquement) et conserve ce que le partenaire modifie dans le journal du client.

2. Objet et finalité

Nous traitons les données personnelles uniquement pour fournir Modudek tel que le client l'utilise : afficher son site et sa boutique, gérer contacts et rendez-vous, envoyer et recevoir des e-mails et newsletters, faire fonctionner le chat et les fonctions d'IA, établir devis, factures et bons de travail (avec acceptation et signature des devis en ligne), établir des bons de livraison, de préparation et de retour et les faire signer à la réception, vendre et déduire des bons cadeaux et des cartes de séances/abonnements, proposer un portail client où le client du client consulte ses documents et afficher des statistiques. Nous n'utilisons jamais les données à nos propres fins et ne les vendons jamais.

3. Types de données et personnes concernées

Types de données : données d'identité et de contact (nom, e-mail, téléphone, adresse), communications (messages, conversations de chat, e-mails), rendez-vous, commandes et factures, notes, préférences de newsletter et données techniques (comme une adresse IP rendue non identifiable pour la sécurité). Pour la location, aussi les réservations (période, nombre de personnes, paiements) et, si le client active le registre des clients, le nom, la date de naissance, la nationalité et l'adresse du client principal ; ces fiches sont effacées automatiquement après la durée de conservation choisie par le client. Pour les devis, aussi le moment où le devis a été ouvert, les options choisies, le nom et la signature avec lesquels le client du client accepte, l'heure et une adresse IP rendue non identifiable (hachée) comme preuve, les questions et motifs de refus, et les paiements d'acompte. Pour les bons cadeaux, le nom et l’e-mail de l’acheteur et éventuellement du destinataire, un message personnel, le montant, le solde et les déductions. Pour les cartes de séances et abonnements, le nom et l’e-mail du titulaire, le nombre de séances, la validité, les séances décomptées (avec le rendez-vous) et le statut de paiement de l’abonnement. Pour le portail client, l'adresse e-mail avec laquelle le client du client se connecte, les moments des liens de connexion et des sessions (conservés uniquement sous forme de code chiffré ; liens effacés après un jour, sessions après 30 jours), ainsi que les questions et coordonnées modifiées qu'il y saisit lui-même. Pour les livraisons, aussi l'adresse de livraison, le nom et la signature de la personne qui réceptionne la livraison, l'heure, une adresse IP rendue non identifiable (hachée) et l'appareil comme preuve de réception (ou la raison d'une livraison sans signature), et les photos de la livraison. Elles font partie des pièces comptables et sont conservées aussi longtemps.

Personnes concernées : clients, prospects, visiteurs du site, abonnés à la newsletter et collaborateurs du client. Pour la location, aussi les hôtes du client. Pour la gestion des stocks, aussi les fournisseurs et leurs personnes de contact (coordonnées professionnelles et bons de commande). Pour les livraisons, aussi la personne qui réceptionne une livraison.

Le client ne conserve pas dans Modudek de catégories particulières de données (comme la santé ou les données pénales), sauf si c'est légalement permis et nécessaire à son activité, et alors sous sa propre responsabilité.

4. Instructions du client

Nous ne traitons les données que selon les instructions du client. Ces instructions sont les paramètres et actions dans Modudek et le présent accord. Si nous estimons qu'une instruction est contraire à la loi, nous le signalons immédiatement. Si une loi ou une autorité nous demande de transmettre des données, nous prévenons le client au préalable, sauf si c'est interdit.

5. Confidentialité

Toute personne qui a accès aux données chez nous est tenue au secret et n'y a accès que dans la mesure nécessaire à sa tâche.

6. Sécurité

Nous prenons des mesures techniques et organisationnelles appropriées, notamment :

• des connexions chiffrées (https/TLS) et un stockage chiffré chez notre fournisseur de base de données ;
• une séparation stricte par client dans la base de données (chaque client ne voit que ses propres données) ;
• la vérification en deux étapes obligatoire pour tous les utilisateurs et des mots de passe jamais stockés en clair ;
• un pare-feu et des limites contre les abus et les attaques ;
• des sauvegardes chez notre fournisseur de base de données et un bouton de sauvegarde pour le client ;
• un accès de notre équipe uniquement lorsque c'est nécessaire.

7. Sous-traitants ultérieurs

Le client donne une autorisation générale de faire appel à ces sous-traitants ultérieurs :

• Supabase (base de données, connexion, fichiers) – Francfort, UE ;
• Vercel (hébergement et pare-feu) – réseau mondial, société américaine ;
• Resend (envoi et réception d'e-mails) – société américaine, envoi depuis l'UE ;
• Stripe (paiements) – Irlande et États-Unis ;
• Anthropic (fonctions d'IA ; n'utilise pas les données pour entraîner ses modèles) – États-Unis ;
• Hostinger (noms de domaine et DNS) – UE.
• Hostinger Mail (boîtes mail que le client prend via Modudek).
• CM.com (envoi de SMS et de messages WhatsApp, si le client utilise les rappels) – Pays-Bas, UE ; messages WhatsApp via Meta Platforms Ireland (WhatsApp Business), avec transferts selon le cadre de protection des données UE-États-Unis.
• OpenStreetMap Foundation (recherche des coordonnées de l'adresse professionnelle sur le site du client ; aucune donnée des clients finaux) – Royaume-Uni, décision d'adéquation de la Commission européenne.

Nous imposons aux sous-traitants ultérieurs les mêmes obligations que dans cet accord. Nous annonçons tout nouveau sous-traitant ultérieur au moins 30 jours à l'avance. Le client peut s'y opposer pour un motif valable ; si nous ne trouvons pas de solution, il peut résilier l'abonnement sans frais.

8. Transferts hors de l'UE

Les données ne quittent l'Espace économique européen que s'il existe une garantie valable, comme une décision d'adéquation (p. ex. le cadre de protection des données UE-États-Unis) ou les clauses contractuelles types de la Commission européenne.

9. Droits des personnes concernées

Si quelqu'un demande au client l'accès, la rectification, l'effacement ou une copie de ses données, Modudek l'y aide : le client peut rechercher, modifier, exporter et supprimer des contacts dans l'application. Si une telle demande nous parvient, nous la transmettons au client.

Le client peut répondre lui-même à une demande d'accès ou de portabilité : sur la fiche du contact, un administrateur télécharge avec le bouton « Exporter les données (RGPD) » un fichier (JSON) contenant les données conservées dans l'espace de travail sur ce contact. Pour effacer des données, le client supprime le contact ; les factures émises restent conservées, comme l'exige la législation comptable. Les bons de livraison et de retour restent aussi conservés, avec le nom et l'adresse tels qu'ils figurent sur le bon.

10. Fuites de données

Si nous découvrons une violation de la sécurité touchant les données du client, nous la signalons sans retard injustifié et au plus tard dans les 48 heures après l'avoir constatée. Nous fournissons les informations dont le client a besoin pour respecter sa propre obligation de notification (ce qui s'est passé, quelles données, les conséquences et les mesures prises) et collaborons à la solution.

11. Assistance et contrôle

Nous aidons le client, dans une mesure raisonnable, pour une analyse d'impact relative à la protection des données ou une consultation de l'Autorité de protection des données.

Sur demande, nous fournissons au client les informations nécessaires pour démontrer que nous respectons cet accord. Un audit peut avoir lieu une fois par an, moyennant un préavis raisonnable d'au moins 30 jours, aux frais du client et sans accès aux données d'autres clients.

12. Fin de l'accord

Après la fin de l'abonnement, le client peut encore exporter ses données pendant 3 mois. Nous les effaçons ensuite, y compris des sauvegardes dans leur délai de conservation habituel, sauf ce que nous devons conserver légalement.

13. Responsabilité et ordre de priorité

Les règles de nos conditions générales s'appliquent à la responsabilité. En cas de contradiction concernant la protection des données personnelles, le présent accord de sous-traitance prévaut sur les conditions générales. Cet accord est régi par le droit belge.