Juridique

Accord de sous-traitance

Ceci est une traduction. Seule la version néerlandaise est juridiquement contraignante.

Version du · fait partie des conditions générales

Lorsque vous utilisez Kwantro, nous traitons des données personnelles de vos employés pour votre compte. Le Règlement général sur la protection des données (RGPD, article 28) impose alors un accord de sous-traitance. Voici cet accord. Il s’applique automatiquement par la commande ou l’utilisation du service ; le propriétaire peut l’accepter expressément dans l’application (Paramètres → Confidentialité et données) et consulter la version acceptée. Pour les clients Enterprise, une version signée sur mesure peut en outre être conclue.

1. Parties et définitions

1.1 Responsable du traitement (ci-après : le client) : l’entreprise ou l’organisation qui souscrit au service Kwantro conformément aux conditions générales.

1.2 Sous-traitant (ci-après : Kwantro) : , KvK , .

1.3 Les notions de données personnelles, traitement, personne concernée, sous-traitant ultérieur et violation de données personnelles ont le sens que leur donne le RGPD. Les notions de service, propriétaire, utilisateur, site et données du client ont ici, même sans majuscule, le même sens que dans les conditions générales.

2. Objet et durée

2.1 Kwantro traite, sur instruction du client, les données personnelles nécessaires à la fourniture du service, telles que décrites à l’annexe 1. Le client détermine les finalités et les moyens du traitement et garantit qu’il est en droit de faire traiter les données de manière licite.

2.2 Le présent accord s’applique tant que le contrat relatif au service existe, et ensuite tant que Kwantro détient encore des données personnelles du client.

3. Instructions du client

3.1 Kwantro traite les données personnelles exclusivement sur la base d’instructions écrites du client. Le contrat, le présent accord de sous-traitance et l’utilisation par le client des fonctionnalités et paramètres du service valent instructions. Kwantro ne traite pas les données à ses propres fins et ne les vend pas.

3.2 Kwantro peut utiliser des données techniques d’utilisation non rattachables à des personnes (telles que des volumes et des performances) pour sécuriser et améliorer le service.

3.3 Si Kwantro estime qu’une instruction est contraire au RGPD ou à une autre législation, elle en informe immédiatement le client et peut suspendre son exécution jusqu’à ce que le client ait modifié ou confirmé l’instruction.

3.4 Si Kwantro est légalement tenue de communiquer des données personnelles à une autorité publique, elle en informe le client au préalable, sauf si la loi l’interdit, et limite la communication à ce qui est obligatoire.

4. Sécurité

4.1 Kwantro prend des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre la perte et le traitement illicite, compte tenu de l’état de la technique, des coûts, de la nature des données et des risques. Les mesures figurent à l’annexe 2. Kwantro peut les adapter tant que le niveau de sécurité ne diminue pas.

4.2 Le client est responsable de la sécurité de son côté : les utilisateurs qu’il invite, les rôles et droits qu’il accorde, le fait de rendre ou non l’authentification à deux facteurs obligatoire, et le fait que les utilisateurs gardent leurs identifiants secrets.

5. Sous-traitants ultérieurs

5.1 Le client donne à Kwantro une autorisation générale de recourir à des sous-traitants ultérieurs. La liste actuelle, indiquant pour chaque sous-traitant ultérieur sa mission et son lieu d’établissement, figure dans la déclaration de confidentialité et vaut annexe au présent accord.

5.2 Kwantro impose aux sous-traitants ultérieurs les mêmes obligations que celles prévues dans le présent accord, dans la mesure où elles s’appliquent à leur mission, et reste responsable de leur travail envers le client.

5.3 Kwantro annonce tout sous-traitant ultérieur nouveau ou de remplacement traitant des données personnelles du client au moins 30 jours à l’avance, par e-mail au propriétaire et sur le site web. Le client peut, dans ce délai, formuler une objection motivée. Si les parties ne parviennent pas à un accord, le client peut résilier le contrat à la date à laquelle le sous-traitant ultérieur entre en fonction ; la part payée d’avance pour la période restante est remboursée.

6. Transfert hors de l’EEE

6.1 Les données personnelles sont stockées dans l’Union européenne (Irlande) ; seule la sauvegarde nocturne chiffrée se trouve chez GitHub (États-Unis), avec une clé gérée uniquement par Kwantro. Le traitement en dehors de l’Espace économique européen n’est effectué que par les sous-traitants ultérieurs figurant sur la liste, avec les garanties appropriées prévues au chapitre V du RGPD : une décision d’adéquation (dont l’EU-US Data Privacy Framework) ou les clauses contractuelles types de l’UE, au besoin complétées par des mesures supplémentaires telles que le chiffrement.

6.2 Pour les fonctionnalités IA, seules les données nécessaires à cette tâche précise sont transmises (voir annexe 1).

7. Violations de données

7.1 Kwantro notifie toute violation de données personnelles affectant les données du client sans retard injustifié, et au plus tard 48 heures après sa découverte, par e-mail au propriétaire. La notification contient, dans la mesure où ces éléments sont connus : la nature de la violation, les catégories et le nombre estimé de personnes concernées et de données, les conséquences probables, les mesures prises et proposées, ainsi qu’un point de contact. Les informations non encore disponibles suivent dès qu’elles le sont.

7.2 Kwantro assiste le client dans sa notification éventuelle à l’Autoriteit Persoonsgegevens (l’autorité néerlandaise de protection des données) et aux personnes concernées. Le client décide lui-même s’il notifie et comment ; Kwantro ne notifie pas au nom du client, sauf si celui-ci le demande.

7.3 Kwantro tient un registre des violations, de leurs conséquences et des mesures prises.

8. Droits des personnes concernées et assistance

8.1 Si Kwantro reçoit une demande d’une personne concernée (accès, rectification, effacement, limitation, portabilité ou opposition) relative aux données du client, elle la transmet au client et ne la traite pas elle-même, sauf si le client le demande.

8.2 Kwantro aide le client grâce aux moyens intégrés au service : le client peut lui-même ajouter, modifier et supprimer des utilisateurs, corriger des données, effectuer un export complet (JSON) et définir des durées de conservation. Lorsque cela ne suffit pas, Kwantro apporte une assistance raisonnable. Si cette assistance représente une charge de travail disproportionnée, Kwantro peut en demander une rémunération raisonnable, après concertation.

8.3 Kwantro aide le client, lorsque c’est nécessaire et raisonnable, pour une analyse d’impact relative à la protection des données (AIPD) et pour la consultation préalable de l’autorité de contrôle, dans la mesure où elles concernent le service.

9. Confidentialité

9.1 Toute personne chez Kwantro ayant accès à des données personnelles du client est tenue à la confidentialité, en vertu d’un contrat ou de la loi. L’accès est limité aux personnes qui en ont besoin pour leur mission.

9.2 Kwantro n’accède à l’environnement du client qu’après l’autorisation expresse et temporaire du propriétaire dans l’application (en lecture seule, enregistrée dans le journal d’audit), ou lorsque c’est strictement nécessaire pour analyser une panne ou un incident de sécurité ; cela est également enregistré.

10. Contrôle (audit)

10.1 Kwantro met à la disposition du client toutes les informations nécessaires pour démontrer le respect du présent accord, y compris les descriptions des mesures de sécurité et, lorsqu’ils sont disponibles, les rapports ou certificats des sous-traitants ultérieurs.

10.2 Le client peut, au plus une fois par an, après notification écrite d’au moins 30 jours et à ses propres frais, effectuer ou faire effectuer un contrôle, y compris des inspections, par un expert indépendant désigné par le client et tenu à la confidentialité. Le contrôle ne perturbe pas le service pour les autres clients et ne donne pas accès aux données d’autres clients. Si le contrôle révèle un manquement, Kwantro y remédie dans un délai raisonnable.

11. Responsabilité

11.1 La responsabilité des parties au titre du présent accord est régie par les dispositions des conditions générales (article 17), étant entendu que cette limitation ne s’applique pas dans la mesure où l’article 82 du RGPD ne le permet pas.

11.2 Le client garantit Kwantro contre les amendes et réclamations résultant d’un comportement du client contraire au RGPD, y compris la saisie de données qu’il n’est pas autorisé à faire traiter.

12. Fin et suppression

12.1 Après la fin du contrat relatif au service, le client peut demander, jusqu’à 30 jours après, un export de toutes les données (via l’application ou par e-mail). Kwantro supprime les données personnelles, fichiers compris, 30 jours après la date de fin, sauf obligation légale de conservation (données de facturation : 7 ans).

12.2 Les sauvegardes chiffrées sont supprimées automatiquement après 90 jours ; au plus tard 90 jours après la suppression, plus aucune sauvegarde ne contient donc les données. Les sauvegardes servent uniquement à la restauration après une panne et ne font pas l’objet de recherches séparées.

12.3 Sur demande, Kwantro confirme par écrit que la suppression a été effectuée.

Annexe 1 : le traitement

Objet	La fourniture de Kwantro : gestion de stock par site avec plusieurs utilisateurs, y compris les notifications, rapports, intégrations et assistance.
Finalité	Permettre aux utilisateurs du client de se connecter et de collaborer, enregistrer qui a effectué quelle action (stock, inventaires, tâches, commandes, prêts, validations), envoyer les notifications et e-mails que les utilisateurs ont activés, et fournir au client visibilité et traçabilité.
Personnes concernées	Propriétaires, managers et employés du client qui utilisent l’application ; personnes invitées ; éventuellement les personnes de contact des fournisseurs du client (nom, adresse e-mail) et les personnes qui empruntent quelque chose (nom).
Données personnelles	Nom, adresse e-mail, langue, rôle et rôle personnalisé, sites attribués, paramètres et préférences de notification, jeton push, heure de connexion, statut de l’authentification à deux facteurs ; actions dans le service avec horodatage (mouvements, inventaires, tâches, commandes, prêts, validations, modifications de paramètres) ; photos et fichiers importés par les utilisateurs (bons de livraison, photos de produits, photos en cas de perte, pièces jointes) dans la mesure où des personnes y figurent ; le contenu des notes et des questions à l’assistant, dans la mesure où ils contiennent des données personnelles.
Pas de données sensibles	Le service n’est pas destiné aux données personnelles sensibles, aux numéros de sécurité sociale (BSN) ni aux données d’enfants. Le client ne les saisit pas.
Traitements	Stockage, consultation, modification, suppression, sauvegarde, envoi d’e-mails et de notifications push, export, transmission au fournisseur d’IA dans la mesure où un utilisateur utilise une fonctionnalité IA (bon de livraison, photo, question et données de produits et de stock nécessaires).
Durée de conservation	Pendant la durée du contrat ; les mouvements de stock aussi longtemps que le propriétaire le définit (12 à 120 mois ou illimité) ; journal d’audit 3 ans ; après la fin 30 jours, sauvegardes 90 jours.
Lieu	Union européenne (Irlande) ; sauvegardes chiffrées chez GitHub (États-Unis). Sous-traitants ultérieurs hors EEE : voir la déclaration de confidentialité.

Annexe 2 : mesures de sécurité

Séparation des clients : chaque table possède une clé d’entreprise et une row level security ; les règles d’accès sont testées automatiquement (tests de base de données et d’API) à chaque modification du logiciel.
Accès et authentification : comptes sur invitation uniquement ; mots de passe hachés ; authentification à deux facteurs (TOTP), pouvant être rendue obligatoire par entreprise, y compris pour l’environnement d’administration de Kwantro ; code PIN par appareil ; rôles et droits par utilisateur et par site ; prix d’achat protégés au niveau des colonnes.
Chiffrement : TLS pour toutes les connexions ; stockage chiffré chez l’hébergeur ; sauvegardes chiffrées (AES-256) avec une clé gérée uniquement par Kwantro.
Journalisation et contrôle : journal d’audit par entreprise (paramètres, rôles, membres, intégrations, accès du support), journal d’activité des mouvements de stock, journal système des erreurs (90 jours), limites contre les abus (tentatives de connexion, formulaires, API).
Continuité : sauvegarde nocturne avec test de restauration automatique, conservée 90 jours ; page de statut publique ; hébergement chez des fournisseurs disposant de leurs propres certifications (Supabase/AWS, Cloudflare).
Organisation : accès minimal pour les collaborateurs de Kwantro ; consultation uniquement avec autorisation et en lecture seule ; confidentialité ; modifications du schéma uniquement via des migrations contrôlées ; aucun secret dans le code source ; en-têtes de sécurité et content security policy sur le site web et l’application.
Suppression des données : suppression des utilisateurs et des entreprises, fichiers compris ; durées de conservation automatiques (mouvements, journal d’audit, jetons push, journaux) ; export RGPD et suppression du compte par l’utilisateur lui-même.