Accord de sous-traitance des données (DPA)

Le présent accord encadre le traitement par KADEPIC (le sous-traitant) des données à caractère personnel pour le compte du client (le responsable de traitement), dans le cadre de l'utilisation du service KADEPIC.

Il fait partie intégrante des Conditions Générales d'Utilisation et s'applique de plein droit à tout client professionnel.

L'accord s'applique pendant toute la durée de fourniture du service et jusqu'à la restitution ou la suppression complète des données.

KADEPIC traite les données aux seules fins de fourniture du service : gestion de projet, cadrage, backlog, livrables, collaboration et fonctionnalités associées.

Les catégories de données concernent les utilisateurs du client (identité, coordonnées professionnelles) et les contenus de projet saisis dans le service.

KADEPIC traite les données uniquement sur instruction documentée du client. L'utilisation du service et le paramétrage du compte valent instructions. KADEPIC informe le client si une instruction lui paraît contraire au RGPD.

KADEPIC veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et n'y accèdent que dans la stricte mesure nécessaire.

KADEPIC met en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des données en transit et au repos, contrôle d'accès, isolation par espace de travail, journalisation immuable et sauvegardes.

Ces mesures sont régulièrement revues pour garantir un niveau de sécurité adapté au risque.

Le client autorise KADEPIC à recourir à des sous-traitants ultérieurs (hébergement, e-mails, IA, signature) liés par des obligations équivalentes. Tout nouveau sous-traitant fait l'objet d'une information préalable, ouvrant un droit d'opposition motivé.

La liste à jour des sous-traitants est disponible sur la page Sous-traitants.

KADEPIC assiste le client, par des mesures techniques et organisationnelles appropriées, pour répondre aux demandes d'exercice des droits (accès, rectification, effacement, portabilité, opposition, limitation).

En cas de violation de données affectant le client, KADEPIC le notifie dans les meilleurs délais après en avoir pris connaissance, avec les informations utiles pour permettre, le cas échéant, la notification à l'autorité de contrôle dans les 72 heures.

KADEPIC met à disposition du client les informations nécessaires pour démontrer le respect de l'article 28 et permet la réalisation d'audits, dans des conditions raisonnables préservant la sécurité et la confidentialité des autres clients.

Au terme de la prestation, le client peut exporter ses données. KADEPIC les supprime ou les restitue selon le choix du client, sous réserve des obligations légales de conservation (notamment les journaux d'audit).

Les données sont hébergées dans l'Union européenne. Tout transfert hors UE par un sous-traitant ultérieur est encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne).

Pour toute question relative au présent accord, contactez le délégué à la protection des données à dpo@kadepic.fr.