Accord de sous-traitance

1. Parties

• Responsable du traitement : l’organisation cliente inscrite sur Sourevo (importateur, opérateur, commerçant ou transitaire / mandataire). Elle décide quelles données elle charge et à quelles fins.
• Sous-traitant : Juan Cantón Rodríguez (NIF 45492167F), Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España, exerçant sous la marque «Francodesystems».

Le présent accord couvre les données que votre organisation saisit, importe ou reçoit dans l’outil pour sa diligence raisonnée, y compris les données de l’opérateur pour TRACES NT et le contenu des déclarations. Les données des comptes utilisateurs et celles que les fournisseurs gèrent dans leur propre portail sont traitées par nous en tant que responsable du traitement, conformément à la politique de confidentialité. Lorsqu’un fournisseur partage une parcelle avec vous, l’utilisation que vous en faites dans votre diligence raisonnée relève du présent accord.

Si votre organisation traite elle-même ces données pour le compte d’une autre entreprise (par exemple un transitaire ou mandataire travaillant pour un opérateur), le présent accord fonctionne comme un accord de sous-traitance ultérieure : vous garantissez que ce responsable du traitement vous autorise à faire appel à nous et vous lui transmettrez les informations du présent document dont il a besoin.

2. Objet, données et durée

• Catégories de personnes concernées : fournisseurs et producteurs personnes physiques (y compris les petits producteurs), personnes de contact des fournisseurs et des opérateurs, et personnes figurant dans les preuves que vous chargez.
• Catégories de données : nom, adresse e-mail, téléphone, pays, identifiant fiscal, géolocalisation et superficie des parcelles (point ou polygone), documents de preuve, données de l’opérateur et de sa personne de contact, et contenu des déclarations (DDS). Les identifiants de service web de TRACES NT ne sont utilisés à aucune autre fin que les opérations que vous ordonnez et sont conservés chiffrés.
• Nature du traitement : hébergement, enregistrement, organisation, consultation, validation, transmission à TRACES NT sur votre instruction, consultation d’identifiants fiscaux dans des registres publics, conservation et suppression.
• Finalité : vous fournir le service décrit dans les conditions, afin que vous puissiez préparer, déposer et documenter votre diligence raisonnée conformément au règlement (UE) 2023/1115.
• Durée : pendant toute la durée de votre compte, plus la période de conservation prévue au point 8.

Aucune catégorie particulière de données au sens de l’article 9 du RGPD n’est traitée. Si vous chargez des données qui ne sont pas nécessaires à la diligence raisonnée, la décision et la responsabilité vous en incombent.

3. Instructions

Nous traitons les données uniquement sur vos instructions documentées, à savoir les présentes conditions et les actions que vous réalisez dans l’application ou via l’intégration : par exemple, ordonner le dépôt d’une DDS dans TRACES NT constitue une instruction de transmettre ces données à la Commission européenne. Si une instruction nous paraît contraire au RGPD ou à une autre réglementation, nous vous en informerons immédiatement.

Nous ne traiterions les données d’une autre manière que si le droit de l’Union ou le droit espagnol nous y oblige. Dans ce cas, nous vous en informerons au préalable, sauf si cette même réglementation l’interdit.

Nous n’utilisons pas les données à nos propres fins : ni pour du profilage, ni pour entraîner des modèles, ni pour les vendre, ni pour les proposer à d’autres clients.

4. Nos engagements

• Garantir la confidentialité et l’exiger de toute personne ayant accès aux données, y compris après la fin de l’accord.
• Appliquer les mesures de sécurité de l’article 32 du RGPD (voir le point 6).
• Vous aider à répondre aux demandes d’exercice des droits des personnes concernées. Si nous recevons une demande de l’une de vos personnes concernées, nous vous la transmettons sans y répondre de notre propre initiative.
• Vous notifier toute violation de données à caractère personnel dans les meilleurs délais et, en tout état de cause, dans les 24 heures suivant le moment où nous en avons pris connaissance, avec les informations dont nous disposons à ce moment (ce qui s’est passé, quelles données et personnes concernées peuvent être touchées, conséquences probables et mesures prises), puis compléter ces informations ultérieurement, afin que vous puissiez notifier l’autorité dans vos 72 heures (art. 33 RGPD).
• Vous aider, dans la mesure où cela dépend de nous, pour les analyses d’impact et les consultations préalables.
• Tenir le registre des activités de traitement en tant que sous-traitant (art. 30.2 RGPD).
• Mettre à votre disposition les informations nécessaires pour démontrer le respect de nos obligations et permettre des audits raisonnables, avec un préavis et sans compromettre la sécurité ni les données d’autres clients.
• Ne pas transférer de données hors de l’Espace économique européen, sauf aux sous-traitants ultérieurs du point 5 et avec les garanties qui y sont indiquées.

5. Sous-traitants ultérieurs

Vous nous autorisez de manière générale à faire appel aux sous-traitants ultérieurs suivants, avec lesquels nous avons conclu un contrat imposant des obligations équivalentes à celles du présent accord :

Ne sont pas des sous-traitants ultérieurs, mais des destinataires sur votre instruction : la Commission européenne (TRACES NT), qui reçoit les déclarations que vous déposez et les traite en tant que responsable du traitement, et les registres fiscaux publics (VIES de la Commission européenne, registre CNPJ du Brésil) que nous consultons pour valider les identifiants fiscaux.

Si nous ajoutons ou remplaçons un sous-traitant ultérieur, nous vous en informons au moins 30 jours à l’avance. Vous pouvez vous y opposer pour des motifs raisonnables ; si nous ne trouvons pas d’alternative, vous pouvez résilier le contrat sans pénalité.

Nous répondons envers vous du respect, par nos sous-traitants ultérieurs, de leurs obligations en matière de protection des données (art. 28.4 RGPD).

6. Mesures de sécurité

• Chiffrement en transit (HTTPS) et identifiants TRACES NT chiffrés au repos en AES-256-GCM.
• Mots de passe hachés avec argon2id et sessions signées dans des cookies HttpOnly et Secure.
• Isolement par organisation dans chaque requête et visibilité de chaque parcelle contrôlée par le fournisseur.
• Journal d’audit et historique des déclarations en ajout seul.
• Limitation des tentatives de connexion et accès du personnel limité au strict nécessaire.
• Sauvegardes de la base de données, conservées au sein de l’Union européenne.

Nous réexaminons ces mesures lorsque le service ou le risque évolue. Si l’une d’elles change, nous maintiendrons au moins le même niveau de protection.

7. Ce qui incombe à votre organisation

• Disposer d’une base légale pour les données que vous chargez et informer les personnes concernées (art. 14 RGPD), en particulier les producteurs dont vous allez inclure la géolocalisation dans une DDS déposée auprès de la Commission européenne.
• Veiller à l’exactitude des données et vérifier chaque déclaration avant de la déposer.
• Gérer qui, dans votre organisation, dispose d’un accès et avec quel rôle.
• Nous inscrire en tant que sous-traitant dans votre registre des activités de traitement.

8. À la fin de l’accord

À la fin de la relation, vous disposez d’au moins 30 jours pour nous demander la restitution des données dans un format structuré (GeoJSON, CSV ou JSON, ainsi que les fichiers de preuve). Nous les supprimons ensuite, avec deux exceptions :

• L’archive des déclarations déposées et leur documentation. Sauf indication contraire de votre part, en acceptant le présent accord vous nous donnez instruction de la conserver bloquée jusqu’à 5 ans après chaque dépôt, afin que vous puissiez la produire si une autorité vous la demande pendant le délai de conservation que l’EUDR vous impose (art. 4.3 et 12.5). Vous pouvez nous demander par écrit de la supprimer plus tôt, une fois que vous disposez de votre copie.
• Ce que le droit de l’Union ou le droit espagnol nous oblige à conserver, également bloqué.

Pendant le blocage, les données ne sont utilisées à aucune fin, sauf pour répondre à votre demande ou à une réquisition d’une autorité ou d’une juridiction.

9. Responsabilité et contact

Chaque partie répond de ses obligations conformément à l’article 82 du RGPD, sous réserve des limitations prévues dans les conditions d’utilisation et de souscription dans la mesure permise par la loi.

Pour toute question relative au présent accord, à un audit ou à la signature d’un contrat spécifique si votre service juridique le préfère : juan.canton@sourevo.com.