Accord de sous-traitance des données (art. 28 RGPD)

Version du

Cet accord est conclu entre l'assistante maternelle abonnée (le « Responsable de traitement ») et [à compléter : éditeur], nom commercial Nidoo (le « Sous-traitant »). Il est accepté avec les CGV et en fait partie intégrante (article 28 du RGPD).

1. Objet et durée

Le Sous-traitant héberge et traite, pour le compte du Responsable de traitement, les données des enfants accueillis et de leurs parents, pendant toute la durée de l'abonnement.

2. Nature des données et personnes concernées

• Enfants accueillis : identité, horaires et présences, journal de la journée, et, lorsque l'assistante maternelle les saisit, données de santé (allergies, traitements, vaccins).
• Parents : identité et coordonnées.

3. Engagements du Sous-traitant

1. traiter les données uniquement pour fournir le service Nidoo, sur instruction documentée du Responsable de traitement ;
2. garantir la confidentialité des données et ne jamais les utiliser à d'autres fins (publicité, revente, entraînement de modèles d'intelligence artificielle) ;
3. héberger les données de santé chez un hébergeur certifié HDS situé dans l'Union européenne : [À VÉRIFIER avant publication : hébergement des données de santé chez un hébergeur certifié HDS — non confirmé à ce jour] ;
4. mettre en œuvre les mesures de sécurité décrites dans la politique de confidentialité ;
5. aider le Responsable de traitement à répondre aux demandes d'exercice de droits des parents ;
6. notifier toute violation de données au Responsable de traitement dans les 48 heures après en avoir pris connaissance ;
7. tenir un registre des traitements effectués pour le compte du Responsable de traitement.

4. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours à : [à compléter : hébergeur] (hébergement), et aux prestataires listés dans la politique de confidentialité. Tout changement est notifié au moins 30 jours à l'avance ; le Responsable de traitement peut s'y opposer en résiliant son abonnement.

5. Engagements du Responsable de traitement

L'assistante maternelle s'engage à recueillir l'autorisation écrite des parents avant de saisir des données de santé ou des photos (voir le modèle d'autorisation parentale), et à ne saisir que les données nécessaires à l'accueil.

6. Fin du contrat

À la fin de l'abonnement, le Responsable de traitement peut exporter ses données pendant 30 jours. Le Sous-traitant les supprime ensuite définitivement, sauvegardes comprises sous [à compléter : 30 jours] supplémentaires, et le confirme sur demande.

7. Audit

Le Sous-traitant met à disposition, sur demande, les informations nécessaires pour démontrer le respect du présent accord.