Conditions générales de vente (CGV) — Professionnels

PRÉAMBULE

Les présentes Conditions Générales de Vente B2B (ci-après « CGV B2B ») régissent la vente des abonnements, licences et services payants de la plateforme Neuredia (ci-après « la Plateforme ») aux personnes morales et aux personnes physiques agissant dans un cadre professionnel.

Elles distinguent quatre canaux, aux conditions commerciales et aux rôles de protection des données différents :

Neuredia est une plateforme SaaS de gestion administrative destinée à faciliter la coordination des parcours des personnes neuroatypiques (TND). Les Services permettent notamment l'échange sécurisé de données entre les familles et, le cas échéant, les professionnels et institutions, sur autorisation des familles.

Neuredia n'est pas un dispositif médical. La Plateforme est un outil d'aide administrative. Elle ne délivre aucun diagnostic, ne prescrit aucun traitement et ne se substitue pas à une consultation, à un bilan ou à un suivi assuré par un professionnel de santé.

Contexte réglementaire spécifique :

• les Services impliquent le traitement de données de santé au sens de l'article 9 du RGPD et de l'article L.1111-8 du Code de la santé publique ;
• les données de santé sont hébergées exclusivement dans l'EEE, auprès d'un Hébergeur certifié HDS ou d'un prestataire dont la conformité est garantie par attestation dans une chaîne d'hébergement certifiée ;
• le rôle de chaque Partie (Responsable de traitement / Sous-traitant) est précisé à l'article 9 et varie selon le canal ;
• l'Éditeur ne revendique pas de certification HDS propre : il s'appuie sur un prestataire d'hébergement certifié, garant de la conformité infogéreur.

Les présentes CGV B2B prévalent sur toutes autres conditions générales du Client, sauf accord écrit préalable entre les Parties. Le fait de ne pas contester des conditions générales différentes n'est pas une acceptation tacite.

ARTICLE 1 — DÉFINITIONS

En complément des définitions des CGU, les termes suivants ont le sens indiqué ci-dessous :

Client Professionnel : toute personne morale ou personne physique agissant dans le cadre de son activité professionnelle ayant souscrit un Abonnement aux Services B2B.

Employeur : le Client Professionnel relevant du canal A (entreprises), qui finance des licences au bénéfice de ses salariés aidants.

Bénéficiaire : la personne physique (salarié aidant, adhérent, usager, famille) à laquelle le Client Professionnel permet l'accès à la Plateforme au titre du Contrat. Le Bénéficiaire accède à la Plateforme dans les conditions des CGU et des CGV B2C applicables à son usage personnel.

Bénéficiaire institutionnel : la personne concernée ou sa famille accompagnée par un Client Professionnel des canaux B, C ou D.

Conditions Particulières : document contractuel signé par les Parties, pouvant déroger ou compléter les présentes CGV B2B pour un Client spécifique (tarifs négociés, fonctionnalités sur mesure, SLA personnalisé, etc.).

Contrat : ensemble constitué des présentes CGV B2B, des CGU, des Conditions Particulières éventuelles, des Annexes (SLA, DPA), et des bons de commande.

Données du Client : toutes les données (personnelles, de santé, administratives, techniques) importées, créées, traitées ou partagées par le Client Professionnel via la Plateforme, à l'exclusion des données dont la famille est responsable ou qu'elle contrôle.

Licence : droit d'accès et d'utilisation de la Plateforme accordé au Client Professionnel pour un nombre défini d'Utilisateurs autorisés ou de Bénéficiaires, dans le cadre de l'Abonnement souscrit.

Niveau de Service (SLA) : engagements de qualité de service définis à l'Annexe 1 des présentes.

Prestation : mise à disposition des Services par l'Éditeur au profit du Client Professionnel, selon les modalités définies au Contrat.

Responsable de traitement : le rôle défini à l'article 9, qui varie selon le canal.

Sous-traitant : l'Éditeur, lorsqu'il traite les Données du Client pour le compte du Client Professionnel, conformément à ses instructions documentées et au contrat de sous-traitance RGPD (Annexe 2).

Utilisateurs autorisés : les personnes physiques (salariés, préposés, collaborateurs) dûment habilitées par le Client Professionnel à accéder à la Plateforme dans la limite des Licences souscrites, à l'exclusion des Bénéficiaires (qui accèdent à titre personnel).

ARTICLE 2 — OFFRE ET TARIFS B2B

2.1 Offres B2B

Les offres B2B sont adaptées à chaque canal. Les caractéristiques détaillées sont disponibles sur la page [insérer URL page tarifs B2B] ou dans les Conditions Particulières.

2.2 Tarifs

Les tarifs sont indiqués hors taxes (HT). La TVA est facturée au taux légal en vigueur. Les prix ne comprennent pas les frais de connexion internet, d'équipement terminal ou de télécommunications, qui restent à la charge du Client Professionnel. Les tarifs sont affichés sur le site pour les offres standard ou définis dans les Conditions Particulières pour les offres négociées.

2.3 Révision des prix

Les tarifs sont révisables chaque année à la date anniversaire du Contrat, dans la limite de l'indice [SYNTEC / ILAT / autre indice de référence à préciser] publié par l'INSEE ou de tout indice de référence du secteur.

L'Éditeur informe le Client Professionnel de toute modification de tarif au moins 60 jours avant son entrée en vigueur. En cas de refus, le Client Professionnel peut résilier le Contrat sans pénalité dans les 30 jours suivant la notification.

ARTICLE 3 — COMMANDE ET CONCLUSION DU CONTRAT

3.1 Processus de commande

La souscription à une offre B2B s'effectue :

• en ligne via la Plateforme, pour les offres standard ;
• par signature d'un bon de commande et/ou de Conditions Particulières, pour les offres négociées.

3.2 Documents contractuels

Le Contrat est constitué, par ordre de priorité décroissante :

1. les Conditions Particulières (si existantes) ;
2. les présentes CGV B2B ;
3. les Annexes (SLA — Annexe 1 ; contrat de sous-traitance RGPD — Annexe 2) ;
4. les CGU de Neuredia, pour les dispositions non contraires aux présentes.

3.3 Preuve

Toute Commande effectuée par le Client Professionnel est réputée ferme et définitive. Les bons de commande signés et les confirmations électroniques font foi entre les Parties.

ARTICLE 4 — LICENCES, UTILISATEURS ET BÉNÉFICIAIRES

4.1 Licence d'utilisation

L'Éditeur accorde au Client Professionnel un droit d'accès et d'utilisation non exclusif, personnel, non transférable et limité à la durée du Contrat, pour le nombre d'Utilisateurs autorisés ou de Bénéficiaires défini dans l'Offre ou les Conditions Particulières.

4.2 Gestion des accès

Le Client Professionnel :

• désigne un Administrateur responsable de la gestion des accès ;
• définit les profils et droits d'accès de chaque Utilisateur autorisé ;
• s'assure que chaque Utilisateur autorisé a pris connaissance des CGU ;
• informe l'Éditeur sans délai en cas de départ d'un Utilisateur autorisé ;
• est responsable de toute action réalisée via les comptes de ses Utilisateurs autorisés.

4.3 Nombre de licences

Le Client Professionnel s'engage à ne pas dépasser le nombre de Licences souscrites. En cas de dépassement constaté, l'Éditeur facturera automatiquement les Licences supplémentaires au prorata temporis, selon le tarif en vigueur.

4.4 Utilisation conforme

Les Licences sont strictement personnelles au Client Professionnel. Le partage, la revente ou la mise à disposition des Services à des tiers non autorisés est interdit.

4.5 Rôle et droits des Bénéficiaires (canaux A et D)

Lorsque le Client Professionnel finance des accès pour des Bénéficiaires (salariés aidants, adhérents) :

• le Bénéficiaire accède à la Plateforme à titre personnel, dans les conditions des CGU et des CGV B2C ;
• le Client Professionnel (Employeur ou mutuelle) n'a pas accès aux données personnelles ni aux données de santé du Bénéficiaire ;
• le Client Professionnel ne reçoit que des statistiques agrégées et anonymisées (nombre d'accès, taux d'activation, indicateurs d'usage) ;
• le Bénéficiaire dispose, à tout moment, d'un droit d'opposition et de retrait du dispositif auprès de l'Éditeur.

Toute disposition contraire, notamment toute remontée d'information nominative vers l'Employeur, est nulle et constitutive d'un manquement grave.

ARTICLE 5 — CONDITIONS DE FACTURATION

5.1 Modalités de facturation

La facturation intervient :

• à la signature du Contrat pour la période initiale ;
• à échéance pour chaque renouvellement ;
• au fil de l'eau pour les Licences supplémentaires, options ou services additionnels.

5.2 Délais de paiement

Sauf conditions particulières convenues, les factures sont payables à 30 jours à compter de leur date d'émission, par virement bancaire ou prélèvement SEPA.

5.3 Factures dématérialisées

Les factures sont transmises par voie électronique à l'adresse de facturation renseignée par le Client Professionnel, qui accepte la facturation électronique.

5.4 Pénalités de retard

Conformément à l'article L.441-10 du Code de commerce :

• tout retard de paiement entraîne de plein droit des pénalités de retard au taux d'intérêt appliqué par la Banque Centrale Européenne à son opération de refinancement la plus récente, majoré de 10 points de pourcentage ;
• une indemnité forfaitaire pour frais de recouvrement de 40 € est due en cas de retard de paiement ;
• en cas de frais de recouvrement supérieurs, une indemnité complémentaire peut être exigée sur justificatif.

5.5 Suspension pour impayé

À défaut de paiement à l'échéance, et après mise en demeure restée infructueuse 8 jours, l'Éditeur peut suspendre l'accès à la Plateforme. La suspension ne libère pas le Client Professionnel de ses obligations de paiement. La suspension ne doit pas faire obstacle au droit des Bénéficiaires d'exporter leurs données.

ARTICLE 6 — PROPRIÉTÉ DES DONNÉES, PORTABILITÉ ET RÉVERSIBILITÉ

6.1 Propriété des données

Les Données du Client et les données des Bénéficiaires restent la propriété de leurs titulaires respectifs. Aucun transfert de propriété n'est opéré au profit de l'Éditeur.

6.2 Portabilité des données

Conformément à l'article 20 du RGPD :

• le Client Professionnel (ou le Bénéficiaire pour ses propres données) peut demander à tout moment l'export de ses données dans un format structuré, couramment utilisé et lisible par machine (CSV, JSON, PDF) ;
• l'Éditeur s'engage à fournir cet export dans un délai maximum de 30 jours suivant la demande ;
• en fin de Contrat, cet export est fourni gratuitement dans le cadre de la procédure de sortie.

6.3 Réversibilité et changement de fournisseur

En application des exigences du référentiel HDS v2.0 et du règlement (UE) 2023/2854 (« Data Act »), applicable depuis le 12 septembre 2025, l'Éditeur garantit la réversibilité de la prestation :

• droit au changement : le Client peut changer de fournisseur (ou revenir à une infrastructure sur site) sans obstacle contractuel, technique ou commercial indu ;
• délai de transition : le changement est réalisé dans un délai maximal de 30 jours calendaires à compter de l'expiration du préavis ; ce délai de transition peut être prorogé une fois à la demande du Client ;
• préavis maximum : 2 mois (60 jours) pour initier le changement, conformément à l'article 25(2)(d) du Data Act ;
• assistance obligatoire : l'Éditeur fournit une assistance raisonnable au Client et aux tiers qu'il autorise pendant le changement, maintient la continuité et la sécurité du service, et l'informe des risques connus ;
• format de restitution : les données exportables sont restituées dans un format structuré, standard, documenté et lisible par machine ; un registre en ligne des structures, formats et standards applicables est mis à disposition (art. 26 du Data Act) ;
• récupération : une période de récupération des données d'au moins 30 jours court après la fin de la transition (l'Éditeur applique par défaut 90 jours, plus favorable) ;
• effacement complet des données exportables après la période de récupération, sous réserve des durées légales de conservation ;
• coûts : les frais de changement sont réduits jusqu'au 12 janvier 2027 puis totalement supprimés à compter du 12 janvier 2027 (art. 29 du Data Act) ; à défaut de conditions particulières, la sortie est à coût nul ;
• impossibilité technique : si le délai de 30 jours est techniquement irréalisable, l'Éditeur en informe le Client sous 14 jours ouvrés, justifie l'impossibilité et propose une période alternative n'excédant pas sept mois, sans interruption de service ;
• modalités détaillées précisées en Conditions Particulières.

6.4 Interopérabilité

L'Éditeur s'engage à maintenir des API documentées permettant l'interopérabilité avec les systèmes d'information du Client Professionnel, sous réserve des limitations techniques et de sécurité.

6.5 Données agrégées et anonymisées

L'Éditeur peut utiliser des données anonymisées et agrégées (ne permettant pas l'identification des personnes) à des fins statistiques, d'amélioration des Services ou de recherche dans le domaine des TND. Ces données ne sont pas soumises aux obligations de portabilité ou de suppression. Aucune donnée de santé nominative n'est utilisée à des fins statistiques sans base légale ou consentement approprié.

ARTICLE 7 — CONFIDENTIALITÉ

7.1 Obligation de confidentialité

Chaque Partie s'engage à préserver la confidentialité de toutes les informations échangées dans le cadre du Contrat, notamment :

• les Données du Client et des Bénéficiaires (y compris les données de santé) ;
• les informations techniques relatives à la Plateforme ;
• les informations commerciales, financières ou stratégiques ;
• les informations relatives au fonctionnement interne de chaque Partie.

7.2 Durée de l'obligation

L'obligation de confidentialité s'applique pendant toute la durée du Contrat et subsiste pendant 5 ans après sa cessation, sans limitation de durée pour les données de santé couvertes par le secret professionnel.

7.3 Exceptions

Ne sont pas soumises à l'obligation de confidentialité :

• les informations déjà publiques (sans violation de la confidentialité) ;
• les informations obtenues légalement d'un tiers sans restriction de divulgation ;
• les informations dont la divulgation est exigée par la loi, la réglementation ou une autorité compétente.

ARTICLE 8 — NIVEAU DE SERVICE (SLA)

Le Niveau de Service applicable est défini à l'Annexe 1 des présentes. En l'absence d'Annexe 1, les engagements de disponibilité sont ceux des CGU.

Remarque : pour les offres Institution et Sur-mesure, un SLA dédié est négocié dans les Conditions Particulières.

ARTICLE 9 — PROTECTION DES DONNÉES ET SOUS-TRAITANCE RGPD

9.1 Qualité des Parties selon le canal

En cas de doute sur la qualification, les Parties se concertent et documentent l'analyse.

9.2 Contrat de sous-traitance

Lorsque l'Éditeur agit comme Sous-traitant (canaux B et C), les obligations respectives des Parties sont détaillées dans le contrat de sous-traitance (DPA) figurant à l'Annexe 2, qui fait partie intégrante du Contrat.

9.3 Sous-traitants autorisés

L'Éditeur peut recourir à des sous-traitants ultérieurs (hébergement, paiement, e-mailing, mesure d'audience, briques d'IA). La liste des sous-traitants autorisés, leur rôle et leur localisation sont communiqués au Client Professionnel à l'Annexe 2. Toute modification substantielle fait l'objet d'une information préalable, le Client disposant d'un droit d'opposition.

9.4 Hébergement HDS

L'Éditeur fait héberger les données de santé, dans l'EEE, par un Hébergeur certifié HDS au sens de l'article L.1111-8 du Code de la santé publique, ou par un prestataire dont la conformité est garantie par attestation au sein d'une chaîne d'hébergement certifiée. L'Éditeur met à disposition la représentation des garanties (acteurs de la chaîne, rôles, statuts HDS, transferts éventuels). Toute perte de cette conformité ouvre au Client un droit de résiliation sans pénalité (article 10.4).

9.5 Interdiction de réutilisation

L'Éditeur s'interdit toute réutilisation des Données du Client ou des Bénéficiaires à d'autres fins que l'exécution du Contrat, sous réserve des données agrégées et anonymisées de l'article 6.5.

ARTICLE 10 — DURÉE ET RÉSILIATION

10.1 Durée

Le Contrat est conclu pour une durée initiale de 12 mois sauf durée différente prévue aux Conditions Particulières. Il se renouvelle par tacite reconduction pour des périodes de même durée.

10.2 Résiliation pour non-paiement

À défaut de paiement dans les délais convenus, et après mise en demeure par lettre recommandée avec accusé de réception restée infructueuse 15 jours, l'Éditeur peut résilier le Contrat de plein droit. Le Client reste redevable des sommes dues jusqu'à la date de résiliation effective.

10.3 Résiliation pour manquement

Chaque Partie peut résilier le Contrat en cas de manquement grave de l'autre Partie, après mise en demeure par lettre recommandée avec accusé de réception restée sans effet 30 jours.

Constituent notamment un manquement grave :

• la violation des obligations de sécurité et de confidentialité ;
• la violation grave des dispositions relatives à la protection des données ;
• la violation de la propriété intellectuelle ;
• une utilisation frauduleuse de la Plateforme ;
• la non-conformité à la réglementation applicable aux données de santé ;
• toute remontée d'information nominative vers l'Employeur ou la mutuelle (article 4.5).

10.4 Résiliation pour motif légitime

Le Client Professionnel peut résilier sans pénalité en cas de :

• modification substantielle des Services refusée par le Client ;
• hausse tarifaire non acceptée ;
• cessation d'activité de l'Éditeur ;
• perte de la certification HDS de l'hébergement ou de la garantie de conformité associée ;
• violation par l'Éditeur de l'interdiction de réutilisation (article 9.5).

10.5 Résiliation sans motif

Le Client Professionnel peut résilier le Contrat à tout moment, sans motif, moyennant un préavis de 30 jours, par notification écrite. La résiliation anticipée n'ouvre droit à aucun remboursement des sommes déjà versées, sauf disposition contraire des Conditions Particulières.

10.6 Procédure de sortie

En cas de résiliation (quelle qu'en soit la cause), l'Éditeur s'engage à :

1. maintenir l'accès aux données pendant 90 jours suivant la résiliation ;
2. fournir un export complet des données dans un format standard (CSV, JSON, PDF) ;
3. supprimer définitivement les données à l'issue de la période de maintien et des durées légales de conservation ;
4. documenter les opérations de restitution et de destruction.

10.7 Effets de la résiliation

La résiliation du Contrat entraîne de plein droit :

• la cessation de l'accès aux Services payants ;
• l'exigibilité immédiate des sommes dues (prestations déjà fournies, pénalités éventuelles) ;
• la restitution des données selon la procédure de sortie (article 10.6) ;
• la levée des obligations contractuelles, à l'exception des obligations de confidentialité et de protection des données qui survivent.

ARTICLE 11 — RESPONSABILITÉ ET GARANTIES

11.1 Garantie de l'Éditeur

L'Éditeur garantit que les Services sont conformes aux spécifications fonctionnelles et techniques décrites dans la documentation de la Plateforme. L'Éditeur s'engage à corriger tout défaut ou anomalie signalé dans les délais prévus au SLA.

11.2 Garantie du Client Professionnel

Le Client Professionnel garantit l'Éditeur contre toute action ou réclamation résultant :

• de l'inexactitude des Données du Client ;
• du non-respect par le Client Professionnel de ses obligations légales (secret professionnel, information des patients, consentement) ;
• d'une utilisation non conforme de la Plateforme ou des données ;
• d'une violation des droits des personnes concernées (patients, usagers, bénéficiaires).

11.3 Limitations de responsabilité

Sauf en cas de faute lourde, de dol, de violation des obligations essentielles (notamment protection des données et confidentialité) ou de dommages corporels :

• la responsabilité de chaque Partie est limitée aux dommages directs, à l'exclusion de tout dommage indirect ;
• le montant total cumulé de la responsabilité de l'Éditeur est limité au montant des sommes versées par le Client Professionnel au titre du Contrat au cours des 12 mois précédant le fait générateur.

Responsabilité en matière de données de santé : les limitations ci-dessus ne s'appliquent pas en cas de violation des obligations relatives à la protection des données de santé (RGPD, Code de la santé publique), la responsabilité de l'Éditeur pouvant être engagée conformément aux articles 28 et 82 du RGPD.

11.4 Force majeure

La responsabilité des Parties est suspendue en cas de force majeure telle que définie par l'article 1218 du Code civil. Si l'événement de force majeure dure plus de 60 jours consécutifs, chaque Partie peut résilier le Contrat sans pénalité.

ARTICLE 12 — PROPRIÉTÉ INTELLECTUELLE

12.1 Propriété de l'Éditeur

La Plateforme, son code, son design, son architecture, ses contenus éditoriaux, sa documentation, ses marques et logos sont la propriété exclusive de l'Éditeur. Le Contrat ne confère au Client Professionnel aucun droit de propriété intellectuelle sur ces éléments.

12.2 Licence concédée

L'Éditeur concède au Client Professionnel une licence non exclusive, non transférable, personnelle, pour la durée du Contrat, strictement limitée aux droits nécessaires à l'utilisation des Services conformément au Contrat.

12.3 Propriété des livrables

Les éventuels livrables spécifiques développés pour le Client Professionnel (rapports, configurations, intégrations sur mesure) sont la propriété de l'Éditeur, sauf disposition contraire expresse dans les Conditions Particulières.

12.4 Contenus de l'écosystème NeureHub

Certains contenus éducatifs et documentaires peuvent être publiés par l'association NeureHub sous licence ouverte. Les conditions de réutilisation applicables sont précisées avec le contenu concerné.

ARTICLE 13 — AUDIT

L'Éditeur s'engage à permettre au Client Professionnel, ou à un auditeur tiers agréé, de vérifier le respect des obligations de sécurité et de protection des données, aux frais du Client, avec un préavis de 30 jours, sans excéder une fois par an, sauf en cas d'incident de sécurité avéré. L'Éditeur peut satisfaire cette obligation par la fourniture de certifications, attestations ou rapports d'audit de l'Hébergeur et de ses sous-traitants.

ARTICLE 14 — ASSURANCE

Chaque Partie déclare être couverte par une assurance responsabilité civile professionnelle adaptée à son activité, et s'engage à la maintenir pendant toute la durée du Contrat.

ARTICLE 15 — LOI APPLICABLE ET JURIDICTION

15.1 Loi applicable

Le Contrat est régi par le droit français, à l'exclusion de la Convention de Vienne sur la vente internationale de marchandises.

15.2 Règlement amiable

Les Parties s'efforcent de résoudre amiablement tout différend avant toute action judiciaire. En cas d'échec des négociations directes, les Parties peuvent soumettre le litige à une procédure de médiation conventionnelle.

15.3 Juridiction compétente

À défaut de règlement amiable, tout litige relatif au Contrat est soumis aux tribunaux de commerce du ressort du siège social de l'Éditeur [à compléter].

ARTICLE 16 — MODIFICATION DES CGV B2B

Toute modification des présentes CGV B2B est notifiée au Client Professionnel par écrit au moins 60 jours avant son entrée en vigueur. En cas de refus, le Client Professionnel peut résilier sans pénalité dans les 30 jours suivant la notification.

ANNEXE 1 — NIVEAU DE SERVICE (SLA)

1. Disponibilité des Services

L'Éditeur s'engage sur un taux de disponibilité des Services de 99,5 % par mois civil, calculé hors périodes de maintenance programmée.

La maintenance programmée ne peut excéder 8 heures par mois, est planifiée de préférence de nuit (22h–6h CET) et fait l'objet d'une notification 72 heures à l'avance.

2. Mesure de la disponibilité

La disponibilité est mesurée sur la base des journaux du système de la Plateforme, qui seuls font foi. Sont exclus du calcul :

• les interruptions liées à la force majeure ;
• les interruptions liées à des actions du Client Professionnel ou de ses Utilisateurs ;
• les interruptions liées à des opérateurs tiers (hébergeur, fournisseur d'accès internet) ;
• les interruptions programmées notifiées.

3. Pénalités de non-disponibilité

Les crédits sont plafonnés à 30 % du montant mensuel de l'abonnement et sont imputés sur la facture suivante, sur demande écrite du Client formulée dans les 30 jours suivant l'incident.

4. Support et délais de réponse

• Heures ouvrées : lundi–vendredi, 8h–19h (hors jours fériés français).
• Support prioritaire : pour les offres Institution et Sur-mesure, une astreinte 24/7 peut être négociée dans les Conditions Particulières.

ANNEXE 2 — CONTRAT DE SOUS-TRAITANCE RGPD

(Clauses conformes à l'article 28 du Règlement (UE) 2016/679 — applicable aux canaux B et C)

A.2.1 Objet et durée

Le présent contrat de sous-traitance (ci-après le « DPA » — Data Processing Agreement) régit le traitement des données à caractère personnel par le Sous-traitant (l'Éditeur) pour le compte du Responsable de traitement (le Client Professionnel), dans le cadre de la fourniture des Services objets des CGV B2B. Le DPA s'applique pendant toute la durée du Contrat principal.

A.2.2 Description du traitement

A.2.3 Obligations du Sous-traitant (l'Éditeur)

Le Sous-traitant s'engage à :

1. traiter les données uniquement sur instructions documentées du Responsable de traitement (articles 28.3.a et 29 du RGPD) ;
2. garantir la confidentialité des personnes autorisées à traiter les données (28.3.b) ;
3. mettre en œuvre les mesures techniques et organisationnelles appropriées (article 32 du RGPD), notamment : pseudonymisation et chiffrement, mesures de sécurité physique et logique, contrôle d'accès et journalisation, tests de sécurité réguliers, chiffrement en transit (TLS) et au repos ;
4. respecter les conditions de recours à un sous-traitant ultérieur (28.2 et 28.4) ;
5. assister le Responsable de traitement dans le respect de ses obligations (28.3.e-f) ;
6. supprimer ou restituer les données à la fin du Contrat (28.3.g) ;
7. mettre à disposition les informations nécessaires pour démontrer la conformité (28.3.h) ;
8. notifier les violations de données (article 33.2) ;
9. désigner un DPO (article 37).

A.2.4 Sous-traitants autorisés

Le Sous-traitant s'engage à informer le Responsable de traitement de tout changement de sous-traitant au moins 30 jours avant, conformément à l'article 28.2 du RGPD.

A.2.5 Droits des personnes concernées

Le Sous-traitant assiste le Responsable de traitement dans le traitement des demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition).

A.2.6 Notification des violations

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les 48 heures suivant sa connaissance, conformément à l'article 33.2 du RGPD, en fournissant : la nature de la violation, les catégories de données concernées, le nombre approximatif de personnes concernées, et les mesures prises ou proposées.

A.2.7 Responsabilités

Le Sous-traitant est responsable des dommages causés par le traitement effectué en violation des instructions du Responsable de traitement ou du présent DPA. Le Responsable de traitement reste responsable de la conformité globale de ses traitements.

A.2.8 Audit

Le Responsable de traitement peut auditer le Sous-traitant dans les conditions de l'article 13 des CGV B2B.

Les présentes CGV B2B sont soumises au droit français. Pour toute information complémentaire, contactez l'Éditeur à support@neuredia.fr.

Éditeur : Neuredia — SASU (société à mission), en cours d'immatriculation

Contact DPO : dpo@neuredia.fr