Le présent contrat de sous-traitance de données personnelles, ci-après le « DPA », constitue une annexe aux Conditions Générales de Vente de Novalyweb et fait partie intégrante du contrat conclu entre les Parties.

Article 1 — Parties

Le Responsable de traitement

L'entreprise ou le professionnel identifié comme « Installateur » dans le bon de commande conclu avec Novalyweb, ci-après l'« Installateur » ou le « Responsable de traitement ».

Le Sous-traitant

Ci-après « Novalyweb » ou le « Sous-traitant ».

L'Installateur et Novalyweb sont ensemble désignés les « Parties ».

Article 2 — Objet

Le présent DPA définit les conditions dans lesquelles Novalyweb traite des données à caractère personnel pour le compte de l'Installateur dans le cadre du Service Novalyweb.

Il complète les Conditions Générales de Vente et vise notamment à satisfaire aux exigences de l'article 28 du règlement (UE) 2016/679 du 27 avril 2016, dit « RGPD ».

Pour les traitements visés par le présent DPA :

• l'Installateur détermine les finalités du traitement et agit en qualité de Responsable de traitement ;
• Novalyweb traite les données pour le compte de l'Installateur et agit en qualité de Sous-traitant.

Le présent DPA ne concerne pas les traitements pour lesquels Novalyweb détermine lui-même les finalités et moyens du traitement, notamment la gestion de sa propre relation contractuelle, administrative, comptable et commerciale avec l'Installateur. Ces traitements sont décrits dans la Politique de confidentialité de Novalyweb.

Article 3 — Description des traitements confiés à Novalyweb

3.1 — Objet des traitements

Novalyweb fournit à l'Installateur un système permettant notamment :

• la collecte de demandes de devis ;
• la vérification et le classement des demandes ;
• leur affectation à l'Installateur compétent ;
• la gestion et le suivi des Prospects et Clients finaux ;
• l'envoi de notifications liées aux dossiers ;
• la préparation, l'émission et le suivi de devis ;
• la transmission des informations nécessaires au traitement des paiements par les prestataires de paiement concernés ;
• la planification de rendez-vous et l'envoi de rappels ;
• la sollicitation d'avis après prestation ;
• la génération de tableaux de bord et de récapitulatifs ;
• la conservation, l'export et la suppression des données conformément aux instructions du Responsable de traitement et au contrat ;
• la maintenance, la sécurisation et le support technique du Service.

3.2 — Nature des opérations

Les opérations susceptibles d'être effectuées sont notamment : collecte, enregistrement, organisation, structuration, conservation, consultation, adaptation, rapprochement, transmission, mise à disposition, extraction, export, limitation, suppression et, lorsqu'elle est appropriée, anonymisation irréversible.

3.3 — Finalités

Les données sont traitées uniquement afin de fournir le Service demandé par l'Installateur et selon les finalités qu'il détermine dans le cadre de la gestion de ses Prospects et Clients finaux.

Novalyweb n'utilise pas ces données pour ses propres activités de prospection commerciale et ne les vend ni ne les loue.

Article 4 — Personnes concernées et catégories de données

4.1 — Personnes concernées

Les traitements peuvent concerner notamment :

• les personnes adressant une demande de devis à l'Installateur ;
• les Prospects de l'Installateur ;
• les Clients finaux de l'Installateur ;
• les personnes participant à un rendez-vous ou à une prestation gérée à travers le Service ;
• les contacts agissant pour le compte de ces personnes lorsque cela est nécessaire au traitement de leur dossier.

4.2 — Catégories de données

Selon l'utilisation du Service, les données peuvent notamment comprendre :

• nom et prénom ;
• adresse email ;
• numéro de téléphone ;
• adresse postale ;
• code postal et commune ;
• informations relatives au projet communiquées au moyen du formulaire ;
• type d'installation ou de prestation recherchée ;
• informations relatives au logement communiquées par la personne ;
• date et contenu utile des échanges relatifs au dossier ;
• devis et informations associées ;
• rendez-vous et informations de planification ;
• état des paiements et références techniques associées ;
• état d'avancement du dossier ;
• historique des notifications ;
• informations nécessaires à l'envoi d'une sollicitation d'avis ;
• données techniques strictement nécessaires à la sécurité et au fonctionnement du Service.

Les données complètes de carte bancaire ne sont pas destinées à être collectées ou stockées par Novalyweb.

Le Service n'est pas conçu pour collecter des catégories particulières de données au sens de l'article 9 du RGPD. L'Installateur veille à ne pas demander leur collecte sauf nécessité particulière, base juridique appropriée et accord préalable sur les mesures nécessaires.

Article 5 — Durée du traitement

Novalyweb traite les données pour le compte de l'Installateur pendant la durée du contrat.

Les durées métier applicables aux différentes catégories de données sont déterminées par le Responsable de traitement conformément à la réglementation et à ses propres obligations.

À la fin du contrat, les règles de restitution et de suppression prévues à l'article 16 du présent DPA s'appliquent.

Article 6 — Instructions documentées

Novalyweb ne traite les données personnelles que sur instruction documentée de l'Installateur.

Constituent notamment des instructions documentées :

• le contrat et ses annexes ;
• le bon de commande ;
• les paramètres configurés par ou pour l'Installateur dans le Service ;
• les demandes adressées par écrit à Novalyweb ;
• les actions valablement effectuées par l'Installateur au moyen des interfaces du Service.

Si Novalyweb estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données, il en informe l'Installateur sans délai, sauf interdiction légale.

Novalyweb peut suspendre l'exécution d'une instruction manifestement illicite jusqu'à sa clarification.

Lorsque Novalyweb est tenu de traiter certaines données en vertu du droit de l'Union européenne ou du droit français indépendamment des instructions de l'Installateur, il l'en informe préalablement sauf si la loi interdit cette information.

Article 7 — Confidentialité

Novalyweb veille à ce que toute personne autorisée à traiter les données pour son compte :

• soit soumise à une obligation appropriée de confidentialité ;
• n'accède qu'aux données nécessaires à l'exercice de sa mission ;
• reçoive des instructions appropriées concernant la protection des données ;
• n'utilise pas les données pour des finalités étrangères au Service.

Les obligations de confidentialité subsistent après la cessation de l'accès aux données.

Article 8 — Sécurité

Novalyweb met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques présentés par les traitements.

Ces mesures comprennent notamment, selon les composants concernés :

• chiffrement des communications au moyen de HTTPS/TLS ;
• mécanismes d'authentification et de contrôle d'accès ;
• limitation des accès selon le principe du moindre privilège ;
• cloisonnement logique des données par Installateur ;
• utilisation d'identifiants individuels lorsque cela est applicable ;
• journalisation technique des opérations nécessaires à la sécurité ;
• mesures de protection contre les soumissions automatisées et abusives ;
• mises à jour et correctifs de sécurité ;
• sauvegardes appropriées ;
• procédures permettant de rétablir les données ou le Service en cas d'incident lorsque cela est techniquement applicable ;
• surveillance et traitement des incidents de sécurité ;
• mesures destinées à préserver la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes.

L'Installateur demeure responsable de la sécurité de ses propres terminaux, comptes, mots de passe et moyens d'accès au Service.

Article 9 — Sous-traitants ultérieurs

L'Installateur accorde à Novalyweb une autorisation générale de recourir à des sous-traitants ultérieurs lorsque ceux-ci sont nécessaires à la fourniture du Service.

La liste initiale figure en annexe du présent DPA.

Novalyweb :

• sélectionne des prestataires présentant des garanties suffisantes en matière de protection des données ;
• impose aux sous-traitants ultérieurs des obligations de protection des données compatibles avec celles imposées à Novalyweb ;
• demeure responsable à l'égard de l'Installateur de l'exécution des obligations confiées à ces sous-traitants dans les conditions prévues par le RGPD ;
• informe préalablement l'Installateur de tout ajout ou remplacement substantiel d'un sous-traitant ultérieur.

L'Installateur peut formuler une objection motivée par des raisons sérieuses relatives à la protection des données.

Les Parties recherchent alors une solution raisonnable permettant de continuer à fournir le Service sans compromettre la protection des données.

Article 10 — Prestataires ayant un rôle distinct de sous-traitant ultérieur

Certains prestataires techniques peuvent intervenir dans une relation juridique ne correspondant pas, pour toutes leurs opérations, à celle de sous-traitant ultérieur de Novalyweb.

C'est notamment le cas des prestataires de paiement.

Le rôle exact du prestataire est apprécié en fonction du traitement réalisé, du service utilisé, de l'entité ayant souscrit le service et de la partie déterminant les finalités et moyens du traitement.

En particulier, Stripe peut, selon les opérations concernées et les conditions de ses propres services, intervenir en qualité de sous-traitant ou de responsable de traitement conformément à ses propres conditions contractuelles et à son accord de traitement des données.

Pour les paiements réalisés par les Clients finaux au moyen du compte Stripe de l'Installateur, les conditions contractuelles et règles de protection des données propres à Stripe et à l'Installateur s'appliquent également.

Novalyweb ne devient pas, du seul fait de l'intégration technique de Stripe Connect, responsable des finalités propres poursuivies par Stripe dans le cadre de ses obligations réglementaires, de sécurité, de prévention de la fraude ou de fourniture de services de paiement.

Article 11 — Transferts internationaux

Novalyweb privilégie des infrastructures situées dans l'Espace économique européen lorsque cela est possible.

Lorsqu'un traitement ou un accès à des données implique un transfert vers un pays situé hors de l'Espace économique européen, Novalyweb veille à ce qu'un mécanisme conforme au chapitre V du RGPD soit applicable.

Il peut notamment s'agir :

• d'une décision d'adéquation de la Commission européenne ;
• des clauses contractuelles types adoptées par la Commission européenne ;
• du cadre de protection des données UE–États-Unis lorsque le destinataire concerné bénéficie valablement de ce mécanisme ;
• ou de tout autre mécanisme légalement applicable.

Lorsque cela est requis, des mesures complémentaires appropriées sont mises en œuvre au regard des risques du transfert.

Article 12 — Droits des personnes concernées

Compte tenu de la nature du traitement et dans la mesure du possible, Novalyweb assiste l'Installateur pour répondre aux demandes relatives aux droits des personnes, notamment les droits :

• d'accès ;
• de rectification ;
• d'effacement ;
• de limitation ;
• d'opposition ;
• de portabilité ;
• ainsi qu'aux garanties relatives aux décisions individuelles automatisées lorsqu'elles sont applicables.

Lorsqu'une personne concernée adresse directement à Novalyweb une demande portant sur des données traitées pour le compte de l'Installateur, Novalyweb :

• ne se substitue pas à l'Installateur pour décider de la réponse à apporter ;
• transmet la demande à l'Installateur sans retard indu et, lorsque cela est raisonnablement possible, dans un délai maximal de 72 heures ;
• fournit les éléments techniques nécessaires à son traitement.

Novalyweb peut répondre directement lorsque l'Installateur lui en donne l'instruction ou lorsque la loi l'impose.

Article 13 — Violations de données personnelles

Novalyweb informe l'Installateur sans délai indu après avoir pris connaissance d'une violation de données personnelles affectant les données traitées pour son compte.

Dans la mesure où les informations sont disponibles, Novalyweb communique notamment :

• la nature de l'incident ;
• les catégories de données concernées ;
• les catégories et, si possible, le nombre approximatif de personnes concernées ;
• les conséquences probables de la violation ;
• les mesures prises ou proposées pour remédier à l'incident et en limiter les conséquences.

Lorsque toutes les informations ne sont pas disponibles immédiatement, elles peuvent être fournies progressivement.

Novalyweb coopère raisonnablement avec l'Installateur afin de lui permettre d'évaluer ses obligations de notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées.

La présente disposition ne prive pas Novalyweb de ses propres obligations de notification lorsqu'il agit lui-même en qualité de Responsable de traitement pour un traitement distinct.

Article 14 — Analyse d'impact et consultation préalable

Compte tenu de la nature des traitements et des informations dont il dispose, Novalyweb fournit à l'Installateur une assistance raisonnable pour :

• la réalisation d'une analyse d'impact relative à la protection des données lorsqu'elle est requise ;
• une éventuelle consultation préalable de l'autorité de contrôle.

Cette assistance porte sur les traitements et éléments techniques relevant effectivement de Novalyweb.

Article 15 — Documentation et audits

Novalyweb met à la disposition de l'Installateur les informations raisonnablement nécessaires pour démontrer le respect des obligations prévues par l'article 28 du RGPD.

L'Installateur peut demander un audit portant sur les traitements effectués pour son compte.

Sauf incident de sécurité, demande d'une autorité ou motif sérieux de non-conformité, l'audit doit :

• être précédé d'un préavis raisonnable ;
• être réalisé pendant les horaires habituels d'activité ;
• ne pas compromettre la sécurité du Service ;
• ne pas permettre l'accès aux données d'autres clients, aux secrets d'affaires de Novalyweb ou aux informations de sécurité dont la divulgation créerait un risque.

Les Parties privilégient, lorsqu'ils sont suffisants, la fourniture de documents, attestations, rapports ou réponses écrites avant toute inspection technique.

Article 16 — Fin du contrat, restitution et suppression

À la fin de la prestation de sous-traitance, l'Installateur choisit entre la restitution et la suppression des données personnelles traitées pour son compte, sous réserve des obligations légales applicables.

Afin de permettre la réversibilité du Service, l'Installateur dispose d'une période de trente jours suivant la fin du contrat pour demander ou réaliser l'export de ses données dans un format structuré et exploitable.

L'Installateur peut également demander leur suppression avant l'expiration de cette période.

Après restitution et au plus tard à l'expiration de la période de trente jours, Novalyweb supprime les données personnelles restant sous son contrôle pour le compte de l'Installateur ainsi que les copies existantes, sauf :

• instruction différente licite de l'Installateur ;
• obligation légale imposant une conservation ;
• délais techniques strictement nécessaires à l'effacement des sauvegardes.

Lorsqu'une conservation est légalement obligatoire, les données concernées sont isolées et ne sont plus utilisées pour la fourniture courante du Service.

Une anonymisation ne peut être considérée comme une suppression que lorsqu'elle est irréversible et que les informations ne constituent plus des données personnelles.

Article 17 — Obligations de l'Installateur

L'Installateur demeure responsable :

• de la licéité des traitements qu'il confie à Novalyweb ;
• de la détermination de leurs finalités et bases juridiques ;
• de l'information de ses Prospects et Clients finaux ;
• de l'exercice de leurs droits ;
• de la pertinence et de la proportionnalité des données collectées ;
• de la définition des durées de conservation applicables à son activité ;
• des instructions adressées à Novalyweb.

L'Installateur garantit disposer d'une base juridique appropriée pour les données qu'il demande à Novalyweb de traiter.

Article 18 — Coopération avec les autorités

Novalyweb coopère, dans la mesure prévue par la réglementation, avec l'autorité de contrôle compétente.

Toute demande d'une autorité portant spécifiquement sur les traitements réalisés pour le compte de l'Installateur lui est communiquée lorsque la loi l'autorise.

Article 19 — Responsabilité

Chaque Partie demeure responsable du respect des obligations qui lui incombent en vertu du RGPD et des autres textes applicables.

Les stipulations de responsabilité des CGV demeurent applicables dans la mesure où elles sont compatibles avec les dispositions impératives relatives à la protection des données personnelles.

Aucune disposition du présent DPA ne peut avoir pour effet d'écarter une responsabilité ou une obligation que la loi interdit contractuellement d'exclure ou de limiter.

Article 20 — Hiérarchie contractuelle

En cas de contradiction concernant spécifiquement la protection des données personnelles :

1. les dispositions impératives du RGPD et du droit applicable prévalent ;
2. le présent DPA prévaut sur les dispositions générales des CGV ;
3. les CGV demeurent applicables pour le surplus.

Article 21 — Modification du DPA

Toute modification substantielle du présent DPA est portée à la connaissance de l'Installateur.

Lorsque la modification affecte de manière substantielle les conditions dans lesquelles les données sont traitées pour son compte, elle fait l'objet d'une nouvelle version identifiable.

La preuve de la version acceptée par l'Installateur est conservée conformément au mécanisme de contractualisation du Service.

Article 22 — Droit applicable

Le présent DPA est soumis au droit français, sans préjudice de l'application directe du RGPD et des règles impératives applicables en matière de protection des données.