Mentions juridiques
Sous-traitance des données
Traduction fournie à titre d'information. Seule la version allemande est juridiquement contraignante.
Pour toutes les données à caractère personnel qu'un client et les personnes qu'il a invitées traitent dans Feldkontor, le client est responsable du traitement. ALR Consulting UG (haftungsbeschränkt) est sous-traitant. La base en est le contrat suivant, qui est conclu avec le contrat d'utilisation. Les indications à compléter concernant le responsable du traitement sont ajoutées à la conclusion du contrat.
§ 1 Objet et durée
Le sous-traitant exploite pour le responsable du traitement l'application web « Feldkontor » sur la base du contrat d'utilisation. Le présent contrat s'applique pour la durée du contrat d'utilisation et au-delà, aussi longtemps que le sous-traitant traite des données du responsable du traitement.
§ 2 Nature, finalité, données et personnes concernées
| Caractéristique | Contenu |
|---|---|
| Nature du traitement | Collecte, conservation, mise à disposition, affichage, analyse, sauvegarde, restauration et effacement de données dans l'application ; envoi d'e-mails d'invitation et de notification |
| Finalité | Journal de chantier, avancement des travaux, logistique, prestations en régie, défauts, numéros de série, avenants, procès-verbaux de contrôle, de mesure et de mise à la terre ainsi que contrôle de chantier pour les projets du responsable du traitement |
| Types de données à caractère personnel | Nom, adresse e-mail, société, rôle et droits dans le projet ; heures de connexion, adresses IP et indications sur les appareils des sessions ; informations sur le personnel dans les rapports journaliers de chantier, comme le nombre, les temps de travail et les désignations des équipes ; noms et signatures sur les bons de régie, les procès-verbaux et les listes de présence ; personnels permanents déclarés des sous-traitants ; photos du chantier sur lesquelles des personnes peuvent être reconnaissables |
| Catégories de personnes concernées | Salariés du responsable du traitement, salariés de ses sous-traitants, représentants de son donneur d'ordre ou maître d'ouvrage, autres utilisateurs invités |
| Catégories particulières au sens de l'art. 9 RGPD | ne sont pas traitées ; le responsable du traitement s'assure que de telles données ne sont pas saisies |
| Lieu du traitement | exclusivement au sein de l'Union européenne |
§ 3 Instructions
Le sous-traitant ne traite les données que sur instruction documentée du responsable du traitement, sauf s'il est tenu de traiter en vertu du droit de l'Union ou du droit d'un État membre ; dans ce cas, il communique l'exigence juridique avant le traitement, dans la mesure où le droit ne l'interdit pas.
Les instructions sont données en forme écrite simple. Le responsable du traitement confirme sans délai les instructions orales en forme écrite simple. Si le sous-traitant estime qu'une instruction est illicite, il le communique sans délai et peut suspendre son exécution jusqu'à clarification.
§ 4 Obligations du sous-traitant
Il soumet à la confidentialité toutes les personnes qui ont accès aux données.
Il prend les mesures techniques et organisationnelles au titre de l'art. 32 RGPD conformément à l'annexe 1 et les adapte à l'état de la technique, sans abaisser le niveau de protection.
Il assiste le responsable du traitement par des mesures appropriées dans l'exercice des droits des personnes concernées au titre des art. 12 à 23 RGPD. Si une personne concernée s'adresse directement au sous-traitant, celui-ci transmet la demande sans délai au responsable du traitement et n'y répond pas lui-même.
Il assiste le responsable du traitement dans ses obligations au titre des art. 32 à 36 RGPD, dans la mesure où les informations nécessaires ne lui sont pas accessibles par ailleurs.
Il notifie les violations de données à caractère personnel sans délai, en règle générale dans les 48 heures suivant leur connaissance, avec les indications de l'art. 33, § 3 RGPD, pour autant qu'elles soient connues.
Il tient un registre des activités de traitement au titre de l'art. 30, § 2 RGPD.
Les prestations d'assistance qui dépassent l'étendue légale ou qui sont causées par des circonstances relevant de la sphère de responsabilité du responsable du traitement sont rémunérées par celui-ci selon le temps passé, au taux horaire convenu ⟨taux horaire⟩ ; le sous-traitant l'annonce au préalable.
§ 5 Sous-traitants ultérieurs
Le responsable du traitement donne une autorisation générale de recourir à des sous-traitants ultérieurs et autorise les suivants :
| Sous-traitant ultérieur | Prestation | Lieu |
|---|---|---|
| STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin | Exploitation du serveur, stockage, sauvegarde des données | Allemagne |
| A.S. Burgos Assistenz Dienstleistungen, Inhaberin Ana Silvia Burgos Gonzales, Am Mühlenbach 1, 49536 Lienen | Maintenance, correction d'erreurs et évolution de l'application, paramétrage des projets | Allemagne |
| Aucun service d'envoi distinct, l'envoi passe par la boîte aux lettres de l'exploitant chez STRATO GmbH | Envoi d'e-mails d'invitation et de notification | Allemagne |
Le sous-traitant informe le responsable du traitement des modifications envisagées au moins quatre semaines à l'avance, en forme écrite simple. Le responsable du traitement peut s'y opposer pour un motif grave relevant du droit de la protection des données. S'il s'y oppose, le sous-traitant peut résilier le contrat quant à la prestation concernée avec un délai d'un mois.
Le sous-traitant soumet contractuellement les sous-traitants ultérieurs aux mêmes obligations de protection des données et répond envers le responsable du traitement de leur respect.
Ne comptent pas comme sous-traitance ultérieure les prestations de télécommunication, postales, de transport et de nettoyage ainsi que les autres prestations accessoires sans rapport avec le traitement des données.
Affichage de la météo. Le serveur récupère les indications météorologiques du rapport journalier de chantier auprès d'Open-Meteo et ne transmet à cette occasion que les coordonnées du chantier, aucune donnée à caractère personnel ; le résultat est mis en cache pendant une heure. En exploitation sur serveur, le navigateur de l'utilisateur n'appelle pas le service directement, le service ne reçoit donc aucune adresse IP des utilisateurs.
§ 6 Droits de contrôle
Le responsable du traitement peut s'assurer du respect du présent contrat. Il annonce les contrôles au moins deux semaines à l'avance et les effectue pendant les heures d'ouverture habituelles, sans perturber le déroulement de l'exploitation, en règle générale une fois par année civile ainsi qu'en cas de motif concret.
Le sous-traitant met à disposition les informations et justificatifs nécessaires, en particulier sur les mesures de l'annexe 1 ainsi que les justificatifs de ses sous-traitants ultérieurs, dans la mesure où il en dispose.
Pour la charge d'un contrôle qui va au-delà d'un renseignement en forme écrite simple, le sous-traitant peut exiger une rémunération selon le temps passé.
§ 7 Effacement et restitution
Après la fin des prestations, le sous-traitant restitue les données sous forme d'export, au choix du responsable du traitement, ou les efface, au plus tard 30 jours après la fin du contrat, sauf obligation légale de conservation.
Les sauvegardes sont effacées à l'expiration de leur durée de conservation de 120 jours. Jusque-là, elles sont bloquées contre toute restauration et ne sont conservées que pour l'exécution de cette obligation d'effacement.
Les entrées supprimées dans l'application restent jusqu'à 120 jours dans l'archive et sont ensuite effacées définitivement.
§ 8 Responsabilité et dispositions finales
L'art. 82 RGPD s'applique à la responsabilité. Dans les rapports internes, chaque partie répond de la part du dommage qu'elle a causée ; l'art. 82, § 5 RGPD n'est pas affecté.
Pour le reste, les dispositions du contrat d'utilisation s'appliquent, en particulier ses dispositions en matière de responsabilité. En cas de contradiction, le présent contrat prime sur les dispositions de protection des données du contrat d'utilisation.
Les modifications requièrent la forme écrite simple. Le droit allemand s'applique. Si une disposition est inefficace, la validité des autres n'en est pas affectée.
Annexe 1 : mesures techniques et organisationnelles au titre de l'art. 32 RGPD
Les mesures décrivent l'état de la version 1.6.3 de l'application du 21.10.2026. La version détaillée de cette annexe existe sous forme de document distinct ; en cas d'écart, le document détaillé prévaut.
| Objectif de protection | Mesure |
|---|---|
| Contrôle d'accès physique | Exploitation sur un serveur virtuel de STRATO GmbH ; ses centres de données à Berlin et Karlsruhe sont certifiés selon DIN ISO/IEC 27001, le traitement a lieu exclusivement en Allemagne |
| Contrôle d'accès logique | Connexion uniquement avec un compte utilisateur personnel ; mots de passe d'au moins 10 caractères issus de 3 des 4 types de caractères ou de 16 caractères ; enregistrement exclusivement sous forme d'empreinte bcrypt ; première connexion par un code à usage unique généré aléatoirement, valable 72 heures, enregistré uniquement sous forme d'empreinte SHA-256 ; blocage de 15 minutes après 8 tentatives échouées par adresse IP ou 10 par compte ; accès au serveur exclusivement par SSH pour les administrateurs |
| Contrôle des droits d'utilisation | Rôles et droits individuels par projet ; vérification des droits par le serveur à chaque accès en lecture et en écriture ; séparation des mandants, les utilisateurs ne voient que les projets qui leur sont attribués ; les contenus internes ne sont pas transmis aux rôles donneur d'ordre et lecteur |
| Contrôle de transmission | Transmission exclusivement chiffrée par HTTPS avec certificat valide ; fichiers de configuration contenant des données d'accès lisibles uniquement par le service système |
| Contrôle de saisie | Enregistrement de l'auteur et de l'horodatage pour les rapports journaliers de chantier, les validations et les procès-verbaux ; journal d'audit inaltérable de toutes les modifications des utilisateurs, des droits et des projets ; historique des 20 dernières connexions par utilisateur ; somme de contrôle par PDF généré |
| Contrôle de disponibilité | sauvegarde complète quotidienne avec 120 jours de conservation ; sauvegarde supplémentaire avant les mises à jour, les restaurations et les modifications des données de base du projet ; restauration de projets isolés ou de l'ensemble des données ; archive des entrées supprimées pendant 120 jours ; dépôt d'une copie de sauvegarde en dehors du serveur |
| Contrôle de séparation | mandants et espaces de projet séparés dans la base de données ; vérification des droits par projet ; séparation des environnements de production, de démonstration et de développement |
| Contrôle de la sous-traitance | traitement uniquement sur instruction ; engagement de confidentialité des personnes impliquées ; contrats de sous-traitance avec tous les sous-traitants ultérieurs |
| Vérification | Contrôle des mesures à chaque nouvelle version de l'application, au moins une fois par an ; état du contrôle : version 1.6.3 du 21.10.2026 |