Contrat de sous-traitance Chapps

Le présent contrat de sous-traitance (ci-après : le « Contrat de Sous-Traitance ») fait partie intégrante du contrat conclu avec le Client, en complément des Conditions Générales et de la Licence Logicielle de Chapps.

Considérations

Dans le cadre de la fourniture des Services au Client, Chapps aura accès à des données à caractère personnel et/ou devra autrement traiter ces données à caractère personnel pour lesquelles le Client agit en tant que « Responsable du traitement » au sens du Règlement (UE) 2016/679 du 27 avril 2016 (Règlement Général sur la Protection des Données, ci-après « RGPD »).

Par le présent Contrat de Sous-Traitance, les Parties souhaitent consigner par écrit leurs accords réciproques relatifs (i) à la gestion, la sécurité et/ou le traitement de ces données à caractère personnel et (ii) à leur obligation de respecter la législation sur la protection des données.

Veuillez noter que le présent Contrat de Sous-Traitance ne vise exclusivement que le rôle de Chapps en qualité de Sous-traitant et non de Responsable du traitement. Pour plus d’informations concernant les traitements réalisés par Chapps (pour ses clients) en sa qualité de Responsable du traitement, veuillez consulter notre Politique de Confidentialité.

LES PARTIES CONVIENNENT DE CE QUI SUIT :

1. DÉFINITIONS

Dans le présent Contrat de Sous-Traitance, les termes commençant par une majuscule ont la signification définie ci-après.

Les termes « Contrat », « Client », « Compte Client », « Données Client », « Partie/Parties », « Services », « Licence Logicielle », « Chapps », « Applications Chapps » et « Logiciel Chapps » ont la signification qui leur est donnée dans les Conditions Générales et la Licence Logicielle.

Aux seules fins du présent Contrat de Sous-Traitance, l’expression « Données à caractère personnel du Client » désigne toutes les données à caractère personnel pour lesquelles le Client agit comme « Responsable du traitement » et que Chapps sera amenée à traiter dans le cadre de la fourniture des Services au Client. Une liste non exhaustive figure à l’Annexe I. Pour éviter toute ambiguïté : cette définition est plus large que celle figurant dans les Conditions de Service.

Les termes « Responsable du traitement », « Personne concernée », « Violation de données », « Données à caractère personnel », « Sous-traitant » et « Traitement/Traiter » ont la signification prévue par le RGPD.

Intégration : Une intégration logicielle entre le Logiciel Chapps et une application tierce, rendue possible via l’API (Application Programming Interface) du Logiciel Chapps.

Intégration optionnelle : Une intégration que le Client sélectionne et active de manière autonome et qu’il peut désactiver pendant la durée du Contrat.

Intégration standard : Une intégration automatiquement activée lors de l’utilisation des Services et que le Client ne peut désactiver pendant la durée du Contrat.

Sous-traitant ultérieur : Tout sous-traitant auquel Chapps fait appel et qu’elle autorise dans le cadre du présent contrat, dès lors qu’il nécessite un accès logique à certaines Données à caractère personnel du Client pour fournir une partie des Services ou le support technique. Cela inclut — sans s’y limiter — toutes les intégrations standard impliquant un traitement de Données à caractère personnel du Client.

Le présent Contrat de Sous-Traitance comprend les annexes suivantes :

Annexe I
Aperçu (i) des données à caractère personnel que les Parties prévoient de traiter, (ii) des catégories de personnes concernées, (iii) des opérations (types de traitement), (iv) des finalités et moyens du traitement ainsi que (v) des durées de conservation.
Annexe II
Description des mesures de sécurité mises en place par Chapps dans le cadre du présent contrat.
Annexe III
Liste des Sous-traitants ultérieurs de Chapps.

2. RÔLE DES PARTIES

Les Parties reconnaissent et conviennent que, pour le traitement des Données à caractère personnel du Client, le Client agit en tant que Responsable du traitement et Chapps en tant que Sous-traitant. Chapps peut engager un ou plusieurs Sous-traitants ultérieurs conformément à l’article 6.

3. UTILISATION DES SERVICES

3.1 Le Client reconnaît expressément que :

Chapps agit exclusivement en tant que fournisseur de Services. Le Client est donc seul responsable de l’utilisation qu’il fait des Services ;
Il est seul responsable du respect de toutes les obligations légales (notamment, sans s’y limiter, les délais de conservation) lui incombant dans le cadre de l’utilisation des Services.

3.2 En cas de mauvaise utilisation des Services par le Client, celui-ci accepte que Chapps ne puisse en aucun cas être tenue responsable, y compris pour les dommages découlant d’une telle mauvaise utilisation.

3.3 Le Client s’engage donc à indemniser et garantir Chapps contre toute réclamation découlant d’une telle mauvaise utilisation, y compris celles introduites par des Personnes concernées et/ou des tiers.

4. OBJET

4.1 Le Client reconnaît que Chapps traitera des Données à caractère personnel du Client du fait de l’utilisation des Services.

4.2 Chapps traitera les Données à caractère personnel du Client de manière correcte, prudente et en conformité avec la législation relative à la protection des données ainsi que toute autre réglementation applicable. Chapps mettra en œuvre tout son savoir-faire pour exécuter les Services de manière professionnelle.

4.3 Chapps ne traitera les Données à caractère personnel du Client que sur instruction du Client et conformément à ses directives — telles que décrites en Annexe I — sauf disposition légale contraire.

Le Client, en qualité de Responsable du traitement, demeure propriétaire et conserve l’entière maîtrise :

(i) du traitement des Données à caractère personnel du Client ;
(ii) des types de données traitées ;
(iii) des finalités poursuivies ;
(iv) de la proportionnalité du traitement.

Le Client est seul responsable du respect de ses propres obligations légales (notamment, sans s’y limiter, les délais de conservation) et de l’exactitude, la qualité et la licéité des Données à caractère personnel du Client introduites dans le Logiciel Chapps, ainsi que de la manière dont ces données ont été obtenues. Chapps n’assume aucune responsabilité à cet égard.

5. MESURES DE SÉCURITÉ

Compte tenu de l’état de la technique, Chapps met en œuvre des mesures techniques et organisationnelles appropriées pour protéger :

(i) les Données à caractère personnel du Client — y compris contre l’utilisation et/ou le traitement incorrects, non autorisés ou illicites, ainsi que contre la perte, la destruction ou la détérioration accidentelles — ;

(ii) la confidentialité et l’intégrité de ces données, conformément aux mesures décrites à l’Annexe II.

6. SOUS-TRAITANTS ULTÉRIEURS

6.1 Le Client reconnaît et accepte que Chapps puisse faire appel à d’autres Sous-traitants ultérieurs dans le cadre du Contrat. Chapps s’assure que ces Sous-traitants ultérieurs sont soumis à des obligations au moins équivalentes à celles prévues dans le présent Contrat.

6.2 La liste de tous les Sous-traitants ultérieurs figure en Annexe III. Cette liste indique l’identité et le pays d’établissement des Sous-traitants. Elle inclut toujours toutes les intégrations standard impliquant un traitement de Données à caractère personnel du Client. Les Parties conviennent que les fournisseurs d’intégrations optionnelles ne constituent pas des Sous-traitants ultérieurs au sens du présent Contrat.
Lorsque le Client utilise une intégration optionnelle, une relation contractuelle distincte naît entre le Client et le fournisseur de cette intégration. Chapps ne contrôle ni l’utilisation de ces intégrations ni leur conformité. Le Client en assume l’entière responsabilité. Chapps recommande au Client de conclure un contrat de sous-traitance séparé avec les fournisseurs concernés.

6.3 Chapps s’engage à informer le Client par écrit de tout changement envisagé dans cette liste (notamment l’ajout ou le remplacement d’un Sous-traitant ultérieur).
Le Client dispose d’un droit d’opposition. Pour exercer ce droit, il doit notifier Chapps par écrit, de manière motivée, dans les dix (10) jours suivant la notification.

6.4 Si le Client s’oppose à un nouveau Sous-traitant ultérieur et que cette opposition n’est pas déraisonnable, Chapps déploiera des efforts raisonnables pour trouver une solution.
Si aucune solution n’est trouvée, le Client pourra résilier le Contrat, à condition :

qu’il ne puisse utiliser les Services sans le Sous-traitant concerné ; et/ou
que la résiliation porte exclusivement sur les Services impossibles à fournir sans ce Sous-traitant ;

et sous réserve d’en notifier Chapps par écrit dans un délai raisonnable.

7. DÉLÉGUÉ À LA PROTECTION DES DONNÉES

7.1 Chapps a désigné un Délégué à la Protection des Données (DPD/DPO).

7.2 Le DPD est joignable à l’adresse : privacy@chapps.com

8. TRANSFERT DE DONNÉES EN DEHORS DE L’EEE

Tout transfert de Données à caractère personnel du Client vers un destinataire situé en dehors de l’EEE et non couvert par une décision d’adéquation de la Commission européenne sera soumis :

(i) aux clauses contractuelles types du 4 juin 2021 (Décision d’exécution (UE) 2021/914), ou
(ii) à tout autre mécanisme admis par le droit applicable en matière de protection des données.

9. CONFIDENTIALITÉ

9.1 Chapps traite les Données à caractère personnel du Client de manière strictement confidentielle et ne les divulguera à aucun tiers sans l’accord écrit préalable du Client, sauf :

dérogation écrite expresse ;
obligation légale, judiciaire ou administrative.
Dans ce cas, Chapps informera le Client de la nature et de l’étendue de la divulgation.

9.2 Chapps veille à ce que les membres de son personnel impliqués dans la fourniture des Services :

• soient informés de leurs obligations de confidentialité ;
• aient reçu une formation adéquate ;
• aient signé un engagement écrit de confidentialité.
Cette obligation survit à la fin de leur relation de travail.

9.3 Chapps limite l’accès aux Données à caractère personnel du Client uniquement aux employés nécessaires pour exécuter les Services.

10. NOTIFICATION

10.1 Chapps s’efforcera d’informer le Client dans un délai raisonnable lorsqu’elle :

reçoit une demande, une assignation ou un ordre d’une autorité compétente relatif au traitement des Données à caractère personnel du Client ;
envisage de divulguer des Données à une autorité ;
constate ou suspecte raisonnablement une Violation de données.

10.2 En cas de Violation de données, Chapps :

informera le Client sans délai et l’assistera, dans la mesure du possible, dans ses obligations de notification prévues par la loi ;
prendra rapidement toutes mesures correctrices adéquates.

11. DROITS DES PERSONNES CONCERNÉES

11.1 Lorsque le Client ne peut exercer les droits prévus par la loi (rectification, modification, blocage, suppression), Chapps apportera l’assistance raisonnablement requise — dans la mesure permise par la loi.
Les frais encourus sont à la charge du Client.

11.2 Chapps informera le Client, dans la mesure permise par la loi, de toute demande reçue d’une Personne concernée.
Chapps ne répondra à aucune demande sans l’accord écrit du Client, sauf pour confirmer que la demande concerne ce dernier, ce que le Client accepte expressément.

Chapps fournira une assistance raisonnable au Client pour répondre à ces demandes, dans la mesure permise par la loi.
Les frais encourus sont à la charge du Client.

12. RESTITUTION ET SUPPRESSION DES DONNÉES

12.1 Chapps met à disposition du Client, dans la mesure du possible, des fonctionnalités lui permettant de supprimer des Données à caractère personnel via son Compte Client pendant la durée du Contrat.

12.2 À la fin de la Licence Logicielle, le Client peut demander l’export de ses Données (personnelles ou non) contre remboursement des frais y afférents. La demande doit être effectuée avant la fin de la Licence.

À la fin de celle-ci, Chapps procédera d’abord à une suppression logique (Soft Deletion) pour une durée de trente (30) jours. Pendant cette période, le Compte Client peut être restauré ou exporté à la demande du Client — moyennant frais éventuels.

Après ce délai, Chapps procédera à une suppression définitive (Hard Deletion). Après cette suppression, aucune restauration ni export n’est possible.

13. DROITS D’AUDIT

13.1 Chapps fournit au Client toutes informations nécessaires pour démontrer le respect du présent Contrat.

13.2 Chapps autorise le Client (ou un tiers mandaté) à effectuer des inspections ou audits.
Les frais d’assistance sont à la charge du Client, dans la mesure autorisée par la loi.
Les inspections doivent être réalisées pendant les heures normales, respecter les règles internes de Chapps et ne pas perturber excessivement ses activités.

14. DISPOSITIONS DIVERSES

14.1 Le présent Contrat reste en vigueur tant que le Contrat principal reste en vigueur. Certaines dispositions continueront à produire leurs effets après sa fin (notamment les articles 9 et 15).

14.2 Si une disposition est jugée invalide ou inapplicable, le reste du Contrat demeure en vigueur. Les Parties négocieront une clause équivalente. À défaut, le tribunal pourra réduire la clause à ce qui est légalement admissible.

14.3 Toute modification doit être acceptée par écrit par les deux Parties.
Aucune Partie ne peut céder ses droits et obligations sans l’accord écrit préalable de l’autre.

14.5 Toute tolérance dans l’exécution ne vaut pas renonciation.

14.6 Le présent Contrat prévaut sur toute autre convention relative au traitement des données entre les Parties.

15. DROIT APPLICABLE ET JURIDICTION

Toutes questions relatives à la validité, l’interprétation, l’exécution ou la cessation du présent Contrat sont régies exclusivement par le droit belge, sans application de règles de conflit de lois.

15.1 Les litiges seront soumis exclusivement aux tribunaux du ressort dans lequel se situe le siège social de Chapps.

ANNEXE I

Traitement des données à caractère personnel par Chapps

Le présent document fournit un aperçu des Données à caractère personnel que Chapps est amenée à traiter pour le compte du Client conformément au Contrat, y compris les catégories de personnes concernées, les types d’opérations de traitement, les moyens et finalités du traitement ainsi que les durées de conservation.

Données à caractère personnel traitées

a) Données à caractère personnel des utilisateurs :

Prénom
Nom
Adresse e-mail
Numéro de téléphone
Rôle utilisateur
Photo de profil
Signature
Autres données à caractère personnel selon l’utilisation des Services par le Client (p. ex. : documents téléchargés contenant des données personnelles, descriptions saisies dans des champs de texte libre contenant des données personnelles).b) Données à caractère personnel de tiers (p. ex. : clients, prospects, partenaires commerciaux, clients du Client) :

Prénom
Nom
Adresse(s) e-mail
Numéro(s) de téléphone
Numéro(s) de fax
Adresse(s) postale(s)
Sexe
Langue
Date de naissance
Lieu de naissance
Numéro de registre national belge
Numéro de document d’identité
IBAN et BIC
Image
Toutes autres Données à caractère personnel du Client, dépendant de l’utilisation des Services par le Client.

Chapps ne prévoit en aucun cas le traitement de catégories particulières de données au sens de la législation sur la protection des données, y compris, sans s’y limiter, les données relatives à la santé, l’origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’orientation sexuelle, etc.
Toute responsabilité relative à l’introduction ou au traitement de telles données sensibles incombe exclusivement au Client.

Catégories de personnes concernées

Utilisateurs
Clients du Client
Prestataires de services du Client
Partenaires commerciaux du Client
Toute autre personne dont les Données à caractère personnel sont saisies dans le Logiciel Chapps par l’utilisateur.

Utilisation des données, moyens et finalités du traitementa) Utilisation des Données à caractère personnel :

Mise à disposition des Données à caractère personnel du Client pour leur consultation, édition, analyse ou exportation via le Compte Client ;
Stockage des Données à caractère personnel du Client dans le cloud ;
Création de sauvegardes pour la restauration en cas d’incident.b) Moyens de traitement :

Le Logiciel Chapps ;
Les intégrations standard.c) Finalités du traitement :

Ajout et suivi des Données à caractère personnel du Client ;
Suivi dans le cadre de la gestion immobilière du Client ;
Création de rapports d’inspection par le Client ;
Création de documents par le Client ;
Gestion de dossiers locatifs ;
Création et gestion de notifications par les clients du Client ;
Stockage et gestion de documents ;
Planification et suivi de rendez-vous.

4. Durée de conservation

Chapps conserve les Données à caractère personnel du Client tant que le Contrat reste en vigueur, sauf suppression anticipée demandée ou effectuée par le Client.

Après la cessation du Contrat :

Chapps effectue d’abord une suppression logique (Soft Deletion) de toutes les données.
Entre 30 jours et 3 mois après la fin du Contrat au plus tard, les données sont définitivement supprimées (Hard Deletion).
Après cette suppression définitive, aucune restauration ni export n’est possible.

Chapps peut, dans certains cas, conserver temporairement des données en suppression logique pour permettre une récupération en cas d’erreur du Client.

Après la fin du Contrat, Chapps est autorisée à conserver des données anonymisées (ou des extraits) à des fins de recherche, de formation, d’enseignement, de statistiques ou à des fins commerciales.

ANNEXE II

Sécurité des données à caractère personnel par Chapps

Ce document décrit les mesures techniques et organisationnelles mises en œuvre par Chapps pour soutenir ses activités de traitement conformément à la législation sur la protection des données.

1. Contrôle d’accès physique à l’infrastructure de traitement

Les serveurs d’applications, applications web, communication, stockage multimédia et bases de données sont hébergés dans des centres de données sécurisés situés en Belgique et exploités par Accenture.
Chapps a conclu avec Accenture un contrat de sous-traitance conforme aux obligations de protection des données.

2. Contrôle d’accès logique aux systèmes traitant des données personnelles

Chapps a mis en place des mesures visant à empêcher toute utilisation non autorisée :

Identification de l’appareil et/ou de l’utilisateur ;
Déconnexion automatique en cas d’inactivité ;
Blocage automatique après plusieurs tentatives de connexion infructueuses, avec examen régulier des journaux ;
Contrôle d’accès via pare-feu, routeurs et VPN ;
Audits de sécurité ponctuels ;
Analyses de sécurité régulières par des auditeurs internes et externes ;
Attribution et stockage sécurisés des identifiants d’accès ;
Accès basé sur les rôles, limité au principe du moindre privilège ;
Journalisation des accès aux serveurs, applications, bases de données, routeurs et commutateurs ;
Utilisation d’outils commerciaux et développés sur mesure pour analyser les journaux du logiciel Chapps et des systèmes.

3. Contrôle de disponibilité

Mesures visant à protéger les données contre la destruction ou la perte accidentelle :

Infrastructure redondante ;
Évaluations continues des centres de données et fournisseurs internet ;
Centres de données sécurisés, alimentation électrique redondante, infrastructure redondante ;
Accords de niveau de service garantissant une disponibilité maximale ;
Basculement rapide en cas d’incident.

4. Contrôle de transmission

Mesures pour éviter que des tiers non autorisés lisent, copient, modifient ou suppriment des données lors de leur transmission :

Pare-feu et technologies de chiffrement appropriées ;
Chiffrement via TLS ou protocoles de sécurité équivalents utilisant des algorithmes robustes ;
Accès sécurisé aux interfaces internes via TLS ;
Chiffrement de bout en bout pour l’accès à distance, le support ou la communication en temps réel.

5. Contrôle d’entrée

Mesures garantissant la traçabilité des actions réalisées sur les Données à caractère personnel :

Authentification des employés autorisés ;
Protection des opérations de saisie, modification et suppression et journalisation des opérations critiques ;
Séparation et protection des données via schémas de base de données, contrôles d’accès et chiffrement ;
Identifiants personnels d’accès ;
Sécurisation physique des sites de traitement ;
Expiration automatique des sessions.

6. Contrôle et monitoring

Chapps n’accède aux Données à caractère personnel du Client que dans les cas suivants :

exécution des Services ;
réalisation de contrôles de sécurité ;
assistance au Client ;
analyse d’usage ou statistiques ;
obligation légale ;
demande du Client.

Mesures correspondantes :

Attribution nominative des administrateurs systèmes ;
Gestion stricte des accès en fonction des rôles ;
Journalisation des accès administrateurs.

ANNEXE III

Sous-traitants ultérieurs

Ci-dessous figure la liste des Sous-traitants ultérieurs de Chapps NV, sélectionnés pour garantir des normes élevées de protection des données.

Entité juridique – Finalité – Localisation – Adresse

Accenture NV – Infrastructure cloud : hébergement et stockage – Belgique (UE) – Picardstraat 11 bus 100, 1000 Bruxelles, Belgique

Teamleader NV – Gestion client, facturation, paiements – Irlande (UE) – Dok Noord 3A / 101, 9000 Gand, Belgique

Freshworks Inc. – Tickets support, site centre d’assistance – UE – 2950 S. Delaware Street, Suite 201, San Mateo CA 94403, USA

Hubspot Ireland Limited – Traitement des leads, CRM, marketing, communication, rendez-vous en ligne, support commercial – Irlande (UE) – One Sir John Rogerson’s Quay, Dublin 2, Irlande

Aareon Deutschland GmbH – Intégration API entre Logiciel Chapps et systèmes ERP Aareon – Allemagne (UE) – Isaac-Fulda-Allee 6, 55124 Mayence, Allemagne

UTS innovative Softwaresysteme GmbH – Intégration API entre Logiciel Chapps et KARTHAGO-ERP – Allemagne (UE) – Richmodstraße 6, 50667 Cologne, Allemagne

Thurnherr SA – Intégration API entre Logiciel Chapps et immob10 – Suisse – Morgenstraße 121, Case postale 753, 3018 Berne, Suisse

Informant Software B.V. – Intégration API avec Informant – Pays-Bas (UE) – Kwaklaan 9, 2291 AT Wateringen, Pays-Bas

Pararius B.V. – Intégration API avec Pararius – Pays-Bas (UE) – Blaak 555, 3011 GB Rotterdam, Pays-Bas

Vlaams Energiebedrijf NV – Échange de données de compteurs d’énergie via API REST – Belgique (UE) – Havenlaan 88, 1000 Bruxelles