Accord de sous-traitance des données
Cet accord s'applique automatiquement à tout abonnement Alpax App. Il précise comment Alpax Production traite les données personnelles que le Client enregistre dans son Instance, conformément à l'article 28 du règlement général sur la protection des données (RGPD). Le Client qui souhaite une version signée peut la demander à info@alpax.be.
Responsable du traitement : le Client, l'entreprise titulaire de l'abonnement.
Sous-traitant : Alpax Production, entreprise individuelle, Rue Adolphe Willemyns 189, 1070 Anderlecht, Belgique — BCE / TVA BE 0562.712.836 — info@alpax.be
01Objet et durée
Alpax Production héberge, maintient et fait fonctionner l'Instance Alpax App du Client. L'accord dure aussi longtemps que l'abonnement, puis jusqu'à la suppression complète des données prévue à l'article 8 des CGV.
02Ce qui est traité
| Personnes concernées | Les utilisateurs de l'Instance (équipe du Client), les clients finaux qu'il invite, les contacts et fournisseurs qu'il enregistre. |
|---|---|
| Données | Identité et coordonnées, rôles, messages et messages vocaux, photos et vidéos (avec position si activée), documents, heures et pointages, dépenses, rapports et signatures, listes et commandes, données techniques de connexion. |
| Données sensibles | Aucune n'est demandée par l'application. Le Client s'engage à ne pas y enregistrer de données de santé ou d'autres catégories particulières sans base légale adaptée. |
| Opérations | Hébergement, stockage, sauvegarde, affichage, envoi d'e-mails et de notifications, génération de PDF, traitement par IA si le Client l'active, mise à jour, support, suppression. |
03Engagements d'Alpax Production
- Instructions : traiter les données uniquement pour fournir le service, sur instruction documentée du Client (les CGV, cet accord et la configuration de son Instance), et l'avertir si une instruction lui paraît contraire au RGPD.
- Confidentialité : toute personne qui accède aux données pour Alpax Production est tenue au secret. Aujourd'hui, seul le fondateur y a accès, et uniquement quand le support ou la maintenance l'exige.
- Sécurité : appliquer les mesures décrites à l'annexe B, et les adapter à l'évolution des risques.
- Aide au Client : l'aider à répondre aux demandes des personnes (accès, correction, effacement, portabilité), grâce aux exports intégrés ou sur demande, et lui fournir les informations utiles à une analyse d'impact.
- Violation de données : prévenir le Client sans retard injustifié et au plus tard 72 heures après en avoir eu connaissance, avec ce qui est connu : nature, données et personnes touchées, conséquences probables, mesures prises.
- Fin du contrat : laisser le Client exporter ses données pendant la période de lecture seule, puis tout supprimer (base, fichiers, sauvegardes de l'Instance), sauf obligation légale de conserver.
- Contrôle : mettre à disposition du Client les informations nécessaires pour vérifier le respect de cet accord, et permettre un audit raisonnable, annoncé au moins 30 jours à l'avance, aux frais du Client, au maximum une fois par an sauf incident.
04Sous-traitants ultérieurs
Le Client autorise Alpax Production à faire appel aux prestataires de l'annexe A. Alpax Production leur impose des obligations de protection équivalentes et reste responsable de leur travail envers le Client. Tout nouveau prestataire est annoncé au moins 30 jours à l'avance, par e-mail ou dans l'application. Le Client qui s'y oppose pour un motif raisonnable peut résilier sans frais avant la date d'effet.
05Transferts hors de l'Union européenne
Les données de l'Instance sont hébergées dans l'Union européenne. Elles n'en sortent que vers les prestataires marqués d'un astérisque à l'annexe A, et seulement quand le Client ou ses utilisateurs utilisent la fonction concernée. Ces transferts reposent sur une décision d'adéquation (EU-US Data Privacy Framework, Royaume-Uni) ou sur les clauses contractuelles types de la Commission européenne.
06Engagements du Client
- Disposer d'une base légale pour les données qu'il enregistre, et informer ses équipes et ses clients (la page « Confidentialité » de l'Instance l'y aide).
- Gérer les accès : comptes, rôles, départs d'employés.
- Garder sa propre clé d'IA confidentielle, s'il active l'IA.
07Responsabilité et priorité
La responsabilité de chaque partie suit l'article 16 des CGV et l'article 82 du RGPD. En cas de contradiction entre les CGV et cet accord sur la protection des données, cet accord l'emporte. Droit belge ; tribunaux compétents selon l'article 21 des CGV.
AAnnexe A — Sous-traitants ultérieurs
| Prestataire | Rôle | Lieu | Quand |
|---|---|---|---|
| OVH SAS (OVHcloud) | Hébergement, base de données, fichiers, e-mails | France / UE | Toujours |
| Anthropic PBC | Fonctions d'IA (service Claude) | États-Unis* | Si le Client active l'IA avec sa clé |
| Google (Drive) | Copie de sauvegarde automatique | UE / États-Unis* | Si le Client connecte son Drive |
| Services de notification push du navigateur (Google, Apple, Mozilla) | Acheminement des notifications ; contenu chiffré de bout en bout | UE / États-Unis* | Si l'utilisateur accepte les notifications |
| OpenStreetMap Foundation | Fonds de carte, adresse d'une photo à partir de ses coordonnées | Royaume-Uni* | Quand une carte ou une adresse s'affiche |
| Esri | Fond de carte satellite | États-Unis* | Quand la vue satellite s'affiche |
Les vidéos YouTube ou Vimeo que le Client choisit d'intégrer à ses fiches métier relèvent des conditions de ces plateformes.
BAnnexe B — Mesures de sécurité
- Une Instance séparée par Client : base de données, fichiers et sous-domaine propres.
- Connexions chiffrées (HTTPS) ; mots de passe hachés, jamais stockés en clair.
- Accès par rôle et par projet ; fichiers servis uniquement aux personnes autorisées.
- Limitation des tentatives de connexion ; alerte de connexion depuis un pays inhabituel.
- Adresses IP des statistiques tronquées et effacées après 30 jours.
- Rapports scellés par empreinte SHA-256 puis verrouillés.
- Sauvegardes manuelles et automatiques, corbeille de 30 jours.
- Mises à jour d'abord installées sur une instance de test, avec retour automatique en cas d'erreur.
- Clés d'accès du Centre de contrôle jamais transmises dans une adresse web.