La présente annexe définit les conditions dans lesquelles TIMAA traite des données à caractère personnel pour le compte de ses clients dans le cadre de ses prestations d'assistance administrative externalisée.
Elle fait partie intégrante des Conditions générales de services (CGS) de TIMAA.
Les parties s'engagent à respecter la réglementation applicable à la protection des données personnelles, notamment le règlement (UE) 2016/679 du 27 avril 2016, dit Règlement général sur la protection des données (RGPD).
En cas de contradiction entre la présente annexe et les CGS concernant les traitements de données personnelles réalisés pour le compte du Client, les dispositions de la présente annexe prévalent.
TIMAA, société par actions simplifiée immatriculée au RCS de Nantes sous le numéro 848 670 733, dont le siège social est situé au 44 Quai de Malakoff, 44000 Nantes, intervient en qualité de sous-traitant pour les traitements de données personnelles réalisés dans le cadre des missions administratives confiées par le Client.
Le Client intervient en qualité de responsable du traitement lorsqu'il détermine les finalités et les moyens essentiels des traitements confiés à TIMAA.
Lorsque le Client intervient lui-même en qualité de sous-traitant pour le compte d'un tiers, il lui appartient de disposer des autorisations nécessaires pour confier à TIMAA les traitements concernés.
TIMAA demeure responsable des traitements qu'elle réalise pour ses propres besoins, notamment la gestion commerciale, contractuelle, administrative et comptable de son activité.
Les traitements réalisés par TIMAA ont pour objet l'exécution des missions d'assistance administrative externalisée confiées par le Client.
Selon les prestations convenues, ces missions peuvent notamment concerner la gestion administrative, le traitement des courriers électroniques, la préparation et le suivi de documents, la facturation, la gestion des agendas, le suivi des relations commerciales et toute autre tâche administrative confiée à TIMAA.
Les missions effectivement confiées et les éventuelles instructions particulières du Client sont précisées dans les documents contractuels ou les échanges écrits entre les parties.
Selon les missions confiées, TIMAA peut être amenée à consulter, collecter, enregistrer, organiser, modifier, transmettre ou supprimer des données personnelles.
Ces opérations sont limitées à ce qui est nécessaire pour réaliser les prestations convenues.
Les données traitées peuvent notamment comprendre :
- Les données d'identification et de contact ;
- Les informations professionnelles ;
- Les données administratives et commerciales ;
- Les informations contractuelles ;
- Les données de facturation et de suivi des règlements ;
- Les informations contenues dans les correspondances et documents confiés par le Client.
Les traitements portant sur des catégories particulières de données au sens de l'article 9 du RGPD ou sur des données nécessitant des garanties spécifiques doivent être préalablement identifiés par le Client et faire l'objet, si nécessaire, de mesures complémentaires convenues entre les parties.
Selon les missions, les personnes concernées peuvent être les salariés, dirigeants, clients, prospects, fournisseurs, partenaires et autres interlocuteurs professionnels du Client.
Les traitements sont réalisés pendant la durée des prestations contractuellement confiées à TIMAA.
À la cessation des prestations, les dispositions de l'article 11 relatives à la restitution et à la suppression des données s'appliquent.
TIMAA s'engage à traiter les données personnelles exclusivement sur instruction documentée du Client, sauf obligation légale contraire.
Les instructions peuvent notamment résulter du contrat, des missions convenues et des demandes écrites adressées à TIMAA.
TIMAA ne peut utiliser les données personnelles confiées à des fins étrangères à l'exécution des prestations.
Si TIMAA considère qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable à la protection des données personnelles, elle en informe immédiatement le Client.
Lorsqu'une obligation légale impose à TIMAA de traiter des données en dehors des instructions reçues, TIMAA en informe préalablement le Client, sauf interdiction légale.
Les prestations administratives sont réalisées exclusivement par des assistantes salariées de TIMAA.
TIMAA s'engage à garantir que les personnes autorisées à traiter les données personnelles pour le compte du Client sont soumises à une obligation de confidentialité, contractuelle ou légale, et reçoivent les instructions nécessaires à la protection de ces données.
Les données auxquelles les assistantes accèdent ne peuvent être utilisées que dans le cadre des missions professionnelles qui leur sont confiées.
L'obligation de confidentialité demeure applicable après la cessation de leur intervention sur les dossiers du Client.
TIMAA s'engage à mettre en œuvre des mesures techniques et organisationnelles appropriées au regard des risques présentés par les traitements réalisés pour le compte du Client, conformément à l'article 32 du RGPD.
Les assistantes utilisent exclusivement des ordinateurs professionnels fournis par TIMAA.
Ces équipements bénéficient notamment :
- D'un mot de passe individuel ;
- D'un antivirus actif et régulièrement mis à jour ;
- De mises à jour automatiques du système d'exploitation ;
- D'un verrouillage automatique de l'écran après une période d'inactivité.
TIMAA utilise l'authentification à deux facteurs pour ses outils professionnels.
Les modalités d'accès aux environnements du Client sont définies en fonction des outils mis à disposition.
Lorsque cela est possible, le Client crée des accès individuels pour les assistantes TIMAA.
Lorsque le Client transmet des identifiants, ceux-ci sont enregistrés dans le gestionnaire de mots de passe Dashlane.
Ce dispositif est utilisé afin d'éviter la conservation non sécurisée des identifiants des assistantes et des clients.
Les assistantes interviennent directement dans les logiciels et espaces documentaires mis à disposition par les clients, notamment leurs outils de gestion, CRM, logiciels de facturation et solutions de partage de documents.
Les documents sont normalement conservés dans les environnements administrés ou désignés par le Client.
TIMAA ne dispose pas d'un espace documentaire propre destiné à conserver durablement les documents confiés par ses clients.
Lorsque l'exécution d'une mission nécessite la manipulation temporaire de fichiers ou de pièces jointes, leur conservation est limitée à ce qui est nécessaire à la réalisation de la prestation.
TIMAA adapte les mesures de sécurité mises en œuvre en fonction de l'évolution de ses outils, de son activité et des risques identifiés.
Les missions présentant des risques particuliers peuvent faire l'objet de mesures complémentaires définies entre les parties.
TIMAA réalise les prestations administratives confiées par le Client au moyen de ses salariées.
Elle ne confie pas l'exécution de ces missions à des assistants indépendants ou à des prestataires administratifs externes.
TIMAA peut néanmoins utiliser des fournisseurs techniques nécessaires à son activité.
Lorsque ces fournisseurs traitent des données personnelles pour le compte du Client, ils peuvent être qualifiés de sous-traitants ultérieurs au sens du RGPD.
TIMAA ne peut recourir à un sous-traitant ultérieur pour les traitements concernés sans autorisation écrite préalable, spécifique ou générale, du Client.
En cas d'autorisation générale, TIMAA informe le Client de tout ajout ou remplacement envisagé afin de lui permettre de formuler d'éventuelles objections.
TIMAA veille à imposer aux sous-traitants ultérieurs concernés des obligations de protection des données équivalentes à celles prévues dans la présente annexe.
Elle demeure responsable envers le Client de l'exécution des obligations confiées à ses sous-traitants ultérieurs, conformément à la réglementation applicable.
La liste des fournisseurs techniques qualifiés de sous-traitants ultérieurs, leur rôle et les informations applicables concernant les transferts internationaux sont communiqués au Client avant leur autorisation et actualisés en cas de changement.
TIMAA ne procède à aucun transfert de données personnelles vers un pays situé en dehors de l'Espace économique européen pour le compte du Client sans instruction documentée de celui-ci ou obligation légale applicable.
Lorsqu'un fournisseur technique est susceptible d'impliquer un transfert international de données personnelles, TIMAA s'engage à vérifier les conditions de ce transfert et les garanties requises par la réglementation.
Tout transfert soumis au chapitre V du RGPD doit reposer sur un mécanisme juridique approprié.
Lorsque le Client impose l'utilisation de ses propres logiciels ou espaces documentaires, il lui appartient de vérifier les conditions de traitement et les éventuels transferts internationaux liés à ces environnements, sans préjudice des obligations propres de TIMAA.
Compte tenu de la nature des traitements et des informations dont elle dispose, TIMAA s'engage à assister le Client dans le respect de ses obligations relatives à la protection des données personnelles.
Cette assistance concerne notamment :
- Le traitement des demandes d'exercice des droits des personnes concernées ;
- La sécurité des données personnelles ;
- La gestion des violations de données ;
- Les analyses d'impact relatives à la protection des données, lorsqu'elles sont nécessaires ;
- Les éventuelles consultations préalables de l'autorité de contrôle.
Lorsqu'une personne concernée adresse directement à TIMAA une demande relative à des données traitées pour le compte du Client, TIMAA transmet cette demande au Client dans les meilleurs délais.
Sauf instruction du Client ou obligation légale contraire, TIMAA ne répond pas directement à cette demande au nom du Client.
TIMAA s'engage à informer le Client dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles concernant les traitements réalisés pour son compte.
Cette notification intervient sans retard injustifié.
TIMAA communique au Client les informations disponibles concernant notamment la nature de l'incident, les données et personnes potentiellement concernées, les conséquences possibles ainsi que les mesures prises ou envisagées pour y remédier.
Lorsque certaines informations ne sont pas immédiatement disponibles, elles sont transmises progressivement, sans retard injustifié.
TIMAA coopère avec le Client afin de lui permettre de respecter ses éventuelles obligations de notification auprès de l'autorité de contrôle et des personnes concernées.
Le Client demeure responsable de l'évaluation des obligations de notification qui lui incombent en qualité de responsable du traitement.
À l'expiration ou à la résiliation du contrat, TIMAA cesse les traitements réalisés pour le compte du Client, sous réserve des opérations nécessaires à la clôture de la prestation.
Selon les instructions du Client, TIMAA restitue ou supprime les données personnelles traitées pour son compte, sauf lorsqu'une obligation légale impose leur conservation.
Les opérations de clôture comprennent notamment :
- La révocation ou la désactivation des accès des assistantes aux logiciels et espaces de travail du Client, avec la coopération de celui-ci lorsque cette opération relève de son administration ;
- La suppression des identifiants du Client enregistrés dans Dashlane ;
- La restitution des éventuels documents du Client encore détenus par TIMAA ;
- La suppression des éventuelles copies locales et pièces jointes contenant des données personnelles du Client.
Lorsque les données sont conservées directement dans les logiciels ou espaces documentaires administrés par le Client, leur conservation et leur suppression dans ces environnements demeurent sous son contrôle.
TIMAA peut confirmer par écrit, à la demande du Client, la réalisation des opérations de restitution et de suppression relevant de sa responsabilité.
TIMAA met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations en qualité de sous-traitant.
Elle tient, dans les conditions prévues par la réglementation, un registre des catégories d'activités de traitement effectuées pour le compte de ses clients.
TIMAA permet la réalisation des audits et inspections prévus par l'article 28 du RGPD, par le Client ou par un auditeur mandaté par celui-ci, et y contribue.
Les parties définissent les modalités pratiques de ces opérations afin de limiter les perturbations, tout en garantissant l'effectivité des contrôles et le respect des obligations légales.
Les opérations de contrôle sont réalisées dans des conditions permettant de préserver la confidentialité des informations concernant les autres clients de TIMAA.
Lorsque le Client agit en qualité de responsable du traitement, il détermine les finalités et les moyens essentiels des traitements qu'il confie à TIMAA.
Il lui appartient notamment :
- De définir les missions confiées et les instructions correspondantes ;
- De vérifier la licéité des traitements et leurs bases légales ;
- D'informer les personnes concernées lorsque cela est nécessaire ;
- De déterminer les durées de conservation applicables ;
- De définir les habilitations et les conditions d'accès à ses logiciels ;
- De communiquer à TIMAA les informations nécessaires à l'identification des éventuels risques particuliers associés aux traitements confiés.
Le Client veille à ne communiquer à TIMAA que les données nécessaires à la réalisation des missions convenues.
Les parties coopèrent afin de garantir le respect de leurs obligations respectives.
La présente annexe entre en vigueur à compter de son acceptation dans les conditions prévues par les Conditions générales de services de TIMAA.
Elle demeure applicable pendant toute la durée des traitements de données personnelles réalisés par TIMAA pour le compte du Client.
Les obligations qui, par leur nature ou en vertu de la réglementation applicable, doivent survivre à la cessation du contrat demeurent applicables après son expiration.
Pour toute question relative à la présente annexe, le Client peut contacter TIMAA à l'adresse suivante : contact@timaa.fr.