Accord de Traitement des Données

1. Parties

Responsable du traitement : L'organisation souscrivant aux services HealthWatch Global (ci-après « Responsable »).

Sous-traitant : HealthWatch Global, exploité par David Deheunynck, entrepreneur individuel (France) (ci-après « Sous-traitant »). Cet accord fait partie intégrante des CGU et régit tout traitement de données personnelles effectué par le Sous-traitant pour le compte du Responsable.

2. Objet et finalité

Le Sous-traitant fournit aux utilisateurs autorisés du Responsable l'accès à HealthWatch Global, un tableau de bord de surveillance épidémique en temps réel. Dans ce cadre, le Sous-traitant traite des données personnelles pour le compte du Responsable selon les modalités définies dans le présent accord.

3. Catégories de données personnelles

4. Obligations du Sous-traitant (Art. 28 RGPD)

• a) Traiter les données personnelles uniquement sur instruction documentée du Responsable, y compris en ce qui concerne les transferts vers des pays tiers ;
• b) Garantir la confidentialité des personnes autorisées à traiter les données ;
• c) Mettre en œuvre les mesures techniques et organisationnelles prévues à l'article 32 RGPD ;
• d) Respecter les conditions d'engagement des sous-traitants ultérieurs (Art. 28(2)-(4) RGPD) ;
• e) Aider le Responsable à donner suite aux demandes d'exercice des droits des personnes concernées ;
• f) Aider le Responsable à garantir le respect des articles 32 à 36 RGPD (sécurité, notification de violations, AIPD, consultation préalable) ;
• g) Supprimer ou restituer toutes les données personnelles au Responsable à l'issue des services, et supprimer les copies existantes sauf obligation légale contraire ;
• h) Mettre à disposition du Responsable toutes les informations nécessaires pour démontrer le respect des obligations et permettre les audits.

5. Sous-traitants ultérieurs

Le Responsable autorise de manière générale le recours aux sous-traitants ultérieurs suivants. Le Sous-traitant informera le Responsable de tout ajout ou remplacement planifié, lui laissant la possibilité de s'y opposer.

6. Mesures de sécurité (Art. 32 RGPD)

• Chiffrement en transit : HTTPS/TLS 1.2+ sur toutes les communications
• Chiffrement au repos : AES-256 (Supabase managed encryption)
• Contrôle d'accès : accès basé sur les rôles, principe de moindre privilège
• Authentification : Supabase Auth avec gestion sécurisée des sessions
• Surveillance : monitoring de disponibilité, journalisation des erreurs (Sentry)
• Sauvegardes : sauvegardes quotidiennes automatisées (Supabase)
• Disponibilité : objectif de 99,9 % de disponibilité (infrastructure Vercel + Supabase)

7. Notification de violation de données

En cas de violation de données personnelles, le Sous-traitant en informera le Responsable sans délai injustifié et, dans la mesure du possible, dans un délai de 24 heures après en avoir pris connaissance. La notification comprendra toutes les informations requises par l'article 33(3) RGPD.

8. Durée et suppression

Le présent accord est valable pour la durée de l'abonnement aux services HealthWatch Global. À la résiliation, le Sous-traitant supprimera ou restituera toutes les données personnelles dans un délai de 30 jours, fournira un export CSV à la demande du Responsable avant suppression, et supprimera toutes les copies existantes sauf obligation légale.

9. Droit applicable

Le présent accord est régi par le droit français et le Règlement (UE) 2016/679 (RGPD). Tout litige sera soumis à la compétence exclusive des tribunaux de Paris, France.