Accord de sous-traitance (DPA)

Version 2026-08-14 · partie intégrante du contrat entre vous (« Client », responsable du traitement) et Meritxell Media exerçant sous le nom Mia Automation, KvK 80564186 (« Sous-traitant »)

1. Objet et durée

Le Sous-traitant traite des données personnelles pour le compte du Client dans la mesure nécessaire à la fourniture des services Mia (assistante, Mia OS, applications, services connectés). L'accord vaut pendant la durée de l'abonnement et prend fin après la suppression de toutes les données (art. 11).

2. Nature et finalité

L'exécution des instructions données à Mia par le Client ou ses utilisateurs : gestion des e-mails et de l'agenda, traitement de documents, construction et exécution d'applications, et leur stockage dans l'environnement propre du Client.

3. Catégories de données et personnes concernées

• Personnes concernées : le Client, ses collaborateurs, ses clients et contacts, et les utilisateurs de ses applications.
• Données : coordonnées, contenus de communication (e-mail, chat), agenda, documents, données clients et commandes dans les applications du Client. Pas de catégories particulières, sauf si le Client les traite lui-même ; il garantit alors une base légale.

4. Instructions

Le Sous-traitant traite uniquement sur instruction documentée du Client, sauf obligation légale — auquel cas nous informons le Client au préalable, sauf interdiction légale. Si le Sous-traitant estime qu'une instruction constitue une violation du RGPD ou d'autres règles de protection des données, il en informe immédiatement le Client et peut suspendre l'exécution de cette instruction jusqu'à sa confirmation ou sa modification par le Client.

5. Confidentialité

Toute personne ayant accès aux données sous l'autorité du Sous-traitant est tenue à la confidentialité.

6. Sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées : environnements isolés par client avec séparation pare-feu, sauvegardes chiffrées hors site (chiffrement avant transfert), audits de sécurité automatisés quotidiens, gestion des accès avec coffre-fort de mots de passe, et surveillance 24h/24 avec récupération automatique. Voir https://mia-automation.com/security.

7. Sous-traitants ultérieurs

Le Client autorise de manière générale les sous-traitants suivants :

Tout nouveau sous-traitant est annoncé au moins 30 jours à l'avance ; le Client peut s'y opposer de manière motivée et, à défaut de solution, résilier. Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat écrit, les mêmes obligations que celles prévues par le présent accord. Si un sous-traitant ultérieur ne remplit pas ses obligations, le Sous-traitant en demeure pleinement responsable envers le Client.

8. Transferts hors UE

L'environnement du Client et les sauvegardes se trouvent aux Pays-Bas. Les transferts vers un pays hors EEE n'ont lieu que pour les sous-traitants ultérieurs listés à l'article 7 et uniquement sous un mécanisme de transfert valide : le Data Privacy Framework UE–États-Unis, complété par les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914, module sous-traitant à sous-traitant) à titre subsidiaire. Le Sous-traitant évalue la nécessité de mesures supplémentaires et les applique ; le trafic est toujours chiffré en transit. Sur demande, il fournit un aperçu des transferts et des garanties appliquées.

9. Assistance

Le Sous-traitant assiste le Client, dans la mesure du raisonnable, pour les demandes des personnes concernées et pour les obligations de sécurité, de notification de violations et d'AIPD. Si une demande d'une personne concernée lui parvient directement, il ne la traite pas lui-même mais la transmet sans délai au Client.

10. Violations de données

Le Sous-traitant informe le Client sans retard injustifié, au plus tard 48 heures après la découverte d'une violation de données personnelles, avec les informations nécessaires à une éventuelle notification.

11. Fin du contrat

Après la fin du contrat, le Client peut demander une exportation complète pendant 30 jours. Le Sous-traitant supprime ensuite définitivement toutes les données personnelles, y compris les sauvegardes lors du cycle suivant, sauf obligation légale de conservation. Sur demande, il confirme la suppression par écrit.

12. Audit

Le Client peut faire réaliser un audit au maximum une fois par an (ou après une violation) par un expert indépendant tenu à la confidentialité, après préavis raisonnable et sans accès aux données d'autres clients. Le Sous-traitant met d'abord à disposition les rapports existants (comme les audits de sécurité quotidiens) ainsi que toute information nécessaire pour démontrer le respect de l'article 28 du RGPD.

13. Responsabilité et primauté

Le régime de responsabilité des conditions générales s'applique également à cet accord. En cas de conflit concernant la protection des données, le présent accord prévaut.

Informations sur l'entreprise