Accord de sous-traitance (article 28 du RGPD)

Le présent accord précise les conditions dans lesquelles CommuPage traite des données à caractère personnel pour le compte d'une commune abonnée, conformément à l'article 28 du règlement (UE) 2016/679 (RGPD). Il complète les conditions générales et s'y annexe par référence : l'acceptation de l'abonnement vaut acceptation du présent accord.

La commune est responsable de traitement : elle détermine les finalités et les moyens des traitements réalisés dans son espace. CommuPage est sous-traitant : il n'agit que sur instruction documentée de la commune.

Ne relèvent PAS du présent accord les traitements dont CommuPage est lui-même responsable (prospection, demandes de démonstration, facturation, comptes de l'espace mairie) : ils sont décrits dans la politique de confidentialité.

Nature : hébergement, stockage, affichage, transmission par courriel, sauvegarde et suppression des données saisies par la commune ou par ses habitants dans les modules activés.

Finalités : permettre à la commune de publier son site officiel et d'assurer les services publics qu'elle a choisi d'ouvrir en ligne (état civil, réservations, signalements, agenda, registre de la population…).

Durée : celle de l'abonnement, prolongée des délais de restitution et de purge prévus ci-dessous.

Catégories de personnes concernées : habitants et usagers de la commune, agents et élus, membres d'associations locales, campeurs et occupants de salles, demandeurs d'actes.

Catégories de données : identité, coordonnées, données de filiation lorsque la démarche l'exige, données de réservation, contenus de messages, photographies transmises, et — pour le registre de la population — données de vulnérabilité déclarées volontairement.

Le détail traitement par traitement figure dans le registre de l'article 30 pré-rempli dans l'espace de chaque commune, filtré selon ses modules actifs.

Ne traiter les données que sur instruction documentée de la commune, et pour les seules finalités ci-dessus. Aucune exploitation à des fins propres, aucune revente, aucun profilage, aucun entraînement de modèle.

Informer la commune si une instruction reçue paraît constituer une violation du RGPD.

Garantir la confidentialité : les personnes autorisées à accéder aux données sont limitativement identifiées et tenues à une obligation de confidentialité.

Assister la commune dans la réponse aux demandes d'exercice de droits : le module RGPD de la plateforme enregistre chaque demande, calcule l'échéance légale d'un mois et conserve la réponse apportée.

Assister la commune, sur demande, pour la tenue de son registre et la réalisation d'une analyse d'impact (AIPD) : fourniture des éléments techniques en notre possession.

Mettre à disposition les éléments nécessaires pour démontrer le respect du présent accord, et permettre un audit : réponse documentée sous 30 jours, ou audit sur site après accord sur les modalités et un préavis de 30 jours.

Chiffrement des échanges en HTTPS avec HSTS ; en-têtes de sécurité stricts (CSP, anti-sniffing, anti-cadrage).

Cloisonnement des données par commune : chaque enregistrement porte l'identifiant de sa commune et toute lecture est filtrée sur celui-ci ; les identifiants ne sont pas devinables.

Authentification renforcée : mot de passe de 16 caractères minimum, stocké sous forme hachée par un algorithme dédié — jamais en clair, irrécupérable, y compris par nous. Double authentification (TOTP) obligatoire pour tout compte de mairie. Limitation des tentatives de connexion.

Droits d'accès par rôle (responsable, gestionnaire, agent, lecture seule) : chaque personne n'accède qu'à ce que sa fonction exige. Les données du registre de la population sont réservées aux responsables et gestionnaires.

Journal d'activité horodaté, accessible à la commune, retraçant connexions, exports, suppressions et modifications de droits. Les mots de passe, jetons et secrets n'y figurent jamais.

Contrôle des fichiers déposés : vérification de la signature binaire réelle, ré-encodage des images (ce qui supprime au passage les métadonnées de géolocalisation), quotas par commune.

Intervention du support dans l'espace d'une commune : tracée, limitée dans le temps et signalée par un bandeau visible.

La commune autorise CommuPage à recourir aux sous-traitants listés ci-dessous. Tout ajout lui est notifié au moins 30 jours avant sa mise en œuvre ; elle peut s'y opposer par écrit, l'opposition ouvrant droit à résiliation sans pénalité si aucune solution alternative n'est possible.

OVH SAS (France) — hébergement des serveurs applicatifs et de la base de données, et des sauvegardes. Données localisées en France (Gravelines, Nord). Aucun transfert hors Union européenne.

OVH SAS (France) — service de messagerie assurant l'envoi des courriels transactionnels (accusés de réception, notifications de démarche, alertes).

Qonto (France) — émission et suivi des factures d'abonnement. Ne reçoit aucune donnée d'habitant : uniquement les coordonnées administratives de la commune.

Stripe Payments Europe (Irlande) — encaissement par carte, activé uniquement si la commune choisit ce moyen de paiement. Ne reçoit aucune donnée d'habitant.

Aucun autre service ne reçoit de donnée personnelle : ni mesure d'audience, ni régie publicitaire, ni service d'intelligence artificielle, ni outil de suivi d'erreurs tiers.

Deux ressources externes sont chargées par le navigateur du visiteur et lui sont donc visibles : les blasons communaux servis par Wikimedia Commons, et les fonds de carte (OpenStreetMap, IGN). Elles ne reçoivent aucune donnée saisie sur le site ; seules les informations techniques inhérentes à toute requête web (dont l'adresse IP) leur parviennent.

CommuPage notifie la commune de toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance — ce délai lui laissant la marge nécessaire pour respecter les 72 heures qui lui incombent envers la CNIL.

La notification précise la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises ou proposées.

CommuPage assiste la commune dans l'appréciation du risque, la rédaction de l'éventuelle notification à la CNIL et, si nécessaire, l'information des personnes concernées. Chaque incident est consigné dans un registre interne.

À tout moment pendant l'abonnement, la commune exporte ses données depuis son espace, dans des formats ouverts et réutilisables. Ses contenus lui appartiennent.

À la fin du contrat, les données restent accessibles 30 jours pour permettre la récupération, puis sont supprimées des systèmes de production.

Sauvegardes : une sauvegarde chiffrée quotidienne de la base, conservée 14 jours sur le serveur de production et 30 jours sur un serveur distinct, en France. Leur accès est limité aux comptes d'administration de l'infrastructure.

Conséquence à connaître : une donnée supprimée disparaît immédiatement du service, mais subsiste dans les sauvegardes jusqu'à leur rotation. Délai maximal d'effacement définitif : 30 jours après la suppression, ou 60 jours après la fin du contrat.

Sur demande écrite de la commune, un certificat de suppression lui est délivré.