Accord de traitement des données personnelles

• L'Abonné (l'artisan) est responsable du traitement : il décide pourquoi et comment les données de ses clients sont utilisées.
• Batrelio ([À compléter : raison sociale]) est sous-traitant : il traite ces données uniquement pour fournir le service à l'Abonné, sur ses instructions.

• Traiter les données uniquement sur instruction documentée de l'Abonné : ces CGV, cet accord et les réglages qu'il choisit dans le service. Batrelio n'utilise jamais ces données pour son propre compte.
• Informer immédiatement l'Abonné si une instruction lui paraît contraire au RGPD.
• Garantir la confidentialité : seules les personnes qui en ont besoin y accèdent, et elles sont tenues au secret.
• Assurer la sécurité des données (article 32 du RGPD) : chiffrement des échanges, isolement des données de chaque Abonné imposé par la base de données, mots de passe chiffrés de façon irréversible, clés sensibles conservées uniquement sur nos serveurs, accès réservés aux personnes qui en ont besoin.
• Aider l'Abonné à répondre aux demandes de ses clients qui exercent leurs droits (accès, rectification, effacement, opposition…) et lui transmettre sans délai toute demande reçue directement.
• Aider l'Abonné à respecter ses obligations de sécurité, de notification des violations et, le cas échéant, d'analyse d'impact (articles 32 à 36 du RGPD).
• Mettre à la disposition de l'Abonné les informations nécessaires pour démontrer le respect de ces obligations, et permettre un audit une fois par an, sur demande écrite avec un préavis de 30 jours, à la charge de l'Abonné.

En cas de violation de données personnelles (perte, accès non autorisé, fuite…), Batrelio prévient l'Abonné dans les 48 heures après en avoir pris connaissance, avec les informations utiles pour que celui-ci puisse, si nécessaire, la notifier à la CNIL dans les 72 heures et informer les personnes concernées (articles 33 et 34 du RGPD).

L'Abonné autorise Batrelio à faire appel aux prestataires ci-dessous. Batrelio leur impose par contrat des obligations de protection des données équivalentes et reste responsable de leurs manquements.

Batrelio prévient l'Abonné par e-mail au moins 30 jours avant d'ajouter ou de remplacer un prestataire. L'Abonné peut s'y opposer pour un motif légitime lié à la protection des données ; s'il n'est pas possible d'y donner suite, il peut résilier sans frais.

• Traiter les données de ses clients de façon licite, pour répondre à leur demande et établir leurs devis.
• Informer ses clients de l'utilisation de leurs données. Batrelio affiche pour lui, sur le formulaire de demande, le texte proposé à l'article 8.
• Ne pas demander, dans les champs libres, de données sensibles (santé, opinions, etc.) inutiles à un devis.
• Décider de la durée de conservation des données de ses clients et supprimer celles qui ne sont plus utiles.

• Demande restée sans suite : 3 ans après le dernier contact avec le client, comme le recommande la CNIL pour les prospects.
• Devis signé et documents liés : selon les obligations de l'Abonné (en particulier 10 ans pour les pièces comptables, article L. 123-22 du Code de commerce).

Texte affiché aux clients de l'Abonné sur le formulaire de demande, avec un lien vers la politique de confidentialité :

[Nom de l'entreprise] utilise vos informations (numéro, nom, adresse, besoin, photos) uniquement pour répondre à votre demande et vous établir un devis. Elles sont hébergées par Batrelio, son prestataire, dans l'Union européenne. Vous pouvez y accéder, les corriger ou les faire supprimer en contactant [Nom de l'entreprise].

À la fin de l'abonnement, Batrelio remet à l'Abonné qui le demande une copie des données de ses clients dans un format courant, puis les supprime au plus tard 30 jours après la fin du contrat, sauf obligation légale de conservation.