Contrat de traitement des données personnelles (DPA)

Annexe des conditions générales du service Olvano · version 1.0 · en vigueur à compter du 29. 6. 2026

Le présent contrat de traitement des données personnelles (ci-après le « DPA ») est conclu conformément à l'art. 28 du règlement (UE) 2016/679 (RGPD) entre l'utilisateur du service Olvano en qualité de responsable du traitement et l'exploitant du service en qualité de sous-traitant. Le DPA est conclu automatiquement avec le contrat principal (voir les conditions générales) et en constitue une partie intégrante.

1. Parties contractantes

1.1 Responsable du traitement – l'utilisateur du service Olvano qui introduit dans le service des données personnelles de tiers (ci-après le « Responsable du traitement »).

1.2 Sous-traitant :

Daniel Krůl, IČO 09161244, siège Mlýnská 1692/7, Moravská Ostrava, 702 00 Ostrava, e-mail dankrul.krul@gmail.com (ci-après le « Sous-traitant »).

2. Objet et nature du traitement

2.1 Le Sous-traitant traite les données personnelles pour le Responsable du traitement exclusivement aux fins de la fourniture du service Olvano (notamment l'émission et la gestion de factures et d'autres documents, l'appariement des paiements, l'envoi de documents et de relances, la signature de documents et les fonctionnalités associées).

2.2 Nature du traitement : stockage, organisation, modification, utilisation, communication et effacement des données personnelles par des moyens automatisés dans le cadre du service.

2.3 Durée du traitement : pendant la durée du contrat principal entre les parties, sauf disposition contraire ci-après.

3. Catégories de personnes concernées et de données personnelles

3.1 Personnes concernées : clients et partenaires commerciaux du Responsable du traitement, destinataires des factures et des documents, personnes signant des documents au moyen du service, le cas échéant d'autres personnes dont le Responsable du traitement introduit les données dans le service.

3.2 Catégories de données personnelles : données d'identification et de contact (nom, dénomination, adresse, IČO/DIČ, e-mail, téléphone), données de facturation et de paiement, données figurant dans les documents et leurs pièces jointes, données liées à la signature électronique (horodatage, adresse IP, trace du consentement, données de signature). Le Responsable du traitement n'introduit pas dans le service de catégories particulières de données personnelles (art. 9 du RGPD), sauf convention contraire entre les parties.

4. Obligations du Sous-traitant (art. 28 al. 3 du RGPD)

Le Sous-traitant s'engage à :

4.1 ne traiter les données personnelles que sur la base d'instructions documentées du Responsable du traitement (l'utilisation des fonctionnalités du service est également considérée comme une instruction), y compris en ce qui concerne le transfert vers un pays tiers, uniquement si le droit auquel il est soumis l'exige ; il en informe au préalable le Responsable du traitement, sauf si le droit l'interdit ;

4.2 veiller à ce que les personnes autorisées à traiter les données personnelles s'engagent à la confidentialité ;

4.3 adopter des mesures techniques et organisationnelles appropriées pour la sécurité du traitement conformément à l'art. 32 du RGPD (notamment l'hébergement dans l'UE/EEE, le contrôle de l'accès, le chiffrement de la transmission, les sauvegardes) ;

4.4 ne faire intervenir un autre sous-traitant (sous-traitant ultérieur) que dans les conditions prévues à l'art. 5 du présent DPA ;

4.5 aider le Responsable du traitement par des mesures appropriées à s'acquitter de son obligation de répondre aux demandes des personnes concernées (art. 12 à 23 du RGPD) et à s'acquitter des obligations prévues aux art. 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact) ;

4.6 au terme de la fourniture du service, selon le choix du Responsable du traitement, effacer ou restituer toutes les données personnelles et effacer les copies existantes, sauf si les dispositions légales en exigent la conservation ;

4.7 mettre à la disposition du Responsable du traitement les informations nécessaires pour démontrer le respect des obligations prévues à l'art. 28 du RGPD et permettre la réalisation d'audits ou de contrôles effectués par le Responsable du traitement ou par un auditeur qu'il a mandaté ; le Sous-traitant informe le Responsable du traitement de toute instruction qui, selon lui, enfreint le RGPD.

5. Sous-traitants ultérieurs

5.1 Le Responsable du traitement accorde au Sous-traitant une autorisation générale de faire intervenir des sous-traitants ultérieurs dans le traitement aux fins de la fourniture du service (notamment les fournisseurs d'hébergement et de base de données, l'envoi d'e-mails, de SMS et l'analyse web et services analogues).

5.2 Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles convenues dans le présent DPA, et il répond de son activité.

5.3 Le Sous-traitant informe le Responsable du traitement de tout changement envisagé concernant les sous-traitants ultérieurs (ajout ou remplacement) et donne au Responsable du traitement la possibilité d'émettre une objection à l'encontre du changement. La liste actuelle des sous-traitants ultérieurs correspond à la liste des sous-traitants indiquée dans la Politique de confidentialité.

6. Transfert hors de l'UE/EEE

Lorsqu'un transfert de données personnelles vers un pays tiers a lieu, le Sous-traitant assure des garanties appropriées conformément à l'art. 46 du RGPD (notamment les clauses contractuelles types de la Commission européenne), le cas échéant un autre mécanisme juridique valable.

7. Violation de la sécurité des données personnelles

En cas de violation de la sécurité des données personnelles, le Sous-traitant notifie ce fait au Responsable du traitement sans retard indu après en avoir pris connaissance, et lui apporte la coopération nécessaire pour que le Responsable du traitement puisse s'acquitter de ses obligations prévues aux art. 33 et 34 du RGPD.

8. Responsabilité

La responsabilité des parties est régie par le RGPD (art. 82) et le contrat principal. La limitation contractuelle de responsabilité convenue dans les conditions générales s'applique également au présent DPA dans la mesure permise par les dispositions légales.

9. Dispositions finales

9.1 Le présent DPA entre en vigueur avec le contrat principal et demeure en vigueur pendant la durée durant laquelle le Sous-traitant traite des données personnelles pour le Responsable du traitement.

9.2 Le DPA est régi par l'ordre juridique de la République tchèque et le RGPD. En cas de contradiction entre le DPA et les conditions générales, le présent DPA prévaut pour les questions de traitement des données personnelles.