Accord de sous-traitance

1. Parties et objet

Le Client, titulaire d'un compte Lizio, agit en qualité de responsable de traitement pour les données personnelles que contiennent les documents qu'il publie et pour celles de ses propres utilisateurs.

IDFUSE, SASU au capital de 50 000 €, immatriculée au RCS de Thonon-les-Bains sous le numéro 104 553 391, dont le siège est situé 116 Route des Bègues, 74250 Fillinges, France, éditeur du service Lizio, agit en qualité de sous-traitant.

Le présent accord définit les conditions dans lesquelles IDFUSE traite ces données pour le compte du Client. Il prévaut sur toute stipulation contraire des conditions générales.

2. Durée

Cet accord prend effet à l'ouverture du compte et s'applique tant que IDFUSE traite des données personnelles pour le compte du Client, puis jusqu'à leur restitution ou leur suppression.

3. Nature, finalité et portée du traitement

IDFUSE traite les données pour la seule finalité de fournir le service Lizio : réception d'un fichier PDF, conversion en publication numérique (rendu des pages, extraction du texte, reconnaissance de caractères), hébergement, diffusion aux lecteurs, mesure d'audience agrégée, et gestion du compte associé.

Aucun traitement n'est opéré à d'autres fins. En particulier, IDFUSE n'exploite pas les contenus du Client pour son propre compte, ne les revend pas, ne les utilise pas à des fins publicitaires et n'entraîne aucun modèle d'intelligence artificielle sur eux.

4. Catégories de données et de personnes concernées

Catégories de données : données d'identification et de contact des utilisateurs du Client (nom, adresse e-mail, rôle) ; contenu des documents publiés, quel qu'il soit, y compris les données personnelles que le Client y aurait insérées ; données de connexion et journaux techniques ; compteurs d'audience agrégés, sans donnée personnelle.

Catégories de personnes concernées : utilisateurs du compte Client ; personnes dont les données figurent dans les documents publiés ; lecteurs des publications, uniquement sous forme de compteurs agrégés.

Le Client s'interdit de publier via Lizio des données relevant de l'article 9 du RGPD (données dites sensibles) ou de l'article 10 (condamnations pénales) sans en avoir informé IDFUSE au préalable et convenu des mesures complémentaires appropriées.

5. Obligations du sous-traitant

• Instructions documentées. IDFUSE ne traite les données que sur instruction documentée du Client, dont le présent accord et l'usage du service constituent l'expression. Si une instruction paraît contraire au droit applicable, IDFUSE en informe le Client sans délai.
• Confidentialité. Les personnes autorisées à traiter les données sont tenues à une obligation de confidentialité contractuelle et ne disposent que des accès nécessaires à leur mission.
• Sécurité. IDFUSE met en œuvre les mesures techniques et organisationnelles décrites à l'annexe II, conformément à l'article 32 du RGPD.
• Sous-traitants ultérieurs. Le Client autorise de façon générale le recours aux sous-traitants ultérieurs listés à l'annexe III. IDFUSE informe le Client de tout ajout ou remplacement au moins trente jours avant sa prise d'effet, par la mise à jour de la page Transparence et par message au compte ; le Client peut s'y opposer et, en cas de désaccord persistant, résilier sans pénalité.
• Assistance. IDFUSE assiste le Client, dans la mesure du possible et compte tenu de la nature du traitement, pour répondre aux demandes d'exercice des droits des personnes concernées, ainsi que pour ses obligations au titre des articles 32 à 36 du RGPD.
• Violation de données. IDFUSE notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les éléments nécessaires à la notification du Client à son autorité de contrôle.
• Sort des données. Au terme de la prestation, le Client peut exporter ses données. Les données sont ensuite supprimées selon les durées publiées sur la page Transparence, sauf obligation légale de conservation.
• Audit. IDFUSE met à disposition du Client la documentation nécessaire pour démontrer le respect du présent accord et permet la réalisation d'audits, y compris des inspections, par le Client ou un auditeur qu'il mandate, sous réserve d'un préavis raisonnable et d'un engagement de confidentialité.
• Registre. IDFUSE tient le registre des catégories de traitements effectués pour le compte du Client, conformément à l'article 30.2 du RGPD.

6. Obligations du client

• Disposer d'une base légale pour les traitements qu'il confie à IDFUSE, et informer les personnes concernées.
• Ne publier que des contenus dont il détient les droits, et dont la diffusion est licite.
• Régler le niveau de visibilité de chaque publication en cohérence avec la sensibilité de son contenu : une publication publique est, par construction, lisible par quiconque en connaît l'adresse.
• Répondre aux demandes d'exercice de droits des personnes dont les données figurent dans ses documents, IDFUSE ne pouvant intervenir sur le contenu d'une publication.

7. Transferts hors Union européenne

Les données sont hébergées en France, au sein de l'Union européenne. Le seul sous-traitant ultérieur susceptible de traiter des données hors de l'UE est Stripe, pour le paiement des abonnements ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne. Aucun document publié par le Client ne fait l'objet d'un transfert hors UE.

8. Responsabilité

Chaque partie répond des dommages causés par un traitement qui ne respecterait pas les obligations du RGPD lui incombant. Les limitations de responsabilité prévues aux conditions générales s'appliquent, sans pouvoir réduire les droits des personnes concernées.

Annexe I — Description du traitement

Annexe II — Mesures techniques et organisationnelles

• Chiffrement des communications en transit (HTTPS/TLS) entre les lecteurs, les éditeurs et le service.
• Cloisonnement des données par organisation : les fichiers sources et les fichiers produits sont rangés sous des chemins propres à chaque organisation, sur un stockage privé aux adresses non devinables.
• Le PDF d'origine n'est jamais servi directement depuis le stockage public : l'application vérifie le droit d'accès avant toute délivrance.
• Contrôle d'accès par rôle au sein de l'organisation, double authentification par code temporaire (TOTP) disponible sur tous les comptes, et connexion par fournisseur d'identité d'entreprise (OIDC) sur les offres qui l'incluent.
• Mots de passe des comptes et mots de passe de publication stockés sous forme de condensat, jamais en clair. Limitation du nombre de tentatives sur les pages protégées.
• Journal d'audit horodaté des actions sensibles au sein de l'organisation.
• Minimisation par conception sur la mesure d'audience : aucun cookie, aucune adresse IP conservée, empreintes de lecteurs effacées sous sept jours.
• Sauvegardes régulières de la base de données et du stockage des documents.
• Séparation des environnements et principe du moindre privilège pour les accès d'exploitation.
• Serveurs de conversion sans persistance : ils téléchargent le fichier à traiter, produisent le résultat, le déposent et nettoient leur espace de travail.

Annexe III — Sous-traitants ultérieurs autorisés

La liste à jour est publiée sur la page Transparence. Toute évolution est annoncée au moins trente jours avant sa prise d'effet.