Accord de sous-traitance (DPA) – Bulbiz

Le présent accord ("DPA") complète les CGU de Bulbiz et a pour objet de définir les conditions dans lesquelles LA RUCHE (BULBIZ), agissant en qualité de sous-traitant au sens de l'article 28 du RGPD, traite des données personnelles pour le compte de l'Utilisateur, agissant en qualité de responsable de traitement, dans le cadre de l'utilisation des Services.

1. Parties

Responsable de traitement (Client / Utilisateur) : l'Utilisateur du Service Bulbiz, agissant dans le cadre de son activité professionnelle.

Sous-traitant : LA RUCHE (BULBIZ), SAS au capital de 5 000 €, siège social : 2 Rue du Bocage, 69008 Lyon, France, SIREN 100 066 679, SIRET 100 066 679 00018, RCS Lyon 100 066 679, TVA FR84100066679.
Contact : alexandre.p@bulbiz.fr.

2. Objet, durée et nature du traitement

2.1 Objet

Fourniture des Services Bulbiz permettant notamment la centralisation et la gestion d'informations clients, dossiers, documents commerciaux, rendez-vous et échanges.

2.2 Durée

Le traitement est effectué pendant la durée d'utilisation des Services par l'Utilisateur, puis conformément aux règles de conservation et de suppression prévues dans la Politique de confidentialité.

2.3 Nature des opérations

Collecte (par saisie/import), enregistrement, organisation, structuration, conservation, consultation, utilisation, transmission sur instruction de l'Utilisateur, sauvegarde, export, suppression/anonymisation.

3. Catégories de données et personnes concernées

3.1 Catégories de personnes concernées

• clients et prospects de l'Utilisateur ;
• contacts et interlocuteurs professionnels de l'Utilisateur ;
• toute personne dont les données sont saisies/importées par l'Utilisateur dans Bulbiz.

3.2 Catégories de données

• données d'identification (nom, prénom) ;
• coordonnées (adresse, email, téléphone) ;
• informations relatives aux rendez-vous, interventions, devis, factures, échanges ;
• pièces jointes et notes ajoutées par l'Utilisateur ;
• toute autre donnée personnelle intégrée par l'Utilisateur sous sa responsabilité.

4. Obligations du responsable de traitement (Utilisateur)

L'Utilisateur s'engage à :

• traiter les données de manière licite, loyale et transparente ;
• fournir l'information requise aux personnes concernées ;
• s'assurer de disposer d'une base légale adéquate ;
• veiller à l'exactitude des données ;
• déterminer les durées de conservation adaptées ;
• ne pas traiter via Bulbiz des données excessives au regard de ses finalités.

5. Obligations du sous-traitant (LA RUCHE)

LA RUCHE s'engage à :

• traiter les données uniquement sur instruction documentée de l'Utilisateur ;
• garantir la confidentialité des personnes autorisées à traiter les données ;
• mettre en œuvre des mesures techniques et organisationnelles appropriées ;
• ne pas recruter un autre sous-traitant sans respecter les conditions de l'article 28 du RGPD ;
• assister l'Utilisateur pour répondre aux demandes d'exercice de droits ;
• notifier l'Utilisateur en cas de violation de données personnelles ;
• à la fin de la prestation, supprimer ou restituer les données selon les instructions de l'Utilisateur.

6. Sous-traitants ultérieurs

L'Utilisateur autorise LA RUCHE à recourir à des sous-traitants ultérieurs nécessaires au fonctionnement du Service, notamment :

• IONOS SARL (hébergement) ;
• Supabase / Lovable (infrastructure applicative et base de données) ;
• Resend (emails transactionnels, si activé) ;
• Google (uniquement si l'Utilisateur active des intégrations Google).

LA RUCHE s'assure que ses sous-traitants ultérieurs présentent des garanties suffisantes et sont soumis à des obligations de protection des données au moins équivalentes à celles du présent DPA.

7. Assistance relative aux droits des personnes

LA RUCHE assiste l'Utilisateur par des moyens techniques et organisationnels appropriés pour répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité).

8. Violation de données personnelles (incident)

En cas de violation de données personnelles, LA RUCHE notifie l'Utilisateur dans les meilleurs délais et fournit les informations raisonnablement disponibles (nature de l'incident, données concernées, mesures prises ou proposées).

9. Transferts hors UE

Si un transfert hors UE est nécessaire via un prestataire, LA RUCHE met en place des garanties appropriées (ex. clauses contractuelles types) et informe l'Utilisateur sur demande.

10. Audit et documentation

LA RUCHE met à disposition de l'Utilisateur les informations nécessaires pour démontrer le respect de ses obligations au titre du présent DPA et peut répondre aux demandes d'audit raisonnables.

11. Sort des données en fin de contrat

À la fin de l'utilisation des Services, LA RUCHE supprimera ou restituera les données personnelles traitées pour le compte de l'Utilisateur, sauf obligation légale de conservation.

12. Annexe – Mesures de sécurité (synthèse)

LA RUCHE met en place des mesures appropriées, notamment :

• chiffrement des échanges via HTTPS/TLS ;
• contrôle d'accès et séparation logique des comptes ;
• restrictions d'accès internes (principe du moindre privilège) ;
• journalisation et surveillance de la sécurité ;
• sauvegardes régulières ;
• mesures visant à protéger les identifiants et secrets (stockage sécurisé, non exposition côté client) ;
• mises à jour et correctifs de sécurité.