Contrat de sous-traitance des données à caractère personnel

1. Parties et qualités

Responsable de traitement	Le Client (l'établissement / l'exploitant abonné au service), qui détermine les finalités et moyens du traitement des données de ses salariés et de son activité.
Sous-traitant	RTH NETGOCE — SARL, 49 rue de Douai, 75009 Paris — lea@nomos-haccp.fr — qui traite les données pour le compte du Client, dans le cadre du service Nomos.

En saisissant dans l'application des données personnelles concernant ses salariés (noms, fonctions, signatures) et son activité, le Client agit en responsable de traitement et RTH NETGOCE en sous-traitant au sens de l'article 4 du RGPD.

2. Objet, durée, nature et finalité

Objet	Hébergement, conservation et mise à disposition des relevés d'autocontrôle HACCP et de leurs preuves (Pack DDPP), pour le compte du Client.
Nature des opérations	Collecte, enregistrement, organisation, conservation, consultation, édition (PDF), et suppression des données.
Finalité	Fournir au Client l'outil d'aide à la traçabilité sanitaire et à l'autocontrôle, et lui permettre d'éditer ses preuves réglementaires.
Durée	Durée de l'abonnement du Client au service.
Catégories de personnes	Salariés et membres d'équipe du Client habilités à réaliser/signer les contrôles.
Catégories de données	Noms et fonctions de l'équipe, nom du signataire, signature manuscrite numérisée, relevés (températures, non-conformités, actions correctives), photos de traçabilité (bons de livraison, étiquettes, nuisibles…).

Aucune donnée sensible au sens de l'article 9 du RGPD n'est requise par le service. Le Client s'engage à ne pas saisir de telles données.

3. Obligations de RTH NETGOCE (sous-traitant)

Conformément à l'article 28.3 du RGPD, RTH NETGOCE s'engage à :

• ne traiter les données que sur instruction documentée du Client (le paramétrage et l'usage du service valant instructions), sauf obligation légale ;
• garantir la confidentialité : seules les personnes habilitées y ont accès, tenues à une obligation de confidentialité ;
• mettre en œuvre les mesures de sécurité appropriées (article 32, voir §5) ;
• respecter les conditions de recours à des sous-traitants ultérieurs (§4) ;
• aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, portabilité…) ;
• assister le Client pour la sécurité, la notification de violation, et les analyses d'impact (AIPD) le cas échéant ;
• notifier au Client toute violation de données concernant ses données dans les meilleurs délais après en avoir pris connaissance ;
• mettre à disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 et permettre des audits raisonnables ;
• procéder au sort des données en fin de prestation (§6).

4. Sous-traitants ultérieurs

Le Client autorise RTH NETGOCE à recourir aux sous-traitants ultérieurs suivants, présentant des garanties appropriées :

Prestataire	Rôle	Localisation / garanties
Supabase (hébergement base de données + stockage photos)	Stockage et hébergement des données du service	UE — AWS Irlande. Aucun transfert hors UE pour les relevés et photos.
OVH (acheminement d'e-mails — voie principale)	Envoi des e-mails de service (confirmation, code d'accès, notifications)	Union européenne (France). Acheminement des e-mails de service exclusivement au sein de l'UE.
EmailJS (acheminement d'e-mails — secours uniquement)	Envoi d'e-mails de service en cas d'indisponibilité ponctuelle d'OVH	États-Unis — utilisé seulement en secours, encadré par des garanties appropriées (clauses contractuelles types / Data Privacy Framework). Ne transitent que les données strictement nécessaires à l'e-mail.
GitHub Pages (hébergement du site)	Diffusion des pages statiques du site (aucune donnée d'autocontrôle)	États-Unis — garanties appropriées. Aucune donnée personnelle de contrôle n'y est stockée.

RTH NETGOCE informera le Client de tout changement prévu de sous-traitant ultérieur, laissant au Client la possibilité d'émettre des objections.

5. Mesures de sécurité (article 32)

• chiffrement des échanges (HTTPS/TLS, HSTS) ;
• cloisonnement strict par établissement (Row Level Security + jeton JWT) : chaque client n'accède qu'à ses propres données ;
• mots de passe hachés (bcrypt), secrets d'administration en coffre-fort (Vault) ;
• limitation des tentatives de connexion (anti-force-brute) ;
• accès restreint aux seules personnes habilitées ;
• hébergement des données dans l'Union européenne (Supabase / AWS Irlande) ;
• purge automatique des photos au terme de la durée de conservation.

6. Sort des données en fin de prestation

Au terme de l'abonnement, au choix du Client exprimé avant l'échéance, RTH NETGOCE procède à la suppression ou à la restitution des données, et supprime les copies existantes, sauf obligation légale de conservation.

Important — conservation des preuves : les relevés d'autocontrôle doivent être conservés plusieurs années et présentés en cas de contrôle officiel. Le Client est responsable de l'export régulier de ses preuves (Pack DDPP en PDF) sur son propre support. Il lui est vivement recommandé d'exporter et de sauvegarder son Pack DDPP au moins une fois par mois, et impérativement avant toute résiliation.

7. Responsabilités du Client (responsable de traitement)

• informer ses salariés du traitement de leurs données via le service ;
• ne saisir que des données pertinentes et licites ;
• exporter et conserver ses preuves réglementaires (§6) ;
• répondre aux demandes d'exercice de droits de ses salariés (RTH NETGOCE l'assiste).

8. Acceptation

Le présent contrat de sous-traitance est accepté par le Client lors de sa souscription au service et de l'acceptation des CGV/CGU, dont il constitue une annexe. Une version signée peut être fournie sur demande à lea@nomos-haccp.fr.

RTH NETGOCE — 49 rue de Douai, 75009 Paris — lea@nomos-haccp.fr · Annexe RGPD (article 28) aux CGV/CGU de Nomos. Document à faire vérifier par un conseil juridique et à tenir à jour à chaque évolution des sous-traitants.