Contrat de sous-traitance des données personnelles

D'une part,

LEGALIS SARL, société à responsabilité limitée de droit calédonien, immatriculée sous le numéro RIDET 1 493 691.002, dont le siège social est situé 1A Allée du PR. Ducros, 98800 Nouméa, Nouvelle-Calédonie, représentée par son Gérant, Monsieur Nicolas PAYEN, dûment habilité aux fins des présentes,

ci-après dénommée le « Sous-traitant »,

D'autre part,

Le Client identifié au bloc de signature figurant en fin du présent contrat,

ci-après dénommé le « Responsable de traitement » ou le « Client »,

ensemble dénommés les « Parties » et individuellement la « Partie ».

Le Sous-traitant édite et exploite la plateforme SaaS accessible à l'adresse https://legal.nc, dédiée à l'agrégation, à la structuration et à la mise à disposition d'annonces légales et d'informations juridiques relatives aux entreprises de Nouvelle-Calédonie (ci-après le « Service »).

Le Responsable de traitement a souscrit, ou s'apprête à souscrire, un abonnement Pro ou Entreprise au Service, dans les conditions définies par les Conditions Générales de Vente publiées par le Sous-traitant ou par tout contrat-cadre négocié de gré à gré entre les Parties (ci-après ensemble le « Contrat principal »).

Les Parties reconnaissent expressément que la qualification juridique des traitements de données personnelles effectués dans le cadre du Service peut varier selon la nature des opérations concernées.

Pour la majorité des traitements mis en œuvre par le Sous-traitant dans le cadre de l'exploitation du Service, et notamment :

• la collecte des annonces légales et publications officielles depuis les Sources officielles de Nouvelle-Calédonie ;
• la structuration et la mise à disposition des fiches entreprises et des fiches dirigeants au public ;
• la gestion des comptes utilisateurs créés sur le Service ;
• la facturation des abonnements et la tenue de la comptabilité y afférent ;
• la sécurité du Service, la lutte contre l'extraction automatisée et la prévention de la fraude.

Le Sous-traitant agit en qualité de responsable de traitement au sens de l'article 4 (7) du Règlement (UE) 2016/679. Ces traitements sont régis par la Politique de confidentialité. Le présent contrat n'a pas vocation à les régir.

Le présent contrat a pour objet d'encadrer exclusivement les traitements pour lesquels le Sous-traitant agit pour le compte du Responsable de traitement, à savoir les opérations de traitement portant sur des données personnelles relevant de la responsabilité propre du Client vis-à-vis de ses propres clients, mandants, prospects ou tiers identifiés, lorsque ces données sont chargées, paramétrées, traitées ou exportées par le Client ou par les Utilisateurs autorisés du Client dans son Espace personnel sur le Service. Sont notamment concernés :

• les notes internes saisies par le Client dans son Espace personnel et portant sur des personnes physiques identifiées ;
• les paramétrages d'alertes nominatifs portant sur des personnes physiques identifiées dont le Client assure le suivi pour le compte de ses propres clients ou mandants ;
• les listes de surveillance, watchlists ou portefeuilles nominatifs constitués par le Client à partir des fonctionnalités du Service ;
• les exports retraités à partir des données du Service et combinés avec des données propres du Client.

Pour ces seules opérations, le Sous-traitant agit en qualité de sous-traitant au sens de l'article 4 (8) du Règlement (UE) 2016/679, et le présent contrat encadre cette zone restreinte de sous-traitance.

Le présent contrat est conclu en application :

• du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le « RGPD »), applicable en Nouvelle-Calédonie par renvoi de la loi Informatique et Libertés modifiée ;
• de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (ci-après la « loi Informatique et Libertés ») ;
• de l'ordonnance n° 2018-1125 du 12 décembre 2018 étendant et adaptant à la Nouvelle-Calédonie la loi Informatique et Libertés modifiée ;
• du décret n° 2019-536 du 29 mai 2019 d'application de la loi Informatique et Libertés modifiée ;
• de l'article 82 de la loi Informatique et Libertés modifiée, issu de la refonte opérée par l'ordonnance n° 2018-1125 du 12 décembre 2018 et applicable aux cookies et traceurs ;
• de la décision (UE) 2021/914 de la Commission européenne du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers ;
• de la décision d'exécution (UE) 2023/1795 de la Commission européenne du 10 juillet 2023 relative à l'adéquation du niveau de protection des données à caractère personnel assuré par le cadre de protection des données UE-États-Unis (Data Privacy Framework).

L'autorité de contrôle compétente est la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Le présent contrat complète le Contrat principal et la Politique de confidentialité. En cas de contradiction relative aux questions de protection des données à caractère personnel, le présent contrat prévaut. Pour toute autre question, le Contrat principal prévaut.

• « Données à caractère personnel » ou « Données personnelles » : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4 (1) du RGPD.
• « Traitement » : toute opération ou tout ensemble d'opérations effectuées sur des Données personnelles, au sens de l'article 4 (2) du RGPD.
• « Responsable de traitement » : la personne physique ou morale qui détermine les finalités et les moyens du Traitement, au sens de l'article 4 (7) du RGPD. Dans le cadre du présent contrat, le Responsable de traitement est le Client.
• « Sous-traitant » : la personne physique ou morale qui traite des Données personnelles pour le compte du Responsable de traitement, au sens de l'article 4 (8) du RGPD. Dans le cadre du présent contrat, le Sous-traitant est LEGALIS SARL.
• « Personne concernée » : la personne physique identifiée ou identifiable dont les Données personnelles font l'objet d'un Traitement.
• « Sous-traitant ultérieur » : le sous-traitant auquel le Sous-traitant fait appel pour réaliser tout ou partie des opérations de Traitement effectuées pour le compte du Responsable de traitement.
• « Violation de données » : toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données personnelles transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données, au sens de l'article 4 (12) du RGPD.
• « Pays tiers » : tout État situé en dehors de l'Espace économique européen.

• « Service » : la plateforme SaaS éditée et exploitée par le Sous-traitant, accessible à l'adresse https://legal.nc.
• « Compte » : l'espace personnel sécurisé créé par le Client pour accéder au Service.
• « Espace personnel » : la zone du Compte du Client dans laquelle celui-ci peut saisir des notes, paramétrer des alertes, constituer des listes de surveillance et exporter des données.
• « Utilisateurs autorisés » : les personnes physiques accédant au Service depuis le Compte du Client, dans la limite du nombre d'utilisateurs autorisés défini par le Contrat principal.
• « Sources officielles » : l'ensemble des supports officiels et habilités à publier des informations à caractère légal en Nouvelle-Calédonie, listés à l'article 6.2 de la Politique de confidentialité.

Le présent contrat a pour objet de définir les conditions dans lesquelles le Sous-traitant s'engage à effectuer, pour le compte du Responsable de traitement, les opérations de Traitement de Données personnelles décrites en Annexe 1.

La nature et la finalité du Traitement sont décrites en Annexe 1. Elles consistent essentiellement à mettre à disposition du Responsable de traitement et de ses Utilisateurs autorisés les fonctionnalités du Service permettant de saisir, de stocker, de paramétrer, de structurer, d'exporter et de mettre à disposition les Données personnelles relevant de sa responsabilité propre.

La durée du Traitement correspond à celle du Contrat principal, augmentée des durées de conservation imposées par les obligations légales applicables, et notamment :

• 10 ans pour les données de facturation, en application de l'article L. 123-22 du Code de commerce applicable en Nouvelle-Calédonie ;
• 5 ans pour les données soumises à la prescription commerciale de droit commun, en application de l'article L. 110-4 du Code de commerce applicable en Nouvelle-Calédonie.

À l'expiration du Contrat principal, les modalités de suppression ou de restitution des Données personnelles sont régies par l'article 13 du présent contrat.

Le type de Données personnelles traitées par le Sous-traitant pour le compte du Responsable de traitement est décrit en Annexe 1.

Les catégories de Personnes concernées par le Traitement sont décrites en Annexe 1.

Les Parties conviennent expressément que :

• aucune donnée à caractère personnel relevant des catégories particulières au sens de l'article 9 du RGPD (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques, données concernant la santé, données concernant la vie sexuelle ou l'orientation sexuelle d'une personne) ne fera l'objet d'un Traitement au titre du présent contrat ;
• aucune donnée relative à des condamnations pénales et infractions au sens de l'article 10 du RGPD ne fera l'objet d'un Traitement, sauf accord écrit préalable et exprès du Sous-traitant ;
• aucune donnée concernant un mineur ne fera l'objet d'un Traitement.

Le Responsable de traitement s'engage à ne pas charger de telles données dans le Service. À défaut, le Responsable de traitement supportera seul les conséquences d'un tel chargement et devra indemniser le Sous-traitant de tout préjudice qui en résulterait.

Documenter la licéité de chaque Traitement qu'il met en œuvre par l'intermédiaire du Service, en identifiant la base légale applicable au sens de l'article 6 du RGPD et, le cas échéant, en recueillant le consentement valable des Personnes concernées.

Informer les Personnes concernées du Traitement dans les conditions des articles 13 et 14 du RGPD, et notamment de l'existence du recours au Sous-traitant et à ses Sous-traitants ultérieurs.

Donner ses instructions au Sous-traitant de manière documentée, par l'intermédiaire des paramétrages disponibles dans le Compte, par e-mail à [email protected] ou par tout autre moyen écrit. Les instructions générales résultant de l'utilisation normale du Service constituent des instructions documentées au sens du présent contrat et de l'article 28 (3) (a) du RGPD.

Tenir à jour son propre registre des activités de traitement au sens de l'article 30 du RGPD, dans la mesure où il y est tenu.

Garantir au Sous-traitant la licéité du Traitement et la légitimité des instructions données. Le Responsable de traitement supporte seul les conséquences d'un Traitement illicite ou d'une instruction contraire au RGPD ou à la loi Informatique et Libertés.

Coopérer de bonne foi avec le Sous-traitant pour permettre l'exécution du présent contrat, et notamment lui communiquer toute information utile au traitement des demandes des Personnes concernées et à la notification des Violations de données.

Le Sous-traitant ne traite les Données personnelles que sur instruction documentée du Responsable de traitement, y compris en ce qui concerne les transferts vers un Pays tiers, sauf s'il est tenu d'y procéder en vertu du droit applicable. En ce cas, le Sous-traitant informe le Responsable de traitement de cette obligation juridique avant le Traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public.

Si le Sous-traitant considère qu'une instruction du Responsable de traitement constitue une violation du RGPD ou de toute autre disposition applicable en matière de protection des données personnelles, il en informe immédiatement le Responsable de traitement.

Le Sous-traitant garantit que les personnes physiques autorisées à traiter les Données personnelles s'engagent à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité. Cette obligation survit à la cessation des fonctions de la personne concernée.

Le Sous-traitant veille à ce que ces personnes ne reçoivent que les informations strictement nécessaires à l'exécution de leurs missions, dans le respect du principe du moindre privilège.

Le Sous-traitant prend toutes les mesures techniques et organisationnelles requises au titre de l'article 32 du RGPD. Ces mesures sont décrites en Annexe 2.

Le Sous-traitant peut faire appel à des Sous-traitants ultérieurs, dans les conditions fixées à l'article 6 du présent contrat. La liste des Sous-traitants ultérieurs autorisés à la date des présentes figure en Annexe 3.

Le Sous-traitant assiste le Responsable de traitement, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour s'acquitter de son obligation de donner suite aux demandes dont les Personnes concernées le saisissent en vue d'exercer leurs droits prévus aux articles 12 à 22 du RGPD. Les modalités sont précisées à l'article 7 du présent contrat.

Le Sous-traitant assiste le Responsable de traitement pour garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, et notamment :

• la sécurité du Traitement ;
• la notification de Violation de données à l'autorité de contrôle ;
• la communication d'une Violation de données aux Personnes concernées ;
• la conduite d'une analyse d'impact relative à la protection des données ;
• la consultation préalable de l'autorité de contrôle.

Les modalités sont précisées aux articles 9 et 10 du présent contrat.

À la fin de la prestation de service relative au Traitement, le Sous-traitant supprime toutes les Données personnelles ou les renvoie au Responsable de traitement, au choix de ce dernier, et détruit les copies existantes, sauf obligation de conservation imposée par le droit applicable. Les modalités sont précisées à l'article 13 du présent contrat.

Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD, et permet la réalisation d'audits, dans les conditions définies à l'article 12 du présent contrat.

Le Responsable de traitement donne au Sous-traitant une autorisation écrite générale, au sens de l'article 28 (2) du RGPD, de recourir aux Sous-traitants ultérieurs listés en Annexe 3. Cette liste est tenue à jour par le Sous-traitant et reflète les sous-traitants techniques effectivement utilisés à la date de la dernière mise à jour du présent contrat.

Le Sous-traitant informe le Responsable de traitement de tout projet d'ajout ou de remplacement d'un Sous-traitant ultérieur, par e-mail adressé à l'adresse du Compte du Client, au moins trente (30) jours avant la date prévue d'entrée en vigueur du changement. La notification précise l'identité du Sous-traitant ultérieur, sa localisation, la finalité du Traitement qu'il assurera et les garanties applicables.

Le Responsable de traitement dispose d'un délai de trente (30) jours à compter de la notification pour s'opposer au changement, par e-mail adressé à [email protected]. L'opposition doit être motivée par des considérations sérieuses et objectives liées à la protection des Données personnelles.

À défaut d'opposition motivée dans ce délai, le changement est réputé accepté par le Responsable de traitement.

En cas d'opposition motivée du Responsable de traitement, les Parties s'efforcent de bonne foi de trouver une solution alternative permettant de répondre aux préoccupations exprimées. À défaut d'accord dans un délai raisonnable, le Responsable de traitement peut résilier le Contrat principal et le présent contrat, sans préavis ni indemnité de part et d'autre, à effet de la veille de l'entrée en vigueur du changement contesté.

Le Sous-traitant impose contractuellement à chacun de ses Sous-traitants ultérieurs des obligations de protection des données équivalentes à celles fixées au présent contrat, et notamment :

• les mesures techniques et organisationnelles de l'article 32 du RGPD ;
• les obligations de confidentialité ;
• les engagements relatifs aux transferts de données vers des Pays tiers ;
• pour les fournisseurs de services d'intelligence artificielle, l'engagement contractuel de non-réutilisation des données aux fins d'entraînement, d'apprentissage, d'affinage ou de calibrage de modèles.

Lorsque le Sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le Sous-traitant demeure pleinement responsable devant le Responsable de traitement de l'exécution par ce Sous-traitant ultérieur de ses obligations.

Dans la mesure du possible et compte tenu de la nature du Traitement, le Sous-traitant aide le Responsable de traitement à s'acquitter de son obligation de donner suite aux demandes dont les Personnes concernées le saisissent en vue d'exercer leurs droits, notamment :

• droit d'accès (article 15 RGPD) ;
• droit de rectification (article 16 RGPD) ;
• droit à l'effacement (article 17 RGPD) ;
• droit à la limitation du Traitement (article 18 RGPD) ;
• droit à la portabilité des données (article 20 RGPD) ;
• droit d'opposition (article 21 RGPD) ;
• droit relatif aux décisions individuelles automatisées (article 22 RGPD).

Le Sous-traitant met en œuvre les mesures d'assistance dans les meilleurs délais et au plus tard sous quinze (15) jours ouvrés à compter de la réception de la demande écrite du Responsable de traitement. Ce délai peut être prolongé de manière motivée en cas de demande complexe ou de nombre élevé de demandes, le Responsable de traitement en étant informé.

Si une Personne concernée s'adresse directement au Sous-traitant pour exercer un droit relatif à un Traitement effectué pour le compte du Responsable de traitement, le Sous-traitant :

• redirige la demande vers le Responsable de traitement dans les meilleurs délais ;
• informe la Personne concernée de cette redirection ;
• s'abstient de donner suite directement à la demande, sauf instruction contraire du Responsable de traitement.

Le Sous-traitant tient un journal des demandes d'exercice de droits qu'il a reçues directement et qu'il a transmises au Responsable de traitement, accessible à ce dernier sur demande adressée à [email protected].

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Ces mesures sont décrites en Annexe 2.

Les mesures techniques et organisationnelles peuvent évoluer dans le temps, dans le sens d'une amélioration ou d'une adaptation aux risques. Le Sous-traitant s'engage à ce que toute évolution maintienne ou renforce le niveau de sécurité initial. La version à jour de l'Annexe 2 prévaut.

Le Sous-traitant veille à ce que les personnes physiques ayant accès aux Données personnelles soient :

• soumises à une obligation contractuelle de confidentialité ;
• formées aux exigences du RGPD et aux mesures de sécurité applicables ;
• soumises au principe du moindre privilège, n'accédant qu'aux Données strictement nécessaires à leurs missions ;
• informées des sanctions applicables en cas de manquement.

Les Sous-traitants ultérieurs auxquels le Sous-traitant fait appel sont sélectionnés sur la base, notamment, des garanties qu'ils présentent en matière de sécurité. Les certifications, attestations et engagements applicables figurent en Annexe 3.

Le Sous-traitant notifie au Responsable de traitement toute Violation de données dont il a connaissance et qui concerne les Données personnelles traitées pour le compte du Responsable de traitement, sans retard injustifié et au plus tard dans un délai de quarante-huit (48) heures après en avoir pris connaissance.

La notification est adressée par e-mail à l'adresse associée au Compte du Client et, si l'information a été communiquée au Sous-traitant, au DPO ou au référent données du Client.

La notification comporte au minimum les informations suivantes :

• la nature de la Violation de données, y compris, si possible, les catégories et le nombre approximatif de Personnes concernées ainsi que les catégories et le nombre approximatif d'enregistrements de Données personnelles concernés ;
• les conséquences probables de la Violation de données ;
• les mesures prises ou envisagées par le Sous-traitant pour remédier à la Violation de données et, le cas échéant, pour atténuer ses éventuelles conséquences négatives ;
• le nom et les coordonnées du DPO du Sous-traitant ou de tout autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues.

Lorsque, et dans la mesure où, il n'est pas possible de fournir toutes ces informations en même temps, les informations peuvent être communiquées de manière échelonnée, sans nouveau retard injustifié.

Le Sous-traitant coopère pleinement avec le Responsable de traitement pour permettre à ce dernier de respecter ses propres obligations au titre des articles 33 et 34 du RGPD, et notamment l'obligation de notification à l'autorité de contrôle dans un délai de soixante-douze (72) heures et l'obligation d'information des Personnes concernées en cas de risque élevé pour leurs droits et libertés.

Le Sous-traitant documente toute Violation de données dans un registre interne, en précisant les faits concernant la Violation, ses effets et les mesures prises pour y remédier. Ce registre est mis à disposition du Responsable de traitement sur demande motivée.

Le Sous-traitant assiste le Responsable de traitement, dans la mesure du possible et compte tenu de la nature du Traitement et des informations à sa disposition, dans la conduite d'une analyse d'impact relative à la protection des données au sens de l'article 35 du RGPD lorsque celle-ci est requise.

Le Sous-traitant met à disposition du Responsable de traitement, dans un délai de trente (30) jours à compter de la demande écrite, les informations techniques et organisationnelles nécessaires à la conduite de l'analyse d'impact, et notamment :

• la description des opérations de Traitement effectuées par le Sous-traitant ;
• les mesures de sécurité techniques et organisationnelles mises en œuvre ;
• la liste des Sous-traitants ultérieurs et leurs garanties ;
• les éléments relatifs aux transferts de données vers des Pays tiers.

Le Sous-traitant assiste le Responsable de traitement dans le cadre d'une éventuelle consultation préalable de l'autorité de contrôle au sens de l'article 36 du RGPD.

L'hébergement principal des Données personnelles traitées dans le cadre du présent contrat est assuré en France, dans des datacenters situés sur le territoire de l'Union européenne, par le Sous-traitant ultérieur OVH SAS. Certains traitements transitoires peuvent impliquer des Sous-traitants ultérieurs établis en pays tiers, dans les conditions strictement encadrées des articles 11.2 et 11.3 ci-dessous.

Certains Sous-traitants ultérieurs opèrent depuis des Pays tiers, principalement les États-Unis. Ces transferts sont strictement limités aux données nécessaires à la finalité du Sous-traitant ultérieur concerné, telle que décrite en Annexe 3.

Les transferts vers des Pays tiers sont encadrés par les mécanismes suivants, alternativement ou cumulativement :

• les clauses contractuelles types adoptées par la décision (UE) 2021/914 de la Commission européenne du 4 juin 2021, intégrées par référence au présent contrat en Annexe 4 ;
• la certification du Sous-traitant ultérieur au Data Privacy Framework, en application de la décision d'exécution (UE) 2023/1795 de la Commission européenne du 10 juillet 2023, lorsque le Sous-traitant ultérieur est certifié ;
• les engagements contractuels propres à chaque Sous-traitant ultérieur en matière de confidentialité, de sécurité et, pour les fournisseurs d'intelligence artificielle, de non-réutilisation des données aux fins d'entraînement de modèles.

Le Sous-traitant garantit que les requêtes transmises au Sous-traitant ultérieur OpenRouter, Inc. portent exclusivement sur le contenu des annonces et publications légales issues des Sources officielles, par nature publiques. Aucune Donnée personnelle d'Utilisateur autorisé du Client, ni aucune Donnée personnelle relevant de la responsabilité du Client au titre du présent contrat, n'est transmise à OpenRouter, Inc.

Le Responsable de traitement peut, une fois par an et avec un préavis raisonnable de trente (30) jours, vérifier le respect par le Sous-traitant des obligations résultant du présent contrat.

L'audit est conduit, au choix du Responsable de traitement et sous réserve des modalités acceptées par le Sous-traitant :

• par questionnaire écrit, auquel le Sous-traitant répond dans un délai de trente (30) jours par des réponses documentées ;
• par mise à disposition de rapports d'audit indépendants émanant des Sous-traitants ultérieurs (notamment ISO 27001, SOC 1 Type II ou SOC 2 Type II), lorsque ceux-ci sont disponibles ;
• par mise à disposition d'attestations de conformité ou de toute autre documentation pertinente démontrant le respect des obligations du présent contrat.

Un audit physique sur site dans les locaux du Sous-traitant ne peut être conduit que dans l'un des cas suivants :

• en cas de Violation de données avérée ayant un impact significatif sur les Données personnelles relevant de la responsabilité du Client ;
• sur demande motivée d'une autorité de contrôle ;
• en cas de manquement substantiel et persistant du Sous-traitant à ses obligations résultant du présent contrat, après mise en demeure restée infructueuse.

L'audit physique est conduit aux frais du Responsable de traitement, en dehors des heures ouvrées de production, sous réserve de la signature préalable d'un engagement de confidentialité par les auditeurs et sans accès aux données d'autres clients du Sous-traitant. Les Parties conviennent à l'avance des modalités précises de l'audit physique.

Les stipulations qui précèdent ne portent pas atteinte au pouvoir d'audit reconnu à l'autorité de contrôle compétente au titre des articles 57 et 58 du RGPD. Le Sous-traitant coopère pleinement avec toute mission de contrôle ou d'enquête de la CNIL ou de toute autre autorité compétente.

Les résultats des audits, ainsi que les informations communiquées dans ce cadre, sont strictement confidentiels et ne peuvent être communiqués à des tiers, sauf obligation légale ou réquisition d'une autorité compétente.

À l'issue du Contrat principal, et à la demande écrite du Responsable de traitement, le Sous-traitant procède, au choix exclusif du Responsable de traitement :

• soit à la suppression définitive de l'ensemble des Données personnelles traitées pour le compte du Responsable de traitement ;
• soit à la restitution de l'ensemble de ces Données personnelles dans un format structuré et couramment utilisé, tel que CSV, JSON ou exports SQL.

Le Sous-traitant exécute le choix du Responsable de traitement dans un délai de trente (30) jours à compter de la notification de ce choix.

À défaut d'instruction du Responsable de traitement dans un délai de trente (30) jours suivant la fin du Contrat principal, le Sous-traitant procède à la suppression définitive des Données personnelles, sous réserve des conservations légales prévues à l'article 13.5.

Le Sous-traitant délivre, sur demande écrite du Responsable de traitement, une certification écrite de la suppression effective des Données personnelles. La certification précise la date de la suppression et le périmètre couvert.

Par exception aux stipulations qui précèdent, le Sous-traitant peut conserver les Données personnelles dans la stricte mesure imposée par les obligations légales applicables, et notamment :

• les données de facturation pendant une durée de dix (10) ans, en application de l'article L. 123-22 du Code de commerce applicable en Nouvelle-Calédonie ;
• les données nécessaires à la prescription commerciale de droit commun pendant une durée de cinq (5) ans, en application de l'article L. 110-4 du Code de commerce applicable en Nouvelle-Calédonie ;
• les logs de sécurité pendant la durée nécessaire à la prévention et à la détection des manquements, dans les conditions précisées par la Politique de confidentialité du Sous-traitant.

Chaque Partie est responsable du respect de ses propres obligations résultant du RGPD et du présent contrat. Une Partie ne saurait être tenue responsable d'un manquement imputable à l'autre Partie.

Sauf dans les cas prévus à l'article 14.4, et sauf en cas de faute lourde ou intentionnelle, la responsabilité totale du Sous-traitant au titre du présent contrat, toutes causes confondues et sur toute la durée du contrat, est limitée au montant total des sommes effectivement payées par le Client au titre du Contrat principal pendant les douze (12) mois précédant le fait générateur de responsabilité.

Cette limitation est cohérente avec celle prévue à l'article 20.2 des Conditions Générales de Vente du Service Legal.nc.

Sont exclus de l'engagement de responsabilité du Sous-traitant les dommages indirects ou immatériels, et notamment : la perte de chance, la perte de chiffre d'affaires, la perte d'exploitation, la perte de bénéfices, la perte de clientèle, l'atteinte à l'image. Cette exclusion s'applique sauf en cas de faute lourde ou intentionnelle.

Le plafond de responsabilité prévu à l'article 14.2 est inopposable et la responsabilité du Sous-traitant peut être engagée sans limitation, conformément aux dispositions impératives applicables, dans les cas suivants :

• faute lourde ou intentionnelle du Sous-traitant ;
• manquement substantiel à une obligation impérative résultant de l'article 28 du RGPD ;
• violation délibérée d'une instruction documentée du Responsable de traitement ;
• atteinte à des droits fondamentaux des Personnes concernées résultant d'un manquement caractérisé du Sous-traitant.

Chaque Partie garantit l'autre contre toute action, réclamation ou condamnation dont l'autre Partie viendrait à faire l'objet du fait du non-respect, par la première Partie, de ses propres obligations résultant du présent contrat ou de la réglementation applicable.

Le présent contrat entre en vigueur à la date de sa signature par les deux Parties et demeure applicable pendant toute la durée du Contrat principal.

Chaque Partie peut résilier le présent contrat en cas de manquement substantiel et persistant de l'autre Partie à ses obligations, après mise en demeure adressée par lettre recommandée avec demande d'avis de réception ou par tout moyen écrit équivalent, restée infructueuse pendant un délai de trente (30) jours.

Le présent contrat est résilié de plein droit en cas de résiliation, expiration ou cessation, pour quelque cause que ce soit, du Contrat principal.

Survivent à la résiliation, par leur nature :

• les obligations de confidentialité, pendant une durée de trois (3) ans à compter de la résiliation ;
• les obligations de suppression et de restitution des Données personnelles prévues à l'article 13 ;
• les obligations légales de conservation prévues à l'article 13.5 ;
• les stipulations relatives à la responsabilité, dans la mesure nécessaire à la mise en œuvre des actions y afférentes ;
• les stipulations relatives au droit applicable et à la juridiction compétente.

En cas de contradiction entre les stipulations du présent contrat et celles du Contrat principal, des Conditions Générales d'Utilisation, des Conditions Générales de Vente, des Mentions légales ou de la Politique de confidentialité, et pour les seules questions relatives à la protection des Données personnelles, le présent contrat prévaut. Pour toute autre question, le Contrat principal prévaut.

Toute modification du présent contrat doit faire l'objet d'un avenant écrit signé par les deux Parties. Par exception, l'Annexe 3 (liste des Sous-traitants ultérieurs) peut être mise à jour par le Sous-traitant dans les conditions prévues à l'article 6.2.

Le présent contrat est conclu intuitu personae du côté du Responsable de traitement. Le Responsable de traitement ne peut céder, transférer ou transmettre, en tout ou partie, à un tiers, ses droits et obligations résultant des présentes, sans autorisation écrite et préalable du Sous-traitant.

Le Sous-traitant peut librement céder, transférer ou transmettre ses droits et obligations résultant des présentes, notamment dans le cadre d'une opération de fusion, d'acquisition, de cession d'activité ou de réorganisation sociale, sous réserve d'en informer le Responsable de traitement par écrit.

Le fait, pour l'une ou l'autre des Parties, de ne pas se prévaloir, à un moment donné, de l'une quelconque des stipulations du présent contrat, ne saurait être interprété comme une renonciation à se prévaloir ultérieurement de cette même stipulation.

Si une ou plusieurs stipulations du présent contrat venaient à être déclarées nulles, illégales ou inapplicables, en application d'une loi, d'un règlement ou d'une décision de justice, les autres stipulations conserveraient leur pleine force et leur plein effet.

Le présent contrat est régi par le droit applicable en Nouvelle-Calédonie.

En cas de différend relatif à l'interprétation, à la validité ou à l'exécution du présent contrat, les Parties s'engagent à rechercher préalablement une solution amiable, par échange écrit adressé au siège social du Sous-traitant ou à l'adresse [email protected].

À défaut d'accord amiable dans un délai de trente (30) jours à compter de la première notification, le différend pourra être porté devant les juridictions compétentes.

Tout litige relatif au présent contrat, à son interprétation, à sa validité ou à son exécution relève de la compétence exclusive des juridictions du ressort du Tribunal de première instance de Nouméa, sauf disposition légale impérative contraire.

Le présent contrat est rédigé en langue française. En cas de traduction dans une autre langue, à des fins de simple commodité, la version française fait seule foi.

Le présent contrat, ensemble avec ses annexes, exprime l'intégralité des engagements des Parties relativement à son objet. Il annule et remplace toutes les communications, propositions, accords et engagements antérieurs ou contemporains, oraux ou écrits, échangés entre les Parties relatifs à son objet.

• Chiffrement des communications par TLS 1.2 ou supérieur (HTTPS) sur toutes les routes du Service.
• Stockage sécurisé des mots de passe par fonction de hachage adaptative avec sel.
• Authentification à deux facteurs (2FA) disponible pour tous les comptes.
• Vérification d'appareil par code à usage unique pour les nouvelles connexions.
• Contrôle d'accès basé sur les rôles (RBAC) pour les opérations administratives.
• Principe du moindre privilège appliqué à l'ensemble du personnel et des Sous-traitants ultérieurs.
• Journalisation des accès aux données sensibles.

• Sauvegardes quotidiennes chiffrées, conservées de manière redondée.
• Tests réguliers de restauration des sauvegardes.
• Contrôles d'intégrité applicatifs et base de données.
• Séparation stricte des environnements de production, de pré-production et de développement.

• Disponibilité cible de 99 % en moyenne mensuelle, hors interruptions programmées et cas de force majeure.
• Hébergement chez un prestataire certifié ISO 27001, SOC 1 Type II, SOC 2 Type II et HDS, situé en Union européenne.
• Plan de continuité d'activité documenté.
• Monitoring 24 heures sur 24, 7 jours sur 7.

• Tests de restauration périodiques.
• Mises à jour de sécurité régulières des composants logiciels.
• Revues de code intégrant des contrôles de sécurité.
• Audits internes périodiques.

• Mécanismes anti-bot et défis de sécurité (Cloudflare Turnstile).
• Limitation de débit (rate limiting) sur l'ensemble des routes sensibles.
• Détection des comportements anormaux et bannissement automatisé.
• Traçabilité des consultations et téléchargements (notamment empreinte unique pseudonymisée à des fins de traçabilité, injectée dans le rendu HTML des fiches).
• Headers de sécurité standards (HSTS, Content Security Policy, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy).
• Protection contre les vulnérabilités courantes (catégories OWASP Top 10).

• Application stricte des durées de conservation définies par la Politique de confidentialité.
• Limitation des accès au strict nécessaire à l'exécution des missions.
• Séparation des données techniques et des données fonctionnelles dans la mesure du possible.

• Engagement contractuel de confidentialité de l'ensemble du personnel ayant accès aux Données personnelles.
• Formation initiale et continue aux exigences du RGPD et aux mesures de sécurité applicables.
• Procédure de gestion des départs (révocation des accès, restitution des matériels).
• Procédure de gestion des incidents de sécurité.

Les Sous-traitants ultérieurs auxquels le Sous-traitant fait appel présentent les garanties techniques et organisationnelles attestées notamment par :

• des certifications reconnues (ISO 27001, SOC 1 Type II, SOC 2 Type II, HDS) ;
• des engagements contractuels propres à chaque Sous-traitant ultérieur ;
• des clauses de protection des données conformes à l'article 28 du RGPD.

LEGALIS SARL

Représenté par : Nicolas PAYEN, Gérant

Date :  

Signature :

Raison sociale :  

Forme juridique :  

RIDET / SIREN / Numéro d'immatriculation :  

Siège social :  

Représenté par :  

(nom, prénom, qualité de signataire dûment habilité)

Contact DPO ou référent données :  

Date :  

Signature :