Objet et rôles
Le client agit en principe comme responsable de traitement et JRbIA comme sous-traitant pour les opérations décrites dans l’offre. L’objet, la durée, la nature, les finalités, les catégories de données et de personnes sont précisés dans la commande ou son annexe.
Instructions documentées
JRbIA traite les données uniquement selon les instructions documentées du client, y compris pour les transferts, sauf obligation légale. JRbIA signale une instruction qui lui paraît contraire au droit applicable et peut suspendre l’opération concernée dans l’attente d’une instruction licite.
Confidentialité et sécurité
Les personnes autorisées sont soumises à confidentialité et au besoin d’en connaître. JRbIA applique des mesures proportionnées au risque : isolation des organisations, contrôle d’accès, secrets côté serveur, journalisation, chiffrement disponible, sauvegarde et procédure d’incident.
Sous-traitants ultérieurs
Le client donne une autorisation générale encadrée. JRbIA publie les changements matériels, permet une objection motivée portant sur la protection des données, impose des obligations équivalentes et demeure responsable de ses obligations.
Transferts hors EEE
Un transfert repose sur une décision d’adéquation, des clauses contractuelles types ou une autre garantie valable, complétée si nécessaire par une analyse et des mesures additionnelles. Les lieux et mécanismes applicables sont documentés avec le service souscrit.
Droits et autorités
Compte tenu de la nature du traitement, JRbIA assiste raisonnablement le client pour l’exercice des droits, les analyses d’impact, consultations et échanges avec l’autorité compétente. Une demande reçue directement est transmise au client sauf interdiction légale.
Violation de données
JRbIA informe le client sans retard injustifié après avoir pris connaissance d’une violation affectant les données confiées. Elle communique progressivement la nature, les catégories et volumes connus, les conséquences probables, les mesures prises et le point de contact, sans attendre la fin de l’enquête lorsque des informations fiables sont déjà disponibles. Le client reste maître de la qualification et de ses notifications, sauf mandat exprès.
Preuves, audit et fin
JRbIA fournit les informations nécessaires pour démontrer le respect de ses obligations. Un audit reste raisonnable, annoncé, limité et protège les autres clients. En fin de service, les données sont restituées ou supprimées selon le contrat, sauf conservation légale.