Accord de traitement des données (DPA)
Les conditions dans lesquelles Asrar Studio SARL traite, pour le compte de votre cabinet, les données personnelles de vos clients — le cabinet est responsable du traitement, Asrar sous-traitant.
Sur cette page (10 sections)
Le présent accord (le « DPA ») fait partie des Conditions générales d’utilisation entre Asrar Studio SARL (« le Sous-traitant ») et le cabinet titulaire de l’espace de travail (« le Responsable du traitement »). Il s’applique automatiquement dès que Asrar traite des données personnelles pour le compte du cabinet. Une version signée est disponible sur demande à legal@asrar.example.
1. Définitions et droit applicable
Lois applicables : la loi marocaine n° 09-08 et, lorsque des personnes concernées se trouvent dans l’Union européenne, le Règlement (UE) 2016/679 (RGPD). Données du cabinet : les données personnelles contenues dans les contenus saisis ou importés par le cabinet au sujet de ses clients et de leurs contacts.
2. Rôles
2.1. Le cabinet est responsable du traitement des données de ses clients : il décide quels clients il suit, quelles informations il saisit et à qui il envoie les rapports. Asrar est sous-traitant.
2.2. Asrar ne traite les données du cabinet que sur ses instructions documentées : les Conditions, le présent DPA et l’utilisation du Service par les membres habilités (création de profils, approbations, envois de rapports).
3. Détails du traitement
| Élément | Description |
|---|---|
| Objet | Fourniture du Service de veille réglementaire QSE |
| Durée | Durée du contrat, puis délais de suppression du § 8 |
| Nature | Hébergement, stockage, analyse, mise en correspondance, génération et envoi de livrables |
| Personnes concernées | Contacts des clients du cabinet (responsables QSE, dirigeants, destinataires des rapports), membres du cabinet |
| Catégories de données | Identité et coordonnées professionnelles, fonction, langue de préférence, historique des envois ; pas de données sensibles |
4. Obligations du sous-traitant
Asrar s’engage à : garantir la confidentialité des personnes autorisées ; appliquer les mesures de sécurité du § 9 ; ne pas utiliser les données pour ses propres finalités, ni pour entraîner des modèles d’IA ; aider le cabinet à répondre aux demandes des personnes concernées et à ses obligations (sécurité, notification des violations, analyses d’impact) ; mettre à disposition les informations nécessaires pour démontrer sa conformité.
5. Sous-traitants ultérieurs
Le cabinet autorise le recours aux sous-traitants ultérieurs listés. Asrar informe les cabinets au moins 30 jours avant tout ajout ou remplacement ; le cabinet peut s’y opposer pour un motif légitime et, à défaut d’accord, résilier le Service concerné. Asrar reste responsable de ses sous-traitants ultérieurs.
6. Violations de données
Asrar notifie le cabinet dans les meilleurs délais et au plus tard dans les 48 heures après avoir pris connaissance d’une violation de données personnelles affectant ses données, avec les informations nécessaires à ses propres obligations de notification.
7. Transferts internationaux
Tout transfert de données du cabinet hors du Maroc ou de l’Union européenne vers un pays n’assurant pas un niveau de protection adéquat est encadré par les clauses contractuelles types de la Commission européenne et par les formalités prévues par la loi n° 09-08.
8. Suppression et restitution
Le cabinet peut exporter ses données à tout moment. À la fin du contrat ou à la suppression d’un cabinet, Asrar efface les données des systèmes actifs sous 30 jours et des sauvegardes sous 35 jours supplémentaires, sauf obligation légale de conservation.
9. Mesures de sécurité
Chiffrement en transit (TLS) et chiffrement des secrets au repos ; cloisonnement logique de chaque cabinet (chaque requête est filtrée par cabinet) ; contrôle d’accès par rôle ; fichiers privés servis uniquement par des liens temporaires ; journal d’audit des approbations, envois et changements de droits ; sauvegardes régulières ; gestion des vulnérabilités et accès du personnel limité au strict nécessaire.
10. Audits
Asrar répond une fois par an à un questionnaire de sécurité raisonnable. Si la loi ou une autorité l’exige, le cabinet peut conduire un audit avec un préavis de 30 jours, à ses frais, sans accès aux données d’autres cabinets.