Accord de sous-traitance des données personnelles — Volcanium Cloud

Version du 25 octobre 2026. Accord au sens de l'article 28 du règlement (UE) 2016/679 (RGPD).

Entre l'organisation qui active Volcanium Cloud (le « Responsable de traitement »), représentée par son propriétaire ou son représentant habilité, et Volcanium Studio, association régie par la loi du 1er juillet 1901 et le décret du 16 août 1901, 46 route du Bergeron, 38290 Frontonas, France, SIRET 990 895 807 00016, représentée par Julien Rilliot, président (le « Sous-traitant »).

Article 1 — Objet et rôle des parties

Le Sous-traitant traite, pour le compte du Responsable de traitement et sur ses instructions documentées, les données personnelles mises dans Volcanium Cloud par le Responsable de traitement et ses utilisateurs, pour la seule fourniture du service décrit dans les conditions générales d'utilisation. Pour les données nécessaires à la gestion des comptes, à la sécurité du service et au respect de ses obligations légales, le Sous-traitant agit en qualité de responsable de traitement distinct, comme décrit dans la politique de confidentialité.

Cet accord s'applique dès l'activation de Volcanium Cloud par l'Organisation (acceptation par son propriétaire) et pour toute la durée d'utilisation du service.

Article 2 — Description du traitement

• Nature des opérations : Stockage chiffré et restitution de fichiers
• Finalité : Fournir aux applications Volcanium un stockage de fichiers sécurisé pour l'organisation
• Catégories de données : Contenu des fichiers déposés (pouvant contenir tout type de donnée), nom, taille, type
• Catégories de personnes concernées : Utilisateurs de l'organisation et tiers dont les données figurent dans les fichiers
• Durée : la durée d'utilisation du service par l'Organisation, puis les délais de l'article 9.

Article 3 — Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• traiter les données uniquement sur instruction documentée du Responsable de traitement, qui est constituée par le présent accord, les conditions générales d'utilisation et les réglages effectués dans le service ; il informe immédiatement le Responsable de traitement si une instruction lui paraît violer le RGPD ;
• garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter s'engagent à la confidentialité ;
• mettre en œuvre les mesures de sécurité de l'article 32 du RGPD, décrites en annexe ;
• ne pas recruter de sous-traitant ultérieur sans respecter l'article 5 ;
• aider le Responsable de traitement, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes ; si une personne le saisit directement, il lui indique de s'adresser au Responsable de traitement ;
• aider le Responsable de traitement à garantir le respect des articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact, consultation préalable), compte tenu de la nature du traitement et des informations dont il dispose ;
• tenir un registre des catégories d'activités de traitement effectuées pour son compte (article 30.2 du RGPD).

Article 4 — Obligations du Responsable de traitement

Le Responsable de traitement : fournit les données et détermine leurs finalités, base légale et durée dans le service ; informe les personnes concernées et recueille, si nécessaire, leur consentement ; met en place la gestion des droits des personnes ; veille à ne pas mettre dans le service de données qu'il n'a pas le droit de traiter ni de catégories particulières de données (article 9 du RGPD) sauf accord écrit préalable du Sous-traitant ; paramètre les accès de ses utilisateurs et protège leurs identifiants ; conserve une copie de ses données essentielles.

Article 5 — Sous-traitants ultérieurs

Le Responsable de traitement donne une autorisation générale au Sous-traitant de recourir aux sous-traitants ultérieurs listés en annexe. Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement au moins trente (30) jours à l'avance, par notification dans le service ou par courriel, et met à jour la page Sous-traitants et hébergement. Le Responsable de traitement peut s'y opposer par écrit, de façon motivée, dans ce délai ; à défaut de solution, chacune des parties peut mettre fin à l'utilisation du service. Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes à celles du présent accord et demeure responsable de leur exécution.

Article 6 — Transferts hors Union européenne

Le Sous-traitant ne transfère des données hors de l'Union européenne que dans les cas décrits en annexe et avec les garanties de l'article 46 du RGPD (clauses contractuelles types) ou une décision d'adéquation (article 45).

Article 7 — Notification des violations de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles, dans les meilleurs délais et au plus tard soixante-douze (72) heures après en avoir pris connaissance, par courriel à l'adresse du propriétaire de l'Organisation, avec les informations dont il dispose (nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements, conséquences probables, mesures prises ou proposées). Il complète ces informations au fur et à mesure. La notification à la CNIL et l'information des personnes concernées incombent au Responsable de traitement.

Article 8 — Sécurité

Le Sous-traitant met en œuvre les mesures décrites en annexe. Elles tiennent compte de l'état des connaissances, des coûts, de la nature des données et des risques ; elles peuvent évoluer, sans que le niveau de protection global diminue.

Article 9 — Sort des données en fin de contrat

À la fin d'utilisation du service, quelle qu'en soit la cause, le Sous-traitant remet au Responsable de traitement, sur demande formulée dans les trente (30) jours, une copie de ses données dans un format standard et exploitable. Passé un délai de soixante (60) jours suivant cette fin, le Sous-traitant supprime les données, sauf obligation légale de conservation. Les sauvegardes techniques sont écrasées dans un délai de 30 jours. Le Sous-traitant peut conserver les données qu'une obligation légale lui impose de garder, le temps requis.

Article 10 — Audit

Le Sous-traitant met à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits, y compris des inspections, par le Responsable de traitement ou un auditeur qu'il mandate, sous réserve d'un préavis d'au moins trente (30) jours, d'une fréquence maximale d'un audit par an (hors incident avéré), de la signature d'un engagement de confidentialité et de l'absence de perturbation du service ou de risque pour les autres organisations. Les frais de l'audit sont à la charge de celui qui le demande.

Article 11 — Responsabilité

Chaque partie répond de ses manquements au RGPD dans les conditions de l'article 82 du RGPD. Dans leurs rapports réciproques, et sauf faute lourde ou dolosive, la responsabilité du Sous-traitant est soumise aux limitations de l'article 10 des conditions générales d'utilisation. Les amendes administratives infligées à une partie restent à sa charge dans la mesure permise par la loi.

Article 12 — Durée, loi applicable

Le présent accord prend effet à l'acceptation et dure autant que l'utilisation du service par l'Organisation. Il est soumis au droit français ; les litiges relèvent de la compétence prévue aux conditions générales d'utilisation.

Annexe 1 — Mesures de sécurité

• Chiffrement des communications (HTTPS/TLS) et des secrets sensibles ; mots de passe hachés ; double authentification et clés d'accès disponibles.
• Cloisonnement strict des données entre organisations ; droits revérifiés côté serveur à chaque requête.
• Journalisation des accès et des actions sensibles, sans données personnelles inutiles ; accès de l'Éditeur limité au besoin d'en connaître et tracé.
• Sauvegardes régulières, conservées 30 jours ; mise à jour régulière des composants ; surveillance et alertes.
• Chiffrement des fichiers au repos (AES-256-GCM) et authentification des appels entre applications par signature (HMAC).

Annexe 2 — Sous-traitants ultérieurs

• Microsoft Ireland Operations Limited (Microsoft Azure) — Hébergeur : serveurs applicatifs, bases de données, fichiers, visioconférence (serveur en Espagne), réplique de Facturation — Espagne (Union européenne) ; serveur de visioconférence : Espagne — Groupe américain : EU-US Data Privacy Framework et clauses contractuelles types