Contrat de sous-traitance (AVV)

Pour garantir une conformité RGPD totale, il est nécessaire, en tant que responsable du traitement, de conclure un contrat de sous-traitance (AVV / DPA) avec l’exploitant de l’environnement Relution (le sous-traitant). La zone Créer un nouveau DPA (dans l’interface, l’AVV est désigné par DPA) permet de configurer et de signer ce contrat entièrement en ligne.

Relution permet ainsi une conclusion efficace, transparente et conforme à la loi des contrats de sous-traitance entre Relution GmbH et le client.

Tant que la version actuelle de l’AVV n’est pas signée dans une organisation, le message Signature DPA requise apparaît dans la zone de notifications (1). Il est affiché aux utilisateurs disposant du droit Gestion de l’APD → Actualisation. Lorsqu’une nouvelle version de l’AVV est fournie, le message apparaît à nouveau ; le formulaire est alors prérempli avec les informations de la dernière version signée.

L’AVV peut être conclu individuellement pour chaque mandant. Il peut également être conclu pour toutes les organisations subordonnées dans l’organisation globale ou dans une organisation Meta avec l’option Signer pour tous les sous-mandants (libellé du portail : Signe pour tous les sous-locataires). Dans ces organisations, le message et les paramètres de l’AVV ne sont alors plus affichés.

L’accès aux paramètres de l’AVV est possible de deux façons :

1. Directement via la notification (1 + 2) dans la zone de notifications.
2. Via le chemin de menu (3) : Paramètres → Général → Gestion de l'APD

1. Informations générales #

Cette section permet d’identifier clairement le signataire et la personne morale qui conclut le contrat. La personne qui remplit cette section doit être habilitée à signer pour l’organisation.

Le nom et l’e-mail sont préremplis avec les données de l’utilisateur connecté, le nom de l’entreprise et l’adresse avec les informations des paramètres généraux de l’organisation. Les valeurs peuvent être modifiées avant la signature.

2. Remarque importante concernant l’art. 9 du RGPD #

L’avertissement suivant, mis en évidence en bleu, doit être pris en compte :

Contexte : L’article 9 du RGPD régit les catégories particulières de données à caractère personnel (par exemple, les données de santé, l’origine ethnique, les opinions politiques). Relution étant un système MDM qui traite principalement des données techniques et administratives, le traitement de ces catégories de données hautement sensibles n’est pas autorisé en fonctionnement standard et doit être empêché par le responsable du traitement.

3. Type de données #

Cette section permet de définir quelles catégories de données à caractère personnel sont traitées dans le cadre de l’utilisation de Relution. Cocher toutes les catégories concernées dont les données figurent dans l’instance Relution :

• Données de base (par ex. nom, prénom, sexe, adresse e-mail, adresse, numéro de téléphone)
• Données contractuelles de base (produits, contrat d’achat, prix d’achat, garanties)
• Données de journalisation (adresse IP, horodatage, événements avec contexte utilisateur)
• Contenus générés par les utilisateurs (par ex. messages de forum, demandes de fonctionnalités, demandes de support)
• Données d’appareils (type d’appareil, numéro d’appareil, adresse IP, informations sur le système d’exploitation, applications installées)
• Données de localisation (iBeacons, position GPS, réseau mobile, réseaux WiFi)

Si nécessaire, des catégories de données supplémentaires non listées ici peuvent être ajoutées via Ajouter d’autres.

Au moins une catégorie de données doit être sélectionnée ou ajoutée via Ajouter d’autres, sinon Prévisualisation et Signer le DPA restent désactivés.

4. Groupe des personnes concernées #

Sélectionner quels groupes de personnes sont concernés par le traitement des données dans l’instance Relution :

• Parents et représentants des parents
• Clients finaux et fournisseurs
• Collaborateurs (par ex. salariés, enseignants, apprentis, personnel administratif)
• Élèves

La fonction Ajouter d’autres peut également être utilisée ici si d’autres groupes, non listés, sont concernés. Ici aussi, au moins un groupe doit être sélectionné ou ajouté.

5. Contact d’urgence #

Indiquer ici les coordonnées de la personne de l’organisation qui peut être contactée immédiatement en cas de violation de données ou d’autres urgences liées à la sécurité. Le nom et l’e-mail sont obligatoires, le numéro de téléphone est facultatif.

• Nom
• E-mail
• Téléphone

6. Conclusion et signature #

Avant de conclure le contrat, l’habilitation à signer doit être confirmée :

• Confirmation de l’habilitation à signer : atteste que le signataire est habilité à conclure le contrat au nom de l’organisation.

Dans l’organisation globale et dans les organisations Meta, la sélection facultative Signer pour tous les sous-mandants (libellé du portail : Signe pour tous les sous-locataires) est également disponible. Elle est pertinente si, en tant qu’instance supérieure (par ex. un organisme scolaire), le contrat est également conclu pour des unités subordonnées gérées (par ex. des écoles individuelles). Si elle est cochée, l’AVV s’applique également à toutes les organisations subordonnées ; aucun AVV distinct n’y est alors proposé.

Deux actions sont disponibles pour conclure le contrat :

• Prévisualisation : affiche au préalable le texte intégral du contrat. Disponible dès que les informations générales ainsi que le type de données et le groupe de personnes concernées sont renseignés.
• Signer le DPA : conclut le contrat de manière numérique. L’AVV devient alors juridiquement valide. Le bouton n’est actif que lorsque le contact d’urgence (nom et e-mail) est également renseigné et l’habilitation à signer confirmée.

Lors de la signature, les informations du contrat sont automatiquement transmises au serveur de licences Relution. Sont transmis :

• les informations du formulaire : personne signataire et e-mail, nom de l’entreprise et adresse, type de données, groupe des personnes concernées, contact d’urgence ainsi que la sélection Signer pour tous les sous-mandants
• la date et l’heure de la signature, l’adresse IP et le nom d’utilisateur Relution avec lequel la signature a été effectuée

Les documents PDF de l’AVV ne sont pas transmis au serveur de licences. Sans cette transmission, l’AVV ne peut pas être signé.

Après la signature, l’AVV est envoyé au format PDF en version allemande et anglaise par e-mail à l’adresse e-mail saisie pour la personne signataire. Si l’envoi échoue, la signature reste valide.

AVV signé #

Après la signature, la Gestion de l’APD affiche la zone Accord signé sur le traitement des données avec Version DPA, Date de signature, Signé par et le Contact en cas d’urgence. Dans l’organisation globale et dans les organisations Meta, l’indication de la signature pour les sous-mandants (libellé du portail : Signé pour les sous-locataires) est également affichée.

• Télécharger : télécharge l’AVV signé au format PDF, en allemand si la langue du portail est l’allemand, sinon en anglais.
• Révoquer : révoque l’AVV signé. La date et l’utilisateur de la révocation sont transmis au serveur de licences Relution. L’AVV est ensuite de nouveau proposé à la signature.

Autorisations #

Les droits relatifs à l’AVV se trouvent dans les rôles, dans le groupe d’autorisations Gestion de l’APD :

• Lire : affiche l’aperçu de l’AVV signé.
• Actualisation : affiche le message et le formulaire de signature.
• Supprimer : permet de révoquer un AVV signé.

Le rôle Administrateur contient les trois droits. Tant qu’aucun AVV n’est signé, les utilisateurs sans le droit Actualisation ne voient que la mention Aucun DPA n’a encore été signé à la place du formulaire.

Remarques concernant la signature de l’AVV #

Si la personne concernée n’est pas habilitée à signer le contrat de sous-traitance (AVV), procéder comme suit :

• Création de compte : créer un compte dédié pour le collègue habilité à signer, dans l’organisation pour laquelle l’AVV est conclu. Le compte nécessite un rôle disposant du droit Gestion de l’APD → Actualisation (par ex. le rôle Administrateur) ; sans ce droit, ni la notification AVV ni le formulaire de signature ne sont affichés.
• Signature : Le collègue peut ensuite se connecter au portail et signer l’AVV de manière autonome.

Relution 26.0.0