Accord de traitement des données (Data Processing Agreement — DPA)

Solution BOSSOFFICE.FR — dernière mise à jour : juillet 2026

Le présent Accord de traitement des données (« Data Processing Agreement » ou « DPA ») définit les conditions dans lesquelles BOSSOFFICE.FR traite des données à caractère personnel pour le compte des clients professionnels utilisateurs de la solution ClickProspect.

Le présent DPA est applicable à tout client professionnel utilisant la solution ClickProspect dans le cadre de son activité et pour lequel BOSSOFFICE.FR intervient en qualité de sous-traitant au sens de l'article 4 du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD).

Le Client agit en qualité de Responsable du traitement pour les données à caractère personnel qu'il collecte, renseigne, importe ou traite au moyen de la solution ClickProspect.

Le présent DPA complète les conditions contractuelles applicables à la solution ClickProspect et a pour objet de satisfaire aux exigences de l'article 28 du RGPD.

Préambule

Dans le cadre de l'exploitation de la solution ClickProspect, BOSSOFFICE.FR met à disposition de ses clients professionnels une plateforme permettant notamment la gestion de prospects, de clients, de partenaires, de campagnes et de contenus numériques.

À ce titre, les clients de la solution déterminent les finalités et les moyens des traitements réalisés au moyen de la plateforme et agissent en qualité de Responsables du traitement.

BOSSOFFICE.FR traite certaines données à caractère personnel pour le compte de ces clients et agit, pour ces traitements, en qualité de Sous-traitant au sens du RGPD.

Le présent DPA définit les obligations respectives des Parties concernant ces traitements de données à caractère personnel et fait partie intégrante des conditions applicables à l'utilisation de la solution ClickProspect.

Article 1 — Respect de la législation applicable en matière de protection des Données à Caractère Personnel

Chacune des Parties s'engage, pour les Traitements qu'elle met en œuvre pour ses propres besoins au titre et dans le cadre du Contrat, à respecter toutes les obligations résultant de l'application de toute législation applicable relative à la protection des Données à Caractère Personnel et de la vie privée susceptibles de s'appliquer aux Données à Caractère Personnel traitées dans le cadre du Contrat, y compris celles du Règlement, les obligations découlant de l'application de la loi française n°78-17 du 6 janvier 1978 modifiée et ses éventuelles mises à jour, les textes adoptés au sein de l'Union européenne et les lois locales et leurs éventuelles mises à jour ainsi que les instructions, politiques ou codes de conduite notifiés par le Responsable du Traitement pour ce qui le concerne (ensemble la « Réglementation Applicable aux Données à Caractère Personnel »).

Les Parties s'engagent à collaborer activement afin de permettre l'accomplissement des formalités déclaratives leur incombant et, le cas échéant, obtenir les autorisations des autorités de contrôle compétentes. Elles informeront, le cas échéant, les personnes concernées par le Traitement de Données à Caractère Personnel. Les Parties s'abstiennent de toute action susceptible de mettre l'autre Partie en situation de manquement à la législation applicable en matière de protection des Données à Caractère Personnel.

Le Sous-Traitant, en tant que professionnel, s'engage à conseiller et coopérer avec le Responsable du Traitement en ce qui concerne notamment les moyens de Traitement, la gestion des demandes des personnes concernées par les Traitements pour l'exercice de leurs droits, la réalisation de toute analyse d'impact, et plus généralement le respect des obligations pesant sur le Responsable du Traitement au regard de la Réglementation Applicable aux Données à Caractère Personnel. En cas de contrôle, le Sous-Traitant s'engage à fournir au Responsable du Traitement toute information dont ce dernier pourrait avoir besoin ou qui s'avérerait nécessaire.

Article 2 — Traitements de Données à Caractère Personnel

Les Parties conviennent que, dans le cadre de l'utilisation de la solution ClickProspect, le Client agit en qualité de Responsable du Traitement et BOSSOFFICE.FR agit en qualité de Sous-traitant au sens de l'article 4 du RGPD.

Le Sous-Traitant traite des Données à Caractère Personnel exclusivement sur instruction documentée du Responsable du Traitement et uniquement pour les besoins de l'exécution des prestations définies contractuellement.

Le Sous-Traitant traite les Données à Caractère Personnel aux fins du traitement décrit à l'annexe 1.

Article 3 — Objet du Data Protection Agreement (« DPA »)

L'objet du DPA consiste à définir les conditions dans lesquelles le Sous-Traitant traite les Données à Caractère Personnel concernant le Responsable du Traitement pour le compte de ce dernier et en suivant les instructions de ce dernier.

Le Sous-Traitant est autorisé à traiter des données à caractère personnel pour le compte du Responsable du Traitement, comme indiqué à l'annexe 1 du présent DPA.

Les deux Parties se conforment aux Principes relatifs au traitement des données à caractère personnel tels qu'établis par le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 17 avril 2016 relatif à la protection des personnes physiques à l'égard du Traitement des Données à Caractère Personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données) ci-après dénommé RGPD — Chapitre II, Article 5, respectivement, les données à caractère personnel doivent être :

traitées de manière licite, loyale et transparente par rapport à la personne concernée (licéité, loyauté et transparence) ;
collectées pour des finalités déterminées, explicites et légitimes et ne pas être traitées ultérieurement de manière incompatible avec ces finalités (limitation de la finalité) ;
adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;
exactes et, si nécessaire, mises à jour ; toutes les mesures raisonnables sont prises pour que les Données à Caractère Personnel inexactes, au regard des finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ;
conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées (limitation de la conservation) ;
traitées de manière à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le Traitement non autorisé ou illicite et contre la perte, la destruction ou les dommages accidentels, au moyen de mesures techniques et organisationnelles appropriées (intégrité et confidentialité).

Article 4 — Obligations du Responsable du Traitement

Le Responsable du Traitement est seul responsable de l'exactitude, de la qualité et de la licéité des données à caractère personnel traitées ainsi que des moyens par lesquels il les a obtenues.

Le Responsable du Traitement doit :

Fournir des instructions concernant le type, la portée et les moyens de Traitement des Données à Caractère Personnel qui font l'objet du présent accord,
Veiller à ce que ces instructions soient conformes au règlement applicable aux Données à Caractère Personnel et s'assurer que le sous-traitant n'enfreigne pas un quelconque texte applicable aux Données à Caractère Personnel,
Informer le Sous-Traitant et engager la modification du présent accord dès que possible, en cas de changement des dispositions légales applicables en matière de Traitement des Données à Caractère Personnel,
Fournir les informations nécessaires à la personne concernée et obtenir les consentements requis dans le cadre du Traitement.

Article 5 — Obligations du Sous-Traitant

Le Sous-Traitant traite les données à caractère personnel soumises au présent DPA conformément à l'article ci-dessus et aux instructions fournies par le Responsable du Traitement.

Si le Sous-traitant traite les données personnelles à d'autres fins que celles indiquées dans le présent DPA, il devient le Responsable du Traitement des données en relation avec les objectifs supplémentaires et doit par conséquent observer les règles appliquées aux responsables de traitement.

Le Sous-traitant s'engage à :

n'intervenir que sur instructions du Responsable du Traitement ;
fournir au Responsable du Traitement toutes les informations dont ce dernier a besoin pour remplir ses obligations légales, requises par le RGPD ou toute autre disposition légale applicable à ce dernier ;
ne pas utiliser, permettre ou faciliter l'utilisation par des tiers, des Sous-Traitants ou de toute personne agissant sous l'autorité et/ou pour le compte du Sous-Traitant, pour d'autres finalités que l'exécution des Prestations ;
veiller à ce que toutes les personnes ayant accès et/ou traitant les Données à Caractère Personnel au titre du Contrat aient reçu les formations nécessaires au Traitement de Données à Caractère Personnel ;
informer le Responsable du Traitement de toute action et/ou mesures instiguées par l'autorité de contrôle relatives aux Traitements de Données à Caractère Personnel effectués dans le cadre de son activité ;
aider le Responsable du Traitement en cas d'audits/enquêtes reçus de la part des autorités de contrôle compétentes. L'assistance comprendra, sans s'y limiter, l'accès aux informations, à la documentation, aux procédures internes, aux mesures techniques et organisationnelles ainsi que la présence physique, dans la limite de ce qui est raisonnablement nécessaire à l'exécution des obligations prévues par le présent DPA ;
aider le Responsable du Traitement à informer les personnes concernées en cas de violation de Données, ainsi que l'autorité de contrôle de la protection des Données ou toute autre autorité compétente ;
informer dans les meilleurs délais le Responsable du Traitement si une instruction constitue une violation de la Réglementation Applicable aux Données à Caractère Personnel ou n'est pas réalisable d'un point de vue technique ;
renvoyer puis supprimer les Données Personnelles et les copies existantes au Responsable du Traitement sur son instruction, à tout moment pendant l'exécution des services soumis au présent DPA, ainsi qu'à la fin de l'exécution des services relatifs au Traitement, dans le cas où le Responsable du Traitement n'a pas d'obligations légales en ce qui concerne le stockage des Données Personnelles. Une fois que les instructions du Responsable de Traitement ont été exécutées, le Sous-Traitant envoie une confirmation écrite au Responsable du Traitement ;
mettre en place et maintenir pendant toute la durée du Contrat, les mesures techniques et procédures appropriées afin d'assurer que toutes les Données à Caractère Personnel du Responsable du Traitement qui seront traitées dans le cadre des Prestations seront bien protégées, eu égard à leur nature et aux risques présentés par le Traitement, contre leur altération, perte, destruction fortuite ou illicite, divulgation ou accès non autorisé ou toute autre forme illicite de Traitement, au regard de l'état de l'art, des meilleures pratiques et des standards techniques les plus élevés, conformément à l'article 32 du RGPD et de manière proportionnée à la nature des traitements réalisés, à l'état de l'art, aux coûts de mise en œuvre ainsi qu'aux risques pour les droits et libertés des personnes concernées. Les principales mesures techniques et organisationnelles mises en œuvre sont décrites à l'annexe 2.

Article 6 — Confidentialité

Le Sous-Traitant garantit la confidentialité des données à caractère personnel conformément au RGPD.

Le Sous-Traitant doit veiller à ce que l'obligation de confidentialité soit étendue à ses employés, agents, sous-traitants et à tout autre tiers habilité à recevoir ou à accéder aux données à caractère personnel soumises au présent DPA ou à toute information réglementée par le présent Accord. L'obligation de confidentialité subsiste même après la cessation des obligations professionnelles/contractuelles.

Il est interdit au Sous-Traitant de fournir des informations relatives aux Données à Caractère Personnel du Responsable du Traitement et aux activités de traitement de données soumises au présent DPA sans l'accord écrit préalable du Responsable du Traitement.

Les informations relatives à la confidentialité, à la sécurité des Données à Caractère Personnel et à la confidentialité des communications resteront en vigueur même après que le présent DPA aura cessé d'exister.

Article 7 — Les Sous-Traitants secondaires

Le Responsable du Traitement autorise le Sous-Traitant à recourir aux sous-traitants secondaires identifiés à l'Annexe 3 pour les besoins de l'exécution des Services.

L'Annexe 3 précise notamment l'identité des sous-traitants secondaires, leur domaine d'intervention ainsi que la localisation des traitements de données à caractère personnel réalisés pour le compte du Responsable du Traitement.

Le Sous-Traitant informe préalablement le Responsable du Traitement de tout projet d'ajout, de remplacement ou de suppression d'un sous-traitant secondaire. Le Responsable du Traitement dispose alors d'un délai raisonnable pour émettre des objections motivées.

Le Sous-Traitant veille à ce que chaque sous-traitant secondaire soit lié par un contrat imposant des obligations en matière de protection des données à caractère personnel offrant un niveau de protection au moins équivalent à celui prévu par le présent DPA.

Le Sous-Traitant demeure pleinement responsable envers le Responsable du Traitement de l'exécution des obligations confiées à ses sous-traitants secondaires.

Le Sous-Traitant s'assure que ses sous-traitants secondaires mettent en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données à caractère personnel traitées dans le cadre des Services.

Sur demande raisonnable du Responsable du Traitement, le Sous-Traitant fournit les informations pertinentes lui permettant de vérifier le respect des obligations applicables aux sous-traitants secondaires.

Tout recours à un sous-traitant ultérieur par un sous-traitant secondaire est soumis aux mêmes exigences que celles prévues au présent article.

Article 8 — Transfert

Le Sous-Traitant s'engage à privilégier le traitement et l'hébergement des données à caractère personnel au sein de l'Espace Économique Européen ou dans un État bénéficiant d'une décision d'adéquation de la Commission européenne.

Dans l'hypothèse où le Sous-Traitant ou l'un de ses sous-traitants secondaires serait amené à transférer des données à caractère personnel vers un pays tiers ne bénéficiant pas d'une telle décision, il s'engage à mettre en œuvre les garanties appropriées prévues par le RGPD afin d'assurer un niveau de protection adéquat des données concernées.

Ces garanties pourront notamment prendre la forme de clauses contractuelles types adoptées par la Commission européenne ou de tout autre mécanisme reconnu comme valable par la réglementation applicable.

Article 9 — Exercice des droits des personnes concernées

Le Sous-Traitant notifiera rapidement, et dans tous les cas au plus tard dans les 72 heures, le Responsable du Traitement si le Sous-Traitant reçoit une demande d'exercice de droit d'une personne concernée imposée par le RGPD (par exemple, le droit d'accès, le droit de correction ou de rectification, le droit de s'opposer au Traitement, le droit d'effacement (« droit à l'oubli »), la portabilité des données, la restriction du traitement, ou le droit de ne pas être soumis à une prise de décision individuelle automatisée), chacune de ces demandes étant une « Demande de la Personne concernée » et fournira tous les détails de la demande au Responsable du Traitement.

Le Sous-Traitant prend immédiatement toutes les mesures nécessaires pour suivre les instructions reçues du Responsable du Traitement. Le Sous-Traitant fournira au Responsable du traitement des données, à la demande de ce dernier, l'assistance nécessaire à l'exécution de l'obligation du Responsable du traitement des données de répondre aux demandes d'exercice des droits des personnes concernées.

Article 10 — Violation des Données à Caractère Personnel

Le Sous-Traitant s'engage à notifier au Responsable du Traitement, dans les meilleurs délais après en avoir pris connaissance et, sauf circonstances exceptionnelles, dans un délai n'excédant pas quarante-huit (48) heures, toute violation avérée ou suspectée de Données à Caractère Personnel ou toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données à Caractère Personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données.

Le Sous-Traitant conserve toutes les preuves pertinentes sous toute forme disponible (enregistrements écrits, vidéos par exemple). Si pour des raisons bien justifiées, les informations/preuves pertinentes ne peuvent être fournies en une seule fois avec la notification de violation de Données, elles peuvent être fournies par le Sous-Traitant au Responsable du Traitement, en plusieurs étapes.

La notification de violation de données à caractère personnel contient au moins les informations suivantes : une brève description de la situation et des circonstances dans lesquelles la violation de Données à Caractère Personnel s'est produite, les effets de la violation de Données à Caractère Personnel et les mesures qui ont été prises pour remédier à ces effets ou les atténuer.

Si le Sous-Traitant est à l'origine de la violation de Données ou s'il y a un incident de sécurité pour lequel le Sous-Traitant détient des informations, le Sous-Traitant aide le Responsable du Traitement à informer les personnes concernées, ainsi que l'autorité de contrôle de la protection des Données ou toute autre autorité compétente.

Le Sous-Traitant s'engage à procéder à toutes investigations utiles sur les manquements aux règles de protection ci-dessus visées et/ou sur toutes menaces afin de remédier auxdits manquements et/ou menaces et éviter qu'ils se reproduisent à l'avenir.

Le Sous-Traitant s'engage à remédier à ces manquements et/ou menaces et de minimiser l'impact de tels manquements et/ou menaces sur les personnes concernées.

Le Sous-Traitant déclare comprendre que tout manquement à la Réglementation Applicable aux Données à Caractère Personnel peut imposer des obligations au Responsable du Traitement, notamment de notification aux personnes concernées ainsi qu'aux autorités de contrôle concernant les dits manquements. Le Sous-Traitant s'engage à coopérer avec le Client et à l'assister pour l'aider à remplir ses obligations.

Article 11 — Audit

Le Responsable du Traitement a le droit de vérifier le degré de conformité du Sous-Traitant avec la réglementation applicable aux Données à Caractère Personnel. À cette fin, il peut procéder à un audit avant le début des activités/opérations de traitement ou pendant leur exécution, y compris sur site, au siège du Sous-Traitant.

Dans de tels cas, le Responsable du Traitement a le droit de vérifier les processus et procédures internes ainsi que les mesures organisationnelles et techniques appliquées au traitement des Données à Caractère Personnel faisant l'objet du présent DPA.

Le Responsable du Traitement peut effectuer ces vérifications par ses propres moyens ou en faisant appel à un tiers indépendant soumis à une obligation de confidentialité.

Les audits ne pourront être réalisés plus d'une fois par période de douze (12) mois, sauf en cas d'incident de sécurité, de demande d'une autorité compétente ou d'indices sérieux laissant présumer un manquement du Sous-Traitant à ses obligations au titre du présent DPA.

Le Responsable du Traitement doit annoncer son intention de procéder à un audit quinze (15) jours calendaires à l'avance, sauf en cas d'urgence, d'incident de sécurité ou de demande d'une autorité compétente.

Avant qu'un audit sur site ne soit réalisé, les Parties conviennent mutuellement du moment, de la portée et de la durée de l'audit.

En outre, la vérification doit être menée de manière à éviter de causer, ou à défaut à minimiser, tout dommage, blessure ou perturbation des locaux, des équipements, du personnel ou de l'activité du Sous-Traitant pendant la réalisation de l'audit ou de l'inspection.

Les audits devront être réalisés pendant les jours et horaires ouvrés du Sous-Traitant et ne devront pas perturber de manière excessive l'exécution des services ou le fonctionnement normal de son activité.

Le résultat de ces vérifications sera documenté.

Les frais liés à l'audit sont supportés par le Responsable du Traitement, sauf lorsqu'un manquement grave du Sous-Traitant aux obligations prévues par le présent DPA est établi à l'issue de l'audit.

Tout audit effectué en vertu du présent article est limité aux locaux, systèmes et traitements concernés par les prestations objet du présent DPA. Si les clauses contractuelles types de l'Union européenne s'appliquent, aucune disposition des présentes ne doit être interprétée comme affectant les droits d'une autorité de contrôle ou d'une personne concernée au titre desdites clauses.

Article 12 — Sort des données à l'expiration du DPA

Au terme de l'accord, quelle qu'en soit la cause, le Sous-Traitant s'engage à détruire ou, le cas échéant, selon les instructions du Responsable du Traitement, à rétablir les Données à Caractère Personnel fournies et/ou le matériel les contenant et à en apporter la preuve au Responsable du Traitement par tout moyen.

Article 13 — Responsabilité

Le Responsable du Traitement reconnaît que le Sous-Traitant dépend du Responsable du Traitement pour savoir dans quelle mesure il est habilité à traiter les données personnelles du Responsable du Traitement en son nom dans le cadre de l'exécution du service, tel que défini contractuellement entre les Parties.

Chaque Partie demeure responsable des dommages résultant des manquements qui lui sont imputables au regard du RGPD et de la réglementation applicable.

Le Sous-traitant ne pourra être tenu responsable des conséquences résultant d'instructions illicites, incomplètes ou erronées transmises par le Responsable du Traitement.

Le Sous-traitant demeure responsable des manquements de ses sous-traitants ultérieurs dans les conditions prévues à l'article 28 du RGPD.

Article 14 — Durée et Résiliation

Le présent DPA entre en vigueur à compter de sa signature ou de l'acceptation des Conditions Générales applicables et demeure en vigueur pendant toute la durée de la relation contractuelle entre les Parties.

Il prend automatiquement fin à l'expiration ou à la résiliation du contrat principal, sous réserve des obligations qui, par leur nature, survivent à son expiration.

Article 15 — Divers

Toute modification du présent DPA fait l'objet d'un écrit ou de tout procédé électronique permettant d'en conserver la preuve.

Les litiges relatifs au présent DPA sont soumis aux mêmes règles de droit applicable et de compétence juridictionnelle que celles prévues dans le contrat principal conclu entre les Parties.

L'utilisation de la solution ClickProspect emporte acceptation du présent DPA par le Client. La version en vigueur du DPA est accessible depuis la plateforme et peut être téléchargée à tout moment par le Client.

Annexe 1 — Détail des traitements

Finalité du traitement

Les données sont traitées afin de permettre :

la création et la gestion des comptes utilisateurs ;
la gestion des prospects, clients et contacts ;
la gestion des partenaires ;
la diffusion de contenus et actualités ;
la communication entre les utilisateurs ;
la gestion des accès et habilitations ;
l'assistance et le support utilisateur ;
la production de statistiques d'utilisation.

Durée du traitement

Les données à caractère personnel sont traitées pendant toute la durée d'utilisation de la solution ClickProspect par le Client puis conservées, restituées ou supprimées conformément aux obligations légales applicables, aux stipulations contractuelles ou aux instructions du Responsable du Traitement.

Nature du traitement

Les données à caractère personnel sont traitées par BOSSOFFICE.FR aux seules fins de l'exécution des services souscrits par le Client.

Les opérations réalisées peuvent notamment comprendre la collecte, l'enregistrement, l'organisation, la structuration, la modification, la conservation, la consultation, la transmission, la mise à disposition, l'hébergement, la sauvegarde, l'archivage et la suppression des données.

Catégories de données traitées

Les catégories de données susceptibles d'être traitées dans le cadre de l'utilisation de la plateforme sont les suivantes :

identité ;
coordonnées ;
statut ;
informations de connexion ;
historique d'utilisation.

Catégories de personnes concernées

Les personnes concernées par les traitements réalisés dans le cadre de la solution ClickProspect sont notamment les représentants légaux du Client, ses salariés et collaborateurs, ses prospects et clients, ses partenaires, ainsi que l'ensemble des utilisateurs autorisés à accéder à la plateforme ou à utiliser ses fonctionnalités.

Annexe 2 — Mesures de sécurité

Description des mesures techniques et organisationnelles mises en œuvre par BOSSOFFICE.FR

Afin d'assurer la protection des données à caractère personnel traitées pour le compte du Responsable du Traitement dans le cadre de l'exploitation de la solution ClickProspect, BOSSOFFICE.FR met en œuvre des mesures techniques et organisationnelles appropriées conformément aux exigences du RGPD et notamment de son article 32.

Ces mesures comprennent notamment :

la mise en œuvre de mécanismes destinés à assurer la confidentialité des données à caractère personnel et à les rendre inaccessibles aux personnes non autorisées ;
la gestion des accès et des habilitations afin de garantir que seules les personnes autorisées puissent accéder aux données, aux serveurs et aux applications ;
la gestion sécurisée des comptes utilisateurs ;
la mise en œuvre de mesures destinées à assurer un stockage sécurisé des données ;
la limitation de l'accès aux seules données nécessaires à chaque finalité de traitement ;
la mise en œuvre de mécanismes de sauvegarde, d'archivage et de restauration des données numériques ;
la mise en œuvre de mesures destinées à détecter les logiciels malveillants et à prévenir leur propagation ;
la mise en œuvre de procédures de surveillance et de gestion des incidents de sécurité ;
la mise en œuvre de plans de continuité et de reprise d'activité lorsque cela est approprié ;
la sensibilisation et la formation des personnes habilitées à traiter des données à caractère personnel ;
l'évaluation régulière de l'efficacité des mesures de sécurité déployées ;
l'authentification des utilisateurs au moyen d'identifiants et de mots de passe ;
la gestion des habilitations selon les profils et niveaux d'autorisation attribués aux utilisateurs ;
la journalisation des actions d'administration et des accès aux environnements de gestion lorsque cela est techniquement pertinent ;
le chiffrement des flux de communication au moyen de protocoles sécurisés de type HTTPS/TLS ;
la protection des infrastructures d'hébergement et des interfaces d'administration contre les accès non autorisés ;
la mise en œuvre d'une procédure de gestion et de traitement des incidents de sécurité.

Ces mesures visent notamment à garantir :

la confidentialité, l'intégrité, la disponibilité et la résilience permanentes des systèmes et services de traitement ;
la capacité à rétablir la disponibilité des données et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
l'évaluation, le contrôle et l'amélioration réguliers de la sécurité des traitements mis en œuvre ;
la protection des données contre tout accès, utilisation, divulgation, altération ou destruction non autorisés.

Annexe 3 — Sous-traitants secondaires

Le Responsable du Traitement autorise BOSSOFFICE.FR à recourir aux sous-traitants secondaires identifiés ci-dessous pour les besoins de l'exécution des services.

Nom et adresse du sous-traitant secondaire	Domaine d'intervention	Localisation des données
IONOS SARL 7 place de la gare, BP 701069 57201 Sarreguemines	Hébergement de la plateforme	France / Union Européenne
IONOS SARL 7 place de la gare, BP 701069 57201 Sarreguemines	Sauvegarde et stockage des données	France / Union Européenne
SARL BOSSOFFICE.FR 17 rue du Pont au Roy 17700 Surgères	Gestion applicative	France / Union Européenne
IONOS SARL 7 place de la gare, BP 701069 57201 Sarreguemines	Maintenance et support technique	France / Union Européenne
IONOS SARL 7 place de la gare, BP 701069 57201 Sarreguemines	Mesure d'audience et statistiques	France / Union Européenne
EDAF 11 rue Principale 67450 Lampertheim	Gestion de la facturation	France
Mollie.com	Gestion des paiements des clients	Europe
Crédit Agricole	Gestion des paiements	France

← Retour à l'accueil