Accord de sous-traitance des données

Ceci est une traduction. Seul le texte néerlandais fait foi.

Dernière mise à jour : 18 octobre 2026. Cet accord fait partie intégrante des conditions générales.

Vue d’ensemble

Parties

1. Le client, l’entreprise qui a conclu le contrat portant sur Servaro, ci-après « responsable du traitement » ou « client ».
2. Netwerkplek IT B.V., exerçant sous le nom Servaro, établie Veersedijk 59, 3341 LL Hendrik-Ido-Ambacht, Pays-Bas, KvK 85523968, ci-après « sous-traitant » ou « Servaro ».

Objet de cet accord

A. Le client utilise Servaro pour planifier et réaliser ses interventions, comme l’entretien, le service et les contrôles.

B. Dans ce cadre, Servaro traite des données personnelles pour le compte du client. Le client détermine les finalités et les moyens. Le client est donc le responsable du traitement et Servaro le sous-traitant au sens du Règlement général sur la protection des données (RGPD).

C. Le RGPD (article 28) impose aux parties de conclure des accords à ce sujet. Ces accords figurent dans le présent accord.

Article 1. Définitions

1.1 Les termes tels que données personnelles, traitement, personne concernée, responsable du traitement, sous-traitant, sous-traitant ultérieur et violation de données à caractère personnel (violation de données) ont le sens que leur donne le RGPD.

1.2 Contrat principal : le contrat entre le client et Servaro relatif à l’utilisation de Servaro, y compris les conditions générales de Servaro.

1.3 Données client : telles que définies dans les conditions générales.

1.4 Jour ouvré : du lundi au vendredi, à l’exception des jours fériés néerlandais.

Article 2. Objet et durée

2.1 Le présent accord porte sur les données personnelles que Servaro traite pour le client lors de la fourniture du service. L’annexe 1 précise quelles données, sur qui, dans quel but et pendant combien de temps.

2.2 Le présent accord fait partie intégrante du contrat principal. Il commence et prend fin en même temps, y compris pendant une période d’essai. Les articles qui, par leur nature, perdurent, comme l’article 4 (confidentialité) et l’article 13 (fin), restent en vigueur après la fin.

2.3 Si le présent accord et le contrat principal disposent différemment au sujet des données personnelles, le présent accord prévaut.

Article 3. Instructions du client

3.1 Servaro ne traite les données personnelles que sur instruction documentée du client. Le client donne ses instructions au moyen du contrat principal, du présent accord et de la manière dont il configure et utilise le service.

3.2 Servaro n’utilise pas les données personnelles à ses propres fins. Servaro ne les utilise pas non plus pour entraîner des modèles d’IA.

3.3 Si la loi oblige Servaro à faire autre chose des données, Servaro en informe le client au préalable, sauf si la loi l’interdit.

3.4 Si Servaro estime qu’une instruction enfreint le RGPD ou une autre loi sur la protection des données, Servaro en informe immédiatement le client. Servaro n’est alors pas tenue d’exécuter cette instruction tant que le client ne l’a pas modifiée ou confirmée.

3.5 Le client est responsable de disposer d’une base juridique valable pour traiter les données personnelles et d’informer correctement les personnes concernées. Cela vaut aussi pour la fonction de localisation (GPS), que le client n’active que s’il y est autorisé.

3.6 Le client ne saisit dans le service ni catégories particulières de données personnelles, ni données relatives aux condamnations pénales, ni numéros d’identification nationaux (comme le BSN néerlandais). Si Servaro constate que cela se produit malgré tout, Servaro en informe le client. Le client supprime alors ces données.

3.7 Les fonctionnalités d’IA ne font que des suggestions. Un utilisateur du côté du client vérifie et approuve une suggestion avant qu’elle ne soit enregistrée ou envoyée. Les fonctionnalités d’IA ne prennent pas de décisions concernant des personnes.

Article 4. Confidentialité

4.1 Servaro préserve la confidentialité des données personnelles.

4.2 Seuls les salariés de Servaro qui ont besoin des données pour leur travail y ont accès. Ils sont soumis à une obligation de confidentialité dans leur contrat de travail ou de prestation, ou ont signé un engagement de confidentialité.

4.3 Servaro ne consulte les données client que lorsque c’est nécessaire pour l’assistance à la demande du client, pour résoudre une panne ou pour des raisons de sécurité. Servaro enregistre ces accès dans le journal d’audit.

Article 5. Sécurité

5.1 Servaro prend des mesures techniques et organisationnelles appropriées pour sécuriser les données personnelles, comme l’exige l’article 32 du RGPD. Ces mesures sont décrites à l’annexe 2.

5.2 Servaro tient compte de l’état de la technique, des coûts, de la nature des données et des risques pour les personnes concernées.

5.3 Servaro peut modifier les mesures, mais le niveau de sécurité ne peut pas baisser.

5.4 Servaro vérifie régulièrement que les mesures restent efficaces et les adapte si nécessaire.

5.5 Aucune sécurité n’est parfaite. Servaro ne garantit pas que rien ne se produira jamais, mais fait ce qui est raisonnablement possible.

5.6 Le client est responsable de la sécurité de son côté, comme les appareils de ses utilisateurs, la gestion des comptes et des droits, et la confidentialité des identifiants.

Article 6. Sous-traitants ultérieurs

6.1 Le client donne à Servaro une autorisation générale de faire appel à des sous-traitants ultérieurs. Les sous-traitants ultérieurs auxquels Servaro fait actuellement appel figurent à l’annexe 3.

6.2 Servaro impose par écrit à chaque sous-traitant ultérieur au moins les mêmes obligations en matière de protection des données que celles du présent accord.

6.3 Si Servaro souhaite ajouter ou remplacer un sous-traitant ultérieur, Servaro en informe le contact du client par e-mail au moins 30 jours à l’avance. Servaro publie également la nouvelle liste sur servaro.nl/subverwerkers.

6.4 Dans ce délai de 30 jours, le client peut s’y opposer par écrit, pour des raisons liées à la protection des données ou à la sécurité. Servaro et le client cherchent alors ensemble une solution. À défaut, le client peut résilier gratuitement le contrat principal avec effet à la date à laquelle le nouveau sous-traitant ultérieur commence.

6.5 Si Servaro doit remplacer rapidement un sous-traitant ultérieur, par exemple en raison d’une faillite ou d’un grave problème de sécurité, Servaro peut raccourcir le délai de 30 jours. Servaro en informe alors le client le plus rapidement possible et le client conserve son droit au titre de l’article 6.4.

6.6 Servaro reste responsable envers le client de ses sous-traitants ultérieurs.

6.7 Les services que le client choisit et souscrit lui-même, comme la connexion via Microsoft Entra ID, ne sont pas des sous-traitants ultérieurs de Servaro. Le client conclut ses propres accords avec ce fournisseur.

Article 7. Lieu de traitement des données

7.1 Servaro traite et stocke les données personnelles sur ses propres serveurs aux Pays-Bas.

7.2 Servaro ne transfère pas de données personnelles vers des pays situés hors de l’Espace économique européen (EEE), sauf accord écrit préalable du client et si le RGPD le permet.

7.3 Certains sous-traitants ultérieurs appartiennent à un groupe établi hors de l’EEE, même si le traitement a lieu dans l’UE. L’annexe 3 indique les garanties pour chaque sous-traitant ultérieur.

Article 8. Traitement par l’IA

8.1 Pour les fonctionnalités d’IA, Servaro n’envoie que les données nécessaires à la suggestion, par exemple un enregistrement vocal ou le texte d’un bon d’intervention.

8.2 Servaro n’utilise que des services d’IA dont le traitement a lieu dans l’UE et dont le fournisseur n’utilise pas les données pour entraîner des modèles.

8.3 Le client peut désactiver les fonctionnalités d’IA pour l’ensemble de son environnement dans les paramètres. Aucune donnée n’est alors envoyée aux fournisseurs d’IA.

Article 9. Droits des personnes concernées

9.1 Une personne concernée peut demander au client l’accès, la rectification, l’effacement, la limitation ou la portabilité de ses données, ou s’opposer au traitement. Le client traite ces demandes.

9.2 Le client peut traiter lui-même la plupart des demandes dans le service, par exemple en modifiant, supprimant ou exportant des données.

9.3 Si le client ne peut pas traiter une demande lui-même, Servaro l’aide dans des limites raisonnables.

9.4 Si Servaro reçoit elle-même une demande d’une personne concernée, Servaro la transmet au client dans un délai de 2 jours ouvrés. Servaro ne répond pas elle-même sur le fond, sauf si le client le lui demande.

Article 10. Aide pour la sécurité, l’AIPD et l’autorité de contrôle

10.1 Servaro aide le client à respecter ses obligations au titre des articles 32 à 36 du RGPD, par exemple en fournissant des informations pour une analyse d’impact relative à la protection des données (AIPD) ou si le client doit consulter au préalable l’autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens).

10.2 Servaro fournit gratuitement les informations courantes sur le service et sa sécurité. Si l’aide dépasse 1 heure par année civile, Servaro peut facturer le temps supplémentaire à son tarif horaire habituel, après devis préalable.

10.3 Si le client relève de la loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet), Servaro fournit sur demande des informations raisonnables sur la sécurité de la chaîne d’approvisionnement. L’article 10.2 s’applique alors également.

Article 11. Violations de données

11.1 Si Servaro découvre une violation de données concernant les données personnelles du client, Servaro en informe le client dans les meilleurs délais, et au plus tard 24 heures après sa découverte.

11.2 Servaro la signale par e-mail et par téléphone à l’interlocuteur que le client a désigné à cet effet. Si le client n’a désigné personne, la notification est adressée à l’administrateur du compte.

11.3 Dans la notification, Servaro indique ce qu’elle sait à ce moment-là :

• ce qui s’est passé et quand ;
• quels types de données et de personnes concernées sont touchés, et approximativement combien ;
• quelles sont les conséquences probables ;
• ce que Servaro a fait et va faire pour mettre fin à la violation et limiter les dommages ;
• qui le client peut appeler pour obtenir plus d’informations.

11.4 Si Servaro ne dispose pas encore de toutes les informations, elle fournit le reste dès qu’il est connu.

11.5 Le client décide de notifier ou non la violation de données à l’autorité néerlandaise de protection des données et aux personnes concernées. Le client doit notifier l’autorité de contrôle dans un délai de 72 heures. Servaro l’y aide. Servaro ne procède pas à la notification au nom du client, sauf si le client le lui demande par écrit.

11.6 Servaro tient un registre de toutes les violations de données, avec les faits, les conséquences et les mesures prises.

11.7 Servaro ne facture pas l’aide apportée en cas de violation de données causée par Servaro ou par son sous-traitant ultérieur.

Article 12. Contrôle (audit)

12.1 Sur demande, Servaro fournit au client toutes les informations nécessaires pour démontrer que Servaro respecte le présent accord. Servaro peut aussi le faire au moyen d’un rapport récent d’un organisme indépendant, comme un rapport de test d’intrusion ou un certificat datant des 12 derniers mois.

12.2 Si cela ne suffit pas, le client peut faire réaliser un audit une fois par année civile par un auditeur indépendant, qualifié et tenu au secret.

12.3 Le client annonce l’audit au moins 4 semaines à l’avance, avec un plan de ce qui sera examiné. L’audit a lieu les jours ouvrés, perturbe le service le moins possible et ne porte que sur ce traitement. L’auditeur ne voit pas les données d’autres clients.

12.4 Le client supporte les coûts de l’audit, y compris les frais raisonnables de Servaro. Si l’audit révèle que Servaro ne respecte pas le présent accord sur un point important, Servaro supporte les coûts de l’audit et ses propres frais.

12.5 Après une violation de données, ou à la demande de l’autorité de contrôle, le client peut également faire réaliser un audit au-delà de la limite d’une fois par an.

12.6 Le client remet à Servaro une copie du rapport d’audit. Servaro corrige dans un délai raisonnable les manquements constatés lors de l’audit.

12.7 Le client ne peut pas tester lui-même les systèmes de Servaro, par exemple au moyen d’un test d’intrusion, sans l’autorisation écrite de Servaro.

Article 13. Fin : restitution et suppression

13.1 Le client peut toujours exporter lui-même ses données aux formats CSV et JSON, avec les fichiers dans leur format d’origine.

13.2 Après la fin du contrat principal, le client dispose de 30 jours pour exporter ses données (période d’export), comme le prévoient les conditions générales.

13.3 Dans les 30 jours suivant la fin de la période d’export, Servaro supprime les données personnelles du client des systèmes de production. Le client peut aussi demander une suppression plus rapide.

13.4 Les sauvegardes ne sont pas nettoyées séparément. Les données en disparaissent lorsque les sauvegardes sont écrasées selon le cycle habituel, au plus tard 12 mois après la suppression. D’ici là, les sauvegardes restent sécurisées et ne servent qu’à restaurer le service.

13.5 Le journal d’audit fait exception. Sur instruction du client, Servaro conserve le journal d’audit pendant au moins 7 ans, afin qu’il soit possible d’établir ultérieurement qui a fait quoi. Le journal d’audit ne peut pas être modifié. Au bout de 2 ans, les adresses IP et les données d’appareil du journal d’audit sont pseudonymisées. À l’issue de la durée de conservation, le journal d’audit est supprimé.

13.6 Si la loi oblige Servaro à conserver des données plus longtemps, Servaro ne le fait qu’à cette fin et pour une durée aussi courte que possible.

13.7 Sur demande, Servaro confirme par écrit que les données ont été supprimées.

13.8 Servaro ne facture ni l’export ni la suppression.

Article 14. Responsabilité

14.1 La responsabilité de Servaro au titre du présent accord est régie par les règles des conditions générales (article 19).

14.2 Le client ne peut pas répercuter sur Servaro les amendes que l’autorité néerlandaise de protection des données lui inflige, sauf si l’amende résulte d’une faute intentionnelle ou d’une imprudence délibérée de la direction ou de l’encadrement de Servaro.

Article 15. Modifications et dispositions finales

15.1 Servaro peut modifier le présent accord de la même manière que les conditions générales : avec un préavis de 30 jours et un droit de résiliation. Les modifications de l’annexe 3 suivent l’article 6.

15.2 Si le présent accord doit être modifié en raison d’une nouvelle loi ou d’une décision de l’autorité de contrôle, les parties le modifient ensemble.

15.3 Le présent accord est régi par le droit néerlandais. Les litiges sont portés devant le tribunal de Rotterdam (rechtbank Rotterdam).

Annexe 1. Ce que Servaro traite

Finalités

Servaro ne traite des données personnelles que pour fournir le service au client :

• planifier les interventions, affecter les techniciens et établir les bons d’intervention ;
• enregistrer le service, l’entretien et les contrôles, avec photos, signatures et résultats ;
• informer les propres clients du client par e-mail, par SMS et via le portail client ;
• enregistrer les heures et, si le client l’active, la position des techniciens ;
• rechercher les données d’entreprise lors de la saisie d’un client ;
• convertir la voix et le texte en suggestions d’IA qu’une personne approuve ;
• la connexion, la sécurité et le journal d’audit ;
• l’assistance à la demande du client.

Personnes concernées et données

Non autorisé : catégories particulières de données personnelles, données relatives aux condamnations pénales et numéros d’identification nationaux (BSN).

Durées de conservation

Annexe 2. Mesures de sécurité

Accès

• L’authentification à deux facteurs est obligatoire pour tous les utilisateurs et ne peut pas être désactivée.
• Accès basé sur les rôles : chaque utilisateur ne voit et ne fait que ce qui relève de son rôle.
• Les salariés de Servaro n’ont accès que lorsque leur travail l’exige. Les accès aux données client sont enregistrés dans le journal d’audit.

Séparation entre clients

• Chaque client dispose de son propre environnement cloisonné dans la même base de données.
• La base de données (PostgreSQL) impose elle-même cette séparation grâce à la sécurité au niveau des lignes (row-level security). L’application se connecte avec un utilisateur de base de données sans droits d’administrateur, qui ne peut pas contourner ce cloisonnement.
• À chaque modification, des tests automatisés vérifient qu’un client ne peut pas voir les données d’un autre client.

Chiffrement

• Tout le trafic entre les utilisateurs, les applications et les serveurs est chiffré avec TLS.

Journalisation

• Un journal d’audit enregistre qui a fait quoi. Le journal d’audit ne peut être ni modifié ni supprimé par les utilisateurs ou l’application.
• Les journaux des serveurs sont conservés jusqu’à 14 jours.

Sauvegardes et restauration

• Sauvegardes régulières de la base de données et des fichiers.
• La restauration à un moment antérieur est possible (point-in-time restore).
• Chaque trimestre, nous restaurons une sauvegarde dans un environnement de test séparé pour vérifier que la restauration fonctionne.

Fichiers téléversés

• Les fichiers téléversés, comme les photos et les pièces jointes, sont analysés pour détecter les virus.

Développement

• Chaque modification du logiciel passe par des contrôles de sécurité automatisés dans la chaîne de build (CI), notamment la détection de secrets dans le code et de vulnérabilités connues.
• Une analyse de sécurité automatisée est exécutée chaque mois, et Servaro fait réaliser chaque année un test d’intrusion externe.

Organisation

• Les salariés et les prestataires ayant accès aux données client sont tenus au secret.
• Servaro dispose d’une procédure pour les violations de données (voir article 11).
• Les serveurs se trouvent aux Pays-Bas, chez un hébergeur assurant la sécurité physique du centre de données.

Annexe 3. Sous-traitants ultérieurs

Au 18 octobre 2026. Modifications conformément à l’article 6. La liste à jour figure sur servaro.nl/subverwerkers.

Les fournisseurs d’IA Mistral et Anthropic (via AWS Bedrock) ne reçoivent des données que lorsque les fonctions d’IA sont activées.

Pas un sous-traitant ultérieur de Servaro, pour information

Acceptation

Le présent accord de sous-traitance des données s’applique dès que le client l’accepte lors de l’inscription ou dans la commande.