Accord de sous-traitance des données personnelles

Parties

Le responsable du traitement : la commune qui souscrit au service Communeo (essai gratuit ou abonnement), représentée par son maire ou toute personne ayant délégation, ci-après « la Commune ».

Le sous-traitant : Philippe Chevreul, entrepreneur individuel exerçant sous le nom commercial Communeo, SIREN 911 592 764, 10 rue du Général de Gaulle, 76250 Déville-lès-Rouen, contact@communeo.fr, ci-après « Communeo ».

Article 1. Objet

Le présent accord fixe les conditions dans lesquelles Communeo traite, pour le compte de la Commune, les données personnelles nécessaires au service Communeo : l’hébergement et la publication du site internet de la Commune, et l’outil d’administration qui permet à ses agents et élus de le tenir à jour.

Il s’applique en complément des CGV/CGU. En cas de contradiction sur la protection des données personnelles, le présent accord prévaut.

Article 2. Description du traitement

La description détaillée (finalités, données, personnes concernées, durées) figure en annexe 1.

La Commune reste seule responsable des contenus qu’elle publie sur son site et des données qu’elle y fait figurer, ainsi que de la base légale de ses traitements (mission de service public, obligation légale, consentement pour la lettre d’information).

Article 3. Durée

L’accord prend effet à l’ouverture du compte de la Commune (inscription ou création par l’équipe Communeo) et dure tant que Communeo traite des données de la Commune, y compris pendant la période de conservation qui suit la fin du service (article 11).

Article 4. Instructions de la Commune

Communeo traite les données uniquement sur instruction documentée de la Commune. Ces instructions sont constituées par le présent accord, les CGV/CGU et l’utilisation que la Commune fait de l’outil d’administration (publier, modifier, supprimer un contenu, répondre à un message, gérer les comptes).

Communeo ne traite pas les données pour ses propres besoins, ne les vend pas, ne les utilise pas à des fins publicitaires et ne dépose aucun traceur publicitaire sur le site de la Commune.

Si Communeo est tenu par le droit de l’Union ou le droit français de traiter les données autrement, il en informe la Commune avant le traitement, sauf si ce droit l’interdit.

Si Communeo estime qu’une instruction enfreint le RGPD ou le droit applicable, il en informe immédiatement la Commune.

Article 5. Confidentialité

Communeo veille à ce que les personnes autorisées à accéder aux données (à ce jour, Philippe Chevreul seul) soient tenues à la confidentialité. Tout futur collaborateur ou prestataire intervenant sur la plateforme s’y engagera par écrit.

L’accès de l’équipe Communeo aux données d’une Commune est limité à l’assistance, à la maintenance, à la sécurité et au respect des obligations légales. Les actions faites par l’équipe au nom d’une Commune (« accès pour assistance ») sont enregistrées à leur nom dans le journal d’activité de la Commune.

Article 6. Sécurité

Communeo met en œuvre les mesures techniques et organisationnelles décrites en annexe 2, adaptées au risque. Il peut les faire évoluer, à condition de ne pas réduire le niveau de protection.

Article 7. Sous-traitants ultérieurs

La Commune donne une autorisation générale à Communeo de faire appel aux sous-traitants ultérieurs listés en annexe 3.

Communeo informe la Commune par e-mail, à l’adresse de ses administrateurs, de tout ajout ou remplacement d’un sous-traitant ultérieur, au moins 30 jours avant. La Commune peut s’y opposer par écrit pour un motif lié à la protection des données ; à défaut de solution dans ce délai, elle peut résilier son abonnement sans frais et obtenir le remboursement de la part de l’abonnement restant à courir.

Communeo impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent accord, et reste responsable devant la Commune de leur respect.

Article 8. Transferts hors de l’Union européenne

Les données de l’outil d’administration et les messages des habitants sont hébergés en France (OVH).

Les sites publics des communes sont hébergés sur le même serveur, en France (OVH), et diffusés par un réseau de diffusion de contenus (CDN) européen, BunnyWay (Slovénie), qui en garde des copies en cache au plus près des visiteurs.

Un seul sous-traitant ultérieur est une société établie aux États-Unis (annexe 3) : Resend, qui envoie les e-mails. Il est certifié au cadre de protection des données UE–États-Unis (Data Privacy Framework) et prévoit, à défaut, les clauses contractuelles types de la Commission européenne (décision 2021/914) dans son accord de traitement des données.

Les e-mails sont envoyés depuis l’Union européenne (Irlande) ; les données techniques de l’envoi (adresses, objet, journaux) sont conservées par Resend aux États-Unis.

Article 9. Droits des personnes

Les habitants et autres personnes concernées exercent leurs droits (accès, rectification, effacement, limitation, opposition, portabilité) auprès de la Commune.

Communeo aide la Commune à y répondre : l’outil d’administration permet de retrouver, corriger et supprimer les données (messages, inscrits à la lettre d’information, fiches des associations, comptes), et signale les demandes reçues par le formulaire de contact du site avec le délai légal de réponse d’un mois.

Si une personne s’adresse directement à Communeo, Communeo transmet sa demande à la Commune sans délai et n’y répond pas lui-même, sauf instruction de la Commune.

Article 10. Violation de données

Communeo notifie à la Commune toute violation de données personnelles la concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail aux administrateurs de la Commune.

La notification précise, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables, les mesures prises ou proposées, et un contact. Les informations indisponibles sont transmises dès que possible.

Il revient à la Commune de notifier la CNIL (sous 72 heures) et, le cas échéant, d’informer les personnes concernées ; Communeo l’y aide.

Article 11. Fin du service

À la fin de l’abonnement, ou à la fin de l’essai sans abonnement :

• le site public de la Commune est retiré et l’outil d’administration passe en lecture seule ;
• les données sont conservées six mois, pour permettre à la Commune de reprendre le service ou de récupérer ses contenus ; la Commune est prévenue par e-mail un mois avant la suppression ;
• au terme de ces six mois, Communeo supprime la Commune et toutes ses données (contenus, fichiers, messages, comptes) ;
• les sauvegardes qui contiennent encore ces données sont effacées au fil de leur rotation, dans un délai de 90 jours ; elles restent chiffrées et ne sont pas utilisées, sauf pour une restauration demandée par la Commune avant l’échéance.

La Commune peut demander la suppression anticipée de ses données. Elle peut aussi, à tout moment pendant l’abonnement et jusqu’à la suppression, récupérer ses données sous la forme d’une archive comprenant : son site tel qu’il est publié (pages HTML consultables sans Communeo), ses contenus dans un format ouvert et réutilisable (JSON et texte), tous ses fichiers d’origine (images, documents), et ses messages, inscrits à la lettre d’information et fiches d’associations (CSV). Les administrateurs de la Commune la téléchargent eux-mêmes depuis l’outil d’administration (écran « Exporter les données »), y compris pendant les six mois de lecture seule ; préparée à leur demande, elle reste disponible sept jours puis elle est effacée. Elle peut aussi être fournie sur simple demande à contact@communeo.fr.

Communeo peut conserver ce que la loi l’oblige à garder (devis, bons de commande et factures, pendant 10 ans), qui ne contient que les coordonnées de facturation et le nom du signataire.

Article 12. Documentation et audits

Communeo tient à la disposition de la Commune les informations nécessaires pour démontrer le respect du présent accord (description des mesures de sécurité, liste des sous-traitants, registre des traitements tenu en qualité de sous-traitant).

La Commune peut faire réaliser un audit, à ses frais, par elle-même ou un auditeur tenu au secret et non concurrent de Communeo, au plus une fois par an sauf violation de données, moyennant un préavis de 30 jours. L’audit se fait en priorité sur pièces ; il ne peut porter atteinte à la sécurité ni aux données des autres communes.

Article 13. Aide aux analyses d’impact

Communeo fournit à la Commune, sur demande, les informations en sa possession utiles à une analyse d’impact relative à la protection des données ou à une consultation de la CNIL.

Article 14. Responsabilité

Chaque partie répond des manquements à ses propres obligations au titre du RGPD et du présent accord, conformément à l’article 82 du RGPD.

La responsabilité de Communeo envers la Commune au titre du présent accord est limitée aux dommages directs et, tous faits générateurs confondus, au montant des sommes payées par la Commune au cours des douze mois précédant le fait générateur (pendant l’essai gratuit : au montant annuel de l’abonnement correspondant à la population de la Commune). Cette limite ne s’applique pas en cas de faute lourde ou intentionnelle de Communeo, ni aux sommes que Communeo devrait à une personne concernée ou à une autorité de contrôle du fait de ses propres manquements.

Communeo n’est pas responsable des contenus publiés par la Commune, ni des traitements qu’elle décide en dehors du service.

Article 15. Droit applicable et litiges

Le présent accord est soumis au droit français. Il s’agit d’un contrat conclu avec une personne publique : à défaut d’accord amiable recherché pendant un mois à compter de la réclamation écrite de l’une des parties, tout litige relève du tribunal administratif territorialement compétent, c’est-à-dire, en principe, celui du lieu d’exécution du contrat (article R. 312-11 du code de justice administrative).

---

Annexe 1. Description du traitement

Finalité : fournir à la Commune son site internet et l’outil pour le tenir à jour : publication des contenus, réception et traitement des messages des habitants, lettre d’information, annuaire des associations, gestion des comptes des agents et élus.

Nature des opérations : hébergement, stockage, publication sur le site public, envoi d’e-mails (notifications, réponses, invitations), sauvegarde, suppression.

Personnes concernées et données :

Données sensibles : le service n’est pas conçu pour en traiter. Un habitant peut en mentionner dans un message ; la Commune veille à ne pas en publier.

Localisation : voir annexe 3.

Annexe 2. Mesures de sécurité

Cloisonnement

• Chaque commune ne voit que ses propres données : chaque contenu est rattaché à une commune et toute requête est filtrée par la commune de l’utilisateur ; une route non explicitement autorisée est refusée. Ce cloisonnement est vérifié par des tests automatiques à chaque modification du code.

Accès et authentification

• Deux rôles (administrateur, rédacteur) ; seuls les administrateurs gèrent les comptes, le thème et les réglages sensibles.
• Mots de passe hachés, jamais stockés en clair ; limitation des tentatives de connexion.
• Session par cookie sécurisé (HttpOnly, SameSite=Strict, durée 12 h) ; protection contre les requêtes forgées (CSRF) sur les écritures.
• Inscription d’une commune validée depuis l’adresse officielle de la mairie (Annuaire de l’administration) ou par l’équipe.

Chiffrement

• HTTPS pour l’outil d’administration et tous les sites des communes (certificats automatiques).
• Sauvegardes chiffrées (noms et contenus des fichiers) avant envoi hors du serveur.

Sauvegardes et continuité

• Sauvegarde quotidienne de la base de données et des fichiers ; copie chiffrée hors du serveur, conservée 90 jours ; procédure de restauration testée automatiquement.
• Déploiement automatisé avec retour arrière automatique en cas d’échec.

Minimisation

• Aucun traceur publicitaire ni outil de mesure d’audience tiers sur les sites des communes.
• Vidéos et cartes externes chargées seulement après l’accord de l’habitant.
• Accès des prestataires techniques limité à ce qui est nécessaire (jetons en lecture seule pour la génération des sites).

Organisation

• Secrets (clés, mots de passe techniques) conservés uniquement sur le serveur et dans un gestionnaire de mots de passe.
• Mises à jour de sécurité appliquées au fil de l’eau.
• Journal d’activité par commune, conservé 6 mois.

Annexe 3. Sous-traitants ultérieurs