Accord de sous-traitance des données (RGPD art. 28)

1. Champ d'application et rôles

Le présent accord complète les conditions générales de vente et le devis accepté. Il s'applique lorsqu'un client professionnel (label, agence, société de production, organisme de formation…) — le « Responsable » — confie à Bertrum Nivonu SARL — le « Sous-traitant » — une prestation impliquant le traitement de données personnelles de personnes que le Responsable a recrutées ou dont il détermine la participation : artistes-interprètes, comédiens voix off, intervenants de podcast.

L'accord est réputé accepté avec le devis qui le mentionne. Une version signée peut être établie sur demande.

2. Objet, nature, finalité et durée

• Objet : enregistrement, édition, mixage et livraison de fichiers audio contenant la voix et l'interprétation des personnes concernées.
• Nature des opérations : captation, stockage, édition, copie de sauvegarde, transmission au Responsable, suppression.
• Finalité : réalisation des enregistrements commandés par le Responsable, pour l'exploitation qu'il détermine.
• Durée : durée de la prestation, puis la période de conservation prévue à l'article 9.

3. Données et personnes concernées

• Personnes concernées : artistes-interprètes, comédiens, intervenants et, le cas échéant, représentants du Responsable présents en séance.
• Données : voix et interprétation enregistrées ; nom, nom de scène et crédits ; coordonnées professionnelles nécessaires à l'organisation des séances ; feuilles de présence.
• Aucune donnée sensible au sens de l'article 9 du RGPD n'est traitée ; la voix n'est pas utilisée à des fins d'identification biométrique. Le Responsable s'abstient de transmettre des données qui ne sont pas nécessaires à la prestation.

4. Instructions documentées

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable (devis, e-mails, cahier des charges), y compris en ce qui concerne les transferts hors de l'Union européenne. Il informe immédiatement le Responsable s'il estime qu'une instruction constitue une violation du RGPD ou du droit applicable.

Le Responsable garantit disposer d'une base légale pour les traitements confiés et avoir informé les personnes concernées ; il recueille les autorisations prévues par le Code de la propriété intellectuelle pour la fixation et l'exploitation de leurs interprétations.

5. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données (ingénieurs, intervenants indépendants) soient soumises à une obligation de confidentialité et n'accèdent qu'aux données nécessaires à leur mission.

6. Sécurité (article 32 du RGPD)

• Accès aux locaux limité aux personnes présentes en séance, studio fermé en dehors des rendez-vous.
• Postes de travail et comptes protégés par mot de passe, accès restreint aux personnes habilitées.
• Copies de sauvegarde sur un support distinct, conservées dans les locaux du Studio.
• Livraison par lien de téléchargement protégé et limité dans le temps, via le service convenu avec le Responsable.
• Suppression sécurisée à l'issue de la période de conservation.

7. Sous-traitants ultérieurs

Le Responsable autorise de manière générale le recours aux sous-traitants ultérieurs suivants :

• OVH SAS, 2 rue Kellermann, 59100 Roubaix, France : messagerie électronique (échanges et liens de livraison), hébergement en France ;
• le service de transfert de fichiers convenu avec le Responsable pour chaque projet.

Le Sous-traitant informe le Responsable de tout ajout ou remplacement envisagé au moins 30 jours à l'avance ; le Responsable peut s'y opposer pour un motif légitime. Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes à celles du présent accord. Le formulaire du site (FormSubmit) n'est jamais utilisé pour les données couvertes par cet accord.

8. Localisation et transferts

Les données couvertes par cet accord sont traitées et stockées dans l'Union européenne. Aucun transfert vers un pays tiers n'est effectué sans instruction écrite préalable du Responsable et sans garanties appropriées au sens du chapitre V du RGPD.

9. Sort des données en fin de prestation

À la livraison des fichiers finaux, le Sous-traitant conserve une copie de sauvegarde pendant 6 mois, sauf instruction contraire du Responsable, qui peut demander à tout moment la suppression anticipée ou la restitution complète. À l'issue de ce délai, les données sont supprimées, sauf obligation légale de conservation. Sur demande, le Sous-traitant confirme par écrit la suppression.

10. Assistance au Responsable

• Droits des personnes : le Sous-traitant transmet sans délai au Responsable toute demande d'exercice de droits reçue et l'aide, dans la mesure du possible, à y répondre.
• Violation de données : le Sous-traitant notifie au Responsable toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes et d'enregistrements, conséquences probables, mesures prises).
• Analyse d'impact et consultation : le Sous-traitant fournit les informations utiles si le Responsable doit réaliser une analyse d'impact ou consulter la CNIL.

11. Documentation et audits

Le Sous-traitant tient un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD) et met à la disposition du Responsable les informations nécessaires pour démontrer le respect de ses obligations. Le Responsable peut réaliser ou faire réaliser un audit, une fois par an au maximum, moyennant un préavis de 30 jours, à ses frais, sans perturber les séances des autres clients et sous engagement de confidentialité de l'auditeur.

12. Responsabilité et durée de l'accord

Chaque partie répond des manquements qui lui sont imputables dans les conditions de l'article 82 du RGPD. Le présent accord produit ses effets pendant toute la durée de la prestation et jusqu'à la suppression ou la restitution des données. Il est soumis au droit français ; les litiges relèvent du Tribunal des activités économiques de Lyon.