Accord de sous-traitance
Article 28 du RGPD — Dernière mise à jour : 22 juillet 2026
Le présent accord (« l'Accord ») encadre le traitement, par First Experience ASBL (« le Sous-traitant »), des données personnelles pour le compte de l'association utilisatrice du service Trézo (« le Responsable du traitement »). Il fait partie intégrante des conditions générales d'utilisation.
1. Objet et durée
Le Sous-traitant traite des données personnelles pour fournir le service Trézo au Responsable. L'Accord s'applique pendant toute la durée d'utilisation du service et prend fin avec la clôture du compte.
2. Nature et finalité du traitement
Hébergement, stockage, organisation, consultation, sauvegarde et suppression des données saisies par le Responsable dans le cadre de la gestion comptable et administrative de son association.
3. Catégories de données et de personnes concernées
- Données : identité et coordonnées de contacts, membres et bénéficiaires effectifs ; données comptables et financières ; contenu des pièces jointes fournies par le Responsable.
- Personnes concernées : membres, administrateurs, bénéficiaires effectifs, fournisseurs, donateurs et autres tiers en relation avec l'association.
4. Obligations du Sous-traitant
Le Sous-traitant s'engage à :
- ne traiter les données que sur instruction documentée du Responsable (l'utilisation du service valant instruction), sauf obligation légale ;
- garantir la confidentialité des données et n'y donner accès qu'aux personnes habilitées, tenues à la confidentialité ;
- mettre en œuvre les mesures de sécurité techniques et organisationnelles appropriées (article 32 RGPD, voir Annexe) ;
- assister le Responsable pour répondre aux demandes d'exercice des droits des personnes concernées et pour ses obligations de sécurité, d'analyse d'impact et de notification ;
- notifier au Responsable toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance ;
- au terme de l'Accord, supprimer ou restituer les données au choix du Responsable (l'export et la suppression définitive sont disponibles en autonomie depuis « Mon organisation ») ;
- mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 et permettre des audits raisonnables.
5. Sous-traitants ultérieurs
Le Responsable autorise le recours aux sous-traitants ultérieurs suivants, soumis aux mêmes obligations de protection des données :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Hostinger | Hébergement et sauvegardes | Union européenne |
| Brevo (Sendinblue SAS) | Envoi des emails transactionnels | France (UE) |
Le Responsable sera informé de tout ajout ou remplacement de sous-traitant ultérieur et pourra s'y opposer pour un motif légitime.
6. Localisation et transferts
Les données sont traitées et stockées au sein de l'Union européenne. Aucun transfert hors UE n'est réalisé dans le cadre du fonctionnement normal du service.
7. Annexe — Mesures de sécurité
- Chiffrement des communications (HTTPS/TLS).
- Mots de passe hachés au moyen d'un algorithme robuste ; secrets jamais stockés en clair.
- Cloisonnement logique strict des données par association (isolation multi-locataire).
- Contrôle d'accès par rôles, limitation des tentatives de connexion, protection anti-CSRF.
- Journal d'audit horodaté des actions sensibles.
- Sauvegardes régulières et procédure de restauration.
Sous-traitant : First Experience ASBL (BCE 0743.576.759), Rue du Fort 106, 4621 Fléron, Belgique — firstexperienceasbl@gmail.com.