Accord de Sous-traitance des Données (article 28 RGPD)

Version du 5 novembre 2026

L'essentiel

  • Le présent accord s’applique automatiquement lorsqu’un Client professionnel utilise Nobamouse pour ses Utilisateurs (comptes d’organisation) : le Client est responsable du traitement, NOBATECH est sous-traitant (article 28 RGPD).
  • Les images de la webcam sont traitées exclusivement en local sur l’appareil et ne sont jamais transmises à NOBATECH.
  • N’enregistrez aucune donnée de santé dans les champs d’administration ; utilisez des comptes pseudonymes pour les patients ou résidents.
  • Données hébergées dans l’Union européenne (OVH SAS) ; aucun transfert hors UE prévu.
  • Violation de données : information du Client sans retard injustifié et au plus tard 48 heures après sa découverte.

Le présent Accord de Sous-traitance des Données (l’« Accord ») fait partie intégrante du contrat conclu entre NOBATECH SAS (« NOBATECH », le « Sous-traitant ») et le client professionnel (le « Client », le « Responsable du traitement ») en application des Conditions Générales de Vente Professionnelles (les « CGV Pro ») (le « Contrat »). Il est incorporé par référence et s’applique sans signature distincte dès que NOBATECH traite des données personnelles pour le compte du Client ; le Client qui souhaite un exemplaire signé peut utiliser le bloc de signature figurant à la fin du présent Accord.

Il précise les obligations des parties au titre de l’article 28 du Règlement (UE) 2016/679 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978. En cas de contradiction avec les CGV Pro en matière de protection des données, le présent Accord prévaut.

Ne relèvent pas du présent Accord les traitements que NOBATECH réalise en qualité de responsable du traitement, décrits dans la Politique de Confidentialité : gestion de la relation avec le Client et ses interlocuteurs, commande, paiement et facturation, sécurité de ses services et respect de ses obligations légales.

L’objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes concernées sont décrits à l’article 12. Le traitement dure le temps du Contrat, augmenté de la période de restitution et de suppression prévue à l’article 9.

Traitement local de la webcam. L’Application de Bureau accède à la webcam pour suivre les mouvements de la tête et du visage. Les images sont traitées localement et en temps réel sur l’appareil de l’Utilisateur ; elles ne sont ni enregistrées ni transmises à NOBATECH, qui n’y a pas accès. L’Application ne transmet ni contenu de l’écran, ni frappes au clavier, ni fichiers (voir le Contrat de Licence Utilisateur Final (CLUF)).

NOBATECH traite les données uniquement sur instruction documentée du Client ; le Contrat, le présent Accord et l’utilisation des fonctions d’administration du Service constituent ces instructions. NOBATECH informe immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d’autres dispositions applicables. Si le droit de l’Union ou d’un État membre impose un traitement, NOBATECH en informe le Client avant le traitement, sauf interdiction légale.

Le Client est responsable de la licéité du traitement, notamment de la base juridique, de l’information des Utilisateurs (et, pour les élèves mineurs, de leurs représentants légaux) et de l’exactitude des données qu’il saisit.

Le Service ne nécessite aucune donnée de santé. Le Client, en particulier lorsqu’il est un établissement de santé, médico-social ou d’enseignement :

  • ne saisit aucune donnée de santé ni information identifiant un patient (diagnostic, pathologie, chambre, numéro de dossier, etc.) dans les champs d’administration, les noms de Sièges ou les tickets de support ;
  • attribue aux patients, résidents ou autres personnes accueillies des comptes de Siège pseudonymes (identifiant neutre, adresse e-mail non nominative ou gérée par l’établissement), la table de correspondance restant sous sa seule responsabilité ;
  • tient compte du fait que l’utilisation du Service par une personne accueillie dans un établissement de soins peut, en soi, révéler une information relative à sa santé, et limite en conséquence les données saisies au strict nécessaire.

NOBATECH n’est pas hébergeur de données de santé au sens de l’article L1111-8 du Code de la santé publique et ne propose pas d’héberger de telles données.

5.1 Confidentialité

NOBATECH veille à ce que les personnes autorisées à traiter les données s’engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et n’y accèdent que dans la mesure nécessaire à leurs fonctions.

5.2 Sécurité

NOBATECH met en œuvre les mesures techniques et organisationnelles décrites à l’article 13, afin de garantir un niveau de sécurité adapté au risque (article 32 RGPD). Elle peut les faire évoluer à condition de ne pas diminuer le niveau global de protection.

5.3 Assistance

Compte tenu de la nature du traitement, NOBATECH aide le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à répondre aux demandes d’exercice des droits des personnes concernées (les fonctions d’administration permettant de consulter, rectifier, exporter et supprimer les comptes des Utilisateurs) ; elle transmet sans délai au Client toute demande qui lui est adressée directement. Elle aide également le Client à respecter ses obligations au titre des articles 32 à 36 RGPD (sécurité, violations, analyse d’impact, consultation préalable), en lui fournissant les informations dont elle dispose.

5.4 Registre

NOBATECH tient un registre des catégories d’activités de traitement effectuées pour le compte de ses clients (article 30, paragraphe 2, RGPD).

Le Client donne une autorisation générale à NOBATECH de recourir aux sous-traitants ultérieurs figurant à l’article 14. NOBATECH informe le Client par e-mail ou dans l’espace d’administration de tout ajout ou remplacement envisagé au moins 30 jours à l’avance. Le Client peut s’y opposer par écrit pour un motif raisonnable lié à la protection des données pendant ce délai ; à défaut d’accord, il peut résilier le Contrat sans frais avant la prise d’effet du changement.

NOBATECH impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent Accord et reste responsable envers le Client de leur exécution.

NOBATECH notifie au Client toute violation de données personnelles concernant les données traitées pour son compte sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance, à l’adresse de contact indiquée à l’article 15. La notification contient, dans la mesure où elles sont disponibles, les informations prévues à l’article 33, paragraphe 3, RGPD (nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements, conséquences probables, mesures prises ou proposées, point de contact) ; les informations manquantes sont communiquées dès que possible. NOBATECH prend les mesures nécessaires pour limiter les effets de la violation et assiste le Client pour ses propres notifications à l’autorité de contrôle et aux personnes concernées. La notification ne vaut pas reconnaissance de responsabilité.

Les données sont hébergées et traitées dans l’Union européenne. Aucun transfert vers un pays tiers n’est prévu. Si un transfert devenait nécessaire, NOBATECH en informerait préalablement le Client selon la procédure de l’article 6 et l’encadrerait par des garanties appropriées au sens du chapitre V du RGPD (décision d’adéquation ou clauses contractuelles types de la Commission européenne).

Pendant le Contrat, le Client peut exporter les données de ses comptes d’organisation depuis l’espace d’administration ou sur demande à privacy@nobatech.eu. À la fin du Contrat, NOBATECH supprime les données traitées pour le compte du Client dans un délai de 30 jours, sauf demande de restitution formulée par le Client avant la fin du Contrat, et sauf obligation légale de conservation. Les copies de sauvegarde s’effacent au terme de leur rotation de 30 jours ; jusqu’à leur effacement, elles restent protégées et ne sont utilisées à aucune autre fin. NOBATECH confirme la suppression par écrit sur demande.

NOBATECH met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord. Le Client exerce son droit d’audit en priorité sur la base de cette documentation (description des mesures de sécurité, registre, attestations disponibles, réponses à un questionnaire raisonnable). Si cette documentation est insuffisante, le Client peut faire réaliser un audit, une (1) fois par année civile au plus (sauf violation de données ou demande d’une autorité de contrôle), moyennant un préavis de trente (30) jours, pendant les heures ouvrées, sans perturber l’exploitation, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent de NOBATECH. Chaque partie supporte ses propres frais.

Le présent Accord s’applique pendant la durée du Contrat et tant que NOBATECH détient des données traitées pour le compte du Client. La responsabilité de chaque partie est régie par l’article 82 RGPD et, pour le surplus, par les stipulations de responsabilité des CGV Pro. Le présent Accord est régi par le droit français ; la juridiction compétente est celle prévue par les CGV Pro. NOBATECH peut adapter le présent Accord pour tenir compte d’une évolution de la réglementation ou des recommandations de la CNIL, selon la procédure de modification des CGV Pro.

Objet Fourniture du service Nobamouse aux Utilisateurs du Client : gestion des comptes d’organisation et des Sièges, vérification des licences et des appareils activés, distribution des mises à jour, support technique.
Nature des opérations Collecte, enregistrement, conservation, consultation, modification, hébergement, transmission (e-mails de service), suppression.
Finalités Exécution du Contrat pour le Client : accès des Utilisateurs au Service, administration des Sièges, contrôle du nombre d’appareils, support et résolution d’incidents, sécurité du Service.
Personnes concernées Administrateurs et interlocuteurs du Client ; Utilisateurs auxquels un Siège est attribué : salariés ou agents, élèves et étudiants (y compris mineurs), personnes accueillies ou prises en charge par le Client (par ex. patients ou résidents d’un établissement de santé ou médico-social).
Catégories de données Identifiants de compte (nom ou pseudonyme, adresse e-mail, organisation, rôle administrateur/utilisateur) ; attribution des Sièges (identifiant de Siège, dates d’attribution) ; données de licence et d’appareils (clé ou code de licence, identifiants d’activation, nom et système d’exploitation de l’appareil, version de l’application, horodatages et adresse IP lors des vérifications de licence) ; tickets de support (contenu, pièces jointes, échanges) ; journaux techniques et rapports de plantage nécessaires au support.
Données exclues Images et vidéos de la webcam (traitées uniquement en local), contenu de l’écran, frappes au clavier, fichiers. Aucune catégorie particulière de données (article 9 RGPD) n’est requise ; le Client s’engage à ne pas en saisir (article 4).
Durée Durée du Contrat, puis suppression dans les 30 jours (article 9) ; sauvegardes : rotation de 30 jours.
Lieu Union européenne (hébergement OVH SAS, France).
Minimisation Traitement de la webcam exclusivement local ; aucune transmission d’images, de contenu d’écran ni de frappes ; analyses d’utilisation détaillées désactivées par défaut ; comptes de Siège pseudonymes possibles.
Chiffrement TLS pour toutes les communications entre l’Application de Bureau, le site et les services de NOBATECH ; sauvegardes chiffrées.
Contrôle d’accès Authentification centralisée (Keycloak) ; accès administrateur limité aux personnes habilitées de NOBATECH, protégé par authentification à deux facteurs ; besoin d’en connaître.
Sécurité du logiciel Installateurs et mises à jour signés ; suivi des vulnérabilités des dépendances ; divulgation coordonnée (security@nobatech.eu) ; mises à jour de sécurité pendant la période de support.
Disponibilité Sauvegardes quotidiennes chiffrées conservées 30 jours, dont une copie hors site dans l’UE ; tests de restauration réguliers ; fonctionnement hors ligne de l’Application pendant une durée de tolérance.
Incidents Procédure interne écrite couvrant les violations de données (articles 33/34 RGPD), l’information des clients responsables du traitement et les obligations du Règlement (UE) 2024/2847 (CRA) ; registre des violations.
Personnel et sous-traitants Engagement de confidentialité et directives internes de protection des données ; accès retirés au départ ; sous-traitants ultérieurs liés par un accord article 28 et hébergés dans l’UE.
Effacement Effacements réappliqués après toute restauration ; les sauvegardes s’effacent d’elles-mêmes au terme de la rotation de 30 jours.
Sous-traitant Prestation Localisation
OVH SAS, 2 rue Kellermann, 59100 Roubaix, France Hébergement de l’infrastructure (serveurs, bases de données, réseau privé) France (UE)
serveur de messagerie propre de NOBATECH SAS, hébergé sur sa propre infrastructure chez OVH (France) ; aucun prestataire d'envoi externe E-mails de service (invitations, notifications) Union européenne
système de tickets propre de NOBATECH SAS, hébergé sur sa propre infrastructure chez OVH (France) Gestion des tickets de support Union européenne

Prestataire de paiement. Mollie B.V. (Pays-Bas) traite les paiements du Client dans le cadre de la relation commerciale entre le Client et NOBATECH ; il ne traite pas les données des Utilisateurs pour le compte du Client et n’est donc pas un sous-traitant ultérieur au titre du présent Accord. Il agit, pour ses propres obligations réglementaires, en qualité de responsable du traitement indépendant.

  • Protection des données (NOBATECH) : privacy@nobatech.eu. NOBATECH n'a pas désigné de délégué à la protection des données (article 37 RGPD non applicable) ; contact protection des données : privacy@nobatech.eu.
  • Sécurité et notification des violations (NOBATECH) : security@nobatech.eu.
  • Contact du Client pour les notifications : l’adresse e-mail de l’administrateur principal du compte d’organisation ou celle indiquée dans le Devis / Bon de Commande, sauf autre contact communiqué par écrit.

Le présent Accord s’applique sans signature. Le Client qui souhaite un exemplaire signé peut compléter le bloc ci-dessous.

Prenez le contrôle

Télécharger