Symposium DFV 2026 13–14 novembre · Schweinfurt · Passez sur notre stand et glissez-vous dans un rôle. 13–14 nov. Détails

Contrat de sous-traitance

conformément à l’art. 28 du RGPD · Version 1.4 · État au 18 octobre 2026

Traduction automatique. Cette page est une traduction automatique de l’original allemand (état : 18 octobre 2026), fournie uniquement à titre d’information. Seule la version allemande fait foi. Version allemande →

entre le Client selon les données indiquées lors de la réservation ou dans le contrat de licence (ci-après : le Responsable du traitement)

et Icarus Websites – Inh. Ralf Becker, Fabrikstraße 13A, 04178 Leipzig, Allemagne (ci-après : le Sous-traitant).

1. Objet et durée

(1) Le Sous-traitant met à la disposition du Responsable du traitement le logiciel « Das Icarus Manifest » ou « Icarus Rigging » en tant que logiciel en tant que service (contrat principal, régi par les conditions générales de vente). Dans le cadre de cette prestation, le Sous-traitant traite des données personnelles pour le compte du Responsable du traitement.

(2) L’objet, la nature et la finalité du traitement, les types de données personnelles et les catégories de personnes concernées figurent à l’annexe 1.

(3) La durée du présent contrat correspond à celle du contrat principal. Les obligations prévues à l’article 9 subsistent au-delà de la fin du contrat.

2. Instructions

(1) Le Sous-traitant traite les données exclusivement dans le cadre du contrat principal et sur instruction documentée du Responsable du traitement, à moins qu’il ne soit tenu d’effectuer un autre traitement en vertu du droit de l’Union ou du droit de la République fédérale d’Allemagne. Dans ce cas, il informe le Responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public.

(2) Les instructions découlent du présent contrat et du contrat principal. L’utilisation des fonctions du logiciel par le Responsable du traitement vaut instruction. Le Responsable du traitement donne d’autres instructions sous forme textuelle.

(3) Si le Sous-traitant estime qu’une instruction enfreint les dispositions relatives à la protection des données, il en informe immédiatement le Responsable du traitement. Il est en droit de suspendre l’exécution de l’instruction jusqu’à ce que le Responsable du traitement la confirme ou la modifie.

(4) Le Sous-traitant ne traite pas les données à ses propres fins.

3. Obligations du Sous-traitant

(1) Le Sous-traitant veille à ce que les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

(2) Le Sous-traitant prend les mesures techniques et organisationnelles prévues à l’art. 32 du RGPD, décrites à l’annexe 2. Il peut les adapter à l’état de la technique, à condition que le niveau de protection ne soit pas réduit. Il documente les modifications importantes.

(3) Le Sous-traitant aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes d’exercice des droits des personnes concernées prévus aux art. 12 à 22 du RGPD. Le logiciel permet au Responsable du traitement de consulter, rectifier, exporter et supprimer lui-même les données. Si une personne concernée s’adresse directement au Sous-traitant, celui-ci transmet immédiatement la demande au Responsable du traitement.

(4) Compte tenu des informations à sa disposition, le Sous-traitant aide le Responsable du traitement à respecter les obligations prévues aux art. 32 à 36 du RGPD.

(5) L’interlocuteur pour les questions relatives à la protection des données est Ralf Becker, info@icarus-manifest.de. Il n’existe aucune obligation légale de désigner un délégué à la protection des données.

4. Notification des violations de données personnelles

(1) Le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles dans les meilleurs délais, et au plus tard dans les 48 heures après en avoir pris connaissance, par e-mail à l’adresse du Responsable du traitement enregistrée auprès du Sous-traitant.

(2) La notification contient, dans la mesure où elles sont connues, les informations visées à l’art. 33, par. 3 du RGPD. Le Sous-traitant communique sans délai les informations qui ne sont pas encore disponibles.

(3) Le Sous-traitant prend sans délai les mesures nécessaires pour sécuriser les données et atténuer les éventuelles conséquences négatives.

5. Sous-traitants ultérieurs

(1) Le Responsable du traitement accorde au Sous-traitant une autorisation générale de recourir à d’autres sous-traitants (sous-traitants ultérieurs). Les sous-traitants ultérieurs auxquels il est fait appel au moment de la conclusion du contrat figurent à l’annexe 3 et sont réputés autorisés.

(2) Le Sous-traitant informe le Responsable du traitement sous forme textuelle, au moins quatre semaines à l’avance, de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur. Le Responsable du traitement peut s’y opposer dans ce délai pour un motif important lié à la protection des données. Si les parties ne parviennent pas à un accord, le Responsable du traitement est en droit de résilier le contrat principal de manière extraordinaire avec effet à la date du recours au nouveau sous-traitant ultérieur.

(3) Le Sous-traitant impose contractuellement à chaque sous-traitant ultérieur des obligations en matière de protection des données équivalentes à celles fixées dans le présent contrat.

(4) Ne constituent pas une sous-traitance ultérieure au sens du présent article les services que le Responsable du traitement commande lui-même et connecte au logiciel, notamment les prestataires de services de paiement (p. ex. Stripe, PayPal), son propre serveur de messagerie ou son propre compte Microsoft 365, sa propre base de données Ninox pour l’importation de données ainsi que la relation bancaire pour les prélèvements SEPA. Pour ces services, le Responsable du traitement est lui-même partie contractante.

6. Lieu du traitement

(1) Le traitement a lieu en principe en République fédérale d’Allemagne.

(2) Par dérogation, les saisies effectuées par les utilisateurs dans l’assistant IA intégré au logiciel sont transmises, pour y répondre, au fournisseur mentionné à l’annexe 3 et sont à cette occasion également traitées aux États-Unis. Le transfert repose sur des garanties appropriées au sens de l’art. 46, par. 2, point c du RGPD (clauses contractuelles types de la Commission européenne conformément à la décision d’exécution (UE) 2021/914), qui font partie intégrante de l’accord de traitement des données du fournisseur. Le fournisseur n’utilise pas les contenus transmis pour entraîner ses modèles. L’assistant IA ne reçoit aucune donnée de la base de données du Responsable du traitement, mais exclusivement les textes saisis dans la conversation. L’utilisation est facultative ; les utilisateurs sont invités, dans la fenêtre de conversation, à ne saisir aucune donnée personnelle.

(3) Pour afficher la carte dans l’alarme d’urgence, le navigateur de l’utilisateur charge des images cartographiques depuis les serveurs de l’OpenStreetMap Foundation au Royaume-Uni, mentionnée à l’annexe 3 ; l’adresse IP de l’utilisateur est alors transmise. Le transfert repose sur la décision d’adéquation de la Commission européenne pour le Royaume-Uni (art. 45 du RGPD).

(4) Tout autre transfert du traitement vers un pays tiers requiert l’information préalable prévue à l’article 5, al. 2, et le respect des art. 44 et suivants du RGPD.

7. Justificatifs et droits de contrôle

(1) Sur demande, le Sous-traitant démontre au Responsable du traitement le respect des obligations découlant du présent contrat. La preuve est apportée en priorité par la description actuelle des mesures techniques et organisationnelles (annexe 2), par des auto-déclarations écrites ainsi que, pour les centres de données, par des certificats et rapports d’audit des sous-traitants ultérieurs.

(2) Si ces justificatifs ne suffisent pas dans un cas particulier, notamment après une violation de données personnelles ou sur ordre d’une autorité de contrôle, le Responsable du traitement peut exiger un contrôle effectué par lui-même ou par un auditeur tenu au secret. Le contrôle doit être annoncé avec un préavis d’au moins quatre semaines, a lieu pendant les heures habituelles de bureau et ne doit pas perturber l’activité de manière disproportionnée. Les frais sont à la charge du Responsable du traitement, sauf si le contrôle révèle une violation de la part du Sous-traitant.

8. Rectification, limitation et effacement

Le Sous-traitant ne rectifie, n’efface ou ne limite le traitement des données que sur instruction du Responsable du traitement. Le Responsable du traitement peut effectuer lui-même la plupart de ces mesures dans le logiciel.

9. Restitution et effacement après la fin du contrat

(1) Le Responsable du traitement peut à tout moment, pendant la durée du contrat, exporter ses données au moyen des fonctions d’exportation du logiciel. Il lui incombe de le faire avant la fin du contrat.

(2) Après la fin du contrat principal, le Sous-traitant efface dans un délai de 30 jours l’ensemble des données du Responsable du traitement, y compris les fichiers chargés et toutes les sauvegardes, sauf obligation légale de conservation.

(3) L’effacement est confirmé sur demande sous forme textuelle.

10. Responsabilité

La responsabilité est régie par l’art. 82 du RGPD. Pour le surplus, les règles de responsabilité du contrat principal s’appliquent, dans la mesure où l’art. 82 du RGPD ne s’y oppose pas.

11. Dispositions finales

(1) Le présent contrat est conclu par voie électronique (art. 28, par. 9 du RGPD), par l’acceptation du Responsable du traitement lors du processus de réservation. Pour les clients dont le contrat principal a été conclu avant l’introduction du présent contrat, celui-ci est réputé conclu dès leur acceptation sous forme textuelle.

(2) En cas de contradiction entre le présent contrat et le contrat principal, les dispositions du présent contrat prévalent pour les questions de protection des données.

(3) Les modifications et compléments requièrent la forme textuelle.

(4) Si certaines dispositions du présent contrat sont ou deviennent invalides, la validité des autres dispositions n’en est pas affectée.

(5) Le droit de la République fédérale d’Allemagne s’applique. Le tribunal compétent est, dans la mesure où la loi le permet, celui de Leipzig.

(6) Le présent contrat est rédigé en langue allemande. Les traductions dans d’autres langues ne sont fournies qu’à titre d’information ; en cas de divergence, seule la version allemande fait foi.

Annexe 1 — Objet, finalité, types de données, personnes concernées

Objet et finalité

Mise à disposition et exploitation d’une instance du logiciel propre à chaque client, pour l’organisation d’une activité de parachutisme ou d’un atelier de parachutes. Cela comprend l’enregistrement, l’affichage et l’analyse de données, l’envoi d’e-mails ainsi que la création de documents tels que factures, justificatifs et contrats pour le compte du Responsable du traitement.

Catégories de personnes concernées

Types de données personnelles

Catégories particulières de données personnelles

Le logiciel n’est pas destiné au traitement de catégories particulières de données personnelles au sens de l’art. 9 du RGPD. Si le Responsable du traitement saisit de telles données, par exemple des blessures dans des rapports d’incident ou des informations relatives à la santé dans des déclarations, le Sous-traitant les traite avec les mêmes mesures de protection. La responsabilité de la base juridique de la collecte incombe au Responsable du traitement.

Annexe 2 — Mesures techniques et organisationnelles (art. 32 du RGPD)

1. Confidentialité

Contrôle de l’accès physique. L’exploitation a lieu sur un serveur privé virtuel d’IONOS SE dans un centre de données situé en Allemagne. La sécurité physique, le contrôle de l’accès physique et la surveillance des centres de données relèvent d’IONOS. Le Sous-traitant n’exploite pas de salles de serveurs propres.

Contrôle de l’accès aux systèmes.

Contrôle de l’accès aux données.

Contrôle de la séparation.

2. Intégrité

Contrôle de la transmission. Les transmissions de données sont exclusivement chiffrées. Les liens publics, par exemple pour la boutique de bons cadeaux, Sky.Dash ou des contenus partagés, sont signés ou chiffrés et limités dans le temps. Aucun échange de supports de données n’a lieu.

Contrôle de la saisie. La création, la modification et la suppression de données sont journalisées avec l’utilisateur et la date. Les numéros de facture sont attribués de manière continue ; les factures sont annulées au lieu d’être supprimées.

3. Disponibilité et résilience

4. Procédures de contrôle régulier

Annexe 3 — Sous-traitants ultérieurs