Contrat de sous-traitance

Dernière mise à jour : 24 septembre 2026. Version : 2026-09-24.

1. Parties

Le client est responsable du traitement des données à caractère personnel qu'il saisit dans Boordapp ou fait saisir par des utilisateurs. Valinta Shipping vof, agissant sous le nom commercial Boordapp, est sous-traitant pour ces données du client.

Le présent contrat de sous-traitance est nécessaire parce que les clients peuvent traiter, via Boordapp, des données à caractère personnel d'utilisateurs, de membres d'équipage, de personnes de contact et d'autres relations. Le RGPD exige alors des accords écrits entre le client et le sous-traitant.

2. Objet, durée et instructions

Boordapp traite des données à caractère personnel pour le compte du client afin de fournir le service SaaS d'entretien et de gestion de bord. Ces accords s'appliquent aussi longtemps que Boordapp traite des données à caractère personnel pour le compte du client. Boordapp traite les données du client uniquement pour le service, sur la base du contrat, du présent contrat de sous-traitance, d'instructions écrites raisonnables ou d'une obligation légale.

3. Traitements

• Utilisateurs, rôles, invitations et droits d'accès.
• Données relatives aux bateaux, à l'entretien, aux certificats, aux documents et au stock.
• Équipage, contacts d'urgence, qualifications, plannings et heures.
• Coûts, escales, positions AIS et rapports.
• Support, retours, données d'utilisation, journaux d'erreurs et journaux d'audit.

Le traitement comprend la collecte, l'enregistrement, l'organisation, la conservation, la consultation, la modification, la sécurisation, l'export, la suppression, la journalisation, l'assistance, la synchronisation avec des fournisseurs et l'affichage aux utilisateurs autorisés.

4. Sécurité

Boordapp prend des mesures techniques et organisationnelles appropriées pour protéger les données du client. Ces mesures visent la confidentialité, l'intégrité, la disponibilité, la limitation de l'accès, la capacité de rétablissement et un traitement vérifiable. Boordapp adapte les mesures lorsque le service, la technique ou les risques l'exigent.

• L'accès à Boordapp passe par WorkOS, avec des rôles et une sécurisation des sessions.
• Les données du client sont séparées par organisation.
• Les modifications importantes sont journalisées à des fins de contrôle et de support.
• L'accès à la production est limité à la gestion, à la sécurité, au traitement des incidents et au support.
• Les personnes ayant accès aux données de production ou de support sont tenues à la confidentialité.

5. Stockage

Le service Boordapp et le stockage standard des documents fonctionnent sur le VPS de Boordapp chez TransIP aux Pays-Bas. Les documents téléversés sont conservés par défaut sur le stockage serveur de Boordapp. Un stockage objet n'est ajouté comme sous-traitant ultérieur que lorsque ce stockage est effectivement utilisé.

6. Sous-traitants ultérieurs et prestataires de services connectés

Le client donne une autorisation générale pour les sous-traitants ultérieurs et les prestataires de services connectés qui sont nécessaires à Boordapp. Un traitement chez un fournisseur ne constitue pas automatiquement une activité de sous-traitance ultérieure : Stripe, WorkOS ou les services de notifications push peuvent également être responsables à titre autonome pour leurs propres obligations légales, de sécurité ou de paiement. Pour les traitements qu'ils effectuent pour le compte de Boordapp, nous restons responsables dans la mesure où le RGPD le prévoit. En cas de modification substantielle, nous informons le client. Le client peut formuler une objection motivée si un nouveau sous-traitant ultérieur présente un risque démontrable pour la vie privée.

7. Violations de données et droits des personnes concernées

Boordapp notifie au client une violation de données à caractère personnel dans les meilleurs délais dès que Boordapp en a connaissance. Boordapp aide raisonnablement le client à traiter les demandes d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité.

Le client reste responsable de l'appréciation de la nécessité d'une notification à l'Autoriteit Persoonsgegevens (autorité néerlandaise de protection des données) ou aux personnes concernées lorsqu'il s'agit de données du client. Boordapp fournit les informations techniques disponibles raisonnablement nécessaires à cet effet.

8. Restitution, suppression et audits

Après la cessation, le client peut demander dans un délai de 30 jours l'export des données du client. Ensuite, Boordapp supprime les données du client dans la mesure de ce qui est raisonnablement possible, sauf si des obligations légales de conservation, des journaux de sécurité ou la rotation des sauvegardes imposent temporairement une autre solution. Boordapp fournit, sur demande raisonnable, les informations permettant au client d'évaluer le respect des obligations. Un audit doit être raisonnable, confidentiel, proportionné et convenu au préalable.

9. Transferts en dehors de l'EEE

WorkOS, Stripe, OpenAI, TypeSafe AI et les services de notifications push peuvent traiter des données à caractère personnel en dehors de l'EEE. Boordapp utilise à cet effet des garanties appropriées, telles que les clauses contractuelles types, l'EU-US Data Privacy Framework le cas échéant, ou une décision d'adéquation valable.

10. Base juridique

Ces accords sont fondés sur l'article 28 du RGPD. Cet article exige notamment des accords sur l'objet, la durée, la nature et la finalité du traitement, les catégories de données à caractère personnel, les personnes concernées, les instructions du client, la confidentialité, la sécurité, les sous-traitants ultérieurs, l'aide relative aux droits des personnes concernées, les violations de données, la suppression ou la restitution et les informations d'audit.

11. Annexe relative aux données de traitement