Sous-traitants ultérieurs (sous-traitants)

1. Objet et rapport avec le contrat de sous-traitance

(1) Le présent aperçu énumère les sous-traitants ultérieurs (ci-après les « sous-traitants ») auxquels la société Datargo GmbH, Francfort-sur-le-Main (ci-après « Datargo »), recourt pour le traitement des données à caractère personnel de ses clients professionnels dans le cadre de la mise à disposition des modules Datargo Monitor, Datargo CRM, Datargo ID, Datargo ERP et NextPKI ainsi que de l’offre groupée Datargo One (individuellement et conjointement ci-après les « prestations »).

(2) Le présent aperçu fait partie intégrante du contrat de sous-traitance (AVV) au sens de l’article 28 du RGPD et précise l’article 7 de celui-ci (recours à d’autres sous-traitants). En cas de contradictions entre le présent aperçu et l’AVV, l’AVV prévaut pour les questions relatives au traitement des données à caractère personnel. En cas d’accord individuel divergent du présent aperçu, celui-ci prévaut (§ 305b BGB, Code civil allemand). La présente disposition s’applique exclusivement dans les rapports avec des entrepreneurs au sens du § 14 BGB, des personnes morales de droit public et des patrimoines spéciaux de droit public (purement B2B).

(3) Un sous-traitant est un autre sous-traitant mandaté par Datargo au sens de l’article 28, paragraphe 4, du RGPD, qui traite des données à caractère personnel du client pour le compte de Datargo. Datargo soumet contractuellement chaque sous-traitant à des obligations de protection des données correspondant à celles de l’AVV, en particulier à des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées (article 28, paragraphe 4, du RGPD). Si un sous-traitant ne respecte pas ses obligations de protection des données, Datargo répond envers le client du respect des obligations du sous-traitant conformément à la clause de responsabilité du contrat principal.

2. Hébergement dans l’UE et lieu de traitement

(1) Datargo recourt exclusivement à des sous-traitants situés au sein de l’Union européenne. Le traitement des données à caractère personnel a lieu exclusivement au sein de l’Union européenne ; l’hébergement des prestations est assuré sur l’infrastructure propre de Datargo GmbH, dotée de son propre système autonome (AS), dans un centre de données à Francfort-sur-le-Main. Les vérifications techniques d’accessibilité et de disponibilité (régions de vérification/nœuds de vérification) sont effectuées en partie via l’infrastructure de prestataires tiers dans le monde entier ; au niveau de ces nœuds de vérification, seules des données brutes non personnelles des vérifications de serveurs sont traitées, à l’exclusion de toute donnée à caractère personnel des clients, lesquelles demeurent au sein de l’Union européenne.

(2) Les sous-traitants figurant dans le présent aperçu traitent les données à caractère personnel principalement au sein de l’Union européenne. Une exception concerne la distribution des notifications push de l’application via le service de notifications push d’Apple (Apple Inc., États-Unis, Apple Push Notification service) : le transfert vers les États-Unis qui y est associé est sécurisé par le biais de l’EU-US Data Privacy Framework (article 45 du RGPD) et de clauses contractuelles types complémentaires. Lorsque Datargo recourt à la filiale établie dans l’Union européenne d’un prestataire dont la société mère est américaine (Twilio Ireland Limited pour l’alerte par SMS et par appel vocal), le traitement a néanmoins lieu exclusivement au sein de l’UE ; des clauses contractuelles types complémentaires sont en place afin de parer à un éventuel accès des autorités via la société mère (par exemple au titre du US-CLOUD-Act). Il convient de distinguer de cela le traitement des paiements dans le cadre de la propre facturation contractuelle de Datargo (prestataire de services de paiement Stripe, Stripe, LLC, États-Unis) : celui-ci n’est pas effectué en tant que sous-traitance pour le client, mais relève de la responsabilité propre de Datargo ; le transfert vers les États-Unis qui y est associé est sécurisé par le biais de l’EU-US Data Privacy Framework (article 45 du RGPD) et de clauses contractuelles types complémentaires (détails dans la déclaration de protection des données ). Si, en outre, à titre exceptionnel et après accord distinct, un traitement par un sous-traitant en dehors de l’Union européenne devait être envisagé, celui-ci ne serait effectué que dans les conditions de l’article 9 de l’AVV (en particulier décision d’adéquation ou clauses contractuelles types accompagnées d’une analyse d’impact relative au transfert) ; un tel sous-traitant serait indiqué séparément dans la liste ci-dessous avec le mécanisme de transfert correspondant.

3. Autorisation générale, notification des modifications et opposition

(1) Autorisation générale. Par la conclusion de l’AVV , le client accorde à Datargo l’autorisation écrite générale de recourir à des sous-traitants au sens de l’article 28, paragraphe 2, première phrase, et paragraphe 4, du RGPD. Les sous-traitants figurant dans la liste ci-dessous sont réputés autorisés dès la conclusion du contrat.

(2) Notification des modifications. Datargo informe le client de tout ajout ou remplacement envisagé d’un sous-traitant au préalable, dans un délai d’au moins 30 jours avant le mandat envisagé. L’information est fournie par la mise à jour du présent aperçu ainsi que, en complément, par le service de notification décrit ci-dessous (voir l’article 5).

(3) Droit d’opposition. Le client peut s’opposer à l’ajout ou au remplacement d’un sous-traitant dans un délai de 14 jours à compter de l’information, pour un motif sérieux et fondé en droit de la protection des données, sous forme de texte. À défaut d’opposition dans ce délai, la modification est réputée autorisée. Un motif sérieux relevant du droit de la protection des données existe notamment lorsqu’il existe des indices concrets que le sous-traitant n’offre pas les garanties requises au titre de l’AVV et du droit de la protection des données.

(4) Conséquences juridiques de l’opposition. Si le client s’oppose dans les délais et pour un motif sérieux, les parties s’efforcent de trouver une solution amiable. Datargo examinera si la prestation concernée peut être fournie sans le sous-traitant ou avec un sous-traitant alternatif. Si aucune solution amiable ne peut être trouvée et que Datargo maintient le recours au sous-traitant concerné, le client est en droit de résilier de manière extraordinaire, moyennant un délai raisonnable, la partie des prestations affectée par la modification. Aucune prétention plus étendue n’existe à cet égard. Pour le surplus, les dispositions de l’article 7 de l’AVV sont déterminantes.

4. Sous-traitants actuels

(1) L’aperçu ci-dessous indique les sous-traitants employés à la date de publication, avec la finalité du traitement, le lieu de traitement, les catégories de données traitées et le mécanisme de transfert.

Remarque : La liste ci-dessous nomme les sous-traitants effectivement employés à la date de publication. Elle est publiée dans le Trust Center et mise à jour à chaque modification conformément aux articles 3 et 5.

(2) Le traitement par les sous-traitants mentionnés dans la liste est effectué dans chaque cas exclusivement à la finalité indiquée et dans le cadre des instructions du client et des consignes de Datargo.

5. Service de notification en cas de nouveaux sous-traitants

(1) Datargo met à disposition un service de notification permettant d’informer les clients des modifications envisagées de la liste des sous-traitants. La notification est effectuée par un abonnement par e-mail via le Trust Center ainsi que par la publication sur la présente page.

(2) Les clients qui souhaitent être informés des modifications enregistrent à cet effet un contact via le Trust Center ou via hello@datargo.com . Pour le calcul des délais selon l’article 3, l’information transmise au contact enregistré est déterminante ; à défaut de contact enregistré, la mise à jour de la présente page vaut information.

(3) Datargo recommande aux clients réglementés (en particulier aux entités financières au sens du règlement (UE) 2022/2554 (DORA) ainsi qu’aux entités importantes ou critiques au sens de la directive (UE) 2022/2555 (NIS2) et de sa transposition nationale) de s’abonner au service de notification, afin de pouvoir satisfaire à leurs propres obligations de surveillance des prestataires tiers de services TIC et de leurs sous-traitants. Les droits étendus d’information et d’audit des clients réglementés découlent de l’avenant DORA et de l’article 12 de l’AVV .

6. Distinction par rapport aux autres prestataires (prestations accessoires)

(1) Ne sont pas considérés comme sous-traitants au sens du présent aperçu les prestataires auxquels Datargo recourt pour des prestations accessoires sans lien substantiel avec le traitement des données à caractère personnel du client (par exemple prestations de télécommunication, de maintenance, de conseil ou de nettoyage). Datargo prend également à cet égard des mesures appropriées pour préserver la confidentialité.

(2) Les prestations de soutien internes au groupe ainsi que le recours aux propres salariés de Datargo ne constituent pas un recours à des sous-traitants et relèvent directement de l’AVV .

7. Actualité et tenue à jour de la liste

(1) Datargo tient le présent aperçu à jour et l’adapte à chaque modification autorisée ou réputée autorisée. La date de la dernière mise à jour est indiquée sur la présente page : juin 2026.

(2) Les clients professionnels obtiennent la version prête à la signature de l’AVV , y compris la liste des sous-traitants en vigueur à chaque instant, via hello@datargo.com ou dans le Trust Center .

Version linguistique faisant foi

Le présent document est fourni en allemand, en anglais et en français. Les versions anglaise et française sont des traductions fournies uniquement à des fins de commodité. La version allemande fait foi et est seule contraignante en cas de litige ou de divergence d’interprétation ou de traduction.