Version 1.0 — Entrée en vigueur le 12 novembre 2026 — Dernière mise à jour le 12 novembre 2026
Préambule
La présente annexe de sous-traitance (la « DPA ») est conclue entre :
- Le Responsable de traitement : le client professionnel de NexeTrack, personne morale ou professionnelle, qui détermine les finalités et les moyens des traitements portant sur les données de son exploitation (le « Client ») ;
- Le Sous-traitant : NEXE SOLUTIONS, Société par actions simplifiée (SAS) au capital de 1 500 €, dont le siège social est situé 73 rue Jean Bonnard, 69670 Vaugneray, France, immatriculée sous le numéro SIREN 131 531 865 et le numéro SIRET 131 531 865 00015 (le « Sous-traitant » ou « NEXE SOLUTIONS »).
La DPA fait partie intégrante des conditions générales de vente (les « CGV ») et s’applique à tout traitement de données personnelles effectué par le Sous-traitant pour le compte du Client dans le cadre du service NexeTrack.
Elle est établie conformément à l’article 28 du règlement (UE) 2016/679 (le « RGPD ») et à la loi Informatique et Libertés.
Article 1 — Objet et durée
Le Sous-traitant traite les données personnelles nécessaires à la fourniture du service NexeTrack, pour le compte et sur instructions documentées du Client.
La DPA prend effet à la date de souscription ou d’acceptation des CGV et demeure en vigueur pendant toute la durée du Contrat, jusqu’à la suppression ou à la restitution des données dans les conditions de l’article 9.
Article 2 — Nature et finalités du traitement
Le traitement a pour objet :
- l’hébergement, le stockage et la conservation des données ;
- la saisie, la consultation, la modification et la suppression des données par les utilisateurs autorisés ;
- le calcul, l’affichage, l’export et la transmission des données nécessaires au service ;
- la gestion des accès, des permissions et de la traçabilité ;
- la gestion des partages explicitement autorisés avec une coopérative ;
- la maintenance, la sécurité et la sauvegarde des données ;
- l’assistance et le support, dans la limite des instructions du Client.
Les finalités sont déterminées par le Client. Le Sous-traitant ne traite pas les données pour ses propres finalités, sauf obligation légale ou instruction documentée du Client.
Article 3 — Catégories de personnes concernées et de données
3.1 Personnes concernées
- utilisateurs et préposés du Client ;
- propriétaires, dirigeants et contacts de l’exploitation ;
- personnels des coopératives lorsque le Client partage des données avec elles ;
- toute personne dont les données sont saisies dans un champ libre par le Client.
3.2 Catégories de données
- données d’identification et de contact : nom, e-mail, téléphone, rôle ;
- données de l’exploitation : dénomination, SIRET, PACAGE, adresse, commune ;
- données agricoles : parcelles, contours, surfaces, cultures, traitements, produits, doses, dates, stades, observations ;
- données de stock : produits, lots, dates de péremption, mouvements, consommations, inventaires, corrections, éliminations ;
- données de partage : autorisations, périmètre, historique ;
- données techniques : journaux d’accès, adresses IP, user-agents, horodatages, identifiants de session ;
- exports et documents générés.
Le Client s’engage à ne pas saisir de données sensibles au sens de l’article 9 du RGPD, sauf si une base légale spécifique et des mesures adaptées ont été prévues. Le Sous-traitant n’est pas tenu de traiter des données sensibles non prévues par le service.
Article 4 — Instructions documentées
Le Client donne instruction au Sous-traitant de traiter les données conformément à la DPA, aux CGV, à la documentation et aux fonctionnalités activées.
Le Sous-traitant :
- ne traite les données que sur instructions documentées du Client ;
- informe le Client si une instruction lui paraît contraire au RGPD ou à une autre disposition légale applicable ;
- peut suspendre l’exécution d’une instruction manifestement illicite, après en avoir informé le Client dans les meilleurs délais ;
- traite les données pour les seules finalités décrites à l’article 2.
Les instructions peuvent être données via les fonctionnalités du service, par écrit ou par tout moyen convenu. Les instructions orales doivent être confirmées par écrit lorsque cela est nécessaire.
Article 5 — Confidentialité
Le Sous-traitant garantit que les personnes autorisées à traiter les données :
- sont soumises à une obligation de confidentialité ou à une obligation légale équivalente ;
- sont informées de la nature confidentielle des données ;
- n’accèdent aux données que dans la limite de leurs missions et selon le principe du moindre privilège ;
- sont formées aux exigences de sécurité et de protection des données.
L’obligation de confidentialité survit à la fin du Contrat.
Article 6 — Sécurité
Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :
- le contrôle des accès authentifiés et la gestion des permissions ;
- le stockage des mots de passe sous forme de hachage ;
- la protection contre les requêtes forgées et les accès non autorisés ;
- la journalisation des actions sensibles ;
- le cloisonnement des données entre exploitations ;
- la vérification d’intégrité des mouvements et des documents ;
- des liens de téléchargement temporaires pour les exports ;
- des mesures de sauvegarde et de restauration à définir et documenter : [À CONFIRMER] ;
- des mesures de chiffrement au repos à définir et documenter : [À CONFIRMER] ;
- des procédures de gestion des incidents et de continuité à définir et documenter : [À CONFIRMER].
Le Sous-traitant ne revendique aucune certification ISO 27001, HDS, SOC 2 ou équivalente à la date de publication. Il ne garantit pas l’absence totale de risque, celle-ci n’étant pas techniquement atteignable.
Les mesures peuvent évoluer, à condition de ne pas réduire le niveau de protection.
Article 7 — Sous-traitance ultérieure
Le Client autorise le Sous-traitant à recourir à des sous-traitants ultérieurs pour l’hébergement, l’infrastructure, la sécurité, la sauvegarde, le paiement ou l’assistance.
À la date de publication, le sous-traitant ultérieur principal est :
- O2switch, Société par actions simplifiée (SAS) au capital de 100 000 €, Chemin des Pardiaux, 63000 Clermont-Ferrand, France, RCS Clermont-Ferrand 510 909 807, téléphone 04 44 44 60 40, site https://www.o2switch.fr, pour l’hébergement et l’infrastructure.
Aucun prestataire de paiement n’est activé à la date de publication. Si un prestataire de paiement est activé, il sera ajouté à la liste et soumis aux mêmes obligations.
Le Sous-traitant :
- informe le Client de tout ajout ou remplacement substantiel de sous-traitant ultérieur, par tout moyen approprié ;
- impose au sous-traitant ultérieur des obligations de protection des données équivalentes à celles de la DPA ;
- demeure responsable envers le Client de l’exécution des obligations du sous-traitant ultérieur ;
- permet au Client de s’opposer à un changement pour un motif légitime lié à la protection des données.
En cas d’opposition légitime, les parties recherchent une solution. Si aucune solution n’est trouvée, le Client peut résilier les fonctionnalités concernées ou le Contrat dans les conditions des CGV.
Article 8 — Assistance
8.1 Droits des personnes concernées
Le Sous-traitant assiste le Client, par des mesures techniques et organisationnelles appropriées, pour répondre aux demandes d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité.
Lorsqu’une personne concernée adresse une demande directement au Sous-traitant, celui-ci la transmet au Client dans les meilleurs délais, sauf obligation légale contraire, et ne répond pas lui-même lorsque le Client est responsable de la décision.
8.2 Sécurité et violations
Le Sous-traitant assiste le Client pour :
- l’évaluation des risques et la mise en œuvre des mesures de sécurité ;
- la notification des violations de données à l’autorité de contrôle ;
- la communication des violations aux personnes concernées ;
- la réalisation d’analyses d’impact, lorsque cela est nécessaire.
En cas de violation de données personnelles, le Sous-traitant informe le Client sans délai injustifié après en avoir pris connaissance et lui fournit les informations raisonnablement disponibles : nature de la violation, catégories et volume de données concernées, conséquences probables, mesures prises ou envisagées.
8.3 Analyses d’impact
Le Sous-traitant fournit une assistance raisonnable au Client pour la réalisation d’une analyse d’impact relative à la protection des données (AIPD), lorsque le traitement envisagé est susceptible d’engendrer un risque élevé.
Article 9 — Sort des données à la fin du Contrat
À la fin du Contrat, le Sous-traitant, selon le choix du Client :
- met à disposition les données dans un format structuré et couramment utilisé, via les fonctionnalités d’export ou selon les modalités convenues ;
- restitue les données au Client ;
- supprime ou anonymise les données après la période de récupération.
La durée de mise à disposition et les modalités techniques de restitution doivent être confirmées : [À CONFIRMER].
La suppression s’applique aux données et aux copies, sous réserve :
- des obligations légales de conservation ;
- des données nécessaires à la constatation, à l’exercice ou à la défense de droits en justice ;
- des données conservées dans les sauvegardes techniques, pour la durée de rotation de ces sauvegardes, sans réintroduction dans le service ;
- des preuves d’acceptation juridique, conservées pour la preuve.
Le Sous-traitant certifie par écrit la suppression lorsqu’il en est requis, dans les limites de ses obligations légales.
Article 10 — Audit et transparence
Le Sous-traitant met à disposition du Client les informations nécessaires pour démontrer le respect de ses obligations et permet des audits, y compris des inspections, dans les conditions suivantes :
- l’audit est réalisé par le Client ou un auditeur indépendant mandaté par lui ;
- l’audit est raisonnablement justifié par une obligation légale, une violation ou un risque significatif ;
- l’audit est planifié, documenté et réalisé sans perturber la sécurité ni la disponibilité du service ;
- l’auditeur est soumis à une obligation de confidentialité ;
- les coûts raisonnables sont supportés par le Client, sauf manquement avéré du Sous-traitant ;
- la fréquence est limitée à une fois par an, sauf obligation légale, violation ou demande d’une autorité.
Le Sous-traitant peut fournir des réponses documentaires, des attestations ou des rapports d’audit tiers lorsque ceux-ci permettent de démontrer le respect des obligations.
Article 11 — Transferts hors Espace économique européen
Le Sous-traitant ne transfère pas les données hors de l’Espace économique européen sans instruction documentée du Client ou sans base légale appropriée.
Si un transfert est nécessaire, il est encadré par une décision d’adéquation, les clauses contractuelles types de la Commission européenne ou des garanties appropriées, complétées si nécessaire par des mesures techniques et organisationnelles.
À la date de publication, l’hébergement est assuré par O2switch, qui indique héberger ses infrastructures en France ; cette localisation doit être confirmée contractuellement : [À CONFIRMER]. Aucun prestataire de paiement n’est activé.
Article 12 — Responsabilité et ordre de priorité
La responsabilité du Sous-traitant est engagée dans les conditions prévues par les CGV et par le RGPD. La DPA ne peut pas limiter les droits des personnes concernées ni les obligations légales du Sous-traitant.
En cas de contradiction entre la DPA et les CGV, la DPA prévaut pour les questions de protection des données personnelles. En cas de contradiction entre la DPA et une instruction du Client, la DPA prévaut.
Le Client demeure responsable :
- de la licéité des données qu’il saisit ou importe ;
- des bases légales des traitements ;
- de l’information des personnes concernées ;
- du respect de leurs droits ;
- de la sécurité de ses propres équipements et accès ;
- des décisions qu’il prend à partir des données et résultats du service.
Article 13 — Contact
Pour toute question relative à la DPA ou à la protection des données :
- Sous-traitant : NEXE SOLUTIONS, 73 rue Jean Bonnard, 69670 Vaugneray, France
- Contact : [À CONFIRMER]
- Hébergeur : O2switch, Chemin des Pardiaux, 63000 Clermont-Ferrand, France, téléphone 04 44 44 60 40, site https://www.o2switch.fr
Documents associés : CGV, CGU, politique de confidentialité et mentions légales, accessibles depuis le pied de page du service.