Accord de traitement des données personnelles

Version en vigueur au 3 octobre 2026.

Le présent accord fait partie du contrat conclu entre l’entreprise abonnée (le « Responsable du traitement ») et l’éditeur de la plateforme OxaamPro (le « Sous-traitant ») par l’acceptation des conditions générales d’utilisation et de service. Il encadre, conformément à la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, et notamment à son article 24, les traitements que le Sous-traitant réalise pour le compte du Responsable du traitement. En cas de contradiction, il prévaut sur les autres documents contractuels pour ce qui concerne ces données.

1. Objet, nature et durée des traitements

• Objet : fournir la plateforme de gestion des interventions — hébergement, enregistrement, organisation, consultation, génération de documents, envoi de notifications et de liens de partage, sauvegarde et effacement des données.
• Durée : la durée de l’abonnement, prolongée de la période d’archivage de 30 jours prévue à l’article 8.

2. Catégories de personnes et de données

• Clients du Responsable du traitement : nom ou raison sociale, logo, coordonnées, adresse et lien de localisation, ICE, notes, interventions, documents et factures les concernant, signature, nom et qualité du signataire, avis et commentaires déposés.
• Techniciens et personnel du Responsable du traitement : nom, adresse e-mail, téléphone, photo, autorisations, identifiants de connexion, interventions réalisées, signatures, notes reçues, journaux de connexion et d’activité.
• Données d’intervention : lieux et zones traités, produits utilisés, observations, recommandations, photos avant/après.

Le Responsable du traitement s’interdit d’enregistrer dans la Plateforme des données sensibles au sens de la loi n° 09-08 (données de santé, opinions, origine, etc.) sans rapport avec la prestation.

3. Obligations du Sous-traitant

Le Sous-traitant s’engage à :

1. traiter les données uniquement pour la fourniture du service et sur les instructions documentées du Responsable du traitement, que constituent le contrat et les actions réalisées par ses Utilisateurs dans la Plateforme ; il l’informe s’il estime qu’une instruction est contraire à la loi ;
2. ne pas utiliser les données pour son propre compte, ne pas les vendre, ne pas les exploiter à des fins publicitaires ou de prospection ;
3. garantir la confidentialité des données et veiller à ce que les personnes autorisées à y accéder soient soumises à une obligation de confidentialité ; le personnel de la plateforme ne consulte pas le contenu des espaces et n’accède qu’à des données agrégées, sauf intervention technique demandée par le Responsable du traitement ou nécessaire à la sécurité ;
4. mettre en œuvre les mesures de sécurité prévues à l’article 4 ;
5. aider le Responsable du traitement à répondre aux demandes d’exercice des droits des personnes concernées, en lui transmettant sans délai toute demande reçue directement et en mettant à sa disposition les fonctions de consultation, de modification, d’export et de suppression de la Plateforme ;
6. notifier au Responsable du traitement, dans les meilleurs délais après en avoir eu connaissance, toute violation de sécurité affectant ses données, avec les informations utiles dont il dispose ;
7. mettre à la disposition du Responsable du traitement, sur demande écrite, les informations nécessaires pour démontrer le respect du présent accord.

4. Mesures de sécurité

• chiffrement des communications (HTTPS) et des secrets techniques, mots de passe enregistrés sous forme d’empreinte ;
• cloisonnement de chaque espace : toute donnée est rattachée à une seule entreprise, contrôlée à chaque requête par plusieurs niveaux d’autorisation et par un filtrage systématique des requêtes en base de données ;
• contrôle des accès selon les autorisations attribuées par le Gérant ; les techniciens n’accèdent qu’aux interventions qui leur sont affectées et jamais aux prix ni aux factures ;
• photos, signatures et documents stockés hors de l’espace public du serveur, servis uniquement après contrôle des droits ou par lien de partage révocable ; métadonnées des photos supprimées à l’envoi ;
• limitation des tentatives de connexion, verrouillage temporaire, protection anti-robot, journal d’activité conservé 24 mois ;
• copies de sauvegarde et mises à jour de sécurité régulières de l’infrastructure.

5. Sous-traitants ultérieurs

Le Responsable du traitement autorise le recours aux sous-traitants ultérieurs suivants :

• Hostinger — hébergement du serveur et de la base de données (Royaume-Uni), acheminement des e-mails ;
• Cloudflare — acheminement sécurisé du trafic, protection contre les attaques, vérification anti-robot des formulaires.

Le Sous-traitant impose à ces prestataires des obligations de sécurité et de confidentialité appropriées et demeure responsable de leur respect. Tout ajout ou remplacement d’un sous-traitant ultérieur est annoncé au moins 30 jours à l’avance ; le Responsable du traitement peut s’y opposer pour un motif légitime et, à défaut de solution, mettre fin au contrat sans frais.

6. Transferts hors du Maroc

Les données sont hébergées au Royaume-Uni et transitent par le réseau de Cloudflare. Le Responsable du traitement en est informé et l’accepte ; il lui appartient d’en informer les personnes concernées par ses propres traitements. Le Sous-traitant n’effectue aucun autre transfert sans en informer préalablement le Responsable du traitement.

7. Obligations du Responsable du traitement

Le Responsable du traitement :

• détermine les finalités de ses traitements et s’assure de leur licéité et d’une base légale pour chaque donnée saisie ;
• informe ses clients, techniciens et membres du personnel du traitement de leurs données, conformément à l’article 5 de la loi n° 09-08, notamment avant de recueillir une signature, une photo ou un avis ;
• accomplit, pour ses propres traitements, les formalités préalables prévues par la loi n° 09-08 ;
• attribue les accès avec prudence, retire sans délai ceux des personnes qui quittent l’entreprise et protège ses identifiants ;
• ne saisit que des données adéquates, pertinentes et non excessives au regard de ses besoins.

8. Sort des données en fin de contrat

• Pendant toute la durée de l’abonnement, le Responsable du traitement peut consulter, télécharger et supprimer ses données et documents.
• À l’échéance d’un abonnement non renouvelé, les données sont conservées et restent consultables en aperçu, sans traitement nouveau.
• À la suppression de l’espace, l’accès est fermé immédiatement ; l’espace est archivé pendant 30 jours, période pendant laquelle il peut être restauré sur demande ; à l’issue de ce délai, toutes les données, tous les comptes propres à l’entreprise et tous les fichiers sont effacés définitivement. Les copies de sauvegarde sont effacées selon leur cycle de renouvellement.

9. Contact

Toute question ou instruction relative au présent accord est adressée à [email protected].