Contrat de sous-traitance — Brymio

Lorsque votre organisation utilise Brymio pour conserver des données d'autres personnes — vos clients et fournisseurs, vos salariés, les personnes qui postulent à vos offres, celles qui achètent dans votre boutique —, c'est votre organisation qui est responsable de ces données, et Krokanti Games SL les traite pour son compte en tant que sous-traitant. Ce contrat fixe la manière dont nous le faisons, comme l'exigent l'article 28 du Règlement général sur la protection des données (RGPD) et l'article 33 de la loi organique espagnole 3/2018 sur la protection des données (LOPDGDD).

Il fait partie des conditions du service et s'accepte avec elles : en créant un compte ou en utilisant Brymio au nom d'une organisation, vous l'acceptez en son nom, sans rien signer d'autre. Si votre entreprise a besoin d'un exemplaire signé, demandez-le à info@brymio.com et nous vous l'enverrons signé, avec ce même texte.

1. Parties

Responsable du traitement : l'organisation — entreprise ou professionnel indépendant — qui utilise Brymio, représentée par la personne qui accepte les conditions du service en son nom. Dans ce contrat, « vous ».
Sous-traitant : Krokanti Games SL (NIF B22786248, Avenida Costera 6, 46185 La Pobla de Vallbona, Valence, Espagne), société espagnole qui fournit le service Brymio (www.brymio.com). Dans ce contrat, « nous ».

2. Objet

Ce contrat régit le traitement que nous effectuons pour votre compte des données personnelles que votre organisation dépose dans Brymio, connecte à Brymio ou reçoit par Brymio, pendant que nous vous fournissons le service.

Il ne couvre pas les données dont nous sommes nous-mêmes responsables — les comptes utilisateur, la facturation de l'abonnement, le site public, l'assistance et la lettre d'information —, qui sont régies par la politique de confidentialité.

3. Durée

Il dure aussi longtemps que votre organisation utilise Brymio : il commence quand elle commence à l'utiliser et prend fin quand elle est supprimée. Les dispositions prévues pour la fin — restitution, suppression et conservation de ce que la loi exige — et l'obligation de confidentialité restent en vigueur tant que nous conservons une de vos données.

4. Nature et finalité

Nous traitons les données uniquement pour vous fournir le service, avec les modules que vous avez activés : nous les collectons au moyen des formulaires, des importations et des intégrations que vous connectez ; nous les conservons, les organisons et les montrons aux personnes de votre organisation selon leur rôle ; nous effectuons des calculs avec elles (impôts, soldes d'heures, résultats de recherche) ; nous les envoyons à qui vous l'indiquez (les e-mails à vos clients, salariés et candidats, votre boutique, les intégrations que vous configurez et, si vous activez Veri*factu, l'Agence fiscale espagnole) ; et nous les supprimons. Nous les traitons aussi dans la stricte mesure nécessaire pour assurer la sécurité et le fonctionnement du service : sauvegardes, diagnostic des erreurs, prévention des abus et application des limites du forfait.

Nous ne les utilisons pour rien qui nous soit propre : nous ne les vendons pas, nous ne les cédons pas à des tiers à des fins commerciales ou publicitaires, nous n'établissons pas de profils avec elles et nous ne les utilisons pas pour entraîner des modèles d'intelligence artificielle.

Les fonctions d'intelligence artificielle ne reçoivent que ce dont chaque tâche a besoin — lire un justificatif, résumer une page, proposer une fiche produit, expliquer un audit —, comme l'explique la politique de confidentialité. Recrutement n'utilise pas d'intelligence artificielle : il ne transmet les CV à aucun prestataire pour qu'il les lise ou les interprète. Et Brymio ne prend aucune décision automatisée concernant les personnes : il n'écarte aucune candidature et ne décide rien au sujet d'un salarié ; c'est votre équipe qui en décide.

5. Quelles données nous traitons et de qui

Selon les modules que vous activez, nous traitons pour votre compte les catégories de données suivantes concernant les personnes suivantes :

Facturation — vos clients et fournisseurs et leurs interlocuteurs : nom ou raison sociale, numéro d'identification fiscale, adresse, e-mail et téléphone ; les factures, devis et dépenses avec leurs justificatifs ; et des données bancaires : les comptes qui y figurent et les mouvements des relevés que vous importez, avec leur libellé et qui paie ou encaisse.
Équipe — vos salariés et collaborateurs : identification et coordonnées ; contrat et horaire prévu ; le registre du temps de travail, avec chaque pointage à l'heure du serveur ; la position au moment du pointage, si vous l'avez activée et que le salarié y a consenti ; absences et congés avec leur motif ; les bulletins de paie et documents que vous publiez, avec leur accusé de réception ; la date de naissance, si le salarié l'indique ; la photo de la borne, si vous activez cette option ; et ses moyens d'accès (mot de passe conservé de façon irréversible, clés d'accès, code PIN de la borne, liaison avec Telegram et notifications du navigateur). Les réponses au baromètre d'humeur sont anonymes.
Recrutement — les personnes qui postulent à vos offres : ce qu'elles écrivent dans le formulaire (nom, e-mail, téléphone, message et réponses), leur CV et autres pièces jointes, ainsi que l'information sur la protection des données qu'elles ont acceptée et quand ; et ce que votre équipe fait de chaque candidature : étapes, notes, évaluations et entretiens.
Commerce — les personnes qui achètent dans votre boutique : nom, e-mail, téléphone, adresses de livraison et de facturation, commandes et remboursements, tels qu'ils arrivent de votre Shopify ou de votre WooCommerce.
Recherche — les personnes qui visitent votre boutique : ce qu'elles recherchent, combien de résultats elles obtiennent et sur quel produit elles cliquent. Nous ne conservons ni leur adresse IP ni leur navigateur, seulement un code à clé qui change chaque jour.
Projets — ce que les personnes de votre organisation écrivent ou déposent : pages, tâches, commentaires, mentions, historique et pièces jointes. Cela peut contenir n'importe quelle donnée, et c'est vous qui en décidez. Les notes sécurisées sont chiffrées dans le navigateur et nous ne pouvons pas les lire.
Santé de la boutique — les adresses publiques des sites que vous auditez, les résultats et les captures d'écran de ces pages. Cela ne contient normalement pas de données personnelles.
Dans tous les modules — les personnes de votre organisation, pour ce qu'elles y font : qui a créé ou modifié chaque élément, commentaires, attributions et journal d'activité. Leurs comptes utilisateur, nous les traitons en tant que responsables, selon la politique de confidentialité.

Brymio n'a besoin d'aucune catégorie particulière de données (santé, appartenance syndicale, origine ethnique et les autres de l'article 9 du RGPD) ni de données pénales, et ne vous en demande pas. Mais elles peuvent apparaître si vous les saisissez : une absence pour maladie, un bulletin de paie avec la cotisation syndicale, un CV ou un document contenant des données de santé. Dans ce cas, c'est à vous de disposer d'une base juridique pour les traiter, et nous leur appliquons les mêmes mesures qu'au reste.

6. Vos instructions

Nous traitons les données sur vos instructions documentées : ce contrat, les conditions du service et ce que vous et votre équipe configurez et faites dans Brymio — les modules que vous activez, les réglages, les autorisations de chaque personne, les boutiques, les jetons d'API, les webhooks et les intégrations que vous connectez. Si vous avez besoin d'une instruction différente, écrivez-nous à info@brymio.com.

Nous ne nous écarterions de vos instructions que si le droit de l'Union européenne ou le droit espagnol nous y obligeait ; dans ce cas, nous vous en informerions au préalable, sauf si ce même droit l'interdit. Si nous estimons qu'une de vos instructions enfreint le RGPD ou une autre règle de protection des données, nous vous le dirons immédiatement.

En tant que responsable, il vous appartient de disposer d'une base juridique pour traiter les données que vous déposez ; d'informer les personnes concernées (par exemple vos salariés sur l'enregistrement du temps de travail et la géolocalisation, et vos candidats au moyen de l'information que vous modifiez dans Recrutement) ; de recueillir les consentements nécessaires ; de décider qui, dans votre organisation, accède à quoi ; et de choisir et contractualiser les outils tiers que vous connectez par API, MCP ou webhooks, qui ne sont pas nos sous-traitants.

7. Confidentialité

Seules les personnes de Krokanti Games SL qui assurent la maintenance du service accèdent aux données, et uniquement lorsque c'est nécessaire pour la maintenance, la résolution d'un incident ou le traitement d'une demande de votre part. Toutes sont tenues au devoir de confidentialité de l'article 5 de la LOPDGDD, qui reste en vigueur après la fin de leur relation avec nous. Nous ne consultons pas le contenu de votre organisation pour notre propre compte.

8. Mesures de sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées au risque (article 32 du RGPD). Voici celles qui existent aujourd'hui, décrites telles quelles :

Localisation : la base de données et l'exécution de l'application se trouvent à Francfort (Allemagne). Les fichiers sont stockés dans Cloudflare R2 ; les CV et pièces jointes de Recrutement, dans un espace distinct relevant de la juridiction de l'Union européenne.
Chiffrement en transit : toutes les connexions à Brymio passent par HTTPS (TLS), avec HSTS pour que le navigateur n'accepte pas de connexion non chiffrée, et l'application se connecte à la base de données par un canal chiffré. Les en-têtes de sécurité empêchent d'intégrer l'application dans un autre site.
Chiffrement au repos : les fournisseurs de base de données et de stockage chiffrent sur disque tout ce qu'ils conservent. En outre, nous chiffrons nous-mêmes en AES-256-GCM les identifiants de connexion des boutiques de Commerce et les secrets des apps Shopify avant de les enregistrer.
Identifiants d'accès : les mots de passe ne sont jamais conservés en clair (bcrypt pour les membres, scrypt pour les salariés), et les jetons d'API, les liens de connexion et les codes PIN de la borne ne sont conservés que sous forme d'empreinte cryptographique. Les notes sécurisées de Projets sont chiffrées dans le navigateur et nous ne pouvons pas les lire.
Cloisonnement et autorisations : chaque donnée appartient à une organisation et toute requête est filtrée par celle-ci, avec une vérification automatique dans le code qui y veille. Au sein de votre organisation, chaque personne voit ce que lui permettent son rôle (propriétaire, administrateur, membre, comptable ou observateur), les modules que vous lui avez ouverts et, dans Équipe et Recrutement, l'autorisation spécifique RH ou recrutement. Un jeton d'API n'a jamais plus de pouvoir que la personne qui l'a créé et ne peut gérer ni les membres, ni l'abonnement, ni le compte.
Accès des personnes : blocage temporaire après cinq tentatives échouées, double authentification facultative, liens de connexion à usage unique qui expirent et sessions qui expirent. Réinitialiser le mot de passe, se déconnecter de tous les appareils ou supprimer le compte invalide immédiatement toutes les sessions ouvertes. Les formulaires publics sont soumis à des limites d'utilisation et à une vérification anti-robots.
Fichiers : les bulletins de paie et documents d'Équipe, les CV et les justificatifs de dépenses ne se téléchargent que par l'application, avec une session et une autorisation, et jamais depuis une adresse publique.
Traçabilité : les actions sensibles — changements de membres, de rôles et de modules, actions de sécurité du compte, téléchargements de factures, de justificatifs et de CV, rapprochements et exportations — sont consignées dans un journal d'audit indiquant qui et quand. Chaque pointage est chaîné par empreinte au précédent, de sorte qu'une altération est détectée, et chaque correction est conservée à part avec son auteur et son motif.
Sauvegardes : une copie complète de la base de données chaque nuit, dans un stockage distinct, et une autre avant chaque mise à jour du service, sur des équipements de Krokanti Games SL ; les unes et les autres sont supprimées au bout de 35 jours. Les fichiers ne figurent pas dans ces copies ; ils reposent sur la redondance du stockage lui-même.
Diagnostic des erreurs : les rapports d'erreur ne contiennent que les identifiants internes de la personne et de l'organisation ; avant leur envoi, on en retire les adresses e-mail, les jetons, les codes d'accès figurant dans les adresses web, les cookies et le contenu des requêtes.
Équipe : la position n'est enregistrée qu'au moment du pointage, si l'entreprise l'a activée et que le salarié y a consenti ; il n'y a aucun suivi continu. La photo de la borne est désactivée par défaut et, si elle est activée, elle est supprimée au bout de 90 jours.

Nous n'avons ni certification ISO 27001 ni SOC 2, et nous ne prétendons pas le contraire. Nous revoyons régulièrement la sécurité du code et corrigeons ce que nous trouvons ; si l'une de ces mesures change de manière significative, nous l'indiquerons ici.

9. Sous-traitants ultérieurs

Vous nous donnez une autorisation générale de faire appel aux sous-traitants ultérieurs de cette liste. Nous nous engageons à ce que chacun soit tenu par contrat de protéger les données avec des garanties équivalentes à celles de ce contrat pour ce qui le concerne, et nous restons responsables envers vous de leur respect (article 28, paragraphe 4, du RGPD).

La liste en vigueur, la même que publie la politique de confidentialité :

Vercel — hébergement et exécution de l'application, et mesure des visites et de la vitesse sans cookies (les adresses qui contiennent une clé d'accès sont envoyées sans elle). Les fonctions qui traitent vos données s'exécutent dans sa région de Francfort (Allemagne). Société américaine.
Neon — la base de données PostgreSQL où vit tout ce que la plateforme enregistre, hébergée à Francfort (Allemagne). Société américaine.
Cloudflare R2 — stockage des fichiers : bulletins de paie, documents et photos de borne de l'équipe, CV et pièces jointes des candidatures (ceux-ci dans un espace situé dans l'Union européenne), justificatifs de dépenses, exports de factures en ZIP (sept jours), pièces jointes des projets, captures d'écran des audits, logos, photos de profil et sauvegardes de la base de données. Société américaine.
Brevo — envoi des e-mails : ceux de votre compte et du service (vérification, liens de connexion, notifications et rappels), ceux que votre organisation envoie depuis Brymio à ses clients, salariés et candidats (factures et devis avec leur PDF, rappels de paiement, avis de bulletins de paie, d'absences et de candidatures, codes d'accès), les messages du formulaire de contact, qui nous arrivent par e-mail, et les nouveautés aux abonnés. Société française, traitement dans l'Union européenne.
Cloudflare Turnstile — contrôle anti-robots sur les formulaires publics d'inscription, de candidature, de contact et d'abonnement aux nouveautés. Il analyse des signaux techniques du navigateur pour distinguer une personne d'un programme automatique et n'est utilisé ni pour la publicité ni pour la mesure d'audience. Société américaine.
OpenRouter — la passerelle par laquelle passent toutes les fonctions d'intelligence artificielle de Brymio, y compris l'assistant de la bulle d'aide. Elle achemine chaque demande vers un modèle d'un fournisseur comme Google ou OpenAI (sur Microsoft Azure) et ne reçoit que le contenu de cette demande. À chaque demande, Brymio exige des fournisseurs qui ne conservent pas ce qu'ils reçoivent et ne s'en servent pas pour entraîner (rétention zéro) ; un modèle sans un tel fournisseur n'est pas utilisé. Brymio n'utilise pas non plus ce contenu pour entraîner des modèles. Société américaine.
Inngest — coordonne les tâches de fond : dans Commerce, les imports du catalogue, des commandes et des clients, la synchronisation des boutiques, les modifications en masse dans la boutique et l'émission des factures de commandes (y compris l'émission automatique quand une commande est payée) ; dans Facturation, l'export des factures en ZIP ; la construction de l'index de Recherche ; et les audits de Santé de la boutique (programmés et nouvelles tentatives). Les événements que nous lui envoyons contiennent des références internes (et, dans Santé de la boutique, l'adresse publique auditée), jamais d'identifiants de connexion ; pour chaque étape, il conserve un résultat technique (états, compteurs et références internes et, dans Santé de la boutique, les mesures du site audité). Société américaine.
Sentry (Functional Software, Inc.) — diagnostic des erreurs : quand quelque chose échoue dans l'application, il reçoit le rapport technique de l'erreur (où elle s'est produite, le navigateur et la pile d'appels) pour que nous puissions la corriger. Les données sont conservées dans sa région de l'Union européenne (Francfort, Allemagne). Il ne reçoit que les identifiants internes de la personne et de l'entreprise, jamais leur nom, leur e-mail ni leur adresse IP, et les codes d'accès et les données personnelles sont retirés des adresses web avant tout envoi. Société américaine.
GitHub — exécute chaque nuit la sauvegarde de la base de données et la dépose dans Cloudflare R2. La sauvegarde transite par ses serveurs le temps du traitement et n'y est pas conservée. Société américaine.
Telegram — uniquement si un salarié ou un membre relie son compte au bot, pour pointer ou recevoir des notifications. Dans ce cas, Telegram traite ses messages avec le bot, son identifiant d'utilisateur et le texte des notifications que nous lui envoyons (une affectation, une mention, la réponse à une demande d'absence). Si personne ne le relie, Telegram n'intervient pas.
Services de notification du navigateur (Google, Mozilla, Apple ou Microsoft, selon le navigateur) — uniquement si vous activez les notifications push. Ils acheminent la notification jusqu'à votre appareil ; le contenu voyage chiffré et ils ne peuvent pas le lire.

Ne sont pas des sous-traitants ultérieurs : Stripe, qui encaisse votre abonnement (nous en sommes responsables) ; Google Analytics, qui mesure l'utilisation de Brymio pour notre compte et seulement si la personne qui navigue accepte les cookies analytiques ; la connexion avec Google, qui n'intervient que si la personne qui se connecte la choisit ; Google PageSpeed Insights, Thum.io et l'API publique de GitHub, qui ne reçoivent que l'adresse publique du site que vous auditez ou le nom d'un dépôt public ; ni votre boutique Shopify ou WooCommerce, qui est votre prestataire et non le nôtre. Les outils que vous connectez par API, MCP ou webhooks ne le sont pas non plus.

Avant d'ajouter ou de remplacer un sous-traitant ultérieur, nous en informerons par e-mail la personne propriétaire de votre organisation au moins 30 jours à l'avance, et nous mettrons à jour cette liste et sa date. Si le changement est urgent pour maintenir le service ou sa sécurité, nous vous informerons dès que nous le saurons. Si vous vous y opposez pour des motifs raisonnables liés à la protection des données, écrivez-nous dans ce délai : nous chercherons une solution et, s'il n'y en a pas, vous pourrez résilier avant que le changement s'applique et nous vous rembourserons la partie proportionnelle de ce que vous avez payé d'avance et n'aurez pas utilisé.

10. Transferts internationaux

La base de données et l'application se trouvent dans l'Union européenne, mais plusieurs sous-traitants ultérieurs sont des entreprises américaines et certains — comme OpenRouter et les fournisseurs des modèles d'intelligence artificielle, Inngest et GitHub, par les serveurs duquel transite chaque nuit la sauvegarde de la base de données — peuvent traiter des données hors de l'Espace économique européen. Ces transferts s'appuient sur les clauses contractuelles types adoptées par la Commission européenne et, lorsque le prestataire y adhère, sur le cadre de protection des données UE-États-Unis. Si vous avez besoin du détail pour un prestataire donné, demandez-le-nous.

11. Droits des personnes

Répondre aux demandes d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition vous incombe, et Brymio vous donne des outils pour le faire sans passer par nous :

Équipe : chaque salarié dispose dans ses paramètres de « Vos données », où il télécharge ce que nous conservons sur lui et demande l'effacement de ce qu'il n'est pas obligatoire de garder, qui s'applique immédiatement : sa fiche devient un pseudonyme et ses pointages perdent la position et la photo.
Recrutement : les personnes qui postulent peuvent, avec le lien de leur candidature et un code reçu par e-mail, la consulter, corriger ce qu'elles ont écrit tant que le processus est ouvert, télécharger leurs données, quitter le vivier de talents ou la supprimer. À l'échéance de la durée de conservation que vous fixez, chaque candidature est anonymisée automatiquement, sauf tant que son offre reste ouverte et celles des personnes que vous finissez par embaucher.
Commerce : nous traitons les demandes d'accès et d'effacement que Shopify envoie au nom de vos acheteurs ; l'effacement supprime leur fiche client et retire de leurs commandes ce qui les identifie, en laissant les montants et les factures émises, qu'il faut conserver. Si vous devez effacer un autre acheteur, demandez-le-nous.
Dans tous les modules, vous pouvez consulter et corriger ce que vous conservez, supprimer ce que la loi n'impose pas de garder et l'exporter dans les formats indiqués au point 13.

Si une personne s'adresse à nous pour exercer un droit sur des données de votre organisation, nous ne lui répondrons pas sur le fond : nous vous transmettrons la demande dans les meilleurs délais et lui indiquerons de s'adresser à vous. Si un point ne peut pas être réglé avec les outils du produit, nous vous aiderons dans la mesure de nos moyens.

Nous vous fournirons aussi les informations dont nous disposons pour vos analyses d'impact et vos consultations préalables (articles 35 et 36 du RGPD) et pour démontrer votre conformité.

12. Violations de données

Si nous subissons une violation de sécurité touchant des données de votre organisation, nous vous la notifierons dans les meilleurs délais et, en tout état de cause, au plus tard 48 heures après en avoir pris connaissance, par e-mail à la personne propriétaire et aux administrateurs. Nous vous dirons ce que nous savons — ce qui s'est passé, quelles données et combien de personnes peuvent être concernées, les conséquences probables, ce que nous avons fait et ce que nous vous recommandons — et nous compléterons ces informations au fur et à mesure. Nous documenterons chaque violation, ses effets et les mesures prises.

La notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées vous incombe en tant que responsable (articles 33 et 34 du RGPD) ; nous vous aiderons pour tout ce dont vous aurez besoin.

13. À la fin : restitution et suppression

Lorsque votre organisation cesse d'utiliser Brymio :

Restitution : avant de la supprimer, vous pouvez emporter les données avec les exportations de chaque module : factures et devis en PDF, justificatifs en ZIP et récapitulatifs fiscaux en CSV ; le registre du temps de travail en PDF ou CSV ; les candidatures en CSV ; les pages et bases de données de Projets dans un ZIP avec HTML et CSV ; le catalogue en CSV et, avec le téléchargement de données des réglages, les produits, commandes et clients de Commerce en JSON ; et les rapports de Santé de la boutique. Si vous avez besoin de quelque chose que ces exportations ne couvrent pas, demandez-le-nous à info@brymio.com avant de la supprimer et nous vous le remettrons dans un format structuré.
Suppression : lorsque vous supprimez l'organisation, elle devient immédiatement inaccessible à ses membres, à ses salariés et à ses candidats, et pendant 30 jours nous pouvons la restaurer si vous le demandez. Ensuite, nous la supprimons définitivement lorsque la personne propriétaire nous le demande par e-mail : les données de tous les modules, leurs fichiers, les jetons, les connexions aux boutiques et les intégrations. Cette suppression, c'est nous qui l'effectuons, elle n'est pas automatique, et nous vous confirmerons par écrit quand elle sera faite.
Ce que la loi oblige votre organisation à conserver n'est pas supprimé avec elle : les factures émises avec les données de ses clients et, si vous utilisez Veri*factu, leurs enregistrements chaînés (quatre ans à des fins fiscales et six ans pour les livres et documents comptables), ainsi que le registre du temps de travail avec ses corrections, contrats et bulletins de paie (quatre ans). Nous les conservons bloqués, pour votre compte et sans les utiliser à aucune autre fin, afin que vous puissiez respecter cette obligation et faire face à un contrôle, et nous les supprimons à l'expiration de ces délais. Les membres de votre personnel deviennent des pseudonymes et leurs pointages perdent la position et la photo. Si vous préférez les conserver vous-même, demandez-nous de vous les remettre et nous les supprimerons dès que vous les aurez.
Sauvegardes : ce qui est supprimé disparaît immédiatement de l'application, mais peut subsister dans les sauvegardes jusqu'à leur expiration, au bout de 35 jours. Ces copies ne servent qu'à restaurer le service.

Les comptes utilisateur des personnes de votre organisation ne sont pas supprimés avec elle : chacun appartient à son titulaire, qui le conserve ou le supprime, comme l'explique la politique de confidentialité.

14. Audits

Nous mettrons à votre disposition les informations nécessaires pour démontrer que nous respectons ce contrat : ce document, les mesures de sécurité, la liste des sous-traitants ultérieurs et des réponses écrites à vos questions raisonnables. Si cela ne suffit pas, vous ou un auditeur indépendant tenu à la confidentialité pourrez nous auditer, avec un préavis d'au moins 30 jours, une fois par an au maximum sauf exigence d'une autorité ou violation de sécurité le justifiant, à vos frais, pendant les heures ouvrées et sans accéder aux données d'autres clients ni compromettre la sécurité du service.

15. Responsabilité

Chaque partie répond des dommages qu'elle cause en manquant au RGPD ou à ce contrat, dans les conditions de l'article 82 du RGPD. Entre nous, la limitation de responsabilité des conditions du service s'applique dans la mesure où la loi le permet ; elle n'affecte ni les droits des personnes dont les données sont traitées ni la responsabilité qui ne peut être exclue.

16. Droit applicable

Ce contrat est régi par le droit espagnol, le RGPD et la LOPDGDD. Tout litige relève de la compétence des juridictions espagnoles.

17. Acceptation, primauté et modifications

Ce contrat s'accepte avec les conditions du service, sans rien signer d'autre, et engage les deux parties dès que votre organisation commence à utiliser Brymio. Si vous avez besoin d'un exemplaire signé, demandez-le à info@brymio.com.

Si les conditions du service disent autre chose sur le traitement de données personnelles que nous effectuons, ce contrat prévaut.

Nous pouvons mettre à jour ce contrat, par exemple pour ajouter un module ou changer de sous-traitant ultérieur. Si le changement est important, nous vous en informerons par e-mail ou dans l'application avant qu'il s'applique. La date en haut de page indique la dernière révision.

Contact

Pour toute question sur ce contrat ou sur les données que nous traitons pour votre compte, écrivez-nous à info@brymio.com.