Contrat de sous-traitance de données personnelles

Article 28 du règlement (UE) 2016/679 (« RGPD ») — Version 1.0 — en vigueur au [à compléter : date de mise en ligne]

Parties

• Le Client, organisme titulaire d’un Espace Proovia, agissant en qualité de responsable de traitement (le « Responsable ») ;
• [à compléter : Markowicz Consulting, forme juridique], éditeur du service Proovia, agissant en qualité de sous-traitant (le « Sous-traitant »).

Le présent contrat est une annexe des conditions générales de vente et d’utilisation de Proovia (les « CGV »). Il est accepté en même temps qu’elles, lors de l’inscription ou de l’acceptation d’une invitation, et s’applique pendant toute la durée d’utilisation du Service par le Client. Les termes définis dans les CGV ont le même sens ici ; les termes « données personnelles », « traitement », « violation de données » et « personne concernée » ont le sens que leur donne l’article 4 du RGPD.

Article 1 — Objet

Le présent contrat définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable, les données personnelles contenues dans les Contenus du Client déposés dans un Espace. La description du traitement (finalité, nature, catégories de données et de personnes, durée) figure à l’annexe 1.

Il ne couvre pas les traitements dont le Sous-traitant est lui-même responsable : gestion des comptes Utilisateurs, authentification, facturation, relation commerciale et sécurité du Service, régis par sa politique de confidentialité.

Article 2 — Instructions du Responsable

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable. Constituent ces instructions : le Contrat, ainsi que les actions réalisées par les Utilisateurs dans le Service (dépôt, modification, export, suppression de documents, gestion des membres). Le Sous-traitant ne traite pas les données pour ses propres finalités, ne les vend pas, ne les utilise pas pour du profilage, de la publicité ou l’entraînement de modèles d’intelligence artificielle.

Si le Sous-traitant est tenu de traiter les données en vertu du droit de l’Union ou du droit français, il en informe le Responsable avant le traitement, sauf si ce droit l’interdit. Il informe immédiatement le Responsable si une instruction lui paraît constituer une violation du RGPD ou d’une autre disposition relative à la protection des données.

Article 3 — Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à accéder aux données s’engagent à la confidentialité ou soient soumises à une obligation légale de confidentialité, et reçoivent la sensibilisation nécessaire. Ces personnes n’accèdent aux Contenus du Client qu’à la demande du Responsable, pour les besoins de l’assistance, ou pour satisfaire une obligation légale.

Article 4 — Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées prévues à l’article 32 du RGPD, décrites à l’annexe 2. Il peut les faire évoluer, à condition de ne pas abaisser le niveau de sécurité global.

Le Responsable reste chargé de la sécurité de ses propres accès : choix des Utilisateurs et de leurs rôles, retrait des accès devenus inutiles, confidentialité des identifiants, et minimisation des données qu’il dépose (article 9 des CGV, notamment pour les informations relatives au handicap et l’interdiction de déposer des données de santé au sens de l’article L. 1111-8 du code de la santé publique).

Article 5 — Sous-traitants ultérieurs

Le Responsable autorise de manière générale le Sous-traitant à recourir aux sous-traitants ultérieurs listés à l’annexe 3. Le Sous-traitant informe le Responsable par e-mail de tout ajout ou remplacement envisagé au moins trente (30) jours à l’avance. Le Responsable peut s’y opposer pour un motif légitime lié à la protection des données dans ce délai ; à défaut d’accord, il peut résilier son abonnement sans frais avant l’entrée en vigueur du changement.

Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent contrat. Il demeure pleinement responsable envers le Responsable de leur exécution.

Article 6 — Localisation et transferts

Les données sont hébergées et traitées en France. Le Sous-traitant ne transfère pas les données en dehors de l’Espace économique européen sans instruction préalable du Responsable. Si un transfert devenait nécessaire, il serait encadré par l’un des mécanismes prévus au chapitre V du RGPD (décision d’adéquation ou clauses contractuelles types) et soumis à la procédure de l’article 5.

Article 7 — Droits des personnes concernées

Le Service permet au Responsable de répondre lui-même aux demandes des personnes concernées : consultation, export, rectification et suppression des documents. Si une personne concernée adresse sa demande au Sous-traitant, celui-ci la transmet au Responsable dans un délai de cinq (5) jours ouvrés, sans y répondre lui-même. Le Sous-traitant aide le Responsable, dans la mesure du possible, à satisfaire aux demandes qu’il ne peut traiter seul dans le Service.

Article 8 — Violation de données

Le Sous-traitant notifie au Responsable toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, par e-mail aux Propriétaires de l’Espace. La notification comprend, dans la mesure où elles sont disponibles, les informations prévues à l’article 33.3 du RGPD : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, mesures prises ou envisagées. Les informations manquantes sont communiquées dès qu’elles sont connues.

Le Sous-traitant prend sans délai les mesures nécessaires pour limiter les effets de la violation et assiste le Responsable dans ses obligations de notification à la CNIL et, le cas échéant, d’information des personnes concernées. Il appartient au Responsable de procéder à ces notifications.

Article 9 — Assistance

Le Sous-traitant fournit au Responsable, sur demande, la documentation utile pour réaliser une analyse d’impact relative à la protection des données ou consulter l’autorité de contrôle, notamment la description du Service et de ses mesures de sécurité. Une assistance excédant cette documentation peut faire l’objet d’un devis.

Article 10 — Sort des données

À tout moment, le Responsable peut exporter l’ensemble des documents d’origine et des données de l’Espace (fonction « Tout exporter »). Le Propriétaire peut supprimer définitivement l’Espace depuis ses paramètres.

À la fin de l’abonnement, l’Espace reste accessible en lecture seule afin de permettre l’export, dans les conditions de l’article 10 des CGV. À la suppression de l’Espace, à l’initiative du Propriétaire ou du Sous-traitant conformément aux CGV, les données sont effacées immédiatement des systèmes en production, puis des sauvegardes au terme de leur cycle de rotation de trente (30) jours au plus. Sur demande, le Sous-traitant confirme par écrit la suppression.

Les seules données conservées au-delà sont les traces techniques strictement nécessaires (journal des actions, sans contenu des documents), pendant un (1) an, pour la sécurité du Service et le respect des obligations légales.

Article 11 — Documentation et audits

Le Sous-traitant tient un registre des activités de traitement effectuées pour le compte de ses clients, conformément à l’article 30.2 du RGPD. Il met à la disposition du Responsable les informations nécessaires pour démontrer le respect du présent contrat.

Le Responsable peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent du Sous-traitant, au plus une fois par an, sauf violation de données avérée, moyennant un préavis de trente (30) jours. L’audit porte sur la documentation et les mesures applicables au Service ; il ne peut donner accès aux données des autres clients ni compromettre la sécurité du Service. Les frais d’audit sont à la charge du Responsable.

Article 12 — Obligations du Responsable

Le Responsable s’engage à : disposer d’une base légale pour les traitements confiés ; informer les personnes concernées ; ne déposer que les données nécessaires à la démonstration de sa conformité au référentiel national qualité ; documenter par écrit toute instruction particulière ; et veiller, pendant toute la durée du traitement, au respect du RGPD par ses propres Utilisateurs.

Article 13 — Responsabilité et durée

La responsabilité des parties au titre du présent contrat est régie par l’article 82 du RGPD et, entre les parties, par l’article 13 des CGV. Le présent contrat produit ses effets aussi longtemps que le Sous-traitant traite des données pour le compte du Responsable, y compris après la fin de l’abonnement jusqu’à la suppression complète des données.

Article 14 — Contacts

• Pour le Sous-traitant : [à compléter : nom et e-mail du référent protection des données ou du délégué à la protection des données, s’il est désigné].
• Pour le Responsable : le Propriétaire de l’Espace, ou toute personne qu’il désigne par e-mail au Sous-traitant.

Annexe 1 — Description du traitement

Finalité : hébergement, organisation et exploitation des preuves de conformité au référentiel national qualité (Qualiopi), afin de préparer les audits de certification, de suivre un plan d’action et de constituer un dossier d’audit.

Nature des opérations : stockage chiffré, lecture et extraction automatique du texte des documents pour la recherche et les suggestions de classement, affichage aux Utilisateurs autorisés, export, sauvegarde et suppression.

Catégories de personnes concernées (selon les documents déposés par le Responsable) :

• bénéficiaires des prestations : stagiaires, apprentis, candidats à la VAE, bénéficiaires de bilans de compétences ;
• représentants légaux de bénéficiaires mineurs ;
• personnel et intervenants du Responsable : dirigeants, salariés, formateurs, sous-traitants, salariés portés ;
• contacts des entreprises clientes, des employeurs, des maîtres d’apprentissage et tuteurs, des financeurs et des partenaires ;
• Utilisateurs de l’Espace, pour les traces d’action (auteur d’un ajout de document).

Catégories de données (selon les documents déposés) :

• identité et coordonnées (nom, prénom, adresse e-mail, téléphone, adresse) ;
• vie professionnelle et parcours de formation : poste, entreprise, inscriptions, émargements, positionnement, évaluations, résultats aux certifications, appréciations, réclamations ;
• pour les intervenants : CV, diplômes, certifications, contrats et formations suivies ;
• le cas échéant, informations relatives à une situation de handicap, strictement limitées aux mesures d’accessibilité et de compensation (donnée sensible au sens de l’article 9 du RGPD : le Responsable en assure la licéité et la minimisation).

Le Responsable s’interdit de déposer des données de santé au sens de l’article L. 1111-8 du code de la santé publique, le numéro de sécurité sociale (NIR), des données relatives aux condamnations pénales ou des coordonnées bancaires de personnes physiques.

Durée : durée de l’abonnement, prolongée de la période de lecture seule et du cycle de suppression prévus à l’article 10.

Annexe 2 — Mesures techniques et organisationnelles

Hébergement

• Serveur dédié à l’application, hébergé par OVHcloud dans un centre de données situé en France.
• Système d’exploitation maintenu à jour (mises à jour de sécurité automatiques), pare-feu n’exposant que les ports nécessaires (HTTPS), administration à distance par clé SSH.

Chiffrement

• Échanges chiffrés en HTTPS (TLS), avec HSTS.
• Documents, texte extrait et données de chaque Espace chiffrés au repos avec l’algorithme AES-256-GCM, au moyen d’une clé propre à chaque Espace, elle-même chiffrée par une clé maîtresse conservée hors des sauvegardes.
• Index de recherche jamais écrit en clair sur disque.

Contrôle d’accès et cloisonnement

• Chaque requête vérifie l’appartenance de l’Utilisateur à l’Espace concerné ; un Espace n’est jamais visible par une personne qui n’en est pas membre.
• Rôles (Propriétaire, Administrateur, Membre) gérés par le Responsable ; invitations nominatives à durée limitée (7 jours).
• Mots de passe d’au moins 10 caractères, stockés sous forme hachée et salée (scrypt) ; sessions par jeton aléatoire en cookie sécurisé (HttpOnly, Secure, SameSite), expirant après 30 jours d’inactivité ; fermeture de toutes les autres sessions lors d’un changement ou d’une réinitialisation du mot de passe.
• Limitation du nombre de tentatives de connexion et de réinitialisation.

Sécurité applicative

• Protection contre la falsification de requêtes intersites (CSRF), politique de sécurité du contenu (CSP) interdisant le chargement de scripts tiers, protection contre l’affichage du Service dans un cadre tiers.
• Vérification de la signature des notifications du prestataire de paiement.

Traçabilité

• Journal des actions (connexions, échecs de connexion, ajouts et suppressions de documents, invitations, changements de rôle et d’abonnement), conservé un an.

Sauvegarde et continuité

• Sauvegarde quotidienne de la base et des fichiers (contenus des Espaces chiffrés), conservée trente (30) jours, avec copie hors du serveur ; procédure de restauration documentée.
• Surveillance de la disponibilité du Service.

Organisation

• Accès aux serveurs limité aux personnes habilitées du Sous-traitant, soumises à la confidentialité.
• Procédure de gestion des violations de données (article 8).

Annexe 3 — Sous-traitants ultérieurs

Le prestataire de paiement Stripe traite les données de facturation du Client pour le compte du Sous-traitant, en tant que responsable de traitement distinct ou sous-traitant du Sous-traitant ; il n’a pas accès aux Contenus du Client.