Accord de sous-traitance des données personnelles (article 28 du RGPD)

Le présent accord fait partie intégrante du contrat d'abonnement au service CompéScope et lie le client (responsable de traitement) et Thierry Escrich - TY-INFO (Thierry Escrich Informatique) (le « Sous-traitant »).

1. Objet et rôles

Le présent accord encadre le traitement, par le Sous-traitant, des données personnelles pour le compte du client, le « Responsable de traitement », dans le cadre de la fourniture du service CompéScope. Le client détermine les finalités et les moyens ; le Sous-traitant traite les données sur instruction documentée du client, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).

2. Description du traitement

• Nature et finalité : hébergement et exploitation du service de gestion des compétences, formations, autorisations employeur et suivi des visites médicales des salariés du client.
• Durée : durée du contrat d'abonnement, prolongée du délai de récupération prévu à l'article 11.
• Catégories de personnes concernées : salariés du client, contacts et utilisateurs de son espace.
• Catégories de données : identité (nom, prénom, matricule, photographie), coordonnées, éléments de contrat et d'emploi, formations, stages, autorisations, alertes de recyclage.
• Suivi médical : la conclusion d'aptitude délivrée par le médecin du travail (apte, apte avec réserves, inapte) et la date de la visite, à l'exclusion de tout diagnostic, de toute pièce du dossier médical et de toute préconisation médicale détaillée. Cette information est traitée avec les garanties applicables aux données sensibles : accès réservé aux profils habilités, cloisonnement par entreprise et journalisation des accès.

3. Durées de conservation des données de salariés

Le client, responsable de traitement, détermine la durée de conservation des dossiers de ses salariés et la règle depuis son espace. À défaut de choix explicite, la valeur proposée par défaut est de trois ans à compter du départ du salarié.

Le délai court à compter de la date de fin de contrat de travail renseignée par le client ou, à défaut, de la date d'archivage du dossier dans le service. La réactivation d'un dossier, en cas de réembauche, remet le décompte à zéro. Une durée unique s'applique à l'ensemble du dossier : identité, formations, stages, autorisations, aptitude médicale et photographie.

Au terme du délai, le client choisit entre deux traitements, réglables depuis son espace :

• Suppression (valeur par défaut) : le dossier du salarié et son historique sont effacés, ainsi que les fichiers associés.
• Anonymisation : l'identité est effacée (nom, prénom, date de naissance, adresse électronique, matricule, photographie) et les fichiers associés sont supprimés ; les stages, autorisations et avis d'aptitude sont conservés sans être rattachables à une personne identifiable.

Le client peut suspendre l'échéance pour un salarié déterminé, notamment en cas de contentieux en cours. Cette suspension est activée depuis la fiche du salarié, motivée, et tracée.

Lorsque le client a désigné un délégué à la protection des données dans le service (article 12), ce réglage lui est réservé : lui seul peut modifier la durée de conservation et le traitement appliqué à son terme. Chaque modification est horodatée au journal de l'espace du client, avec l'identité de son auteur.

4. Droit à l'image

La photographie du salarié, portée sur la carte d'autorisation, est facultative. Le recueil et la conservation de l'autorisation du salarié relèvent du client, responsable de traitement. Le service propose deux modalités, au choix du client :

• une gestion externe au service, le client déclarant recueillir l'autorisation lors de l'embauche et en conservant la preuve ;
• une gestion dans le service, une demande d'autorisation étant adressée au salarié par courriel avec un lien d'acceptation, la réponse étant conservée et horodatée.

En l'absence d'autorisation, le client s'abstient de téléverser la photographie. La carte d'autorisation reste éditable sans photographie.

Le choix entre ces deux modalités appartient au client. Lorsqu'il a désigné un délégué à la protection des données dans le service (article 12), ce choix lui est réservé, dans les mêmes conditions que le réglage des durées de conservation, et chaque modification est horodatée au journal de l'espace.

5. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• ne traiter les données que sur instruction documentée du client, y compris pour les transferts, sauf obligation légale ;
• garantir la confidentialité des données et n'y donner accès qu'aux personnes habilitées, tenues à une obligation de confidentialité ;
• mettre en oeuvre les mesures de sécurité appropriées (article 32 du RGPD) décrites à l'article 7 ;
• respecter les conditions de recours à un sous-traitant ultérieur (article 6) ;
• aider le client à répondre aux demandes d'exercice de droits des personnes concernées ;
• répondre aux demandes du délégué à la protection des données du client dans un délai de dix jours ouvrés (article 12) ;
• aider le client à respecter ses obligations de sécurité, de notification de violation et d'analyse d'impact (articles 32 à 36) ;
• notifier au client toute violation de données dans les meilleurs délais après en avoir pris connaissance ;
• selon le choix du client, supprimer ou restituer les données au terme du contrat et mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations, dans le cadre d'audits.

6. Sous-traitants ultérieurs

Le client autorise le Sous-traitant à recourir aux sous-traitants ultérieurs suivants pour l'hébergement et l'exploitation des données :

• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Allemagne (centres de données situés dans l'Union européenne) - hébergement de l'application ;
• Supabase, base de données et authentification hébergées dans l'Union européenne (région Irlande) - base de données et authentification.

Supabase étant édité par une société établie aux États-Unis, tout accès depuis ce pays tiers est encadré par les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914) intégrées à l'accord de traitement des données de Supabase. Le Sous-traitant informe le client de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, laissant au client la possibilité d'émettre des objections. Les autres prestataires techniques (paiement, anti-robot, courriel) ne traitent pas les données des salariés du client dans le cadre du présent accord.

7. Sécurité

Le Sous-traitant met en oeuvre notamment :

• le cloisonnement strict des données de chaque client au niveau de la base de données ;
• la restriction de l'accès aux conclusions d'aptitude aux seuls profils habilités (administrateur assurant la fonction RH, fonction RH) ;
• le chiffrement des communications ;
• la journalisation immuable des actions sensibles ;
• des sauvegardes et des mesures de contrôle des accès.

8. Violation de données

En cas de violation de données à caractère personnel, le Sous-traitant en informe le client dans les meilleurs délais et lui fournit les informations utiles pour permettre, le cas échéant, la notification à l'autorité de contrôle et aux personnes concernées.

9. Exercice des droits des personnes concernées

Les demandes des salariés (accès, rectification, effacement, limitation, portabilité, opposition) sont adressées au client, seul responsable de traitement. Le Sous-traitant met à disposition les fonctionnalités permettant d'y donner suite et assiste le client à sa demande.

Une demande d'effacement au titre de l'article 17 du RGPD est honorée sans attendre le terme de la durée de conservation, sauf si le client fait valoir un motif légitime impérieux ou une obligation légale s'y opposant. Le client apprécie ce point sous sa responsabilité.

10. Analyse d'impact

L'analyse d'impact relative à la protection des données (article 35 du RGPD), lorsqu'elle est requise, incombe au client en sa qualité de responsable de traitement. Le Sous-traitant met à sa disposition les éléments techniques nécessaires à sa réalisation : description du traitement, mesures de sécurité, sous-traitants ultérieurs, durées de conservation et localisation des données.

11. Sort des données en fin de contrat

À la résiliation ou à l'expiration de l'abonnement, le client dispose d'un délai de six mois pour récupérer ses données. Pendant ce délai, il conserve un accès en lecture à son espace et peut exporter l'ensemble de ses données dans un format réutilisable. Le Sous-traitant lui adresse au moins un rappel avant l'échéance.

Au terme de ce délai, l'espace du client et les données qu'il contient sont supprimés, ainsi que les fichiers associés, sauf obligation légale de conservation ou demande écrite contraire du client formulée avant l'échéance. Les sauvegardes techniques, dont la rétention est limitée, sont écrasées selon leur propre cycle.

12. Délégué à la protection des données

La désignation d'un délégué à la protection des données par le client est facultative dans le service. Elle est toutefois obligatoire, en application de l'article 37 du RGPD, dans trois situations : le traitement est effectué par une autorité ou un organisme public ; les activités de base exigent un suivi régulier et systématique des personnes à grande échelle ; les activités de base consistent en un traitement à grande échelle de données sensibles au sens de l'article 9 ou de données relatives à des condamnations pénales. Le client apprécie sa situation sous sa responsabilité et informe le Sous-traitant de la désignation ainsi que des coordonnées du délégué.

Dans le service, la fonction est confiée par l'administrateur de l'espace, à un compte unique et sans consommer de place dans l'offre du client. Elle peut être confiée à une personne extérieure à l'entreprise, à un compte existant, ou à n'importe quel salarié disposant d'une adresse électronique ; dans ce dernier cas, le salarié conserve son propre espace et l'accès à ses données, et reçoit en plus les outils de conformité. Le dossier d'un salarié exerçant la fonction ne peut être ni archivé ni supprimé tant que la désignation n'a pas été retirée ou transmise.

Dès qu'un délégué est désigné, il est seul habilité, dans le service, à régler la durée de conservation des dossiers, le traitement appliqué à leur terme et le mode de recueil du consentement à l'image. Il accède au journal des actions de l'espace du client. Chaque désignation, retrait et modification de ces réglages est horodaté et conservé.

Le Sous-traitant n'a pas désigné de délégué à la protection des données, n'étant dans aucun des trois cas rappelés ci-dessus. Son point de contact sur ces sujets est Thierry Escrich, te@ty-info.fr. Il répond aux demandes du délégué du client relatives au présent accord (informations sur le traitement, mesures de sécurité, sous-traitants ultérieurs, durées de conservation, assistance à l'exercice des droits) dans un délai de dix jours ouvrés à compter de leur réception, sauf demande manifestement disproportionnée ou nécessitant des travaux spécifiques, auquel cas il en informe le client dans le même délai et convient avec lui d'une échéance.

13. Documentation et audit

Le Sous-traitant tient à disposition du client la documentation nécessaire pour démontrer le respect de ses obligations et permet la réalisation d'audits dans des conditions raisonnables convenues entre les parties.

14. Durée

Le présent accord prend effet à l'acceptation par le client et demeure en vigueur pendant toute la durée du traitement des données pour le compte du client, y compris pendant le délai de récupération prévu à l'article 11.