Accord de sous-traitance (article 28 RGPD)

1. Objet et durée

Le présent accord encadre le traitement des données personnelles effectué par [A COMPLETAR — dénomination sociale] (sous-traitant) pour le compte de l'entreprise cliente (responsable de traitement), pour la durée de l'abonnement.

Nature des traitements : hébergement, enregistrement, consultation, organisation, export et suppression. Finalité : gestion des travailleurs saisonniers et permanents. Personnes concernées : travailleurs et candidats de l'entreprise cliente, gestionnaires habilités.

2. Instructions documentées

Le sous-traitant ne traite les données que sur instruction documentée du responsable de traitement, l'utilisation de la plateforme et le présent accord valant instructions. Il informe le client s'il estime qu'une instruction constitue une violation du RGPD.

3. Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.

4. Sous-traitants ultérieurs

Le client autorise le recours aux sous-traitants ultérieurs suivants : hébergement applicatif, base de données et stockage de fichiers (Union européenne) ; service d'envoi d'e-mails transactionnels ; service d'intelligence artificielle pour la lecture optique facultative de documents.

Toute adjonction ou remplacement est notifié au client, qui dispose d'un délai raisonnable pour s'y opposer, avec faculté de résilier sans pénalité en cas de désaccord légitime.

Les transferts hors Union européenne éventuels sont encadrés par les clauses contractuelles types de la Commission européenne.

5. Sécurité

Mesures mises en œuvre : chiffrement des communications, cloisonnement logique strict entre entreprises clientes, contrôle d'accès par rôle, journalisation des opérations sensibles, sauvegardes, tests de non-régression et suppression sécurisée.

6. Assistance aux droits des personnes

Le sous-traitant met à disposition les fonctions nécessaires (accès, rectification, export des données personnelles, suppression définitive) et assiste le responsable de traitement pour répondre aux demandes reçues.

7. Violation de données

Le sous-traitant notifie au responsable de traitement toute violation de données personnelles dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance, en fournissant les éléments utiles à la notification à l'autorité de contrôle.

8. Sort des données

À la fin du contrat, les données sont restituables au format CSV pendant 30 jours puis supprimées de la production et des sauvegardes selon le cycle de rotation, sauf obligation légale de conservation.

9. Audit

Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l'article 28 et permet la réalisation d'audits raisonnables, sur préavis et sans perturber le service.