Accord de sous-traitance des données

1. Objet et parties

Cet accord fixe les conditions dans lesquelles DIGIT'ALL SERVICES (« le Sous-traitant ») traite des données personnelles pour le compte de l'organisation cliente (« le Responsable du traitement ») dans le cadre de WelcomeStella. Il s'applique de plein droit à tout Client des conditions générales d'utilisation, dont il fait partie, sans signature séparée. Il répond à l'article 28 du RGPD.

2. Durée

L'accord s'applique pendant toute la durée du contrat, puis jusqu'à la suppression ou la restitution complète des données (article 12).

3. Nature et finalités du traitement

Le Sous-traitant héberge et fait fonctionner l'outil ; il n'a d'autre finalité que celles du Responsable du traitement :

• recevoir, stocker et afficher les candidatures et leurs fichiers ;
• permettre le suivi des candidatures (étapes, notes, étiquettes, évaluations, tests, propositions d'embauche) ;
• envoyer les e-mails du Responsable du traitement aux candidats et recevoir leurs réponses ;
• planifier des entretiens et, si un Utilisateur l'a relié, les écrire dans son agenda Google ;
• produire, à la demande d'un Utilisateur, une analyse par IA d'un dossier ou une proposition de note d'une réponse libre à un test, validée ensuite par un Utilisateur ;
• montrer, à la demande d'un Utilisateur, un ou plusieurs dossiers en lecture seule à un destinataire qu'il désigne (client, responsable hors de l'équipe), par un lien à durée limitée ouvert par un code envoyé à ce destinataire, révocable et tracé ;
• appliquer les durées de conservation réglées et les demandes des candidats (espace « Mes données ») ;
• tenir le journal d'activité et les exports.

4. Catégories de données et de personnes

Aucune donnée dite sensible (article 9 du RGPD) n'est demandée par l'outil. Si un candidat en écrit dans son CV ou son message, le Responsable du traitement s'engage à ne pas s'en servir et la consigne donnée à l'IA lui interdit de s'y appuyer.

5. Instructions du Responsable du traitement

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable du traitement. Ces instructions sont : le présent accord, les conditions générales, et les réglages et actions faits dans l'outil (durée de conservation, activation de l'IA, modèles d'e-mails, suppression d'un candidat, export). Si une instruction paraît contraire au RGPD, le Sous-traitant en informe le Responsable du traitement sans délai. Toute instruction hors de l'outil se fait par écrit, à l'adresse de contact du Sous-traitant.

Le Sous-traitant ne s'écarte de ces instructions que s'il y est tenu par le droit de l'Union européenne ou le droit français ; il en informe alors le Responsable du traitement avant le traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

Les obligations du Responsable du traitement — information des candidats, licéité de ses instructions, réglage des durées de conservation, réponse aux demandes des candidats — sont celles de l'article 4 des conditions générales d'utilisation, qui font partie du présent accord.

6. Confidentialité

Les personnes autorisées par le Sous-traitant à traiter les données sont tenues à la confidentialité. Le Sous-traitant n'accède aux données du Responsable du traitement que pour fournir le service, le diagnostiquer ou répondre à une demande du Responsable du traitement, et ne les utilise jamais pour son propre compte. DIGIT'ALL SERVICES est une société unipersonnelle : l'accès aux données est limité à son président et aux prestataires listés en annexe.

7. Sécurité

Le Sous-traitant met en œuvre les mesures suivantes, décrites plus en détail dans la politique de confidentialité (« Sécurité ») :

• chiffrement de toutes les connexions (HTTPS) et de la liaison vers la base de données (TLS, certificat vérifié au démarrage) ; hébergement de l'application, de la base et des fichiers dans l'Union européenne ;
• authentification confiée à Supabase Auth, adresse confirmée obligatoire ; aucun mot de passe stocké par le Sous-traitant ;
• cloisonnement par organisation, droits par rôle et par offre ; stockage privé des fichiers, servi uniquement par l'application ; contrôle de signature des fichiers déposés ;
• codes et sessions de l'espace « Mes données », liens, codes et sessions des partages de dossiers conservés en empreinte seulement, la copie conservée des e-mails qui les portent en étant expurgée ; jetons Google chiffrés (AES-256-GCM) ; adresses IP jamais stockées en clair ;
• journal d'activité de toutes les actions sur les candidatures ; effacement complet par un chemin unique, tout ou rien ;
• sauvegarde de la base par Supabase, hébergeur de base de données, selon le plan souscrit (plan Pro : sauvegarde quotidienne, conservée sept jours) et copie quotidienne des fichiers conservée 30 jours ; purge automatique quotidienne ; intégration continue sur chaque modification du code.
• Mesures non encore actives, que le Sous-traitant pourra activer : antivirus des fichiers (ClamAV, sur son serveur) et captcha (Cloudflare Turnstile).

8. Sous-traitants ultérieurs

Le Responsable du traitement autorise de façon générale le recours aux sous-traitants ultérieurs listés en annexe, qui reprend la liste de la politique de confidentialité. Le Sous-traitant les lie par un contrat imposant des obligations équivalentes aux présentes et reste responsable envers le Responsable du traitement de leur exécution.

Tout ajout ou remplacement est notifié par e-mail au Responsable du traitement au moins un mois avant sa prise d'effet. Le Responsable du traitement peut s'y opposer par écrit dans ce délai ; à défaut d'accord sur une solution, il peut résilier le contrat sans frais avant la prise d'effet.

9. Transferts hors de l'Union européenne

L'application, la base de données et les fichiers sont hébergés dans l'Union européenne. Les transferts vers Postmark, OpenAI et Cloudflare, Inc. (réseau de diffusion et de protection) sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le Data Privacy Framework. Google Agenda n'intervient que si un Utilisateur relie son propre compte Google, ce qu'il peut défaire à tout moment. Le Sous-traitant ne procède à aucun autre transfert hors de l'Union européenne sans l'accord écrit préalable du Responsable du traitement.

10. Assistance pour les droits des personnes

Le Sous-traitant aide le Responsable du traitement à répondre aux demandes des candidats, d'abord par les moyens intégrés à l'outil : espace « Mes données » (consultation, export, effacement, retrait du vivier, refus de l'IA, réexamen humain), accessible aux candidats tant que la page carrière du Responsable du traitement est publiée ; export CSV, suppression d'un candidat, journal d'activité, à tout moment. Chaque demande faite par un candidat depuis cet espace est inscrite au journal et signalée au responsable de l'offre, à défaut au propriétaire.

Toute demande qui parvient directement au Sous-traitant est transmise au Responsable du traitement sans délai. Le Sous-traitant l'assiste également, dans la mesure de ses moyens, pour les analyses d'impact et les consultations préalables de la CNIL qui concerneraient l'usage de l'outil.

11. Violations de données

Le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles le concernant sans délai injustifié après en avoir eu connaissance, par e-mail au propriétaire de l'organisation, avec ce qu'il sait : nature de la violation, données et personnes concernées autant que possible, conséquences probables, mesures prises ou proposées. Il complète l'information au fur et à mesure. La notification à la CNIL et aux personnes, lorsqu'elle est requise, appartient au Responsable du traitement ; le Sous-traitant l'y aide.

12. Fin du contrat : suppression ou restitution

À la fin du contrat, le Responsable du traitement dispose de trente jours pour exporter ses données (CSV, CV depuis les fiches). À sa demande écrite, le Sous-traitant lui fournit une copie dans un format courant. Passé ce délai, le Sous-traitant supprime l'ensemble des données de l'organisation — fiche de l'organisation, candidats, candidatures, fichiers, e-mails, journal — et, sur demande écrite, les comptes de ses membres, sauf obligation légale de conserver certaines d'entre elles, et le confirme par écrit. Les copies de secours disparaissent à l'expiration de leur propre durée de conservation.

13. Audit et documentation

Le Sous-traitant tient à la disposition du Responsable du traitement toute information nécessaire pour démontrer le respect de cet accord : la présente documentation, la politique de confidentialité, la liste des sous-traitants ultérieurs et le journal d'activité de l'organisation. Le Responsable du traitement peut, une fois par an au plus et avec un préavis de trente jours, poser des questions écrites ou mandater un auditeur indépendant tenu à la confidentialité, à ses frais, pendant les heures ouvrées et sans accéder aux données d'autres clients.

14. Divers

• Le Sous-traitant tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients.
• Aucun délégué à la protection des données n'est désigné ; contact : contact@welcomestella.com.
• En cas de contradiction entre cet accord et les conditions générales, cet accord prévaut pour tout ce qui concerne les données personnelles.
• Droit français ; tribunaux compétents de Nantes, dans les conditions des conditions générales d'utilisation.

Annexe — Sous-traitants ultérieurs autorisés

Liste identique à celle de la politique de confidentialité, mise à jour à la même date.