Accord sur le traitement des données

[ 01 ]

Objet et rôle des parties

Le présent accord est conclu en application de l'article 28 du règlement (UE) 2016/679. Il encadre les traitements de données à caractère personnel que JD CONSEIL, SARL immatriculée sous le SIRET 508 241 098 00013, éditeur du service Joseph, opère pour le compte de son client.

Le client est responsable du traitement : il détermine les finalités et les moyens, et répond de la licéité des données qu'il verse dans l'outil. L'éditeur est sous-traitant : il n'agit que sur instruction documentée du client.

Cet accord fait partie intégrante du contrat. En cas de contradiction avec les conditions générales d'utilisation sur un point relatif aux données personnelles, le présent accord prévaut.

[ 02 ]

Description du traitement

Nature : hébergement, structuration, consultation, mise à jour, extraction et suppression des données, dans le cadre du fonctionnement de l'outil construit pour le client.

Finalité : permettre au client d'exploiter l'outil de gestion conçu pour son organisation, et en assurer la maintenance et le support.

Durée : la durée du contrat, augmentée des délais de restitution et de suppression prévus à l'article Sort des données.

[ 03 ]

Catégories de données et de personnes concernées

Les catégories dépendent de l'outil construit et sont arrêtées lors de l'audit. Elles portent typiquement sur :

• Personnes concernées : salariés, intérimaires et sous-traitants du client, ses clients, fournisseurs, usagers ou locataires selon son activité.
• Données d'identification et de contact : nom, fonction, coordonnées professionnelles.
• Données de vie professionnelle : affectations, temps, plannings, habilitations, éléments variables transmis à la paie.
• Données de relation commerciale : commandes, factures, échanges, litiges.

[ 04 ]

Catégories particulières de données

L'outil peut, selon le secteur du client, être amené à traiter des données relevant de l'article 9 du règlement - notamment des données de santé dans le secteur médico-social.

Dans ce cas, les parties le constatent expressément au devis, et l'hébergement est confié à un hébergeur certifié de données de santé. L'éditeur n'affirme aucune certification qu'il ne détient pas ; l'état exact des agréments est publié dans le centre de confiance.

[ 05 ]

Instructions documentées

L'éditeur ne traite les données que sur instruction documentée du client, y compris pour les transferts hors de l'Union européenne, sauf obligation légale à laquelle il serait soumis. Dans ce dernier cas, il en informe le client avant le traitement, à moins que la loi ne l'interdise.

Le contrat, le devis accepté et les paramétrages effectués par le client dans l'outil valent instructions. L'éditeur informe le client s'il estime qu'une instruction constitue une violation du règlement.

[ 06 ]

Confidentialité et personnel

L'éditeur veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée, et reçoivent la formation nécessaire.

L'accès aux données du client est limité aux personnes qui en ont besoin pour exécuter le contrat, et journalisé.

[ 07 ]

Mesures de sécurité

L'éditeur met en oeuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du règlement, notamment :

• Chiffrement des communications, et chiffrement des données au repos.
• Cloisonnement des environnements et séparation des données entre clients.
• Droits d'accès attribués par rôle, revus périodiquement, et retirés au départ des personnes.
• Journalisation des accès et des actions sensibles.
• Sauvegardes régulières et procédure de restauration éprouvée.
• Gestion des vulnérabilités et application des correctifs de sécurité.

[ 08 ]

Sous-traitants ultérieurs

Le client autorise l'éditeur à recourir à des sous-traitants ultérieurs pour l'hébergement et l'exploitation du service. La liste en vigueur est publiée dans le centre de confiance.

L'éditeur informe le client de tout ajout ou remplacement au moins trente jours avant sa prise d'effet. Le client peut s'y opposer pour un motif légitime et tenant à la protection des données ; à défaut d'accord, il peut résilier sans frais.

L'éditeur impose à chaque sous-traitant ultérieur, par contrat, des obligations équivalentes à celles du présent accord, et demeure pleinement responsable devant le client de leur exécution.

[ 09 ]

Assistance du client

L'éditeur assiste le client, par des mesures appropriées, pour répondre aux demandes d'exercice des droits des personnes concernées. L'outil livré comporte les fonctions d'accès, de rectification, d'extraction et de suppression nécessaires pour que le client y réponde lui-même.

Lorsqu'une demande est adressée directement à l'éditeur, celui-ci la transmet au client sans délai et n'y répond pas de sa propre initiative.

L'éditeur assiste également le client pour l'analyse d'impact relative à la protection des données et la consultation préalable de l'autorité de contrôle, lorsqu'elles sont requises.

[ 10 ]

Violation de données

L'éditeur notifie au client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les quarante-huit heures.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Lorsque ces informations ne peuvent être fournies d'emblée, elles le sont de manière échelonnée, sans délai indu.

L'éditeur assiste le client dans ses propres obligations de notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées.

[ 11 ]

Sort des données en fin de contrat

Le client peut exporter ses données à tout moment depuis l'outil, dans des formats ouverts et exploitables.

À la fin du contrat, l'éditeur tient les données à disposition du client pendant trente jours, puis les supprime de ses systèmes de production. Les sauvegardes sont purgées par rotation, dans un délai maximal de trente jours, sauf obligation légale de conservation. Une attestation de suppression est délivrée sur demande.

[ 12 ]

Audit et documentation

L'éditeur met à la disposition du client la documentation nécessaire pour démontrer le respect du présent accord.

Le client peut réaliser un audit, une fois par an, moyennant un préavis de trente jours, aux frais du client et dans des conditions n'entravant pas l'exploitation du service. Un audit supplémentaire peut être conduit à la suite d'une violation de données. L'auditeur mandaté ne doit pas être un concurrent de l'éditeur et est tenu à la confidentialité.

[ 13 ]

Transferts hors de l'Union européenne

Les données sont hébergées en Union européenne.

Aucun transfert vers un pays tiers n'est opéré sans encadrement approprié - décision d'adéquation ou clauses contractuelles types de la Commission européenne, assorties d'une analyse des garanties du pays de destination. Les traitements d'intelligence artificielle sont opérés dans le cadre de contrats entreprise conclus avec les fournisseurs de modèles, qui maintiennent les données dans l'Union européenne.

[ 14 ]

Absence d'entraînement de modèles

L'éditeur n'utilise pas les données du client pour entraîner, affiner ou évaluer des modèles d'intelligence artificielle, et impose la même interdiction à ses fournisseurs de modèles.

Les conditions correspondantes obtenues de ces fournisseurs sont documentées dans le centre de confiance.

[ 15 ]

Contact

Toute question ou notification au titre du présent accord peut être adressée à contact@joseph.expert, ou par courrier à JD CONSEIL, 14 avenue Victor Hugo, 75116 Paris.