Cette annexe s'applique lorsqu'une mission donne au cabinet accès à des données personnelles détenues par le client. Elle fait partie du contrat (article 18 des conditions générales de vente).
Entre le client (« le responsable de traitement ») et le cabinet (« le sous-traitant »), pour la durée de la mission.
1. Objet et durée
Le sous-traitant traite des données personnelles pour le compte du responsable de traitement dans le seul but d'exécuter la mission décrite au devis. L'annexe s'applique pendant la mission et jusqu'à la suppression ou restitution des données.
2. Description du traitement
À compléter pour chaque mission (fiche jointe au devis) :
| Élément | Valeur |
|---|---|
| Nature des opérations | Précisé dans la fiche jointe au devis (par exemple : consultation, extraction, analyse, paramétrage d'outils) |
| Finalité | Exécution de la mission |
| Catégories de personnes | Précisé dans la fiche jointe au devis (par exemple : salariés, clients du client, prospects) |
| Catégories de données | Précisé dans la fiche jointe au devis. Aucune donnée sensible, sauf accord exprès |
| Durée | Celle de la mission |
3. Obligations du sous-traitant
Le sous-traitant s'engage à :
- traiter les données uniquement sur instruction documentée du client, et l'avertir si une instruction lui paraît contraire au RGPD ;
- garantir la confidentialité : les personnes autorisées à accéder aux données sont tenues à la confidentialité ;
- mettre en œuvre des mesures de sécurité adaptées (accès cloisonné, chiffrement, authentification, journalisation, suppression des copies locales à la fin) ;
- ne pas utiliser les données pour son compte, ni pour entraîner un modèle d'IA ;
- n'utiliser un outil d'IA sur les données qu'avec l'accord écrit du client et selon la politique d'usage de l'IA ;
- tenir un registre des traitements effectués pour le compte du client ;
- coopérer avec le client pour répondre aux demandes d'exercice de droits et lui transmettre sans délai toute demande reçue directement ;
- l'aider à respecter ses obligations de sécurité, d'analyse d'impact (AIPD) et de consultation de l'autorité de contrôle. Pour les missions portant sur la qualité de vie au travail ou les risques psychosociaux, le client mène l'analyse d'impact avant le démarrage, avec l'aide du cabinet, qui applique les principes de conception décrits dans son registre (enquêtes anonymes, restitution agrégée avec seuil de répondants).
4. Sous-traitants ultérieurs
Le client autorise Précisé dans la fiche jointe au devis (par exemple : la liste figurant à la fiche de mission). Le sous-traitant informe le client de tout changement envisagé, avec un préavis de Précisé dans la fiche jointe au devis (par exemple : 15) jours. Le client peut s'y opposer pour un motif raisonnable. Le sous-traitant impose à ses propres sous-traitants les mêmes obligations et reste responsable à son égard.
5. Transferts hors Union européenne
Aucun transfert hors Union européenne sans accord du client, sauf décision d'adéquation ou clauses contractuelles types en vigueur. Le sous-traitant indique le pays et le fondement avant tout transfert.
6. Violation de données
Le sous-traitant avertit le client sans délai, au plus tard dans les Précisé dans la fiche jointe au devis (par exemple : 48) heures de sa découverte, en indiquant la nature de la violation, les données et personnes concernées, les conséquences probables et les mesures prises. La notification à la CNIL et aux personnes relève du client.
7. Sort des données
À la fin de la mission, au choix du client, le sous-traitant restitue les données puis les supprime, ou les supprime directement, dans les Précisé dans la fiche jointe au devis (par exemple : 30) jours. Il en atteste par écrit. Sont exclues les copies que la loi impose de conserver.
8. Audit
Le sous-traitant met à disposition les informations nécessaires pour démontrer sa conformité. Le client peut demander un audit raisonnable, une fois par an, avec préavis de Précisé dans la fiche jointe au devis (par exemple : 15) jours et aux frais du client, sans perturber les autres clients du sous-traitant.
9. Responsabilité
La responsabilité du sous-traitant au titre de la présente annexe suit le régime de l'article 17 des conditions générales de vente, sans préjudice de l'article 82 du RGPD.
10. Contacts
Pour le cabinet : contact@cabinetclearway.com. Pour le client : précisé dans la fiche jointe au devis.