Contrat de sous-traitance des données personnelles

Contrat de sous-traitance des données personnelles (RGPD, article 28)

[Version provisoire du 19 octobre 2026, écrite par l’équipe technique de Nolia comme base de travail. Elle sera remplacée par le texte adopté par la société éditrice après relecture de son avocat ; vous serez prévenu et invité à accepter la nouvelle version.]

1. Les clauses

Le client (responsable du traitement) et Nolia (sous-traitant) conviennent d’appliquer, telles quelles, les clauses contractuelles types de la décision d’exécution (UE) 2021/915 de la Commission du 4 juin 2021 (https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32021D0915), avec l’option 2 de la clause 7.7 (autorisation générale des sous-traitants ultérieurs, liste convenue, préavis de trente jours, droit d’opposition). Ces clauses prévalent sur toute stipulation contraire des conditions générales. Les annexes ci-dessous en font partie.

2. Précisions convenues

• Violation de données : premier avis au client sous 24 heures après que Nolia en a connaissance, puis les éléments de l’article 33 au fur et à mesure.
• Demandes des personnes : Nolia transmet sans délai au client toute demande reçue ; le client y répond ; Nolia n’envoie de données directement à un salarié que sur instruction écrite du client.
• Accès du personnel de Nolia au contenu de l’espace (fiches, heures, arrêts, messages) : aucun, sauf instruction écrite du client, limitée dans le temps, tracée dans son espace.
• Fin du contrat : restitution dans un format lisible par une machine, puis suppression, sauvegardes comprises, à une date annoncée, avec attestation écrite.
• Note d’information des salariés : c’est le client qui la remet ; Nolia fournit le modèle et la trace.
• Localisation : les données sont hébergées dans l’Union européenne [à compléter : hébergeur] ; les transferts éventuels (services de notification) figurent à l’annexe IV.

Annexe I — Les parties

Responsable du traitement : la société cliente qui accepte ce contrat, désignée par sa raison sociale, son SIREN, son siège et son contact tels qu’ils sont enregistrés dans son espace et copiés dans la preuve de son acceptation. Sous-traitant : [à compléter : société éditrice, siège, contact].

Annexe II — Description du traitement

• Objet : la mise à disposition du service Nolia (conditions générales, article 2).
• Personnes concernées : les salariés du client (extras et intérimaires compris), ses managers, sa RH.
• Données : identité et coordonnées professionnelles ; contrat (type, durée, heures) ; planning prévu et réalisé, visas, contestations, clôtures, compteurs ; demandes d’absence et arrêts de travail (volet employeur seulement, jamais de motif médical) ; documents déposés ; messages ; signalements ; données de connexion (adresse IP, navigateur) ; matricule de paie.
• Données sensibles : les arrêts de travail et les signalements ; le numéro de sécurité sociale s’il figure dans un document déposé.
• Nature et finalité : hébergement, stockage, affichage, calcul (règles, compteurs, paie), envoi d’e-mails et de notifications, sauvegarde.
• Durée : celle du contrat, puis restitution et suppression ; les durées de conservation par catégorie sont celles que le client règle [à compléter : la purge par durée est en préparation].

Annexe III — Mesures de sécurité

Isolation de chaque client jusque dans le moteur de la base de données (sécurité par ligne) ; rôle applicatif sans privilège ; chiffrement des documents, messages et signalements au repos ; tables de preuve en ajout seul avec empreintes calculées par la base ; mots de passe de douze caractères au moins, refusés s’ils figurent dans une fuite connue, verrou après dix échecs ; double authentification obligatoire pour la direction, la RH et les managers ; sessions expirées après sept jours sans usage, et douze heures après la connexion pour la direction ; journal d’audit ; sauvegardes chiffrées ; HTTPS ; [à compléter : hébergeur, supervision — docs/avant-production.md § 4.2 et § 4.3].

Annexe IV — Sous-traitants ultérieurs

[À compléter : hébergeur de production (Union européenne)] ; Brevo (envoi des e-mails, [à compléter : pays]) ; services de notification du navigateur (Google, Apple, Mozilla, Microsoft : adresse de l’appareil et contenu chiffré sans texte, États-Unis) ; pendant le pilote : [à compléter : le prestataire technique et le tunnel, s’ils servent].