Accord de sous-traitance des données personnelles (DPA)

Dernière mise à jour : [DATE À COMPLÉTER]

Objet et parties. Le présent accord de sous-traitance des données personnelles, ci-après « DPA », encadre les traitements de données personnelles réalisés dans le cadre de l'utilisation de Kalif, plateforme SaaS de gestion du recrutement éditée par [DÉNOMINATION SOCIALE], société par actions simplifiée unipersonnelle (SASU), dont le siège social est situé au [ADRESSE DU SIÈGE SOCIAL], ci-après « le Sous-traitant ». L'entreprise ou l'organisation professionnelle ayant souscrit un abonnement à Kalif est désignée « le Responsable du traitement ». Le présent DPA complète les Conditions générales de vente et s'applique pendant la durée des prestations impliquant le traitement de données personnelles pour le compte du Responsable du traitement.

Rôles et responsabilités. Le Responsable du traitement détermine les finalités et les moyens essentiels des traitements de données de recrutement réalisés au moyen de Kalif. Il demeure responsable de leur licéité, notamment du choix des bases légales, de l'information des candidats, de la pertinence des données collectées, de la définition des durées de conservation et du respect des droits des personnes concernées. Le Sous-traitant traite les données personnelles pour le compte du Responsable du traitement, conformément au présent DPA et aux instructions documentées de celui-ci, sans préjudice des obligations légales qui lui incombent directement.

Description des traitements. Les traitements confiés au Sous-traitant ont pour objet l'hébergement, le stockage, l'organisation, la consultation, la modification, l'analyse, la transmission et, le cas échéant, la suppression des données nécessaires à l'utilisation des fonctionnalités de Kalif. Ils peuvent notamment concerner la gestion des candidats, des offres d'emploi, des candidatures, des entretiens, des évaluations, des tests techniques, des tableaux de bord et des fonctionnalités d'assistance par intelligence artificielle. Les caractéristiques détaillées des traitements figurent dans l'annexe descriptive intégrée au présent accord.

Instructions documentées. Le Sous-traitant s'engage à traiter les données personnelles uniquement sur instruction documentée du Responsable du traitement, y compris en matière de transferts internationaux, sauf obligation légale contraire. Les instructions résultent notamment du contrat, du présent DPA, des paramètres du service et des actions effectuées par les utilisateurs habilités. Lorsque le Sous-traitant estime qu'une instruction constitue une violation de la réglementation applicable en matière de protection des données, il en informe immédiatement le Responsable du traitement, dans les conditions prévues par le RGPD.

Confidentialité. Le Sous-traitant veille à ce que les personnes autorisées à traiter les données personnelles soient soumises à une obligation appropriée de confidentialité, légale ou contractuelle, et n'accèdent aux données que dans la mesure nécessaire à leurs missions.

Sécurité des traitements. Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées au regard des risques, conformément à l'article 32 du RGPD. Ces mesures doivent notamment couvrir, selon leur pertinence, le contrôle des accès, la gestion des habilitations, la protection des communications, la sauvegarde, la disponibilité, la résilience, la restauration des données et l'évaluation régulière de l'efficacité des dispositifs de sécurité. Les mesures effectivement mises en œuvre sont décrites dans une annexe de sécurité à compléter et à vérifier avant toute mise en application contractuelle.

Sous-traitants ultérieurs. Le Responsable du traitement autorise le recours aux sous-traitants ultérieurs identifiés dans la liste contractuelle applicable, sous réserve des conditions prévues à l'article 28 du RGPD. Le Sous-traitant informe le Responsable du traitement des ajouts ou remplacements envisagés selon les modalités convenues, afin de lui permettre d'émettre des objections motivées. Le Sous-traitant impose aux sous-traitants ultérieurs des obligations de protection des données équivalentes à celles prévues par le présent accord et demeure responsable de l'exécution de leurs obligations dans les conditions du RGPD. [À COMPLÉTER : liste vérifiée des prestataires, services fournis, entités contractantes, pays de traitement, modalités d'information et d'opposition.]

Transferts internationaux. Tout transfert de données personnelles vers un pays situé hors de l'Espace économique européen doit respecter les dispositions applicables du chapitre V du RGPD. Le Sous-traitant veille à ce que les transferts concernés reposent sur un mécanisme juridique approprié et sur les garanties complémentaires éventuellement nécessaires. [À COMPLÉTER : pays concernés, mécanismes de transfert effectivement applicables et garanties contractuelles.]

Assistance aux droits des personnes. Compte tenu de la nature des traitements et des informations à sa disposition, le Sous-traitant assiste le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans le traitement des demandes d'exercice des droits des personnes concernées. Lorsqu'il reçoit directement une demande portant sur les données traitées pour le compte d'un client, il l'oriente vers le Responsable du traitement ou l'en informe selon les modalités contractuelles convenues, sauf obligation légale contraire.

Violations de données personnelles. Le Sous-traitant informe le Responsable du traitement de toute violation de données personnelles concernant les traitements réalisés pour son compte dans les meilleurs délais après en avoir pris connaissance, conformément à l'article 33 du RGPD. Il communique les informations disponibles permettant au Responsable du traitement d'apprécier les conséquences de l'incident et de satisfaire à ses propres obligations de notification. [À COMPLÉTER : canal de notification, contacts et éventuel délai contractuel plus précis.]

Assistance à la conformité. Le Sous-traitant assiste le Responsable du traitement, compte tenu de la nature du traitement et des informations dont il dispose, pour respecter ses obligations relatives à la sécurité, à la notification des violations de données, aux analyses d'impact relatives à la protection des données et, le cas échéant, aux consultations préalables de l'autorité de contrôle.

Audits et démonstration de conformité. Le Sous-traitant met à disposition du Responsable du traitement les informations nécessaires pour démontrer le respect de ses obligations au titre de l'article 28 du RGPD. Il permet et contribue aux audits et inspections prévus par ce même article, réalisés par le Responsable du traitement ou un auditeur mandaté, selon des modalités proportionnées tenant compte des impératifs de sécurité, de confidentialité et de continuité du service. Les modalités pratiques peuvent être précisées contractuellement sans priver le Responsable du traitement de ses droits légaux.

Sort des données en fin de contrat. À l'issue des prestations, le Sous-traitant supprime ou restitue, au choix du Responsable du traitement, les données personnelles traitées pour son compte et supprime les copies existantes, sauf obligation légale de conservation. Les modalités techniques, les délais d'exécution et le traitement des sauvegardes doivent être précisés dans les conditions contractuelles applicables. [À COMPLÉTER : fonctionnalités d'export réellement disponibles, modalités de restitution, délais de suppression et gestion des sauvegardes.]

Intelligence artificielle. Certaines fonctionnalités de Kalif peuvent transmettre des données professionnelles ou des informations issues des CV et des entretiens à des prestataires d'intelligence artificielle afin de réaliser les traitements demandés par le Responsable du traitement. Ces traitements doivent être encadrés par les instructions documentées du Responsable du traitement et les engagements contractuels applicables aux prestataires concernés. Le Sous-traitant doit fournir les informations nécessaires sur les traitements réalisés, leurs destinataires et les transferts éventuels. [À COMPLÉTER : fournisseur et service d'IA effectivement utilisés, conditions de conservation des données, éventuelle réutilisation pour l'entraînement, localisation et garanties contractuelles.]

Documentation et coopération. Chaque partie s'engage à coopérer de bonne foi afin de permettre le respect de ses obligations au titre du RGPD. Le Responsable du traitement communique au Sous-traitant les instructions et informations nécessaires à l'exécution des prestations. Le Sous-traitant conserve la documentation requise par la réglementation applicable à son activité et signale les difficultés susceptibles d'affecter la conformité des traitements.

Responsabilité. Chaque partie demeure responsable de ses obligations légales et contractuelles en matière de protection des données. Les dispositions du présent DPA ne limitent pas les droits des personnes concernées ni les pouvoirs des autorités de contrôle. Les éventuelles limitations contractuelles de responsabilité s'appliquent uniquement dans les limites autorisées par la réglementation applicable.

Durée et priorité contractuelle. Le présent DPA prend effet à compter de son acceptation dans le cadre de la relation contractuelle et demeure applicable pendant toute la durée des traitements réalisés par le Sous-traitant pour le compte du Responsable du traitement. En cas de contradiction entre le présent DPA et les autres documents contractuels concernant les obligations de protection des données personnelles, le présent DPA prévaut sur les stipulations incompatibles, sous réserve des dispositions légales impératives.

Droit applicable et contact. Le présent DPA est soumis au droit français, sans préjudice de l'application du RGPD et des autres dispositions impératives applicables. Pour toute question relative au présent accord ou aux traitements de données personnelles, le Responsable du traitement peut contacter le Sous-traitant à l'adresse suivante : [EMAIL CONFIDENTIALITÉ À COMPLÉTER].

Annexe 1 — Description des traitements. Le traitement a pour objet la fourniture de Kalif en tant que plateforme SaaS de gestion du recrutement. Sa durée correspond à la durée des prestations et aux opérations de fin de contrat prévues contractuellement. Sa nature comprend notamment la collecte, l'enregistrement, l'organisation, le stockage, la consultation, l'analyse, la transmission, la modification, l'export et la suppression des données. Ses finalités comprennent la gestion des candidatures, des profils, des offres d'emploi, des entretiens, des évaluations et l'assistance aux processus de recrutement. Les catégories de personnes concernées comprennent les candidats, les utilisateurs habilités des organisations clientes et, le cas échéant, les personnes mentionnées dans les documents de recrutement. Les catégories de données comprennent notamment les données d'identification, les coordonnées, les informations professionnelles, les CV, les formations, les expériences, les compétences, les candidatures, les notes d'entretien, les résultats d'évaluation et les historiques d'activité. [À CONFIRMER : catégories supplémentaires effectivement traitées, notamment données sensibles éventuelles et informations issues des candidatures externes.]

Annexe 2 — Mesures techniques et organisationnelles. Les mesures de sécurité effectivement mises en œuvre par Kalif doivent être documentées dans cette annexe avant l'entrée en vigueur du présent DPA. Elles doivent notamment préciser les mécanismes d'authentification, de gestion des rôles et des autorisations, de séparation des données entre organisations, de chiffrement, de journalisation, de sauvegarde, de restauration, de gestion des incidents, de suppression des données et de contrôle des prestataires. [À COMPLÉTER APRÈS VÉRIFICATION TECHNIQUE ET AUDIT DE SÉCURITÉ.]

Annexe 3 — Sous-traitants ultérieurs et transferts. La liste contractuelle des sous-traitants ultérieurs doit identifier, pour chaque prestataire effectivement concerné, sa dénomination juridique, la nature des services fournis, les catégories de données traitées, les pays de traitement, les transferts éventuels hors Espace économique européen et les garanties correspondantes. [À COMPLÉTER APRÈS VÉRIFICATION DES PRESTATAIRES ET DE LEURS CONDITIONS CONTRACTUELLES.]