Accord de traitement des données

1. Parties et objet

Le présent accord est conclu entre le Client, agissant en qualité de responsable de traitement, et Gonao SAS, Société par actions simplifiée (SAS), dont le siège social est situé 42 rue Racine, 92120 Montrouge, France, SIREN 989 805 502, agissant en qualité de sous-traitant.

Il s'applique à toutes les données à caractère personnel que Gonao traite pour le compte du Client dans le cadre de la fourniture de la plateforme, à l'exclusion des données pour lesquelles Gonao est elle-même responsable de traitement, décrites dans la politique de confidentialité.

Il entre en vigueur à la date d'acceptation des conditions générales et demeure applicable tant que Gonao traite des données pour le compte du Client.

2. Description du traitement

2.1. Finalités

Gonao traite les données uniquement pour fournir les fonctionnalités souscrites par le Client : hébergement et stockage des documents déposés, analyse automatisée des dossiers de consultation et des pièces du Client, production de contenus de réponse à partir des informations fournies, constitution du profil d'entreprise et des fiches de collaborateurs, calcul du score de correspondance, et assistance technique à la demande du Client.

2.2. Nature du traitement

Collecte, enregistrement, organisation, structuration, conservation, adaptation, extraction, consultation, utilisation, communication par transmission aux sous-traitants ultérieurs, rapprochement, limitation, effacement et destruction.

2.3. Catégories de personnes concernées

• les collaborateurs, dirigeants et représentants du Client ;
• les candidats et intervenants dont les curriculum vitae ou fiches sont déposés ;
• les contacts figurant dans les documents déposés par le Client, notamment les interlocuteurs des acheteurs publics et des partenaires ou sous-traitants du Client.

2.4. Catégories de données

• données d'identification : nom, prénom, fonction, photographie le cas échéant ;
• coordonnées professionnelles : adresse e-mail, numéro de téléphone, adresse postale ;
• données de vie professionnelle : parcours, diplômes, certifications, expériences, compétences, positionnement dans l'organigramme ;
• toute autre donnée à caractère personnel présente dans les documents que le Client choisit de déposer.

Le Client détermine seul les données qu'il dépose. Il demeure seul responsable de la base légale de chaque traitement qu'il confie à Gonao et de l'information des personnes concernées, dans les conditions rappelées à l'article 11 du présent accord. Gonao n'apprécie ni la licéité, ni la pertinence des données déposées.

Le Client s'engage à ne déposer aucune donnée relevant des catégories particulières de l'article 9 du RGPD (origine, opinions, santé, biométrie, orientation sexuelle, appartenance syndicale), ni aucune donnée relative à des condamnations ou infractions au sens de l'article 10. La plateforme n'est pas conçue pour de tels traitements et Gonao ne saurait être tenue pour responsable des conséquences d'un dépôt contraire à cet engagement.

2.5. Durée

Le traitement dure le temps du contrat, augmenté des délais de réversibilité et de suppression prévus à l'article 8 du présent accord.

3. Instructions documentées

Gonao traite les données uniquement sur instruction documentée du Client. Constituent de telles instructions les conditions générales, le présent accord, ainsi que les actions réalisées par le Client dans l'interface de la plateforme et les demandes qu'il adresse au support.

Les paramétrages, actions et demandes réalisés par le Client ou par ses utilisateurs dans l'interface de la plateforme constituent des instructions documentées au sens de l'article 28.3 a) du RGPD. Ils sont enregistrés et horodatés dans les journaux de la plateforme, qui en constituent la trace entre les parties. Il en va de même des demandes adressées au support par e-mail, conservées avec leur date.

Si Gonao considère qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable, elle en informe le Client sans délai et peut suspendre l'exécution de l'instruction concernée jusqu'à sa confirmation ou sa modification.

Gonao informe le Client si elle est tenue par le droit de l'Union ou d'un État membre de transférer des données vers un pays tiers, sauf interdiction légale de cette information pour des motifs d'intérêt public.

4. Confidentialité et habilitation du personnel

Gonao veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité contractuelle, soient sensibilisées à la protection des données et n'accèdent qu'aux données strictement nécessaires à leur mission. Les habilitations sont revues et révoquées lors du départ d'un collaborateur.

5. Mesures de sécurité

Conformément à l'article 32 du RGPD, Gonao met en œuvre les mesures techniques et organisationnelles suivantes.

5.1. Mesures techniques

• chiffrement des communications en transit par TLS ;
• chiffrement des données au repos sur le stockage objet et sur la base de données ;
• hachage des mots de passe par algorithme à dérivation lente, jamais de stockage en clair ;
• authentification par jeton à durée de vie courte, avec jeton de renouvellement révocable côté serveur ;
• cloisonnement logique des données par organisation, contrôlé à chaque requête côté serveur ;
• accès aux documents par liens signés à durée de validité limitée, sans exposition publique du stockage ;
• pseudonymisation avant tout appel à un modèle de langage tiers : la raison sociale, le SIRET, les noms des personnes, les adresses e-mail et les numéros de téléphone sont remplacés par des jetons neutres avant l'envoi, puis restitués à la réception ;
• limitation du débit des interfaces publiques et filtrage des requêtes malveillantes ;
• journalisation des accès et des opérations sensibles ;
• sauvegardes régulières et supervision des incidents.

5.2. Mesures organisationnelles

• accès à la production limité aux personnes habilitées et nominatives ;
• accès d'assistance à un compte client réservé aux administrateurs habilités de Gonao, tracé dans un registre d'audit et révocable immédiatement ;
• séparation des environnements de développement, de recette et de production ;
• gestion des correctifs et suivi des vulnérabilités des dépendances ;
• procédure interne de gestion des violations de données.

5.3. Accès d'assistance au compte du Client

Les administrateurs habilités de Gonao peuvent accéder au compte du Client en lecture et en écriture, aux seules fins de diagnostic et de correction d'une anomalie, de rétablissement du service et de traitement d'une demande de support. Cet accès est limité aux personnes nommément habilitées et restreint à ce qui est strictement nécessaire à l'intervention.

Chaque accès est journalisé avec l'identité de l'intervenant, sa date et les opérations réalisées. Le registre correspondant est communiqué au Client sur demande. Cet accès est réalisé sur instruction du Client au sens de l'article 3 et ne peut être utilisé à aucune autre fin, notamment à des fins commerciales ou d'analyse du contenu des documents déposés.

Gonao peut faire évoluer ces mesures, à condition que le niveau de sécurité global ne soit pas diminué.

6. Sous-traitants ultérieurs

Le Client donne à Gonao une autorisation générale de recourir aux sous-traitants ultérieurs listés ci-dessous. Gonao conclut avec chacun d'eux un accord imposant des obligations de protection des données équivalentes à celles du présent accord et demeure pleinement responsable de leur exécution.

Traitements automatisés confiés à des prestataires tiers. Les données transmises aux prestataires intervenant dans les traitements automatisés sont préalablement pseudonymisées dans les conditions de l'article 5.1. Ces prestataires sont contractuellement tenus, au titre des conditions applicables aux interfaces de programmation souscrites par Gonao, de ne pas utiliser les données transmises pour entraîner ou améliorer leurs modèles. Leur conservation de ces données est limitée à ce que prévoient ces mêmes conditions, aux seules fins de fourniture du service et de prévention des abus. Gonao communique au Client, sur demande, la référence des engagements contractuels correspondants.

Ajout ou remplacement. Gonao informe le Client de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, par e-mail à l'adresse de l'administrateur du compte, au moins 30 jours avant sa mise en service. Le Client peut s'y opposer par écrit et de manière motivée dans ce délai, pour un motif tenant à la protection des données. En cas d'objection, les parties recherchent une solution raisonnable. À défaut d'accord dans les trente jours, le Client peut résilier son abonnement sans frais et obtenir le remboursement au prorata de la période non consommée.

7. Assistance au Client

7.1. Droits des personnes concernées

Gonao met à la disposition du Client, dans l'interface de la plateforme, les moyens d'accéder aux données, de les rectifier, de les exporter et de les supprimer. Si une personne concernée s'adresse directement à Gonao, celle-ci ne répond pas à sa place et transmet la demande au Client sans délai. Gonao assiste le Client, dans la mesure du possible, pour toute demande à laquelle l'interface ne permettrait pas de répondre.

7.2. Violation de données

Gonao notifie au Client toute violation de données à caractère personnel le concernant dans les quarante-huit heures suivant la prise de connaissance de la violation. La notification décrit la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises ou proposées. Il appartient au Client, en sa qualité de responsable de traitement, de notifier l'autorité de contrôle et, le cas échéant, les personnes concernées.

7.3. Analyse d'impact et consultation préalable

Gonao fournit au Client, sur demande raisonnable, les informations nécessaires à la réalisation d'une analyse d'impact relative à la protection des données et à une éventuelle consultation préalable de l'autorité de contrôle.

8. Registre, documentation et audit

Gonao tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients, conformément à l'article 30.2 du RGPD, et le met à disposition de l'autorité de contrôle sur demande.

Gonao met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations du présent accord. Le Client peut réaliser un audit, au maximum une fois par an, sauf incident de sécurité avéré, moyennant un préavis écrit de trente jours, pendant les heures ouvrées, sans perturber l'exploitation, par lui-même ou par un auditeur indépendant non concurrent de Gonao et tenu à la confidentialité. Les coûts de l'audit sont à la charge du Client, sauf si l'audit révèle un manquement significatif de Gonao.

9. Sort des données en fin de contrat

À la fin de la prestation, le Client dispose de 30 jours pour exporter ses données depuis la plateforme ou en demander la restitution par e-mail, dans un format structuré et couramment utilisé, sans frais.

À l'expiration de ce délai, Gonao supprime les données de ses systèmes actifs dans un délai maximal de 60 jours, ainsi que toute copie existante. Les sauvegardes sont purgées selon leur cycle de rotation, dans un délai maximal de quatre-vingt-dix jours, pendant lequel elles demeurent chiffrées et ne font l'objet d'aucun accès. Gonao conserve les seules données dont la conservation est imposée par le droit de l'Union ou d'un État membre, pour la durée prévue par ces textes et aux seules fins de cette conservation.

Gonao atteste par écrit de la suppression, sur demande du Client.

10. Transferts hors de l'Union européenne

Les données déposées par le Client sont hébergées et stockées en France. Les seuls transferts hors de l'Union européenne sont ceux résultant du recours aux sous-traitants ultérieurs identifiés comme tels dans le tableau de l'article 6. Ils sont encadrés par les clauses contractuelles types de la Commission européenne, complétées le cas échéant par des mesures supplémentaires, dont la pseudonymisation préalable décrite à l'article 5.1.

11. Obligations du Client et responsabilité

Le Client garantit disposer d'une base légale pour les traitements qu'il confie à Gonao, avoir informé les personnes concernées, et ne déposer que des données pertinentes et limitées à ce qui est nécessaire. Il est seul responsable de l'exactitude et de la licéité des données qu'il dépose.

La responsabilité de Gonao au titre du présent accord est soumise aux limitations prévues à l'article 15 des conditions générales, dans la mesure permise par la réglementation applicable.

Le présent accord prévaut sur les conditions générales pour tout ce qui concerne le traitement des données à caractère personnel pour le compte du Client. Pour le reste, les conditions générales demeurent applicables.

12. Contact

Toute question ou demande relative au présent accord, y compris une demande de version signée, est adressée à [email protected].