Accord de sous-traitance (DPA)
Article 1 — Parties et objet
Le présent accord est conclu entre :
- l'organisation cliente, qui utilise la plateforme BySince pour ses besoins, ci-après « le responsable de traitement » ;
- [à compléter], [à compléter], dont le siège est situé [à compléter], immatriculée sous le numéro [à compléter], éditeur de la plateforme, ci-après « Since & Co » ou « le sous-traitant ».
Il définit les conditions dans lesquelles Since & Co traite des données personnelles pour le compte du responsable de traitement, conformément à l'article 28 du règlement (UE) 2016/679 (RGPD). Il fait partie intégrante du contrat conclu entre les parties et des conditions générales d'utilisation. En matière de protection des données, il prévaut sur tout autre document.
Il ne couvre pas les traitements dont Since & Co est elle-même responsable, décrits dans la politique de confidentialité.
Article 2 — Description du traitement
| Objet | Fourniture de la plateforme BySince et de l'application mobile Cartographe : hébergement, mise à disposition, maintenance, sauvegarde, assistance. |
|---|---|
| Durée | Celle du contrat, augmentée de la période de réversibilité et du délai d'expiration des sauvegardes. |
| Nature des opérations | Collecte, enregistrement, organisation, conservation, consultation, affichage, conversion, transcription, extraction, export, sauvegarde, restauration, effacement. Sur instruction : transmission à un fournisseur d'IA. |
| Finalités | Celles que le responsable de traitement poursuit avec la plateforme : cartographie des activités et des compétences, formation et transmission des savoir-faire, suivi de la progression et des acquis, carnet de compétences, bilans, pilotage de la polyvalence, délivrance de badges. |
| Personnes concernées | Utilisateurs de l'organisation et de ses entités rattachées (salariés, apprenants, tuteurs, formateurs, administrateurs, intervenants) ; personnes enregistrées, photographiées, filmées ou citées dans les contenus ; experts extérieurs sollicités pour une relecture. |
| Données | Données d'identité et de compte ; données de connexion ; données d'apprentissage, d'évaluation et de compétences ; contenus déposés ; enregistrements sonores, photographies, vidéos et transcriptions ; consentements ; demandes d'assistance. Le détail figure dans la politique de confidentialité. |
| Données sensibles | La plateforme n'est pas conçue pour traiter des données relevant des articles 9 et 10 du RGPD. Le responsable de traitement s'interdit d'en déposer, sauf accord écrit préalable des parties sur des mesures adaptées. |
Article 3 — Obligations du responsable de traitement
- Il détermine les finalités et les bases légales des traitements, et tient son registre.
- Il informe les personnes concernées, y compris les personnes enregistrées sur le terrain, et recueille leur consentement lorsqu'il est requis.
- Il respecte ses obligations propres, notamment en droit du travail : information et consultation des représentants du personnel, information préalable des salariés sur les dispositifs d'évaluation.
- Il documente par écrit ses instructions. Le paramétrage de la plateforme par ses administrateurs vaut instruction : création des comptes, attribution des droits, activation de l'IA, enregistrement de clés d'API, activation du chiffrement des captures, partages.
- Il réalise, s'il y a lieu, l'analyse d'impact relative à la protection des données.
- Il veille à la sécurité de ses propres accès : choix des administrateurs, retrait des comptes des personnes parties, confidentialité des identifiants et des clés.
Article 4 — Traitement sur instruction
Since & Co ne traite les données que sur instruction documentée du responsable de traitement, y compris pour les transferts hors de l'Union européenne, sauf obligation légale contraire ; elle l'en informe alors, sauf si la loi l'interdit.
Si Since & Co estime qu'une instruction viole le RGPD ou une autre règle de protection des données, elle en informe immédiatement le responsable de traitement.
Since & Co n'utilise pas les données pour son propre compte. Elle ne les vend pas, ne les communique pas à d'autres clients et ne les utilise pas pour entraîner des modèles d'intelligence artificielle.
Article 5 — Confidentialité
Since & Co veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité, reçoivent la formation nécessaire et n'accèdent aux données que dans la mesure nécessaire à leur mission : exploitation, maintenance, sécurité, assistance.
Les membres habilités du personnel de Since & Co disposent de rôles qui leur permettent d'accéder à l'espace de toute organisation. Ils n'y accèdent que pour les besoins de la prestation ou à la demande du responsable de traitement.
Article 6 — Sécurité
Since & Co met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 1, afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Elle peut les faire évoluer, sans en diminuer le niveau global.
Article 7 — Sous-traitants ultérieurs
- Autorisation générale. Le responsable de traitement autorise Since & Co à recourir aux sous-traitants ultérieurs listés à l'annexe 2.
- Changement. Since & Co informe le responsable de traitement de tout ajout ou remplacement au moins trente jours à l'avance, par la publication d'une nouvelle version du présent accord et par une information adressée au contact désigné par le responsable de traitement. Le responsable de traitement peut s'y opposer par écrit, pour un motif légitime tenant à la protection des données, pendant ce délai. À défaut de solution, il peut résilier le service concerné.
- Mêmes obligations. Since & Co impose à ses sous-traitants ultérieurs, par contrat, des obligations équivalentes à celles du présent accord. Elle demeure responsable envers le responsable de traitement de leur exécution.
Article 8 — Intelligence artificielle
Les fonctionnalités d'IA et les données qu'elles transmettent sont décrites aux articles 11 à 24 des conditions générales d'utilisation. Trois situations sont à distinguer.
8.1. Appel réalisé avec une clé d'API de l'organisation
L'organisation enregistre une clé obtenue auprès d'un fournisseur d'IA avec lequel elle a elle-même contracté. Le fournisseur traite alors les données sur le compte et selon le contrat de l'organisation. Il n'est pas un sous-traitant ultérieur de Since & Co : il est un sous-traitant, ou un destinataire, choisi par le responsable de traitement. Celui-ci vérifie les conditions du fournisseur : localisation, transferts, durées de conservation, usage pour l'entraînement de modèles. L'enregistrement de la clé vaut instruction donnée à Since & Co de transmettre les données à ce fournisseur lorsqu'un utilisateur habilité déclenche la fonctionnalité.
8.2. Appel réalisé avec la clé personnelle d'un utilisateur
La plateforme permet à un utilisateur d'enregistrer sa propre clé, qui passe avant celle de l'organisation. Les données sont alors traitées sur le compte personnel de cet utilisateur chez le fournisseur. L'administrateur ne voit ni ces clés ni les appels correspondants. Il appartient au responsable de traitement d'autoriser, d'encadrer ou d'interdire cette pratique par ses règles internes. S'il souhaite l'exclure, il peut désactiver l'IA pour son organisation.
8.3. Traitement réalisé avec les moyens de Since & Co
À la demande du responsable de traitement, Since & Co peut lancer en exploitation des traitements d'IA sur ses contenus : revue IA des fiches, revue des connaissances, glossaire, description, mots-clés, conversion de transcriptions. Elle utilise alors ses propres comptes chez les fournisseurs, y compris au moyen des outils « Claude Code » et « Codex », qui transmettent les données au fournisseur. Ces fournisseurs sont des sous-traitants ultérieurs de Since & Co et figurent à l'annexe 2.
Since & Co ne lance ces traitements que sur demande ou avec l'accord du responsable de traitement, et jamais pour une organisation qui a désactivé l'IA.
8.4. Garanties communes
- aucun appel à un fournisseur tiers n'est fait pour un utilisateur sans clé disponible, sans consentement actif de cet utilisateur, ou si l'IA est désactivée pour l'organisation ;
- les traitements locaux (suggestion de compétences, transcription locale) ne transmettent rien à un tiers ;
- les sorties d'IA sont des propositions soumises à validation humaine ; aucune décision individuelle automatisée n'est prise ;
- les clés d'API sont chiffrées, jamais réaffichées, jamais exportées ; le journal d'usage ne contient ni demande, ni réponse, ni clé.
Article 9 — Transferts hors de l'Union européenne
Les données sont hébergées à l'emplacement suivant : [à compléter]. Since & Co ne transfère pas de données hors de l'Union européenne, sauf :
- vers la Suisse, pour le stockage distant des sauvegardes, sur le fondement de la décision d'adéquation de la Commission européenne ;
- vers les fournisseurs d'IA, lorsque ces fonctionnalités sont utilisées sur instruction du responsable de traitement. Dans le cas de l'article 8.3, Since & Co s'assure de l'existence d'une garantie appropriée (décision d'adéquation ou clauses contractuelles types) et la tient à la disposition du responsable de traitement. Dans les cas des articles 8.1 et 8.2, le transfert relève du contrat du titulaire de la clé.
Article 10 — Droits des personnes
Since & Co aide le responsable de traitement, par des mesures appropriées et dans la mesure du possible, à répondre aux demandes d'exercice de leurs droits par les personnes concernées. La plateforme permet à l'administrateur de consulter et de corriger les données de ses utilisateurs, et de désactiver ou de supprimer leurs comptes. Un export structuré (JSON) existe pour les données d'une entité rattachée ; pour toute autre extraction, Since & Co intervient sur demande.
Si une personne adresse sa demande directement à Since & Co, celle-ci la transmet sans délai au responsable de traitement et n'y répond pas elle-même, sauf instruction contraire.
Article 11 — Violation de données
Since & Co notifie au responsable de traitement toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables, les mesures prises ou proposées, et le point de contact. Les informations peuvent être communiquées de manière échelonnée.
Le responsable de traitement notifie, s'il y a lieu, l'autorité de contrôle et les personnes concernées. Since & Co l'y assiste.
Article 12 — Assistance à la conformité
Since & Co assiste le responsable de traitement, compte tenu de la nature du traitement et des informations dont elle dispose, pour la réalisation d'analyses d'impact, la consultation préalable de l'autorité de contrôle et le respect de ses obligations de sécurité. Les registres des fonctionnalités d'IA et des sous-traitants tenus par Since & Co sont communiqués sur demande.
Article 13 — Sort des données en fin de contrat
- Au terme du contrat, et selon le choix du responsable de traitement, Since & Co lui restitue ses données dans un format courant, puis les supprime, ou les supprime directement.
- Les clés d'API sont supprimées et ne sont jamais restituées ni exportées.
- Les copies présentes dans les sauvegardes sont supprimées à l'expiration de celles-ci, au plus tard douze mois après la suppression. Elles ne sont pas exploitées dans l'intervalle.
- Le sort des pages publiques de vérification des badges délivrés est décidé par le responsable de traitement.
- Since & Co peut conserver les données dont la loi lui impose la conservation, et celles dont elle est elle-même responsable.
- Sur demande, Since & Co atteste par écrit de la suppression.
Article 14 — Documentation et audit
Since & Co met à la disposition du responsable de traitement les informations nécessaires pour démontrer le respect de l'article 28 du RGPD.
Le responsable de traitement peut réaliser ou faire réaliser un audit, au plus une fois par an sauf violation de données ou demande d'une autorité, moyennant un préavis de trente jours, pendant les heures ouvrées, sans perturber le service ni accéder aux données d'autres clients. L'auditeur ne doit pas être un concurrent de Since & Co et s'engage à la confidentialité. Les frais de l'audit sont supportés par le responsable de traitement, sauf manquement grave constaté.
Article 15 — Registre et contact
Since & Co tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients. Contact pour la protection des données : [à compléter].
Article 16 — Responsabilité, durée, droit applicable
Chaque partie répond des dommages causés par ses manquements au RGPD et au présent accord, dans les conditions de l'article 82 du RGPD et dans les limites prévues au contrat, qui ne s'appliquent pas aux droits des personnes concernées.
L'accord s'applique pendant toute la durée du traitement des données par Since & Co. Il est régi par le droit français ; les litiges relèvent des juridictions désignées par les conditions générales d'utilisation.
Annexe 1 — Mesures de sécurité
| Domaine | Mesures |
|---|---|
| Authentification | Pas d'inscription libre. Mots de passe hachés ; 8 caractères au minimum avec majuscule, minuscule, chiffre et caractère spécial ; changement imposé à la première connexion puis tous les deux mois. Double authentification par application (TOTP) ou par code reçu par e-mail, au choix de l'utilisateur. Historique des connexions. |
| Habilitations | Droits par rôle. Contrôle des accès à chaque opération. Connexion « en tant que » réservée aux administrateurs. |
| Cloisonnement | Chaque donnée d'organisation porte l'identifiant de son organisation. Un filtre appliqué à toutes les requêtes limite chaque utilisateur à son organisation courante. |
| Chiffrement | Connexions en HTTPS. Clés d'API d'IA chiffrées au repos (AES-256-GCM). Clés privées des organisations chiffrées au repos (AES-256-GCM). Sur option, captures de l'application Cartographe chiffrées sur l'appareil et pendant le transport (AES-256-GCM, clé protégée par RSA-OAEP), puis déchiffrées par le serveur à la synchronisation. |
| Traçabilité | Journal d'audit des actions d'administration sensibles. Journal d'usage de l'IA, sans contenu. Masquage automatique des secrets dans les journaux techniques. |
| Protection des formulaires et des sessions | Jetons anti-falsification de requête sur les actions sensibles. Cookie de session limité au site et, sur connexion sécurisée, à HTTPS. Limitation du nombre d'essais sur certaines opérations. |
| Sauvegardes | Quotidiennes (7 jours), hebdomadaires (4 semaines), mensuelles (12 mois). Copie distante transférée par connexion chiffrée. Procédure de restauration. |
| Badges | Adresse e-mail publiée uniquement sous forme d'empreinte salée. Identifiants publics non devinables. Révocation. |
| Développement | Tests automatisés, dont des tests d'isolation entre organisations et de non-divulgation des clés. Analyse statique du code. Revue des modifications. |
| Fin de contrat | Procédure de suppression d'une organisation avec export préalable ; exclusion des secrets de tout export. |
Annexe 2 — Sous-traitants ultérieurs
| Sous-traitant | Prestation | Données | Localisation et garanties |
|---|---|---|---|
| [à compléter] — [à compléter] | Hébergement de la plateforme. | Toutes les données. | [à compléter] |
| Infomaniak Network SA | Stockage distant des sauvegardes. | Copie de la base de données et des fichiers déposés. | Suisse — décision d'adéquation. |
Sous-traitants ultérieurs d'IA
Ces fournisseurs n'interviennent comme sous-traitants ultérieurs de Since & Co que dans le cas de l'article 8.3, c'est-à-dire pour les traitements lancés par Since & Co avec ses propres comptes, à la demande du responsable de traitement.
| Fournisseur | Traitements | Données transmises | Localisation, transferts, conservation, entraînement |
|---|---|---|---|
| Anthropic (API et outil Claude Code) | Revue IA des fiches, revue des connaissances, glossaire, description et consigne métier, mots-clés, conversion de transcriptions en fiches. | Contenu des fiches d'activité ; texte des transcriptions ; nom, description, thèmes et activités de l'organisation. | Selon les conditions commerciales d'Anthropic applicables au compte de Since & Co, communiquées sur demande. |
| OpenAI (API et outil Codex) | Mêmes traitements rédactionnels, au choix de l'opérateur ; transcription audio à défaut de transcription locale. | Contenu des fiches ; fichiers audio des sessions. | Selon les conditions d'OpenAI applicables au compte de Since & Co, communiquées sur demande. |
| Google (API Gemini) | Mêmes traitements rédactionnels, au choix de l'opérateur ; mots-clés. | Contenu des fiches ; noms des activités. | Selon les conditions de Google applicables au compte de Since & Co, communiquées sur demande. |
| Stability AI | Génération d'images. | Description textuelle saisie. | Selon les conditions de Stability AI applicables au compte de Since & Co, communiquées sur demande. |
Ne sont pas des sous-traitants ultérieurs, faute de recevoir des données personnelles confiées par le responsable de traitement : Hugging Face (téléchargement de modèles exécutés localement), les banques d'images, MyMemory, DiceBear, Lorem Picsum et l'API publique « Recherche d'entreprises ». Ils sont décrits dans la politique de confidentialité.
Coordonnées de l'éditeur : voir les mentions légales.