Accord de traitement des données

1. Parties et rôles

Le présent accord est conclu entre l'organisation titulaire d'un espace professionnel sur Personarium (le « Client », responsable du traitement) et Digicreon, association déclarée, régie par la loi du 1er juillet 1901, RNA W941020082, SIREN 131 727 067, 19 bis rue Victor Hugo, 94220 Charenton-le-Pont, France (le « Sous-traitant »), pour les traitements de données personnelles que le Sous-traitant réalise pour le compte du Client dans le cadre du Service.

Le Client détermine seul les finalités de ces traitements : il décide à qui il demande de passer un test, lequel, et ce qu'il fait des résultats. Le Sous-traitant traite ces données uniquement pour fournir le Service, selon les instructions documentées du Client, qui s'expriment par l'utilisation des fonctions de l'espace professionnel et par les présentes.

Le Sous-traitant demeure responsable du traitement, sous sa propre politique de confidentialité, pour les comptes personnels des utilisateurs du site (y compris le compte personnel créé pour un bénéficiaire lors de sa première connexion) et pour les tests passés par une personne à sa propre initiative. Ces traitements ne relèvent pas du présent accord.

2. Description du traitement

• Objet : mise à disposition d'un espace en ligne permettant au Client de faire passer des tests de personnalité à des bénéficiaires, de consulter les résultats, de produire des rapports et de suivre ses accompagnements.
• Nature : collecte, enregistrement, conservation, consultation, mise à disposition du Client, envoi d'e-mails, calcul de résultats, production de documents, effacement.
• Finalité : celle poursuivie par le Client dans son activité (accompagnement, bilan, coaching, formation, recrutement, développement des équipes).
• Durée : la durée d'utilisation du Service par le Client, jusqu'à la suppression des données par le Client ou la clôture de l'espace.
• Personnes concernées : les bénéficiaires auxquels le Client demande de passer un test ; les membres de l'équipe du Client.
• Catégories de données : adresse e-mail et, le cas échéant, nom des bénéficiaires ; tests demandés, dates, état (en attente, terminé, refusé), relances ; résultats de tests (scores par dimension, profils, adéquation à un profil cible) ; appartenance à des groupes ; pour l'équipe, adresse e-mail et rôle. Aucune donnée dite sensible au sens de l'article 9 du RGPD n'est demandée. Les résultats de tests de personnalité ne sont pas des données de santé ; ils sont néanmoins traités avec les mêmes précautions.

3. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• ne traiter les données que pour fournir le Service et sur instruction du Client, et informer le Client si une instruction lui paraît contraire au RGPD ;
• garantir la confidentialité des données : seules les personnes habilitées de Digicreon, tenues à une obligation de confidentialité, y accèdent, dans la mesure nécessaire à l'exploitation et au support ;
• mettre en œuvre les mesures de sécurité décrites à l'article 6 ;
• aider le Client à répondre aux demandes d'exercice de droits des personnes concernées : le bénéficiaire dispose d'un accès direct à ses résultats depuis son compte, peut refuser un test et quitter le suivi d'une organisation, ce qui efface les données le concernant chez le Client ; toute demande reçue directement par le Sous-traitant est transmise au Client sans délai ;
• notifier au Client, dans les meilleurs délais après en avoir pris connaissance, toute violation de données personnelles le concernant, avec les informations disponibles sur la nature de la violation, les données et personnes concernées, les conséquences probables et les mesures prises ;
• aider le Client, dans la mesure du raisonnable et compte tenu des informations dont il dispose, à réaliser une analyse d'impact et à consulter l'autorité de contrôle si nécessaire ;
• supprimer les données à la fin du traitement, selon l'article 7 ;
• mettre à la disposition du Client les informations nécessaires pour démontrer le respect des présentes, selon l'article 8.

4. Obligations du Client

Le Client s'engage à : disposer d'une base légale pour les traitements qu'il réalise ; informer les bénéficiaires, avant l'envoi d'un test, de la finalité du test, des destinataires des résultats et de leurs droits ; ne saisir dans le Service que les données nécessaires ; régler les droits d'accès de son équipe (rôles, visibilité) de façon que seules les personnes qui en ont besoin accèdent aux résultats ; supprimer les fiches et résultats dont il n'a plus besoin ; respecter les obligations qui lui incombent au titre du Code du travail lorsque les tests sont utilisés en recrutement ou auprès de salariés.

5. Sous-traitants ultérieurs et transferts

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs suivants, qui n'ont accès qu'aux données strictement nécessaires à leur prestation :

• OVH SAS, Roubaix, France : hébergement des serveurs et des données. Les e-mails transactionnels (invitations, relances, liens de connexion) sont envoyés depuis ces serveurs. Données hébergées en France.
• Brevo, Paris, France : e-mails d'accompagnement adressés aux membres de l'équipe du Client (adresse e-mail et indicateurs d'usage de l'espace). Brevo ne reçoit aucune donnée de bénéficiaire ni aucun résultat de test.
• Plausible Insights OÜ, Union européenne : mesure d'audience du site sans cookie ni donnée personnelle.
• Stripe Payments Europe Ltd, Dublin, Irlande, à l'ouverture du paiement en ligne : encaissement des achats et facturation. Stripe traite les données de l'acheteur (membre de l'équipe du Client), jamais celles des bénéficiaires.

Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes aux présentes et reste responsable envers le Client de leur exécution. Tout ajout ou remplacement d'un sous-traitant ultérieur est annoncé au Client par e-mail avant sa mise en œuvre ; le Client peut s'y opposer par écrit et, à défaut de solution, résilier son espace.

Les données sont traitées et hébergées dans l'Union européenne. Seul Stripe, dont la maison mère est établie aux États-Unis, est susceptible de transférer des données hors de l'Union, dans le cadre des clauses contractuelles types de la Commission européenne et de ses propres engagements.

6. Mesures de sécurité

• Chiffrement des échanges entre les utilisateurs et le Service (HTTPS, TLS).
• Authentification par lien à usage unique envoyé par e-mail ; aucun mot de passe n'est stocké.
• Cloisonnement des données par organisation ; au sein d'une organisation, accès aux résultats selon les rôles (administrateur, référent) et la règle de visibilité choisie par le Client.
• Lien personnel à jeton aléatoire pour chaque test envoyé à un bénéficiaire ; aucun résultat demandé par une organisation n'est accessible par lien public.
• Accès aux serveurs restreint aux personnes habilitées, hébergement en France, mises à jour de sécurité régulières, journalisation des accès techniques.
• Séparation entre les résultats nominatifs et les réponses conservées à des fins statistiques, ces dernières étant anonymisées à la source (sans lien avec la personne, le compte, le résultat ni l'organisation, date arrondie au jour).

7. Sort des données à la fin du traitement

Le Client peut, à tout moment, supprimer une fiche de bénéficiaire : ses tests demandés et les résultats correspondants sont effacés. À la clôture de l'espace, à la demande du Client, l'ensemble des données traitées pour son compte est supprimé dans les trente jours, sauf obligation légale de conservation (pièces de facturation). Avant cette suppression, le Client peut télécharger les rapports de ses bénéficiaires depuis son espace.

La suppression des données par le Client n'affecte pas le compte personnel du bénéficiaire, dont Digicreon est responsable du traitement, ni les vecteurs de réponses anonymes, qui ne constituent pas des données personnelles.

8. Documentation et audit

Le Sous-traitant tient à la disposition du Client la documentation nécessaire pour démontrer le respect des présentes (description des traitements, mesures de sécurité, liste des sous-traitants ultérieurs) et répond à toute question écrite du Client dans un délai raisonnable. Le Client peut, une fois par an au plus et moyennant un préavis de trente jours, faire procéder à un audit du respect des présentes, à ses frais, par lui-même ou par un tiers indépendant tenu à la confidentialité, selon des modalités convenues ensemble et n'exposant pas les données d'autres organisations.

9. Durée, responsabilité et droit applicable

Le présent accord s'applique pendant toute la durée d'utilisation du Service par le Client et jusqu'à la suppression des données. La responsabilité de chaque partie au titre des présentes s'exerce dans les conditions de l'article 9 des CGV et des articles 82 et suivants du RGPD. L'accord est régi par le droit français.