Article 1 : Objet
Le présent accord précise les conditions dans lesquelles SELERE (ci-après le « Sous-traitant »), en exécution des Conditions Générales de Vente et d'Utilisation conclues avec le Client (ci-après le « Responsable de traitement »), s'engage à effectuer pour le compte du Responsable de traitement les opérations de traitement de données à caractère personnel décrites ci-après, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).
Article 2 : Description des traitements
Nature des opérations : hébergement, stockage, mise à disposition via la plateforme SaaS SELERE, sauvegarde, et le cas échéant traitement par un modèle d'intelligence artificielle pour les fonctionnalités d'aide à la rédaction.
Finalité : fourniture du logiciel de gestion HSE (Document Unique, plan d'action, accidents du travail, formations, équipements) tel que décrit dans les CGV.
Catégories de personnes concernées : utilisateurs du Client (salariés habilités à utiliser la plateforme) et, le cas échéant, salariés du Client dont les données (nom, poste, effectif) sont lues en lecture seule depuis le logiciel RH du Client si cette intégration optionnelle est activée.
Catégories de données : identité, coordonnées professionnelles, données relatives à la sécurité et aux conditions de travail (risques professionnels, accidents du travail, formations suivies). Aucune donnée bancaire n'est traitée par SELERE (le paiement est géré directement par Stripe).
Article 3 : Obligations du Sous-traitant
SELERE s'engage à :
- Traiter les données uniquement sur instruction documentée du Responsable de traitement, y compris en ce qui concerne les transferts vers un pays tiers ;
- Garantir la confidentialité des personnes autorisées à traiter les données ;
- Mettre en œuvre les mesures de sécurité prévues à l'article 32 du RGPD (chiffrement en transit TLS, authentification par jeton, isolation logique des données par client) ;
- Ne recourir à un autre sous-traitant qu'avec l'autorisation préalable, écrite, générale ou spécifique, du Responsable de traitement — la liste actuelle figure à l'article 4 ;
- Aider le Responsable de traitement à répondre aux demandes d'exercice des droits des personnes concernées ;
- Notifier au Responsable de traitement toute violation de données dans un délai maximum de 72 heures après en avoir eu connaissance ;
- Supprimer ou restituer les données au terme de la prestation, selon les modalités de l'article 8 des CGV ;
- Mettre à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations.
Article 4 : Sous-traitants ultérieurs autorisés
Le Responsable de traitement autorise par avance SELERE à recourir aux sous-traitants ultérieurs suivants :
- Stripe Payments Europe Ltd — traitement des paiements
- Resend — envoi des emails transactionnels
- IONOS SE — hébergement des serveurs (Union Européenne)
- Scaleway — hébergement du modèle d'intelligence artificielle (France)
SELERE informera le Responsable de traitement de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, lui donnant la possibilité d'émettre des objections.
Article 5 : Sécurité et confidentialité
SELERE met en œuvre les mesures techniques et organisationnelles décrites dans sa politique de confidentialité. Les données sont hébergées exclusivement au sein de l'Union Européenne.
Article 6 : Durée et sort des données
Le présent accord s'applique pendant toute la durée de l'abonnement du Client, et jusqu'à la suppression définitive des données conformément à l'article 8 des CGV (60 jours après la fin de l'accès effectif, sauf export préalable par le Client).
Article 7 : Responsabilité
Chaque partie est responsable des dommages causés par un manquement aux obligations lui incombant au titre du RGPD, dans les conditions et limites prévues aux articles 7 et 82 du RGPD et à l'article 7 des CGV.