Contrat de sous-traitance des données

1. Objet, rôles et durée

L’organisation cliente est responsable du traitement. Aimen EL HOUSSEINI, entrepreneur individuel exerçant sous le nom RH Pilot, est sous-traitant pour les données RH confiées au service. Ce contrat fait partie des conditions d’utilisation et de vente. Il s’applique pendant la fourniture du service et les opérations de restitution, de suppression ou de conservation convenues.

2. Traitements confiés

RH Pilot collecte, enregistre, organise, conserve et restitue les informations nécessaires au suivi RH, aux parcours, aux absences, aux documents, à l’espace salarié et, pour les organisations invitées, au calcul et au pré-contrôle de paie. Les personnes concernées sont les salariés, anciens salariés, membres de l’organisation et personnes autorisées par le client.

Les données comprennent l’identité, les coordonnées, le contrat, les horaires, les absences, les éléments de rémunération, le taux de prélèvement, le NIR chiffré lorsque requis, les documents et justificatifs. Les justificatifs d’absence peuvent contenir des données de santé. Le client limite les données saisies à ce qui est nécessaire ; aucun diagnostic médical n’est demandé.

3. Instructions et confidentialité

RH Pilot traite ces données uniquement sur les instructions documentées du client : configuration du service, actions de ses personnes autorisées et demandes écrites à contact@rhpilot.fr. Il n’utilise pas les données pour son propre compte, la publicité ou l’entraînement de modèles. Les personnes ayant accès sont soumises à la confidentialité et n’accèdent qu’aux données nécessaires à leur mission.

RH Pilot informe le client si une instruction lui paraît contraire au RGPD. Une obligation légale de communiquer ou transférer des données est signalée avant son exécution, sauf interdiction légale.

4. Mesures de sécurité

Les accès sont authentifiés et contrôlés par organisation et par rôle. Les communications sont protégées par TLS. Les NIR sont chiffrés avant stockage ; les nouveaux documents utilisent un chiffrement applicatif AES-256-GCM lorsque la clé de chiffrement documentaire est configurée. Les documents antérieurs ne sont pas automatiquement rechiffrés. Les publications et téléchargements sont journalisés. Le client retire les accès devenus inutiles et informe les salariés.

RH Pilot maintient les mesures techniques adaptées au risque, surveille les incidents et documente les corrections. Le chiffrement applicatif ne constitue pas un chiffrement de bout en bout.

5. Sous-traitants ultérieurs et transferts

Le client autorise les prestataires listés dans la politique de confidentialité : Vercel, Neon, Clerk, Anthropic, Resend et Stripe pour leurs fonctions respectives. Stripe peut également agir comme responsable distinct pour ses obligations propres. Vercel Analytics intervient seulement si le visiteur accepte la mesure d’audience.

RH Pilot impose aux sous-traitants des obligations de protection adaptées aux traitements confiés et reste responsable envers le client de leur exécution. Tout ajout ou remplacement est annoncé au moins trente jours à l’avance. Le client peut présenter une objection motivée ; les parties recherchent une solution, ou mettent fin au traitement concerné si aucune solution n’est possible.

La base RH est configurée à Francfort. Certains prestataires sont établis aux États-Unis et peuvent y traiter des données. Tout transfert hors Espace économique européen doit être encadré par un mécanisme valide, notamment des clauses contractuelles types ou une décision d’adéquation applicable au destinataire. Une région européenne ne suffit pas à exclure tout transfert.

6. Droits, incidents et assistance

RH Pilot transmet au client les demandes des salariés reçues directement et l’aide à répondre aux demandes d’accès, rectification, effacement, limitation et portabilité. Il aide également le client pour les analyses d’impact, les consultations préalables et les obligations de sécurité, compte tenu des informations disponibles.

Une violation de données est notifiée au client sans délai injustifié après sa découverte, avec les informations disponibles : nature de l’incident, personnes et données concernées, conséquences probables, mesures prises et contact de suivi. Les informations sont complétées progressivement. Le client reste chargé des notifications à l’autorité et aux personnes concernées.

7. Restitution et suppression

À la fin de la prestation, le client choisit la restitution ou la suppression des données par instruction écrite. RH Pilot exécute cette instruction dans un délai convenu, cible de trente jours, et confirme le résultat. Les copies et sauvegardes suivent leur cycle de suppression ; les exceptions de conservation légale sont précisées au client, avec accès restreint.

Les bulletins déjà remis et leurs preuves de publication suivent les obligations de disponibilité décrites dans les CGU. Le client distingue ces documents des autres données à supprimer ; les archives et les comptes salariés sont traités séparément afin de préserver les droits des salariés.

8. Informations et audit

RH Pilot met à disposition les informations nécessaires pour démontrer le respect de l’article 28 et permet les audits du client ou de son auditeur indépendant. Les modalités sont convenues pour protéger les autres clients et la sécurité du service ; elles ne font pas obstacle aux contrôles d’une autorité compétente.