Le cadre du traitement des données professionnelles
L’accord de traitement des données, ou DPA, encadre les opérations réalisées par Percuto en qualité de sous-traitant pour ses clients professionnels. Il précise les instructions du client, les catégories de données et de personnes concernées, les obligations de confidentialité, la sécurité, l’assistance et le sort des données.
Cette page reprend l’annexe 3 des conditions générales de vente, sans constituer un accord distinct. Elle conserve son statut de projet tant que les informations contractuelles et les annexes opérationnelles restent à compléter. Sa consultation ne vaut pas acceptation d’un nouveau contrat ni entrée en vigueur de nouvelles conditions.
Retrouver le DPA dans l’annexe 3 des CGV.
Référence : article 28 du RGPD, publié par la CNIL.
A Objet et instructions
Le client est responsable des traitements RH dont il détermine les finalités et moyens essentiels. Percuto est sous-traitant pour les opérations nécessaires au service commandé : collecte sur instruction, enregistrement, organisation, hébergement, consultation autorisée, extraction OCR, calcul, restitution, export et effacement. Les données sont traitées pendant le contrat puis les opérations de sortie et de suppression convenues, sous réserve des obligations légales.
Les personnes concernées peuvent être les salariés, candidats, anciens salariés, contacts professionnels, personnes à prévenir et autres personnes dont le client doit légitimement gérer les informations. Les catégories autorisées correspondent aux modules activés : identité et coordonnées, emploi et contrats, horaires, absences, rémunération et variables, documents, candidatures, validations et traces nécessaires. Les données sensibles ou le NIR sont limités aux cas licites et nécessaires expressément documentés ; un dossier médical complet n’est pas collecté par défaut.
Les instructions documentées résultent de la commande, des réglages licites, des actions des personnes habilitées et des demandes complémentaires convenues. Percuto ne modifie pas une finalité, ne vend pas les données et ne les réutilise pas pour sa prospection ou l’entraînement d’un modèle. Une instruction qui paraît contraire au droit des données est signalée immédiatement ; une mesure proportionnée peut suspendre le seul traitement illicite.
B Obligations du client
Le client détermine les bases juridiques, informe les personnes, organise leurs droits, limite les données, qualifie les contrôles des salariés et fixe les durées de conservation adaptées. Il ne choisit pas une conservation maximale uniquement parce que le logiciel l’autorise. Il fournit les instructions et habilitations à jour et apprécie la nécessité d’une analyse d’impact.
La légalité de la finalité du client ne dispense pas Percuto de respecter ses obligations propres. Le client n’est pas réputé avoir audité ou accepté une sécurité insuffisante par la seule signature de cet accord.
C Confidentialité et mesures de sécurité
Les personnes autorisées par Percuto sont soumises à une obligation de confidentialité et à des accès limités à leurs missions. L’accès d’assistance est justifié, autorisé ou fondé sur une nécessité légale ou de sécurité, limité dans le temps et journalisé selon le dispositif effectivement mis en œuvre. Il ne constitue pas un droit de consultation libre des dossiers.
L’annexe technique à compléter précise au minimum : pays et lieux d’hébergement, séparation des organisations et comptes personnels, gestion des accès et révocations, chiffrement réellement actif et gestion des clés, journalisation, sauvegardes et restauration, mises à jour, gestion des incidents, reprise et effacement. Aucun chiffrement intégral, fréquence de sauvegarde, RPO, RTO, certification ou durée d’archivage non vérifiés n’est réputé acquis.
La messagerie applicative et l’OCR sont exploités sur les serveurs Percuto hébergés chez IONOS, selon la déclaration de l’exploitant. Les flux RH ne sont pas dirigés vers Mailjet pour de la prospection. Un changement impliquant un autre destinataire de données RH suit la procédure de sous-traitance et l’instruction applicable.
D Sous-traitants ultérieurs et transferts
Le client donne une autorisation générale écrite pour les seuls sous-traitants ultérieurs figurant dans la liste annexée et acceptée avant activation. La liste initiale comprend IONOS pour l’infrastructure, sous l’identité juridique et dans les pays à confirmer au contrat. Une marque commerciale ne suffit pas à identifier l’entité et ses lieux de traitement.
Les changements prévus sont notifiés au moins trente jours avant leur entrée en vigueur, sauf urgence légalement justifiée traitée avec une information adaptée. Le client peut présenter des objections motivées relatives à la protection des données. Les parties recherchent une solution ; si elle est impossible, le service concerné peut prendre fin sans imposer le nouveau sous-traitant ni neutraliser les droits applicables.
Percuto impose au sous-traitant ultérieur les obligations requises et demeure responsable envers le client de l’exécution de ces obligations dans les conditions du RGPD. Les transferts hors EEE ne sont réalisés que sur instruction ou obligation légale et avec les garanties du chapitre V, évaluations et mesures supplémentaires requises. Une région commerciale européenne n’exclut pas à elle seule un accès depuis un pays tiers.
Mailjet intervient, selon les traitements, pour la propre prospection de Percuto ; Viva.com réalise les paiements et ses traitements réglementaires. Ils ne sont pas présentés automatiquement comme sous-traitants RH du client. Leur rôle exact et les données transmises sont décrits dans la politique de confidentialité et les contrats pertinents.
E Droits et assistance
Percuto aide le client à répondre aux demandes d’exercice des droits en tenant compte des fonctions disponibles. Une demande reçue directement et relevant du client lui est transmise sans réponse de fond non autorisée, sauf obligation légale. L’assistance couvre aussi, dans la mesure requise, la sécurité, les analyses d’impact et les consultations préalables.
Les demandes raisonnablement nécessaires sont traitées avec diligence. Une assistance exceptionnelle peut faire l’objet d’un devis préalable pour ses travaux distincts, sans conditionner une obligation légale, une notification urgente ou l’exercice d’un droit impératif à l’acceptation de frais indus.
F Violations de données
Percuto informe le client sans délai indu après avoir pris connaissance d’une violation de données relevant de cet accord. Une première information peut être complétée progressivement. Elle précise, selon ce qui est connu, la nature de l’incident, les catégories et volumes approximatifs, les conséquences probables, les mesures prises ou envisagées et un point de contact.
Percuto documente l’incident, limite ses effets et coopère. Le délai de soixante-douze heures applicable à certaines notifications du responsable à l’autorité n’est pas présenté comme un délai automatiquement disponible au sous-traitant pour prévenir le client.
G Vérification et audit
Percuto met à disposition les informations nécessaires pour démontrer le respect de ses obligations. Le client peut effectuer ou faire effectuer un audit proportionné, selon un préavis et des conditions de confidentialité et de sécurité raisonnables, sans accès aux données d’autres clients ni aux secrets non nécessaires. Les demandes d’une autorité et les urgences justifiées restent réservées.
Les audits documentaires peuvent être privilégiés lorsque suffisants ; ils ne rendent pas impossible un audit nécessaire. Le coût, la fréquence ou un accord préalable ne peuvent priver de substance le droit prévu par l’article 28 du RGPD.
H Sort des données
À la fin de la prestation, les données sont restituées ou supprimées au choix du client dans les conditions légales, avec suppression des copies sauf conservation imposée par le droit. Les délais de récupération du règlement sur les données et les droits propres des personnes sont préservés. Les sauvegardes résiduelles sont isolées, non utilisées à d’autres fins et effacées selon le cycle documenté [CYCLE DES SAUVEGARDES À CONFIRMER]. Une restauration ne réintroduit pas durablement des données devant être effacées.
Les dossiers de l’employeur ne sont pas confondus avec les comptes et documents personnels indépendants, pour lesquels Percuto agit selon son propre rôle. Les conservations probatoires ou obligatoires sont limitées aux données nécessaires et aux durées justifiées. La durée de validité d’un lien ou d’une session n’est pas une durée de suppression des données en base.
I Fiche d’exécution à compléter
Contact protection des données du client : [CONTACT]. Contact Percuto : contact@percuto.fr. Modules et catégories particulières : [PÉRIMÈTRE]. Hébergeur IONOS, entité et pays : [À CONFIRMER]. Accès à distance et transferts : [INVENTAIRE]. Mesures de sécurité actives : [ANNEXE TECHNIQUE]. Sauvegardes et purge : [CYCLE]. Durées par catégorie : [POLITIQUE DU CLIENT ET CAPACITÉS VÉRIFIÉES]. Formats et procédure de restitution : [REGISTRE DE RÉVERSIBILITÉ].
Contacter Percuto au sujet de la protection des données.
Ces renseignements sont des prérequis opérationnels à compléter avant traitement réel ; l’accord ne prouve pas qu’une mesure est déjà déployée ou qu’une purge a été exécutée.