Contrat de sous-traitance (DPA)

1. Les parties et la conclusion du contrat

Le présent contrat de sous-traitance (les « Clauses ») est conclu entre

Le responsable du traitement : l’entreprise ou l’organisation qui a créé un compte auprès de GoalCube et accepté les conditions générales de GoalCube (le « client »),

et

Le sous-traitant : Goalcube ApS, numéro d’entreprise danois (CVR) 44709805, Ahlmannsvej 19, st., 6400 Sønderborg, Danmark (« GoalCube »).

Les Clauses font partie des conditions générales de GoalCube et sont conclues automatiquement lorsque le client crée un compte ou commence à utiliser GoalCube. Aucune signature n’est requise. Les Clauses sont fondées sur le modèle de contrat de sous-traitance du Datatilsynet, l’autorité danoise de protection des données (clauses contractuelles types adoptées en vertu de l’article 28, paragraphe 8, du règlement (UE) 2016/679, le « RGPD »). Lorsque le modèle prévoit des options, les choix effectués figurent dans les annexes.

2. Préambule

1. Les Clauses définissent les droits et obligations du sous-traitant lorsqu’il effectue un traitement de données à caractère personnel pour le compte du responsable du traitement.
2. Les Clauses ont été conçues pour assurer le respect, par les parties, de l’article 28, paragraphe 3, du RGPD.
3. Le traitement est effectué dans le cadre de la fourniture de GoalCube (GoalCube AI Map, GoalCube Data Vault et GoalCube Human Decision) en application des conditions générales.
4. Les Clauses prévalent sur toute disposition similaire figurant dans d’autres accords entre les parties.
5. Quatre annexes sont jointes aux Clauses et en font partie intégrante :
   • L’annexe A contient des informations détaillées sur le traitement, notamment sa finalité et sa nature, le type de données à caractère personnel, les catégories de personnes concernées et la durée.
   • L’annexe B contient les conditions du responsable du traitement relatives au recours du sous-traitant à des sous-traitants ultérieurs, ainsi qu’une liste des sous-traitants ultérieurs autorisés.
   • L’annexe C contient les instructions du responsable du traitement concernant le traitement, les exigences minimales de sécurité et les modalités de contrôle du sous-traitant et des sous-traitants ultérieurs.
   • L’annexe D contient les dispositions des parties relatives à d’autres questions.
6. Les Clauses et leurs annexes sont conservées sous forme électronique sur goalcube.eu par les deux parties.
7. Les Clauses n’exonèrent pas le sous-traitant des obligations qui lui incombent en vertu du RGPD ou d’autres législations.

3. Droits et obligations du responsable du traitement

1. Le responsable du traitement est tenu de veiller à ce que le traitement des données à caractère personnel s’effectue dans le respect du RGPD (voir article 24), aux dispositions relatives à la protection des données figurant dans d’autres actes du droit de l’Union ou dans le droit national des États membres, ainsi qu’aux Clauses.
2. Le responsable du traitement a le droit et l’obligation de prendre les décisions concernant les finalités et les moyens du traitement des données à caractère personnel.
3. Il incombe au responsable du traitement de s’assurer que le traitement que le sous-traitant est chargé d’effectuer repose sur une base juridique – y compris pour les données que le client importe et pour l’utilisation que le client fait des services d’IA.
4. Le responsable du traitement choisit lui-même le service d’IA que le client connecte à GoalCube (par ex. ChatGPT, Claude, Microsoft 365 Copilot ou Mistral) et conclut lui-même le contrat correspondant. Le service d’IA n’est pas un sous-traitant ultérieur de GoalCube, et le traitement qui y est effectué relève du propre contrat du client avec le fournisseur d’IA.

4. Le sous-traitant agit sur instruction

1. Le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, à moins d’y être tenu en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis. Les instructions sont décrites aux annexes A et C. L’utilisation par le client des fonctionnalités de GoalCube – par ex. l’import de données, le choix de la protection par colonne, les mots secrets, les confirmations et les décisions – constitue également une instruction documentée.
2. Le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction constitue une violation du RGPD ou d’autres dispositions du droit de l’Union ou du droit national des États membres relatives à la protection des données.

5. Confidentialité

1. Le sous-traitant ne donne accès aux données à caractère personnel qu’aux personnes placées sous son autorité qui se sont engagées à respecter la confidentialité ou qui sont soumises à une obligation légale appropriée de confidentialité, et uniquement dans la mesure nécessaire. La liste des personnes ayant accès est réexaminée régulièrement, et l’accès est retiré lorsqu’il n’est plus nécessaire.
2. À la demande du responsable du traitement, le sous-traitant doit pouvoir démontrer que les personnes en question sont soumises à l’obligation de confidentialité susmentionnée.

6. Sécurité du traitement

1. Le sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées en application de l’article 32 du RGPD, compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes physiques.
2. Le sous-traitant évalue de manière autonome les risques et met en œuvre des mesures pour y faire face. Ces mesures sont décrites à l’annexe C.2.
3. Le sous-traitant aide le responsable du traitement à respecter l’obligation qui lui incombe en vertu de l’article 32 du RGPD, notamment en mettant à sa disposition les informations nécessaires à sa propre évaluation des risques.

7. Recours à des sous-traitants ultérieurs

1. Le sous-traitant doit remplir les conditions visées à l’article 28, paragraphes 2 et 4, du RGPD pour recruter un autre sous-traitant (un sous-traitant ultérieur).
2. Le sous-traitant dispose de l’autorisation générale du responsable du traitement pour recourir à des sous-traitants ultérieurs. Le sous-traitant informe par écrit le responsable du traitement de tout changement prévu concernant l’ajout ou le remplacement de sous-traitants ultérieurs, moyennant un préavis d’au moins 14 jours. Cette information est communiquée par e-mail à la personne de contact du compte et sur goalcube.eu/da/databehandleraftale/ (version danoise faisant foi ; également sur goalcube.eu/fr/contrat-de-sous-traitance/). Le responsable du traitement peut formuler des objections pendant ce délai. Si le responsable du traitement formule des objections et que les parties ne parviennent pas à trouver une solution, le responsable du traitement peut résilier le contrat avec effet avant l’entrée en vigueur du changement. La liste des sous-traitants ultérieurs autorisés figure à l’annexe B.
3. Le sous-traitant impose par contrat au sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles prévues par les Clauses, en particulier des assurances appropriées quant aux mesures techniques et organisationnelles.
4. Le sous-traitant veille à ce que le contrat du sous-traitant ultérieur permette au responsable du traitement, en tant que tiers bénéficiaire, de faire valoir ses droits à l’égard du sous-traitant ultérieur en cas de faillite du sous-traitant, dans la mesure où les conditions standard du sous-traitant ultérieur le permettent.
5. Si le sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le sous-traitant demeure pleinement responsable à l’égard du responsable du traitement de l’exécution des obligations du sous-traitant ultérieur, sous réserve toutefois de la limitation de responsabilité prévue à l’annexe D.

8. Transferts vers des pays tiers ou à des organisations internationales

1. Le sous-traitant ne peut transférer des données à caractère personnel vers des pays tiers (pays hors UE/EEE) ou à des organisations internationales que sur instruction documentée du responsable du traitement et dans le respect du chapitre V du RGPD.
2. Les instructions relatives aux transferts figurent à l’annexe C.6. Le responsable du traitement ne peut pas, dans le cadre des Clauses, imposer d’autres transferts au sous-traitant.
3. Lorsque le client connecte lui-même un service d’IA à GoalCube et lui demande de récupérer des données, GoalCube ne communique au service d’IA que des données pseudonymisées, sur instruction du client. Tout transfert éventuel vers un pays tiers au sein du service d’IA relève du propre contrat du client avec le fournisseur d’IA, voir le point 3.4.

9. Assistance au responsable du traitement

1. Compte tenu de la nature du traitement, le sous-traitant aide, dans la mesure du possible, le responsable du traitement, par des mesures techniques et organisationnelles appropriées, à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées prévus au chapitre III du RGPD (information, accès, rectification, effacement, limitation, portabilité des données, opposition et décisions individuelles automatisées). Cette assistance est fournie en premier lieu au moyen des fonctionnalités de GoalCube, voir l’annexe C.3.
2. Le sous-traitant aide en outre le responsable du traitement :
   • à notifier les violations de données à caractère personnel à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après que le responsable du traitement en a pris connaissance, à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits des personnes physiques,
   • à informer les personnes concernées des violations lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits,
   • à réaliser des analyses d’impact relatives à la protection des données (AIPD) et, le cas échéant, des consultations préalables de l’autorité de contrôle.
3. L’assistance allant au-delà des fonctionnalités de GoalCube et des informations publiées par GoalCube est facturée selon l’annexe D.

10. Notification des violations de données à caractère personnel

1. Le sous-traitant informe le responsable du traitement dans les meilleurs délais après avoir pris connaissance d’une violation de données à caractère personnel survenue chez le sous-traitant ou chez un sous-traitant ultérieur.
2. La notification intervient, si possible, au plus tard 48 heures après que le sous-traitant a pris connaissance de la violation, afin que le responsable du traitement puisse respecter son délai de 72 heures.
3. La notification contient, dans la mesure où ces informations sont disponibles : une description de la nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées. S’il n’est pas possible de fournir ces informations en même temps, elles sont communiquées de manière échelonnée dans les meilleurs délais.

11. Effacement et restitution des données

1. Au terme de la prestation de services de traitement de données à caractère personnel, le sous-traitant est tenu de supprimer toutes les données à caractère personnel traitées pour le compte du responsable du traitement et de confirmer au responsable du traitement que les données ont été supprimées. La suppression intervient au plus tard 30 jours après la fin des services, voir l’annexe C.4.
2. Avant la fin des services, le responsable du traitement peut lui-même consulter les données, télécharger des rapports et sauvegarder de la documentation depuis GoalCube (par ex. le rapport destiné à l’autorité de contrôle et à l’auditeur), tant que le compte est actif.
3. Le sous-traitant ne peut pas conserver les données à caractère personnel plus longtemps, sauf si le droit de l’Union ou le droit national l’exige.

12. Audits, y compris inspections

1. Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et des Clauses, et permet la réalisation d’audits, y compris d’inspections, par le responsable du traitement ou par un autre auditeur mandaté par celui-ci, et contribue à ces audits.
2. Les procédures applicables au contrôle du sous-traitant et des sous-traitants ultérieurs par le responsable du traitement figurent aux annexes C.7 et C.8.
3. Le sous-traitant donne accès, sur présentation d’une pièce justificative appropriée, aux autorités de contrôle qui, en vertu de la législation applicable, ont accès aux installations du responsable du traitement et du sous-traitant.

13. Accord des parties sur d’autres questions

1. Les parties peuvent convenir d’autres dispositions relatives au service, par ex. en matière de responsabilité, à condition qu’elles ne contredisent pas, directement ou indirectement, les Clauses et ne portent pas atteinte aux droits fondamentaux de la personne concernée. Ces dispositions figurent à l’annexe D et dans les conditions générales.

14. Entrée en vigueur et résiliation

1. Les Clauses entrent en vigueur lorsque le client crée un compte ou commence à utiliser GoalCube.
2. Chacune des parties peut demander la renégociation des Clauses si des modifications législatives ou des incohérences le justifient. GoalCube peut modifier les Clauses moyennant un préavis d’au moins 14 jours si la modification ne réduit pas la protection des données à caractère personnel ; à défaut, l’accord du client est requis.
3. Les Clauses s’appliquent pendant toute la durée du service de traitement de données à caractère personnel et ne peuvent être résiliées sans que le contrat principal (les conditions générales) prenne fin simultanément.
4. Si la fourniture des services prend fin et que les données à caractère personnel ont été supprimées en application du point 11, chacune des parties peut résilier les Clauses.

15. Personnes de contact

1. Contact du sous-traitant : contact@goalcube.eu.
2. Contact du responsable du traitement : la personne de contact du compte. Le client tient les coordonnées à jour dans GoalCube.

Annexe A – Informations sur le traitement

A.1. Finalité du traitement de données à caractère personnel effectué par le sous-traitant pour le compte du responsable du traitement : Fournir GoalCube : un registre de l’utilisation de l’IA par le client avec une classification au regard du règlement européen sur l’IA (RIA, « AI Act »), une charte IA et une formation à la maîtrise de l’IA (AI Map) ; conserver les données du client dans l’UE, les communiquer sous forme pseudonymisée au service d’IA que le client a connecté et afficher les réponses avec les vraies valeurs dans GoalCube (Data Vault) ; et permettre à une personne de décider des dossiers concernant des personnes, avec journal et horodatage (Human Decision).

A.2. Le traitement de données à caractère personnel effectué par le sous-traitant pour le compte du responsable du traitement porte principalement sur (nature du traitement) : La conservation, la structuration, la pseudonymisation (remplacement des identifiants par des codes), la généralisation (par ex. date de naissance remplacée par une tranche d’âge), la communication de données pseudonymisées au service d’IA du client sur instruction de celui-ci, la retraduction des codes en vraies valeurs dans GoalCube, la journalisation des actions et des décisions, l’envoi d’e-mails par le système ainsi que la suppression.

A.3. Le traitement porte sur les types de données à caractère personnel suivants concernant les personnes concernées : Les données que le client importe ou saisit lui-même dans GoalCube, par ex. nom, coordonnées, numéros d’identification (y compris les numéros CPR, l’identifiant personnel danois), numéros de client et de compte, adresses, informations relatives à l’emploi, CV, demandes de clients, contrats et décisions. Selon les données du client, il peut s’agir de données sensibles (article 9 du RGPD) et de données relatives aux condamnations pénales et aux infractions (article 10 du RGPD). En outre, des informations sur les utilisateurs du client : nom, e-mail, rôle, passkeys et actions dans le système.

A.4. Le traitement porte sur les catégories de personnes concernées suivantes : Les salariés, candidats, clients, membres et fournisseurs du client ainsi que leurs personnes de contact, et les autres personnes sur lesquelles portent les données du client, ainsi que les utilisateurs de GoalCube chez le client.

A.5. Le traitement de données à caractère personnel effectué par le sous-traitant pour le compte du responsable du traitement peut commencer après l’entrée en vigueur des Clauses. Le traitement a la durée suivante : Tant que le client dispose d’un compte chez GoalCube, et jusqu’à ce que les données aient été supprimées en application du point 11 et de l’annexe C.4.

Annexe B – Sous-traitants ultérieurs

B.1. Sous-traitants ultérieurs autorisés À l’entrée en vigueur des Clauses, le responsable du traitement a autorisé le recours aux sous-traitants ultérieurs suivants :

B.2. Préavis pour l’autorisation de sous-traitants ultérieurs Le sous-traitant annonce l’ajout ou le remplacement de sous-traitants ultérieurs au moins 14 jours à l’avance, voir le point 7.2.

Services sans données à caractère personnel. Le système utilise en outre les services suivants, qui ne reçoivent pas de données à caractère personnel et ne sont donc pas des sous-traitants ultérieurs :

Annexe C – Instructions relatives au traitement des données à caractère personnel

C.1. Objet du traitement / instructions Le traitement effectué par le sous-traitant consiste, pour GoalCube, à conserver les données du client dans l’UE, à les pseudonymiser selon les choix effectués par le client (par ex. protection par colonne et mots secrets), à les communiquer sous forme pseudonymisée au service d’IA que le client a connecté lorsque le client ou un utilisateur le demande, à afficher les réponses de l’IA avec les vraies valeurs dans GoalCube et à journaliser les confirmations et les décisions. GoalCube n’utilise pas les données du client à d’autres fins, ne les vend pas et ne les utilise pas pour entraîner des modèles d’IA.

C.2. Sécurité du traitement Le niveau de sécurité tient compte du fait que le traitement peut porter sur des données sensibles et sur des données relatives aux relations de travail. Le sous-traitant a mis en œuvre les mesures suivantes :

• Les données sont chiffrées pendant le transfert (HTTPS/TLS).
• Les données clients sont stockées dans l’UE chez Clever Cloud. En production, le système ne démarre pas sans stockage durable dans l’UE.
• Les services d’IA que le client connecte ne reçoivent que des pseudonymes – jamais de noms, d’e-mails, de numéros d’identification, de téléphone ou de compte, d’adresses ni les mots secrets du client.
• Les fichiers importés ne sont pas conservés ; seul le texte extrait, que le client a lui-même choisi d’enregistrer comme jeu de données, l’est.
• Les décisions, confirmations et modifications sont enregistrées dans un journal d’audit avec des sommes de contrôle (chaîne de hachage) et des horodatages indépendants.
• Les mots secrets ne sont jamais enregistrés dans le journal d’audit.
• Les pages ne chargent aucun fichier depuis des tiers (par exemple des polices Google), et le système ne dépose aucun cookie de suivi.
• Les e-mails adressés à GoalCube qui demandent une réponse humaine sont lus et traités dans GoalCube. Le salarié reçoit seulement une notification sans contenu dans sa propre messagerie.
• Les clés d’accès ne sont pas écrites dans le journal du serveur.
• Seuls les salariés de GoalCube qui en ont besoin ont accès à l’hébergement et aux données, et ils sont tenus au secret.

À chaque modification du système, le contrôle interne de GoalCube vérifie que le code respecte les mesures et les listes figurant dans le présent contrat.

C.3. Assistance au responsable du traitement Le sous-traitant assiste le responsable du traitement au titre des points 9.1 et 9.2 de la manière suivante :

• Le client peut lui-même, dans GoalCube, consulter ses données et les vraies valeurs derrière chaque pseudonyme, supprimer les jeux de données importés, retirer des mots secrets et télécharger le rapport destiné à l’autorité de contrôle et à l’auditeur.
• Le journal d’audit et l’historique (par ex. décisions, rapports et mots secrets retirés) ne peuvent pas être modifiés ou supprimés entrée par entrée, car ils doivent pouvoir prouver ce qui s’est passé. Ils sont supprimés à la fin du contrat. Si un élément doit être supprimé plus tôt, par ex. à la suite d’une demande d’une personne concernée, cela se fait en accord avec GoalCube.
• Les demandes que le client ne peut pas traiter lui-même dans le système sont adressées à contact@goalcube.eu, et GoalCube y répond dans les meilleurs délais.
• En cas de violation de données à caractère personnel, GoalCube fournit les informations mentionnées au point 10.3.

C.4. Durée de conservation / procédure de suppression

• Les données du client sont conservées jusqu’à ce que le client les supprime lui-même ou que le contrat prenne fin.
• Lorsque le client supprime un jeu de données importé dans GoalCube, le jeu de données est supprimé immédiatement. Les rapports établis à partir du jeu de données ne contiennent que des pseudonymes et sont conservés dans l’historique jusqu’à la fin du contrat.
• Les fichiers importés (par ex. PDF et Word) ne sont pas conservés ; seul est conservé le texte que le client choisit d’enregistrer comme jeu de données.
• L’historique et le journal d’audit sont conservés pendant toute la durée du contrat, voir C.3.
• À la fin du contrat, toutes les données du client, y compris le journal d’audit, sont supprimées au plus tard 30 jours après la fin du contrat, sauf si la législation en exige la conservation. Les copies figurant dans les sauvegardes de l’hébergeur sont supprimées à l’expiration de ces sauvegardes chez l’hébergeur.
• Les e-mails que le client ou ses utilisateurs envoient au support de GoalCube ne sont pas soumis au délai ci-dessus. Ils sont supprimés automatiquement 24 mois après leur réception – ou plus tôt si le client le demande.

C.5. Lieu du traitement Le traitement des données à caractère personnel couvertes par les Clauses ne peut, sans l’autorisation écrite préalable du responsable du traitement, être effectué en d’autres lieux que : Clever Cloud SAS, Région de Paris (zone Clever Cloud « par »), France, ainsi que chez les sous-traitants ultérieurs figurant à l’annexe B, aux emplacements qui y sont indiqués.

C.6. Instructions relatives au transfert de données à caractère personnel vers des pays tiers Le sous-traitant ne transfère pas les données à caractère personnel du client vers des pays tiers, à une seule exception près : si le client ou ses utilisateurs envoient un e-mail à GoalCube, celui-ci peut contenir des données à caractère personnel. Avant que l’assistant de messagerie de GoalCube ne rédige un projet de réponse, GoalCube remplace automatiquement, dans l’UE, les noms, e-mails, numéros de téléphone, d’identification et de compte ainsi que les noms d’entreprises par des codes. Les noms figurant dans le texte libre sont repérés à l’aide de listes de noms et de modèles, si bien qu’un nom rare peut exceptionnellement passer. Seul le texte pseudonymisé est envoyé à Anthropic aux États-Unis, sur la base des clauses contractuelles types de l’UE. Les demandes portant sur des questions juridiques, des réclamations, des paiements et des droits sont traitées par une personne.

Les transferts qui ont lieu parce que le client demande lui-même à son service d’IA de récupérer des données dans GoalCube sont effectués sur instruction du client et relèvent du propre contrat du client avec le fournisseur d’IA, voir le point 8.3.

Si le responsable du traitement ne donne pas, dans les Clauses ou ultérieurement, d’instruction documentée concernant le transfert de données à caractère personnel vers un pays tiers, le sous-traitant n’est pas autorisé à effectuer de tels transferts dans le cadre des Clauses.

C.7. Procédures applicables aux audits, y compris les inspections, réalisés par le responsable du traitement concernant le traitement des données à caractère personnel confié au sous-traitant À la demande du responsable du traitement, et au maximum une fois par an, le sous-traitant établit un rapport écrit sur le respect des Clauses (autocontrôle). Le responsable du traitement peut en outre, à ses frais, réaliser ou faire réaliser par un auditeur indépendant une inspection, si un motif concret le justifie, moyennant un préavis d’au moins 30 jours et au maximum une fois par an. L’inspection est organisée de manière à ne pas donner accès aux données d’autres clients. Le temps consacré par le sous-traitant est facturé selon l’annexe D.

C.8. Procédures applicables aux audits, y compris les inspections, concernant le traitement des données à caractère personnel confié aux sous-traitants ultérieurs Au moins une fois par an, le sous-traitant examine la documentation propre des sous-traitants ultérieurs en matière de sécurité du traitement (par ex. certifications, rapports d’audit, contrats de sous-traitance et listes de sous-traitants ultérieurs) et évalue s’ils continuent de respecter leurs obligations. Le résultat est intégré au rapport visé au point C.7.

Annexe D – Dispositions des parties relatives à d’autres questions

1. Responsabilité. La responsabilité des parties au titre des Clauses est soumise à la limitation de responsabilité prévue dans les conditions générales, dans la mesure où cela est compatible avec les articles 82 et 83 du RGPD.
2. Rémunération de l’assistance. L’assistance qui peut être fournie au moyen des fonctionnalités de GoalCube et la notification des violations sont gratuites. Toute autre assistance au titre du point 9 et les audits au titre du point 12 sont facturés au temps passé, au taux horaire en vigueur de GoalCube, communiqué à l’avance.
3. Ordre de priorité. En cas de contradiction, les Clauses prévalent sur les conditions générales pour ce qui concerne le traitement des données à caractère personnel.
4. Droit applicable et juridiction compétente. Ils sont déterminés par les conditions générales.

Voir aussi : Politique de confidentialité · Conditions générales · Politique cookies