Accord de sous-traitance des données personnelles
Version du 13/10/2026. Annexe aux conditions générales de vente et d'utilisation, acceptée avec elles.
En bref. Quand vous déposez les CV de vos salariés ou d'autres documents contenant des données personnelles, c'est votre entreprise qui en est responsable. Nous les traitons uniquement pour vous rendre le service, nous les protégeons, nous vous prévenons en cas d'incident et nous les supprimons quand vous partez.
1. Les parties et l'objet
Le présent accord est conclu entre le Client, responsable du traitement, et Michel PIERRE EI, nom commercial NAOULA, SIREN 533 220 646, éditeur de Prêt à Déposer, sous-traitant au sens de l'article 28 du règlement (UE) 2016/679 (RGPD). Il encadre les traitements de données personnelles que le sous-traitant réalise pour le compte du Client dans le cadre du service.
2. Description du traitement
| Objet | Préparer et suivre des réponses à des marchés publics : analyse des pièces, rédaction du mémoire technique et de ses annexes, formulaires de candidature, dossier de réponse. |
|---|---|
| Nature des opérations | Hébergement, consultation, analyse et mise en forme, y compris par un modèle d'intelligence artificielle, génération de documents, sauvegarde, suppression. |
| Personnes concernées | Salariés, dirigeants, sous-traitants et interlocuteurs du Client ; interlocuteurs des acheteurs publics. |
| Catégories de données | Identité et coordonnées professionnelles, fonction, parcours, diplômes, qualifications et habilitations, expérience, photographie éventuelle, date de naissance et nationalité si le Client les renseigne dans un CV, références de chantiers. Le Client s'engage à ne pas déposer de données sensibles (santé, opinions, origine…) ni de numéro de sécurité sociale. |
| Durée | Durée du contrat, puis 30 jours au plus pour la restitution et la suppression. |
3. Engagements du sous-traitant
- Ne traiter les données que sur instruction documentée du Client, constituée par les présentes conditions et par l'usage qu'il fait du service ; informer le Client si une instruction lui paraît contraire à la réglementation.
- Ne pas utiliser les données pour son propre compte, ni pour entraîner un modèle d'intelligence artificielle, ni pour sa communication.
- Garantir que toute personne autorisée à accéder aux données est tenue à la confidentialité. À ce jour, seul l'éditeur y a accès.
- Mettre en œuvre les mesures de sécurité décrites à l'article 5.
- Aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice de droits des personnes, à réaliser une analyse d'impact si elle est nécessaire et à respecter ses obligations de sécurité.
- Notifier au Client toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations utiles pour qu'il puisse, le cas échéant, la déclarer à la CNIL.
- Tenir un registre des traitements effectués pour le compte de ses clients.
- Mettre à disposition du Client les informations nécessaires pour démontrer le respect du présent accord et permettre des vérifications, à ses frais et moyennant un préavis raisonnable.
4. Sous-traitants ultérieurs
Le Client autorise le recours aux sous-traitants suivants :
| Sous-traitant | Prestation | Lieu |
|---|---|---|
| Hostinger International Limited (Chypre) | Hébergement des données et des documents | Allemagne (Francfort) |
| Anthropic Ireland, Limited (Irlande) | Traitement par intelligence artificielle des documents et textes nécessaires à l'opération lancée par le Client ; interdiction contractuelle d'entraîner ses modèles sur ces contenus | Hors Union européenne, notamment États-Unis, sous clauses contractuelles types de la Commission européenne (modules 2 et 3) ; suppression par Anthropic sous 30 jours, sauf signalement de sécurité (2 ans au plus) ou obligation légale |
| IONOS SE (Allemagne) | Envoi des courriels de service | Union européenne |
Le sous-traitant impose à chacun des obligations de protection équivalentes. Il informe le Client par courriel de tout ajout ou remplacement au moins 30 jours à l'avance ; le Client peut s'y opposer en résiliant sans frais avant la date d'effet.
5. Mesures de sécurité
- Chiffrement des échanges (HTTPS).
- Cloisonnement des données par entreprise, contrôlé à chaque requête.
- Mots de passe enregistrés sous forme chiffrée irréversible ; limitation des tentatives de connexion.
- Sauvegardes quotidiennes conservées 14 jours.
- Accès administrateur au serveur réservé à l'éditeur, par clé.
6. Fin du contrat
À la fin du contrat, le Client peut demander la restitution de ses documents dans les 30 jours. Passé ce délai, les données personnelles traitées pour son compte sont supprimées, y compris dans les sauvegardes à l'expiration de leur cycle de 14 jours. Seules les données que la loi impose de conserver, notamment de facturation, sont gardées pour la durée légale.
7. Obligations du Client
Le Client garantit qu'il a le droit de confier ces données au sous-traitant, qu'il a informé les personnes concernées (par exemple ses salariés dont il dépose le CV) et qu'il ne dépose que les données nécessaires à sa réponse.