Accord de sous-traitance

Version 1.0 · En vigueur depuis le 22 août 2026 · Article 28(3) du règlement (UE) 2016/679

Nous disons à nos clients que le service achats de leur client leur demandera comment ils encadrent les données et l’IA. Échouer nous-mêmes à ce questionnaire serait indéfendable. Voici l’accord qui s’applique à tout compte ActCovered : sans demande à formuler, sans engagement de confidentialité à signer, sans passer par un commercial. Imprimez-le, transmettez-le à votre DPO, versez-le à votre dossier fournisseur.

Imprimer cet accord

1. Les parties et leurs rôles

Responsable du traitement (« vous », « le Client ») : l’organisation titulaire du compte ActCovered.

Sous-traitant (« nous », « ActCovered ») : EZIOM SAS, SIREN 922 234 216, 200 rue de la Croix Nivert, 75015 Paris, France. Contact pour tout ce qui relève du présent accord : hello@actcovered.com.

Vous êtes le responsable du traitement des données à caractère personnel que vous versez dans ActCovered — au premier chef les relevés de sensibilisation de vos salariés. Nous ne les traitons que pour fournir le service. Par ailleurs, nous sommes responsables du traitement de nos propres données de relation client (l’adresse électronique de votre compte, vos éléments de facturation) ; ce traitement est décrit dans notre politique de confidentialité et n’est pas régi par le présent accord.

2. Objet, durée, nature et finalité

Objet. La mise à disposition d’ActCovered en mode hébergé : un registre des systèmes d’IA, un générateur de politique d’usage, un journal de sensibilisation à l’IA, un journal de preuves et les exports qui en sont issus.

Durée. De la création de votre compte jusqu’à sa suppression, augmentée du délai d’effacement prévu à la clause 10. Le présent accord demeure en vigueur aussi longtemps que nous détenons l’une de vos données à caractère personnel.

Nature du traitement. Collecte, enregistrement, conservation structurée, organisation, consultation, production de documents, extraction et effacement — le tout par des moyens automatisés, sur des serveurs situés en France.

Finalité. Uniquement fournir, sécuriser et assurer le support du service auquel vous avez souscrit, et rien d’autre. Nous n’utilisons pas votre dossier pour entraîner des modèles, nous ne profilons pas vos salariés et nous n’exploitons pas vos contenus pour nos propres statistiques ou nos propres actions commerciales.

3. Catégories de personnes concernées et de données à caractère personnel

ActCovered n’est pas conçu pour les catégories particulières de données visées à l’article 9, ni pour les données relatives aux condamnations et infractions visées à l’article 10, et vous vous engagez à ne pas en saisir. Les champs libres servent à des notes de gouvernance, non à des dossiers RH : n’y collez ni comptes rendus d’entretien d’évaluation, ni informations de santé, ni mesures disciplinaires.

4. Traitement sur instructions documentées

Nous ne traitons vos données à caractère personnel que sur vos instructions documentées, y compris en matière de transferts. Vos instructions sont : le présent accord, les conditions générales, et les actions que vous accomplissez dans le produit — créer une fiche nous instruit de la conserver, en supprimer une nous instruit de l’effacer, en exporter une nous instruit de la constituer.

Si le droit de l’Union ou celui d’un État membre nous oblige à traiter au-delà de vos instructions, nous vous en informerons avant de le faire, à moins que ce droit n’interdise cette information pour des motifs importants d’intérêt public. Si, à nos yeux, une instruction viole le RGPD ou une autre règle de protection des données, nous vous le signalerons sans délai et pourrons suspendre cette instruction jusqu’à ce que la question soit tranchée.

5. Confidentialité

L’accès à vos données est réservé aux personnes qui en ont besoin pour exploiter le service et en assurer le support. À ce jour, la liste est très courte : le directeur de la publication, et personne d’autre ne détient d’identifiants sur la base de données de production. Toute personne qui y a accès est tenue par un engagement de confidentialité écrit qui survit à la fin de sa mission. Nous ne communiquons vos données à aucun tiers, hormis les sous-traitants ultérieurs énumérés à la clause 7, ou lorsqu’une règle de droit à laquelle nous sommes soumis l’exige — auquel cas nous vous en informerons si nous y sommes autorisés.

6. Sécurité du traitement (article 32)

Compte tenu de l’état des connaissances, des coûts de mise en œuvre et des risques pour les personnes concernées, nous mettons en œuvre les mesures énoncées à l’annexe 2. Elles comprennent, en résumé : le chiffrement TLS en transit ; une authentification sans mot de passe, par liens de connexion à usage unique et à durée de vie courte ; un cloisonnement strict des données compte par compte, imposé dans l’application ; l’empreinte des adresses IP plutôt que leur conservation ; un accès au moindre privilège à l’environnement de production ; des sauvegardes quotidiennes réalisées par l’hébergeur ; et la journalisation des actions qui composent votre piste de preuves.

Nous réexaminons ces mesures au moins une fois par an, et à chaque évolution significative du service. Nous ne les affaiblirons pas pendant la durée du présent accord.

7. Sous-traitants ultérieurs

Vous donnez une autorisation générale pour que nous recourions aux sous-traitants ultérieurs énumérés ci-dessous, publiés avec la date de leur dernière modification sur notre page des sous-traitants ultérieurs. Chacun est lié par un contrat écrit lui imposant des obligations de protection des données au moins aussi protectrices que celles du présent accord, et nous restons pleinement responsables envers vous de leur exécution.

Procédure de changement. Avant d’ajouter ou de remplacer un sous-traitant ultérieur, nous vous donnerons un préavis de 30 jours au minimum, par courrier électronique à l’adresse de votre compte et en mettant à jour la page des sous-traitants ultérieurs. Vous pouvez vous y opposer, pour des motifs raisonnables tirés de la protection des données, dans ce délai de 30 jours, en écrivant à hello@actcovered.com. Si nous ne parvenons pas à lever votre objection, vous pouvez résilier le service concerné et obtenir le remboursement au prorata des sommes versées d’avance pour la période non utilisée — sans pénalité, et votre export reste à votre disposition.

8. Assistance aux demandes des personnes concernées

L’essentiel est intégré au produit plutôt que suspendu à notre délai de réponse. Votre page de compte vous permet d’exporter dans un fichier lisible par machine tout ce que nous détenons pour votre compte (articles 15 et 20), de modifier toute fiche sur place (article 16) et de supprimer purement et simplement votre compte et son contenu (article 17).

Lorsqu’une demande ne peut pas être satisfaite depuis le produit, nous vous assistons par des mesures techniques et organisationnelles appropriées, dans la mesure du possible et compte tenu de la nature du traitement. Concrètement : si l’un de vos salariés exerce un droit auprès de vous et que notre aide vous est nécessaire pour localiser, rectifier, limiter, exporter ou effacer sa fiche, écrivez à hello@actcovered.com et nous répondrons sous 5 jours ouvrés — sans frais, pour un volume de demandes proportionné.

Si une personne concernée nous contacte directement au sujet de données dont vous êtes responsable, nous ne répondrons pas à votre place. Nous l’inviterons à s’adresser à vous, et nous vous informerons de sa démarche, sans retard injustifié.

Nous vous assistons également, aux mêmes conditions, dans vos obligations au titre des articles 32 à 36 — sécurité, notification des violations, analyses d’impact relatives à la protection des données et consultation préalable — compte tenu des informations dont nous disposons.

9. Violations de données à caractère personnel

Nous vous notifierons toute violation de données à caractère personnel affectant vos données sans retard injustifié et, en tout état de cause, dans les 48 heures suivant le moment où nous en avons connaissance. La notification décrira, autant qu’elle est connue : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements en cause, les conséquences probables, les mesures prises ou envisagées, et un point de contact pour obtenir davantage d’informations. Lorsque le tableau complet n’est pas encore disponible, nous vous transmettrons ce que nous avons et compléterons par étapes, au lieu d’attendre.

Notifier votre autorité de contrôle et, lorsque cela est requis, les personnes concernées relève de votre décision, en qualité de responsable du traitement. Nous vous donnerons les éléments nécessaires pour la prendre et pour tenir le délai de 72 heures prévu à l’article 33.

10. Effacement et restitution à la fin du contrat

Vous pouvez exporter votre dossier complet à tout moment pendant la durée du contrat, depuis votre page de compte et sans nous le demander — de sorte que le volet « restitution » de l’article 28(3)(g) vous est ouvert avant la fin du contrat, et non après.

Lorsque votre compte est supprimé, par vous ou par nous, vos données à caractère personnel sont effacées immédiatement de la base de données active, et des sauvegardes tournantes de l’hébergeur sous 30 jours. Passé ce délai, nous n’en conservons aucune copie, à une exception près : les factures et les pièces comptables qui s’y rattachent, que la loi française nous impose de conserver dix ans, ainsi que l’empreinte d’une adresse électronique inscrite sur notre liste d’opposition, qui existe pour qu’une désinscription ne puisse pas être annulée par accident. Ni l’une ni l’autre ne contient votre dossier de conformité.

Nous confirmons l’effacement par écrit sur demande.

11. Droit d’audit

Nous mettons à votre disposition toutes les informations nécessaires pour démontrer le respect de l’article 28 ; nous permettons la réalisation d’audits, y compris d’inspections, par vous-même ou par un auditeur que vous mandatez, et nous y contribuons.

En pratique, et parce que nous sommes une petite entreprise : adressez votre questionnaire de sécurité à hello@actcovered.com et nous le remplirons sous 10 jours ouvrés, sans frais, une fois par période de douze mois et par client. Avant de l’envoyer, il vaut la peine de parcourir la présente page et la liste des sous-traitants ultérieurs — à elles deux, elles répondent à la plupart des questions d’un questionnaire standard, et elles sont déjà datées et publiques. Si cela ne suffit pas à votre évaluation des risques, vous pouvez demander un audit une fois par période de douze mois — ou à tout moment après une violation de données à caractère personnel affectant vos données — moyennant un préavis écrit de 30 jours, pendant les heures ouvrables, sans perturbation du service et sous réserve de confidentialité. Vous supportez le coût de votre propre auditeur ; nous supportons celui de notre participation. Si un audit révèle un manquement substantiel, nous y remédions à nos frais.

12. Transferts internationaux

Votre dossier de conformité est conservé et traité dans l’Union européenne — sur des serveurs situés en France — et nous ne le transférons pas hors de l’EEE dans le cours ordinaire du service.

Deux de nos sous-traitants ultérieurs sont des groupes comptant des entités hors EEE susceptibles d’accéder aux données dans le cadre du support ou de la lutte contre la fraude : Stripe et, pour l’infrastructure d’acheminement des courriers électroniques, Brevo. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914), accompagnées des mesures techniques et organisationnelles supplémentaires documentées par chaque prestataire. Des copies des clauses applicables vous sont remises sur demande. Nous n’engagerons aucune nouvelle catégorie de transfert sans vous en informer selon la procédure de la clause 7.

Annexe 1 — Détail du traitement

Récapitulatif pour dossier achats : Catégories de personnes concernées et catégories de données à caractère personnel figurent à la clause 3. Nature et finalité figurent à la clause 2. Durée : la durée de vie du compte, augmentée du délai d’effacement prévu à la clause 10. Catégories particulières : aucune, et non autorisées. Fréquence : continue, pendant toute la durée de l’abonnement. Responsable du traitement : le Client. Sous-traitant : EZIOM SAS. Sous-traitants ultérieurs : clause 7 et la page des sous-traitants ultérieurs.

Annexe 2 — Mesures techniques et organisationnelles (article 32)

• Chiffrement en transit. Tout le trafic vers le site et vers l’application est servi en TLS ; les requêtes HTTP sont redirigées. Les courriers électroniques sont remis à notre relais en TLS authentifié.
• Authentification. Sans mot de passe. La connexion s’effectue par un jeton à usage unique, qui expire en quelques minutes, est invalidé dès son emploi et n’est conservé que sous forme d’empreinte. Il n’existe aucun mot de passe utilisateur à faire fuiter, à réutiliser ailleurs ou à hameçonner depuis une base de données.
• Contrôle d’accès dans l’application. Toute requête portant sur les données d’un compte est restreinte au compte connecté ; le produit ne comporte aucun chemin de lecture d’un compte vers un autre, ni « vue administrateur » partagée sur les dossiers des clients.
• Moindre privilège en exploitation. Les identifiants de la base de données de production sont détenus par le seul directeur de la publication. Cet accès sert à la maintenance et au traitement des incidents, et à rien d’autre : il ne fait pas partie du support courant.
• Minimisation dès la conception. Les adresses IP ne sont conservées que sous forme d’empreinte SHA-256 salée, ce qui permet de détecter les abus sans garder d’identifiant. Le test de maturité retient une adresse électronique, cinq réponses et un score — rien de plus. Les listes d’opposition conservent des empreintes, non des adresses.
• Intégrité des preuves. Les politiques produites portent une empreinte SHA-256 de leur contenu et un numéro de version, et le journal de preuves consigne chaque événement avec un horodatage serveur : le relevé ne peut pas être récrit discrètement après coup.
• Sauvegardes et restauration. L’hébergeur réalise des sauvegardes quotidiennes de la base de données, conservées sur une fenêtre tournante et restaurables sur demande. Les sauvegardes héritent du délai d’effacement prévu à la clause 10.
• Disponibilité. Le service fonctionne sur un hébergement mutualisé administré, avec la redondance et la supervision propres au prestataire ; nous surveillons de notre côté un point de contrôle de santé et la délivrabilité des courriers électroniques.
• Maintenance logicielle. L’application s’appuie sur un socle applicatif et une version de PHP encore pris en charge, et les mises à jour de sécurité des dépendances sont appliquées sans attendre.
• Lutte contre les abus. Les points d’entrée publics — le test de maturité et le formulaire de connexion — sont limités en débit par adresse et par origine, et protégés contre les soumissions automatisées.
• Organisation. Un engagement de confidentialité pour toute personne qui a accès ; une procédure de violation documentée, avec le délai de notification de 48 heures prévu à la clause 9 ; et un réexamen annuel de la présente annexe.