Accord de traitement des données

Dernière mise à jour : 13 juillet 2026

Objet

Le présent accord régit le traitement des données à caractère personnel par le Sous-traitant pour le compte du Responsable du traitement, conformément à l'article 28 du RGPD. Le traitement fait partie de la fourniture de la plateforme de conformité Complir et des services associés.

Nature du traitement

Le Sous-traitant traite les données à caractère personnel afin de fournir au Responsable du traitement des outils de gestion de la conformité des produits, notamment :

Le stockage des coordonnées des fournisseurs
Le traitement de la documentation relative aux produits téléversée
La prise en charge des flux de travail assistés par l'IA pour la classification, la traduction et l'évaluation des risques

Types de données à caractère personnel

Les types de données peuvent inclure, sans s'y limiter :

Nom
Adresse électronique
Numéro de téléphone
Affiliation à une entreprise
Rôle / fonction
Informations sur l'entreprise fournisseur
Documents téléversés contenant des informations personnelles ou relatives aux fournisseurs

Catégories de personnes concernées

Le Sous-traitant peut traiter des données à caractère personnel relatives aux catégories suivantes de personnes concernées pour le compte du Responsable du traitement :

Les employés et utilisateurs autorisés du Responsable du traitement qui accèdent à la plateforme Complir ou l'utilisent.
Les contacts et représentants des fournisseurs dont les informations sont téléversées ou gérées dans la plateforme par le Responsable du traitement.
Les sous-traitants ou partenaires externes dont les coordonnées peuvent apparaître dans la documentation ou les données de conformité fournies par le Responsable du traitement.

Aucune catégorie particulière de données à caractère personnel (telle que définie à l'article 9 du RGPD) n'est destinée à être traitée dans le cadre du présent accord.

Mesures de sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées, notamment :

Une communication chiffrée (TLS)
Un contrôle d'accès basé sur les rôles
Des examens périodiques des accès
L'enregistrement et la surveillance via Sentry
Des sauvegardes régulières
L'utilisation de prestataires d'infrastructure certifiés ISO 27001

Sous-traitants ultérieurs

Le Responsable du traitement accorde au Sous-traitant une autorisation générale écrite de recourir à des sous-traitants ultérieurs lorsque cela est raisonnablement nécessaire pour fournir, sécuriser, surveiller, supporter ou améliorer la plateforme Complir et les services associés.

La liste actuelle des sous-traitants ultérieurs autorisés est disponible à l'adresse complir.io/legal/sub-processors. Le Responsable du traitement autorise le recours par le Sous-traitant aux sous-traitants ultérieurs qui y figurent à la date d'entrée en vigueur du présent accord, y compris les prestataires d'hébergement cloud, les prestataires d'infrastructure, les prestataires de surveillance, les prestataires de flux de travail et les fournisseurs de modèles d'IA utilisés pour fournir les services.

Le Sous-traitant demeure responsable des actes et omissions de ses sous-traitants ultérieurs dans la mesure requise par le droit applicable en matière de protection des données. Le Sous-traitant veille à ce que chaque sous-traitant ultérieur soit lié par des obligations écrites offrant au moins le même niveau de protection des données à caractère personnel que le présent accord, y compris en matière de confidentialité, de sécurité, de notification des violations et, le cas échéant, de garanties applicables aux transferts.

Le Sous-traitant informera le Responsable du traitement moyennant un préavis d'au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur qui traitera de manière substantielle des données à caractère personnel pour le compte du Responsable du traitement, sauf si un préavis plus court est requis pour des motifs de sécurité, juridiques, opérationnels ou d'urgence. La notification peut être adressée aux administrateurs de la plateforme du Responsable du traitement ou à d'autres contacts clients désignés, par courrier électronique, par un message dans le produit ou par la mise à jour de la liste publiée des sous-traitants ultérieurs.

Le Responsable du traitement peut s'opposer à un sous-traitant ultérieur nouveau ou de remplacement dans un délai de 14 jours suivant la notification, mais uniquement pour des motifs raisonnables et documentés de protection des données ou de sécurité de l'information. Le Sous-traitant déploiera des efforts commercialement raisonnables pour répondre à l'opposition, ce qui peut inclure la fourniture d'informations complémentaires, de garanties supplémentaires ou d'une solution alternative lorsque cela est commercialement et techniquement réalisable.

Si les Parties ne parviennent pas à résoudre l'opposition dans un délai raisonnable, le Responsable du traitement peut résilier le service concerné par notification écrite. Lorsque le service concerné ne peut raisonnablement être séparé de la plateforme dans son ensemble, le Responsable du traitement peut résilier le présent accord. Dans l'un et l'autre cas, le seul recours du Responsable du traitement consiste en un remboursement au prorata des frais prépayés afférents au service résilié pour la période postérieure à la date effective de résiliation. Le Sous-traitant n'est pas tenu de modifier son infrastructure, de suspendre le recours au sous-traitant ultérieur pour d'autres clients ni de maintenir un environnement de traitement propre à un client.

Droits des personnes concernées et assistance

Le Sous-traitant assiste le Responsable du traitement dans l'exécution de ses obligations au titre du chapitre 3 du RGPD (droits des personnes concernées), notamment l'accès, la rectification, l'effacement et l'opposition.

Effacement ou restitution des données

À la résiliation du présent accord, le Sous-traitant effacera ou restituera toutes les données à caractère personnel à la demande du Responsable du traitement, sauf disposition légale contraire.

Droits d'audit

Le Responsable du traitement peut auditer les pratiques de traitement des données du Sous-traitant une fois par an, moyennant un préavis écrit de 30 jours. Les frais d'audit sont à la charge du Responsable du traitement, sauf en cas de manquement substantiel constaté.

Notification des violations

Le Sous-traitant notifiera le Responsable du traitement sans délai indu et au plus tard dans les 48 heures suivant la prise de connaissance d'une violation de données à caractère personnel.

Durée

Le présent accord reste en vigueur tant que le Sous-traitant traite des données à caractère personnel pour le compte du Responsable du traitement.