Accord de sous-traitance des données personnelles

1. Parties et objet

Le présent accord est conclu entre le Client, responsable de traitement, et l'Éditeur du service CIICIR (LE MEON), sous-traitant, au sens des articles 4 et 28 du règlement (UE) 2016/679 (« RGPD »). Il fait partie intégrante des conditions générales et s'applique dès leur acceptation. Les termes non définis ici ont le sens que leur donne le RGPD.

Il encadre les traitements que l'Éditeur réalise pour le compte du Client lorsque celui-ci utilise le Service pour constituer le dossier justificatif de son crédit d'impôt recherche ou innovation. Les traitements dont l'Éditeur est lui-même responsable (comptes, facturation, support) relèvent de sa politique de confidentialité.

2. Description du traitement

• Nature et finalité : hébergement, organisation, consultation, rédaction assistée, mise en forme et export des éléments du dossier justificatif du CIR ou du CII et du projet de demande de rescrit du Client ; envoi des invitations aux utilisateurs qu'il désigne ; import des traces de travail depuis les outils qu'il connecte.
• Personnes concernées : salariés, dirigeants et collaborateurs du Client affectés aux opérations de recherche ou d'innovation ; utilisateurs invités par le Client ; le cas échéant, personnes citées dans les documents ou les tickets importés.
• Catégories de données : identité et fonction ; adresse électronique ; temps passé par opération et par période, y compris les sessions chronométrées ; coût et rémunération chargée ; qualification (CV, diplômes, certifications) ; pièces et documents techniques déposés ; contenu des tickets importés ; métadonnées des traces (auteur, date, empreinte) ; messages échangés avec l'assistante de rédaction.
• Données sensibles : le Service n'est pas conçu pour traiter les catégories particulières de l'article 9 du RGPD ni des données relatives aux condamnations. Le Client veille à ne pas en déposer, notamment dans les CV, et à retirer des pièces ce qui n'est pas nécessaire au dossier.
• Durée : celle du contrat, puis le délai de réversibilité prévu à l'article 7 des conditions générales.

3. Instructions du Client

L'Éditeur ne traite les données que sur instruction documentée du Client. Ces instructions sont constituées par les conditions générales, le présent accord et l'usage que le Client fait des fonctions du Service (saisie, import, connecteur, demande adressée à l'assistante, export, suppression). Si l'Éditeur estime qu'une instruction enfreint le RGPD ou une autre disposition applicable, il en informe immédiatement le Client. Il ne traite pas les données à d'autres fins, et notamment ne les utilise pas pour entraîner un modèle d'intelligence artificielle, sauf obligation légale, dont il informe alors le Client sauf interdiction légale.

4. Confidentialité

Les personnes autorisées à traiter les données chez l'Éditeur sont soumises à une obligation de confidentialité. Aucune d'elles n'accède au contenu d'un dossier hors demande ou accord du Client, nécessité ponctuelle de corriger un incident, ou obligation légale.

5. Sécurité

L'Éditeur met en œuvre les mesures techniques et organisationnelles suivantes (article 32 du RGPD), qu'il peut faire évoluer sans en abaisser le niveau :

• hébergement en France chez OVH, base de données non exposée sur Internet ;
• chiffrement des échanges (HTTPS) ; accès d'administration du serveur par clé, sans mot de passe ;
• mots de passe conservés sous forme d'empreinte (bcrypt) ; jetons d'accès aux outils connectés chiffrés en base (AES-GCM) ;
• cloisonnement des données entre clients, vérifié par des tests automatisés ; droits par utilisateur fixés par le Client (la consultation des montants et des pièces des personnes exige un droit dédié) ;
• traces importées des dépôts de code conservées par empreinte, sans leur contenu, sauf choix contraire du Client ; texte des tickets jamais restitué par l'interface de programmation, et transmis à l'assistante sans nom de personne ;
• fichiers déposés stockés hors base, types de fichiers limités, supprimés réellement avec l'élément auquel ils se rattachent ;
• sauvegardes quotidiennes et avant chaque mise à jour, chiffrées avant de quitter le serveur, copiées vers un second hébergeur dans l'Union européenne, restauration éprouvée ;
• refus de démarrage de l'application si un secret de configuration est resté à sa valeur par défaut.

Le chiffrement des données par client avec des clés distinctes et un journal des accès consultable par le Client ne sont pas encore en place ; l'Éditeur ne les revendique pas.

6. Sous-traitants ultérieurs

Le Client donne une autorisation générale au recours aux sous-traitants ultérieurs ci-dessous. L'Éditeur informe le Client par courriel de tout ajout ou remplacement au moins trente jours à l'avance ; le Client peut s'y opposer pour un motif sérieux tenant à la protection des données, et, à défaut de solution, résilier le contrat sans pénalité avec remboursement au prorata. L'Éditeur impose à chaque sous-traitant ultérieur des obligations équivalentes à celles du présent accord et reste responsable envers le Client de leur exécution.

L'assistante de rédaction. Les textes transmis au fournisseur du modèle de langue le sont au moment de la demande et pour la seule production de la réponse. Le Client peut constituer son dossier sans recourir à l'assistante. [À VALIDER : l'absence de case permettant au Client de refuser, projet par projet, tout envoi au fournisseur du modèle ; ce choix est prévu dans la note de conception mais pas encore construit.]

Ne sont pas des sous-traitants de l'Éditeur : les services que le Client choisit de connecter (GitHub, GitLab, Jira), qu'il utilise sous sa propre responsabilité et dont l'Éditeur lit les traces sur son autorisation ; les fournisseurs d'identité (Google, Microsoft) qu'un utilisateur choisit pour se connecter ; l'API publique « Recherche d'entreprises » de l'État, interrogée avec le numéro SIREN de l'entreprise.

7. Transferts hors de l'Union européenne

Les données sont hébergées dans l'Union européenne. Les seuls transferts sont ceux indiqués dans le tableau ci-dessus, encadrés par une décision d'adéquation (Data Privacy Framework UE-États-Unis) ou par les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021. L'Éditeur tient à la disposition du Client les documents correspondants.

8. Assistance au Client

L'Éditeur aide le Client, dans la mesure du possible et compte tenu de la nature du traitement :

• à répondre aux demandes d'exercice de droits des personnes concernées : il transmet au Client, sous cinq jours ouvrés, toute demande qu'il reçoit directement, et lui fournit sur demande l'export ou la suppression des données visées. Le Client les réalise lui-même dans l'application (Administration, « Mes données » : export complet, suppression du compte et des entreprises dont il est propriétaire), ou sur demande écrite à dpo@ciicir.fr ;
• à garantir la sécurité du traitement, à réaliser une analyse d'impact et, le cas échéant, à consulter l'autorité de contrôle (articles 32 à 36 du RGPD), en lui fournissant les informations dont il dispose.

9. Violation de données

L'Éditeur notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, par courriel à l'adresse du titulaire du compte. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées. Il revient au Client, responsable de traitement, de notifier l'autorité de contrôle et, le cas échéant, les personnes concernées.

10. Sort des données en fin de contrat

À la fin du contrat, l'Éditeur restitue au Client, à sa demande, l'ensemble des données dans un format ouvert, puis les supprime, ainsi que leurs copies, dans les conditions de l'article 7 des conditions générales : quatre-vingt-dix jours de réversibilité, puis suppression, et disparition des sauvegardes par rotation dans les vingt et un jours. L'Éditeur confirme la suppression par écrit sur demande. Seules sont conservées les données dont la loi impose la conservation, et pour cette seule fin.

11. Audit

L'Éditeur met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut, à ses frais, une fois par an et moyennant un préavis de trente jours, faire réaliser un audit par un auditeur indépendant tenu au secret, sans accès aux données des autres clients ni atteinte à la sécurité du Service. [À VALIDER : fréquence et modalités d'audit.]

12. Obligations du Client

Le Client s'assure de disposer d'une base légale pour les traitements qu'il confie à l'Éditeur, informe les personnes concernées (notamment ses salariés) de la constitution du dossier et des destinataires de leurs données, ne dépose que les données nécessaires au dossier, et documente ses propres instructions.

13. Contact

Toute question relative au présent accord : dpo@ciicir.fr.