Cette annexe s'applique lorsqu'une mission donne au cabinet accès à des données personnelles détenues par le client. Elle fait partie du contrat (article 18 des conditions générales de vente).
Entre le client (« le responsable de traitement ») et le cabinet (« le sous-traitant »), pour la durée de la mission.
1. Objet et durée
Le sous-traitant traite des données personnelles pour le compte du responsable de traitement dans le seul but d'exécuter la mission décrite au devis. L'annexe s'applique pendant la mission et jusqu'à la suppression ou restitution des données.
2. Description du traitement
À compléter pour chaque mission (fiche jointe au devis) :
| Élément | Valeur |
|---|---|
| Nature des opérations | Précisé dans la fiche jointe au devis (par exemple : consultation, extraction, analyse, paramétrage d'outils) |
| Finalité | Exécution de la mission |
| Catégories de personnes | Précisé dans la fiche jointe au devis (par exemple : salariés, clients du client, prospects) |
| Catégories de données | Précisé dans la fiche jointe au devis. Aucune donnée sensible, sauf accord exprès |
| Durée | Celle de la mission |
Fiche type : cartographie des usages de l'IA (mission Ardoise)
| Élément | Valeur |
|---|---|
| Nature des opérations | Diffusion et collecte d'un questionnaire anonyme, conduite et compte rendu d'entretiens, inventaire des outils et des abonnements, analyse et restitution agrégée |
| Finalité | Établir la carte des usages de l'IA dans l'entreprise du client, pour fixer des règles d'usage, préparer l'information du CSE et constituer le dossier de preuve. Aucune évaluation individuelle des personnes |
| Catégories de personnes | Salariés du client |
| Catégories de données | Réponses anonymes au questionnaire (sans nom ni adresse e-mail, profil limité à des tranches larges comme l'équipe ou le métier) ; comptes rendus d'entretiens (nom et fonction de la personne interrogée, usages et outils décrits) ; inventaire des outils et des abonnements (outil, équipe utilisatrice, nombre de comptes) ; relevé de présence à l'atelier d'adoption (nom, fonction) |
| Données sensibles | Aucune. Le questionnaire ne pose aucune question sur la santé, les opinions, l'appartenance syndicale ou la vie privée, et ses champs libres invitent à ne pas en saisir |
| Durée | Celle de la mission. Les réponses individuelles et les comptes rendus d'entretiens sont ensuite supprimés dans le délai de l'article 7, sans restitution ; seuls les résultats agrégés et le relevé de présence restent dans les livrables |
| Sous-traitants ultérieurs | L'outil de questionnaire et l'hébergement indiqués dans la fiche jointe au devis |
3. Obligations du sous-traitant
Le sous-traitant s'engage à :
- traiter les données uniquement sur instruction documentée du client, et l'avertir si une instruction lui paraît contraire au RGPD ;
- garantir la confidentialité : les personnes autorisées à accéder aux données sont tenues à la confidentialité ;
- mettre en œuvre des mesures de sécurité adaptées (accès cloisonné, chiffrement, authentification, journalisation, suppression des copies locales à la fin) ;
- ne pas utiliser les données pour son compte, ni pour entraîner un modèle d'IA ;
- n'utiliser un outil d'IA sur les données qu'avec l'accord écrit du client et selon la politique d'usage de l'IA ;
- tenir un registre des traitements effectués pour le compte du client ;
- coopérer avec le client pour répondre aux demandes d'exercice de droits et lui transmettre sans délai toute demande reçue directement ;
- l'aider à respecter ses obligations de sécurité, d'analyse d'impact (AIPD) et de consultation de l'autorité de contrôle. Pour les missions portant sur la qualité de vie au travail ou les risques psychosociaux, le client mène l'analyse d'impact avant le démarrage, avec l'aide du cabinet, qui applique les principes de conception décrits dans son registre (enquêtes anonymes, restitution agrégée avec seuil de répondants).
Enquêtes et entretiens auprès des salariés. Pour la cartographie des usages de l'IA comme pour les enquêtes sur la qualité de vie au travail, les principes suivants s'appliquent :
- Anonymat : le questionnaire ne demande ni nom ni adresse e-mail. Le cabinet ne communique pas au client qui a répondu et qui n'a pas répondu.
- Seuil de répondants : aucun résultat n'est restitué pour un groupe de moins de cinq répondants. Un tel groupe est regroupé avec un autre ou n'apparaît pas dans la restitution.
- Restitution agrégée : le client reçoit des résultats agrégés. Aucun verbatim nominatif, ni aucun propos permettant d'identifier son auteur, n'est remis à la direction. Les citations éventuelles sont reformulées et rendues anonymes.
- Pas de restitution des données individuelles : par exception à l'article 7, les réponses individuelles et les comptes rendus d'entretiens ne sont pas restitués au client. Ils sont supprimés dans le délai de l'article 7.
- Information des salariés : le client, en sa qualité d'employeur, informe ses salariés avant le lancement (finalité, caractère anonyme du questionnaire, destinataires, durée de conservation, droits) et, le cas échéant, informe ou consulte le CSE selon les règles qui lui sont applicables. Le cabinet lui fournit un modèle de note d'information.
- Pas d'évaluation : les données ne servent à aucune évaluation, notation ou sanction des personnes. Le client s'interdit de chercher à identifier les répondants.
- Pas d'IA grand public : les réponses et les comptes rendus ne sont jamais versés dans un service d'IA grand public. Un service d'IA n'est utilisé sur ces données qu'aux conditions du point 5 : une offre professionnelle couverte par un accord de traitement des données, et l'accord écrit du client.
4. Sous-traitants ultérieurs
Le client autorise les sous-traitants ultérieurs listés dans la fiche jointe au devis. Le sous-traitant informe le client de tout changement envisagé, avec le préavis fixé dans cette fiche. Le client peut s'y opposer pour un motif raisonnable. Le sous-traitant impose à ses propres sous-traitants les mêmes obligations et reste responsable à son égard.
5. Transferts hors Union européenne
Aucun transfert hors Union européenne sans accord du client, sauf décision d'adéquation ou clauses contractuelles types en vigueur. Le sous-traitant indique le pays et le fondement avant tout transfert.
6. Violation de données
Le sous-traitant avertit le client sans délai, au plus tard dans le délai fixé par la fiche jointe au devis à compter de sa découverte, en indiquant la nature de la violation, les données et personnes concernées, les conséquences probables et les mesures prises. La notification à la CNIL et aux personnes relève du client.
7. Sort des données
À la fin de la mission, au choix du client, le sous-traitant restitue les données puis les supprime, ou les supprime directement, dans le délai fixé par la fiche jointe au devis. Il en atteste par écrit. Sont exclues les copies que la loi impose de conserver.
8. Audit
Le sous-traitant met à disposition les informations nécessaires pour démontrer sa conformité. Le client peut demander un audit raisonnable, une fois par an, avec le préavis fixé dans la fiche jointe au devis et aux frais du client, sans perturber les autres clients du sous-traitant.
9. Responsabilité
La responsabilité du sous-traitant au titre de la présente annexe suit le régime de l'article 17 des conditions générales de vente, sans préjudice de l'article 82 du RGPD.
10. Contacts
Pour le cabinet : contact@cabinetflourens.com. Pour le client : précisé dans la fiche jointe au devis.