Contrat de sous-traitance des données personnelles

Version 2026-11-05 — projet à faire relire par un avocat avant publication définitive. Les mentions entre crochets sont à compléter.

Parties. L'entreprise cliente qui accepte le présent contrat lors de son inscription (le « Responsable du traitement ») et Plenisofts, éditeur de PleniRH (le « Sous-traitant »).

Article 1. Objet. Le contrat fixe les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable du traitement, les données personnelles nécessaires au service PleniRH, conformément aux lois de protection des données applicables, notamment la loi n° 09-08 au Maroc et la loi n° 2013-450 en Côte d'Ivoire.

Article 2. Description du traitement.

Article 3. Instructions. Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable du traitement. Le paramétrage et l'utilisation du service par le Client valent instructions. Si une instruction lui paraît contraire à la loi, le Sous-traitant en informe le Client sans délai.

Article 4. Confidentialité. Les personnes autorisées à traiter les données chez le Sous-traitant sont soumises à une obligation de confidentialité et n'y accèdent que si nécessaire. Le support n'accède aux données d'un client qu'avec son autorisation temporaire, tracée dans son journal d'audit.

Article 5. Sécurité. Le Sous-traitant met en œuvre les mesures décrites à l'article 12 et les maintient à un niveau au moins équivalent pendant toute la durée du contrat.

Article 6. Sous-traitants ultérieurs. Le Client autorise le recours aux sous-traitants suivants : hébergeur […], fournisseur WhatsApp Business […], fournisseur SMS […], service d'e-mail […], agrégateur de paiement […]. Le Sous-traitant informe le Client de tout ajout ou remplacement 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais. Chaque sous-traitant ultérieur est soumis par contrat aux mêmes obligations.

Article 7. Transferts. Les données sont hébergées [lieu]. Tout transfert hors du pays du Client se fait dans le respect des règles de l'autorité compétente, après les autorisations nécessaires. Les notifications WhatsApp ne contiennent aucune donnée sensible.

Article 8. Assistance au Client. Le Sous-traitant aide le Client à :

répondre aux demandes d'accès, de rectification, d'effacement et d'opposition des personnes, notamment par les fonctions d'export et de suppression du service ;

accomplir ses formalités auprès des autorités, en lui fournissant la description des traitements et des mesures de sécurité ;

gérer une violation de données : le Sous-traitant la notifie au Client dans les 48 heures suivant sa découverte, avec sa nature, les données et personnes concernées, ses conséquences probables et les mesures prises.

Article 9. Fin du contrat. À la fin de l'abonnement, le Client dispose de 30 jours pour exporter ses données. Le Sous-traitant les supprime ensuite, sauvegardes comprises dans un délai de [90] jours, sauf obligation légale de conservation, et le confirme par écrit sur demande.

Article 10. Contrôle. Le Sous-traitant met à disposition du Client les informations nécessaires pour démontrer le respect du contrat. Le Client peut faire réaliser un audit une fois par an, à ses frais, avec un préavis de 30 jours, par un auditeur tenu au secret.

Article 11. Obligations du Client. Le Client fournit au Sous-traitant des données traitées de façon licite, informe les personnes concernées, accomplit les formalités auprès de l'autorité de son pays et définit les droits d'accès de ses utilisateurs.

Article 12. Mesures de sécurité.

Chiffrement des données en transit (TLS 1.2 minimum) et au repos, chiffrement supplémentaire des champs sensibles.

Isolation des données de chaque client au niveau de la base.

Contrôle d'accès par rôle, double authentification pour les administrateurs.

Journal d'audit des connexions, consultations sensibles, modifications et exports.

Sauvegardes quotidiennes chiffrées sur un site distinct, restauration testée chaque mois.

Test d'intrusion avant chaque version majeure.

Article 13. Responsabilité et durée. La responsabilité de chaque partie est régie par les CGUV. Le contrat entre en vigueur à son acceptation et prend fin avec l'abonnement, sous réserve des articles 4 et 9.

Acceptation. Accepté en ligne par [nom, fonction] pour [entreprise], le [date et heure], version [n°].