Accord de sous-traitance

Le client (l’entreprise abonnée) est responsable de traitement au sens du RGPD : c’est lui qui décide de mesurer le bien-être de ses équipes, qui choisit les destinataires des invitations et qui exploite les résultats agrégés. andrei.care agit en qualité de sous-traitant : nous traitons les données pour son compte, selon ses instructions documentées dans les présentes et dans les paramètres de l’espace.

Le présent accord forme un tout indissociable avec les conditions générales de vente et la politique de confidentialité.

• Objet — mesure du bien-être perçu via questionnaires, restitution agrégée au client, bilans personnels remis aux répondant·es.
• Nature — collecte, stockage, calcul de scores, génération automatisée de bilans par modèle d’IA, envoi d’emails transactionnels.
• Durée — pendant toute la durée de l’abonnement, prolongée de 90 jours après résiliation pour permettre l’export, puis suppression dans les 30 jours.

• Personnes concernées — salarié·es, agent·es ou bénévoles dont le client a soumis l’email à la plateforme.
• Données d’identification — email, prénom et nom (facultatifs), service, mode de travail, ancienneté.
• Réponses au questionnaire — auto-évaluations sur 7 dimensions, métadonnées de session (durée, appareil).
• Catégories particulières — aucune donnée de santé sensible au sens de l’article 9 RGPD. Les antécédents déclarés sont rangés dans des catégories génériques non médicales.

• Traiter les données uniquement sur instruction documentée du client.
• Garantir que les personnes habilitées à traiter les données sont soumises à une obligation de confidentialité.
• Mettre en œuvre les mesures techniques et organisationnelles appropriées (chiffrement au repos et en transit, RBAC, audit logs, sauvegardes quotidiennes, RLS PostgreSQL).
• Notifier au client toute violation de données dans les 48 heures suivant sa constatation.
• Assister le client pour répondre aux demandes d’exercice des droits (accès, rectification, effacement, portabilité).
• Supprimer ou restituer les données à la fin de la prestation, selon le choix du client.

Le client autorise andrei.care à recourir aux sous-traitants ultérieurs ci-dessous. Toute modification fait l’objet d’une information préalable par email au moins 30 jours avant la prise d’effet, avec faculté d’objection motivée.

Lorsque certains sous-traitants sont établis hors de l’Espace Économique Européen, les transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021, ainsi que par les mesures supplémentaires nécessaires (chiffrement de bout en bout, contrôle d’accès strict).

Le client peut, une fois par an et après préavis raisonnable, demander à andrei.care la communication de tout document attestant de la conformité du traitement (rapports d’audit, certifications, registre des sous-traitants). Un audit sur site peut être organisé en cas de violation présumée, à la charge financière du client.

À l’expiration du contrat, le client peut à tout moment, depuis sa page Paramètres, exporter l’intégralité de ses données au format JSON ou demander leur suppression définitive. À défaut d’instruction, les données sont supprimées 90 jours après la fin de l’abonnement, à l’exception des éléments comptables conservés 10 ans (obligation légale).

Pour toute demande relative au présent accord ou à l’exercice des droits : dpo@andrei.care.