Accord de traitement des données

1. Parties et objet

Le présent accord complète les Conditions générales hilighter entre SkillsBoard SAS (« Sous-traitant »), 509 avenue des Églantines, 62176 Camiers, France, RCS Boulogne-sur-Mer 978 379 709, et l’Organisation cliente (« Responsable de traitement ») pour les données personnelles que cette dernière fait traiter dans son espace d’organisation. Il met en œuvre l’article 28, paragraphe 3, du règlement (UE) 2016/679 (« RGPD »). Il ne s’applique pas aux traitements que SkillsBoard effectue en qualité de responsable indépendant pour les comptes personnels autonomes, l’administration contractuelle, la sécurité propre et le marketing facultatif direct de SkillsBoard, lesquels relèvent de la Politique de confidentialité et d’autres bases légales. Le présent DPA prévaut pour les traitements en sous-traitance.

2. Instructions et finalités

SkillsBoard traite les données seulement sur les instructions documentées de l’Organisation, notamment les choix de configuration du Service, les droits d’accès et les demandes écrites conformes au contrat, sauf obligation légale contraire, auquel cas elle informe l’Organisation lorsque la loi le permet. SkillsBoard signale toute instruction qui lui paraît contrevenir au RGPD ou au droit applicable. L’Organisation reste responsable des finalités, des bases juridiques, de la loyauté des évaluations professionnelles, des obligations d’information et, le cas échéant, de la consultation des instances représentatives.

3. Description des traitements – Annexe I

Objet : fourniture d’un service SaaS de gestion de rôles, compétences, preuves, évaluations, parcours et analyses collectives. Durée : pendant l’existence de l’espace organisationnel et la période de sortie/suppression prévue par le contrat, sauf conservation légalement requise. Nature des opérations : collecte, enregistrement, organisation, consultation contrôlée, comparaison, génération d’indicateurs et de propositions d’IA, stockage, sauvegarde, export, rectification et effacement. Finalités : gestion des compétences et du développement professionnel décidée par l’Organisation, sans prospection propre de SkillsBoard sur ces données. Personnes concernées : collaborateurs, salariés, managers, candidats si l’Organisation utilise licitement ces fonctions, prestataires, administrateurs et personnes figurant dans des preuves. Catégories : identité professionnelle, coordonnées, affectation, poste, descriptions de tâches, compétences et niveaux, évaluations et auteurs, objectifs, preuves de formation ou de réalisations, CV/LinkedIn fournis, métadonnées d’accès. Les catégories particulières de l’article 9 RGPD ne doivent pas être introduites sauf instruction expresse, base légale appropriée et garanties convenues.

4. Confidentialité et personnes autorisées

SkillsBoard ne donne accès aux données qu’aux personnes nécessitant cet accès pour le Service, ayant reçu des consignes adéquates et liées par une confidentialité contractuelle ou légale. Elle applique une gestion raisonnable des autorisations et des procédures de révocation. L’Organisation maintient de son côté les droits de ses administrateurs et la sécurité de ses terminaux et accès.

5. Mesures techniques et organisationnelles – Annexe II

SkillsBoard applique des mesures techniques et organisationnelles adaptées au risque, en tenant compte de l'article 32 RGPD et de l'Annexe II. État technique constaté : infrastructure AWS en France ; TLS 1.3 en entrée ALB ; contrôles de réseau et d'accès, Secrets Manager et MFA/IAM pour les administrateurs AWS ; séparation logique entre organisations dans une base de données partagée ; surveillance CloudWatch et Sentry ; sauvegardes quotidiennes de la base conservées 30 jours ; logs CloudWatch production 30 jours, non-production 7 jours. MFA utilisateur applicative non déployée, journal de sécurité dédié incomplet, restauration testée manuellement, gestion des vulnérabilités partiellement automatisée et plan formel de réponse à incident non encore confirmé. Les mesures prévues mais non mises en œuvre ne sont pas présentées comme des garanties existantes. Une réduction substantielle des mesures fait l'objet d'une information et, si nécessaire, de mesures compensatoires.

6. Sous-traitants ultérieurs – Annexe III

L'Organisation donne une autorisation générale aux sous-traitants ultérieurs décrits dans une liste versionnée ; elle est informée, en principe 30 jours avant, des changements significatifs et dispose d'un droit d'objection motivée en matière de protection des données. AWS (infrastructure, stockage, messagerie technique), OpenAI (API d'IA) et Sentry (diagnostic d'erreurs pouvant contenir des identifiants) sont identifiés comme fournisseurs pertinents ; leur entité contractante, pays, configuration et mécanisme de transfert doivent être documentés dans l'Annexe III. Des services comme LinkedIn, analytics, Clarity, reCAPTCHA ou Brandfetch nécessitent une qualification par finalité : leur présence dans la politique de confidentialité ne signifie pas qu'ils sont tous sous-traitants d'une Organisation. SkillsBoard répercute les obligations de l'article 28 aux sous-traitants et demeure responsable selon le RGPD.

7. Transferts hors EEE

L'application AWS est hébergée en France, mais le projet API OpenAI est actuellement configuré en Global. Des informations de compétences et de documents professionnels peuvent donc être traitées hors EEE. Ces transferts sont subordonnés aux dispositions du chapitre V RGPD, notamment décision d'adéquation ou clauses contractuelles types adaptées, analyse des risques et mesures complémentaires lorsque nécessaires. SkillsBoard documente l'entité contractante OpenAI et l'incorporation du DPA OpenAI, ses sous-traitants, l'absence de participation volontaire à l'entraînement général, et les paramètres de stockage par requête. L'hébergement européen d'AWS ne constitue pas une garantie d'inférence OpenAI en Europe.

8. Assistance, droits des personnes et analyses d’impact

Compte tenu de la nature du Service et des informations disponibles, SkillsBoard aide l’Organisation, dans une mesure raisonnable, à répondre aux demandes d’accès, rectification, suppression, limitation, portabilité et opposition, ainsi qu’aux obligations de sécurité, notification d’incident, AIPD/DPIA et consultation préalable éventuelle. Si une personne s’adresse directement à SkillsBoard concernant des données dont l’Organisation est responsable, SkillsBoard transmet rapidement la demande, sauf interdiction légale. Les demandes relatives au compte personnel indépendant restent traitées directement par SkillsBoard en tant que responsable de ce compte.

9. Violation de données

SkillsBoard notifie l’Organisation dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles sous-traitées, avec les éléments disponibles concernant nature, catégories de personnes et données, conséquences probables et mesures prises ou proposées. Les renseignements peuvent être complétés progressivement. L’Organisation décide des notifications aux autorités et aux personnes concernées, avec l’assistance de SkillsBoard. Chaque partie avertit l’autre des incidents susceptibles d’avoir un impact commun.

10. Audit, preuves et coopération

SkillsBoard met à disposition les informations raisonnablement nécessaires pour démontrer ses obligations au titre de l’article 28 et permet les audits légalement requis, organisés avec préavis raisonnable, confidentialité et limitation des perturbations et des données de tiers. Les rapports d’audit et attestations disponibles sont fournis en priorité lorsqu’ils couvrent suffisamment la vérification. Les coûts d’une assistance extraordinaire peuvent faire l’objet d’un accord préalable, sans neutraliser les droits impératifs de contrôle.

11. Fin du contrat, restitution et suppression

À la fin du contrat, l'Organisation peut demander à contact@hilighter.io la remise des données qu'elle contrôle ou leur suppression, sous réserve des obligations de conservation et de portabilité applicables. SkillsBoard vérifie les droits du demandeur, distingue le portefeuille personnel de l'utilisateur de l'espace employeur et vise 30 jours pour un export sécurisé structuré (CSV/JSON, provenance, pièces exportables) ou l'effacement des données actives éligibles, sauf autre délai légal ou accord de changement de fournisseur. Les sauvegardes quotidiennes expirent au bout de 30 jours. Les fichiers S3 n'ont pas encore de suppression automatique générale : leur retrait doit être exécuté explicitement et vérifié. Toute restauration de sauvegarde réapplique les demandes de suppression. Le compte personnel indépendant d'un employé n'est pas supprimé par le départ ou la résiliation de l'employeur.

12. Interdiction de réutilisation marketing et IA

SkillsBoard ne réutilise pas les données reçues uniquement en qualité de sous-traitant pour ses propres campagnes commerciales, son ciblage publicitaire ou celui de partenaires, même si un utilisateur exprime un consentement individuel à des communications marketing dans son compte personnel. Une réutilisation distincte exigerait un cadre juridique, une information et des autorisations appropriés. Les contenus de l’Organisation ne seront pas volontairement transmis à un fournisseur d’IA pour l’entraînement de ses modèles sans instructions et garanties spécifiques ; les paramètres effectifs de la prestation API doivent être contrôlés.

13. Droit applicable et signatures

Le DPA est soumis au droit français dans la mesure permise par le droit de l’Union et reste applicable tant que SkillsBoard traite des données pour le compte de l’Organisation. Il peut être incorporé électroniquement à la commande et accepté par le représentant habilité. Version française faisant foi.

---

Annexe II – Mesures techniques et organisationnelles constatées

Annexe III – Registre provisoire des sous-traitants

Documents connexes

• Politique de confidentialité
• Mentions légales
• Conditions générales d’utilisation et de vente
• Politique de cookies