Accord de sous-traitance des données

Accord de sous-traitance, version FYR-DPA-2026-09-20-04. L’administrateur autorisé l’accepte avec les CGU lors de la création ou de la reprise de l’espace, conformément au mécanisme de preuve décrit ci-dessous. Ce document encadre la relation prévue par l’article 28 du RGPD. Il reste à faire relire par un professionnel du droit et ne constitue pas une certification de conformité.

1. Parties et variables du contrat client

Le sous-traitant est NB Formation, SAS au capital de 1 000 euros, SIREN 840 365 118, RCS Périgueux, siège La Plantisse, 2191 route Buissonnière, 24330 Boulazac Isle Manoire, représentée par Nicolas Beaumont, président. Contact confidentialité : contact@fyrnia.fr.

Le responsable de traitement est l’organisation identifiée dans son espace Fyrnia. L’administrateur habilité renseigne et tient à jour sa dénomination, son identifiant légal et son adresse dans les paramètres. La preuve d’acceptation associe l’identifiant de l’espace, la dénomination, le nom et l’email de l’administrateur, la date et les versions acceptées. Cet administrateur est le contact contractuel, confidentialité et incident par défaut ; un autre contact ou des instructions particulières peuvent être désignés par écrit à contact@fyrnia.fr. Aucune fiche papier signée n’est exigée en plus de cette acceptation électronique.

2. Objet, finalités, opérations et durée

Le service héberge et organise le suivi des salariés, formations, habilitations, certifications, pièces et renouvellements de l’entreprise. Opérations : collecte par saisie/import, classement, stockage, consultation, correction, calcul d’indicateurs, rappels, partage de passeport sur instruction, export, suppression et sauvegarde. Le traitement dure le temps du service et des opérations convenues de restitution/effacement ; les seules exceptions sont les conservations légalement imposées, identifiées et limitées.

Personnes concernées : salariés suivis, utilisateurs RH, responsables d’équipe et destinataires autorisés des alertes. Données : identité professionnelle, poste, site, équipe, coordonnées utiles, organismes, dates, résultats/états de formation, échéances, justificatifs, notes pertinentes et paramètres. Le logiciel n’est pas destiné à héberger des dossiers médicaux ou des données sensibles inutiles. Les entreprises minimisent et masquent les informations avant dépôt.

3. Obligations et instructions du client

L’entreprise définit la base légale, les durées nécessaires, les personnes autorisées et les destinataires, informe les salariés et répond des décisions RH. Elle assure l’exactitude des informations et la licéité de ses instructions. Elle documente les partages par lien et les destinataires des emails. Le calendrier proposé dans la politique de confidentialité l’aide à fixer ses instructions ; il ne lui impose pas une durée uniforme pour toutes les preuves de sécurité.

L’utilisation normale des fonctions dans le périmètre contractuel constitue une instruction documentée. Les demandes particulières ou irréversibles sont confirmées par un interlocuteur habilité. Le client ne transmet pas de secrets ni de pièces inutiles dans les demandes d’assistance.

4. Obligations de NB Formation et confidentialité

NB Formation traite les données uniquement sur les instructions documentées du client, y compris pour les transferts, sauf obligation légale contraire dont elle l’informe lorsqu’elle y est autorisée. Elle l’alerte immédiatement si une instruction lui paraît contraire au droit des données personnelles. Elle ne réutilise pas les dossiers RH pour la publicité, l’entraînement d’une IA ou une finalité autonome non convenue.

Les accès sont limités aux fonctions nécessaires et aux personnes soumises à une obligation de confidentialité. NB Formation tient à jour la liste nominative des intervenants habilités, leurs engagements, les revues d’accès et les interventions de support. Aucun accès général de tous les collaborateurs de NB Formation aux dossiers clients n’est autorisé par cette annexe.

5. Annexe sécurité : mesures et limites

• Authentification observée : mots de passe hachés bcrypt, sessions signées avec cookie HttpOnly, Secure en production et SameSite, contrôle du compte et du périmètre entreprise/rôle côté serveur ; limitation des tentatives. Les liens de réinitialisation sont aléatoires, stockés sous empreinte, à usage unique et valables 30 minutes. Pas de MFA native du SaaS identifiée.
• Droits et administrateurs : administrateur d’entreprise et périmètres d’équipe ; le code prévoit aussi un accès de supervision. Les habilitations internes font l’objet d’une revue trimestrielle ; les accès inutiles sont retirés, les comptes restent individuels. L’activation de la MFA sur chaque console fournisseur reste à vérifier. Inscription, réinitialisation et création d’un utilisateur exigent au moins 12 caractères et au plus 72 octets UTF-8. Les mots de passe provisoires doivent être remplacés par leur titulaire.
• Documents et partage : formats PDF/images et limite de 3 Mo, contrôle d’accès aux téléchargements, pièces stockées en base. Aucun antivirus applicatif identifié. Le passeport fonctionne par possession d’un lien révocable, sans authentification nominative. Diffusion limitée et contrôle des destinataires d’alertes nécessaires.
• Chiffrement : HTTPS observé et sauvegarde locale chiffrée. Les protections au repos annoncées par les fournisseurs relèvent de leurs accords et configurations ; aucun chiffrement de bout en bout ni chiffrement applicatif de chaque document n’est revendiqué. L’envoi email est configuré en TLS opportuniste : il ne garantit pas à lui seul le chiffrement de chaque relais jusqu’au destinataire.
• Secrets et clés API : configuration serveur distincte du navigateur ; ne pas inclure les clés dans les exports, journaux ou documents. Règles applicables : inventaire des titulaires, droits minimaux, révocation après départ/compromission, rotation après exposition et revue trimestrielle. Aucune rotation automatique des clés n’est affirmée.
• Journalisation : traces d’authentification, soumissions et envois existent, mais ne constituent pas un journal exhaustif de toutes les lectures. Les traces techniques d’alertes et d’exécution sont purgées après six mois ; les compteurs d’authentification et liens de réinitialisation après deux jours. Les actions de fermeture conservent seulement une preuve minimale pendant cinq ans.
• Sauvegarde et restauration : sauvegarde locale chiffrée programmée chaque jour, vérification par restauration isolée et rotation sûre des trente archives locales vérifiées les plus récentes. Une copie chiffrée est déposée dans un dossier privé kDrive ; son intégrité est contrôlée après téléchargement. La clé de récupération est conservée séparément des copies externes et n’est pas transmise avec les archives. Le passage quotidien dépend de la disponibilité et de la sécurité du Mac, de l’outil de planification et de la session kDrive. Un échec de copie externe doit être traité ; il ne remet pas en cause la conservation de la sauvegarde locale réussie. Les copies externes sont revues à partir de trente archives, sans retrait automatique actuellement.
• Correctifs et continuité : publication contrôlée après construction et tests des parcours ; pas d’audit d’intrusion indépendant ni de délai garanti de correction constaté. NB Formation organise une revue mensuelle des dépendances, traitement prioritaire des vulnérabilités critiques, procédure de retour à la version précédente, suivi des incidents fournisseurs et test des corrections. Aucun RPO, RTO, SLA ou support permanent contractuel n’est promis.
• Effacement et export : la suppression d’une fiche efface ses formations et documents actifs ; la sortie d’un salarié conserve l’historique. L’administrateur dispose d’un export ZIP complet avec données structurées et pièces, puis d’une fermeture protégée par son mot de passe. Les sauvegardes suivent la rotation décrite ci-dessus et ne sont pas accessibles dans le service actif.

Ces mesures réduisent les risques mais ne remplacent ni la gouvernance du client ni une validation juridique et de sécurité indépendante. Les certifications d’un prestataire ne certifient pas le SaaS Fyrnia.

6. Sous-traitants ultérieurs et transferts

La liste versionnée des prestataires décrit Vercel, Neon/Databricks, Resend, la messagerie et le stockage de sauvegardes kDrive d’Infomaniak, leurs rôles, localisations et documents publics. Les services de recherche publique et la carte facultative sont distingués des hébergeurs des données RH. Le compte Fyrnia est en offre Vercel Pro depuis le 18 septembre 2026 ; le DPA Vercel publié vise cette offre. La version applicable, ses annexes et la liste des sous-traitants doivent être conservées dans le dossier contractuel.

Par l’acceptation électronique de cette annexe, le client autorise de manière générale les prestataires nommés dans la liste liée ci-dessus, dans leurs rôles respectifs et sous réserve des garanties exigées par le RGPD. NB Formation informe le contact contractuel avant ajout ou remplacement, avec un objectif de 30 jours lorsque le calendrier fournisseur le permet. Pour un changement imposé avec un préavis plus court, transmettre l’information dès réception et permettre une objection avant effet ; examiner une solution alternative ou la sortie sécurisée de la fonction concernée. Aucune autorisation rétroactive générale n’est présumée.

Les obligations équivalentes de protection sont imposées aux sous-traitants ; NB Formation reste responsable envers le client de leur exécution. Les transferts hors EEE doivent reposer sur une adéquation applicable ou des garanties valides, avec analyse et mesures complémentaires lorsque requises. Le dossier conserve l’identité de l’importateur, le rôle, les catégories, les pays, le mécanisme et sa date de vérification.

7. Assistance, droits et incidents

NB Formation transmet au client les demandes de droits concernant ses salariés sans délai indu, puis l’assiste selon ses instructions. Elle apporte les informations disponibles pour ses obligations de sécurité, analyses d’impact et consultations préalables. Elle ne décide pas seule d’effacer une preuve que le responsable est légalement tenu de conserver.

En cas de violation, NB Formation informe le contact incident du client sans délai indu dès qu’elle en a connaissance, même si l’analyse n’est pas achevée : nature, catégories et volumes approximatifs, conséquences, contact et mesures de maîtrise. Les compléments sont envoyés progressivement. Le délai éventuel de 72 heures applicable à la notification du responsable à l’autorité ne constitue pas un délai d’attente pour NB Formation.

Canal disponible : contact@fyrnia.fr, objet « Incident données Fyrnia ». NB Formation doit organiser sa surveillance, un relais et un registre d’incidents ; aucune astreinte 24 h/24 n’est annoncée. Les décisions de notifier la CNIL et les personnes, ou de ne pas notifier, sont motivées et consignées par le responsable compétent.

8. Restitution, changement de service et fin de traitement

L’administrateur habilité peut télécharger depuis les paramètres une archive ZIP contenant les comptes, salariés, historiques, demandes, alertes, paramètres, données de soumission liées à l’espace et pièces originales. Le fichier JSON indique sa version et les chemins des justificatifs. Un export CSV du suivi courant reste proposé pour les usages tableur.

Après vérification de l’archive, l’administrateur peut fermer lui-même l’espace en recopiant le nom exact de l’entreprise, en saisissant son mot de passe et en confirmant l’opération. La base active supprime alors les accès, salariés, pièces, demandes et alertes associés. Les preuves d’acceptation et de fermeture strictement nécessaires sont isolées pendant cinq ans. Les sauvegardes chiffrées sont inaccessibles à l’usage courant, soumises à la rotation des trente archives quotidiennes vérifiées les plus récentes et ne doivent être restaurées que dans un environnement contrôlé avec réapplication des suppressions nécessaires.

Pour une demande de droit portant sur une personne, NB Formation et l’entreprise cliente vérifient le périmètre avant toute suppression afin de préserver les obligations légales effectivement applicables. Les preuves contractuelles nécessaires à NB Formation pour sa propre responsabilité restent séparées des dossiers confiés.

Pour une transition assistée vers un autre service, les délais, l’assistance et la période de récupération prévus à l’article 7 des CGU s’appliquent. La fermeture immédiate n’est pas utilisée pendant cette période sans instruction distincte du client.

9. Audits, preuves et adoption

NB Formation met à disposition les informations nécessaires pour démontrer le respect de l’article 28 et permet les audits, inspections comprises, par le client ou son auditeur mandaté. Un préavis pratique de 15 jours est demandé pour un audit ordinaire, sans empêcher les contrôles urgents, ceux de l’autorité ou ceux exigés par la loi. Le périmètre, la confidentialité et la protection des autres clients sont organisés sans vider ce droit de sa portée.

Le dossier de preuve conserve la version acceptée, la date et l’identité professionnelle déclarée de l’administrateur. L’application enregistre cette acceptation explicitement lors de la création ou de la reprise de l’espace. Les obligations impératives prévalent ; pour les données personnelles, cette annexe prévaut sur les clauses générales incompatibles.

Sources : clauses de sous-traitance CNIL et RGPD, notamment articles 28, 32 à 36 et chapitre V.