Accord de traitement des données

1. Introduction

Le présent accord sur la protection des données (ci-après « DPA ») a pour objet d'encadrer l'utilisation des données personnelles du client, agissant en qualité de responsable de traitement (ci-après le « Client »), par Hublead, agissant en qualité de sous-traitant (ci-après le « Sous-traitant »), dans le cadre du Contrat (ci-après le « Contrat »).

2. Engagements

Le Sous-traitant s'engage et certifie respecter l'ensemble des dispositions de la réglementation applicable en matière de protection des données, qui comprend le Règlement général sur la protection des données (ci-après le « RGPD » ; Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données) et la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés). Le Sous-traitant déclare présenter toutes les garanties suffisantes pour répondre aux exigences de la réglementation applicable et, plus particulièrement, pour garantir la confidentialité et la protection des données du Client.

3. Instructions

Le Sous-traitant déclare et s'engage à n'utiliser les données du Client que sur ses instructions documentées décrites dans le Contrat.

Le Client s'engage à informer le Sous-traitant de toute modification des instructions relatives à l'utilisation de ses données personnelles. Le Sous-traitant doit informer le Client, par écrit et sans délai, si les instructions documentées de ce dernier constituent une violation de la réglementation applicable en matière de protection des données.

4. Confidentialité

Le Sous-traitant déclare et certifie que l'ensemble de ses salariés qui traitent les données personnelles du Client sont soumis à une clause de confidentialité ou à tout autre acte juridique garantissant la confidentialité des données personnelles du Client. Le Sous-traitant s'engage à former régulièrement ses collaborateurs à la réglementation applicable en matière de protection des données.

5. Sécurité

Le Sous-traitant certifie et s'engage à garantir la sécurité des données personnelles du Client et à mettre en œuvre les mesures techniques et organisationnelles décrites à l'Annexe 1 du présent DPA et nécessaires pour prévenir tout risque de violation de données.

6. Violation de données

Le Sous-traitant s'engage à notifier au Client, sans délai et au plus tard après en avoir pris connaissance, toute violation de données susceptible d'affecter les données personnelles du Client. La notification doit préciser toutes les informations nécessaires au Client pour traiter la violation de données décrite à l'article 28 du RGPD. En cas de violation de données, le Sous-traitant s'engage à prendre toutes les mesures nécessaires pour remédier à ses conséquences. Sauf consentement exprès, préalable et écrit du Client, le Sous-traitant n'est pas autorisé à notifier les violations de données à l'autorité de contrôle ni aux personnes concernées par les traitements réalisés dans le cadre du Contrat.

7. Aide et assistance en matière de sécurité

Le Sous-traitant fournit au Client toutes les informations nécessaires et requises sur les mesures de sécurité techniques et organisationnelles à mettre en œuvre dans le cadre du Contrat pour garantir la sécurité de ses données personnelles. Sur demande écrite, le Sous-traitant fournit au Client toutes les informations nécessaires et requises pour la réalisation d'une analyse d'impact relative à la protection des données (« AIPD »). Le Sous-traitant n'a pas à assurer ni à contrôler la sécurité du Client, ni à réaliser une AIPD pour le compte du Client. Toute demande d'information supplémentaire peut être refusée et, le cas échéant, faire l'objet d'une prestation supplémentaire facturée.

8. Aide et assistance concernant les droits des personnes concernées

Sur demande écrite, le Sous-traitant fournit au Client toutes les informations nécessaires et requises pour lui permettre de remplir son obligation de donner suite aux demandes des personnes concernées. Sur demande écrite du Client, le Sous-traitant exécute les actions techniques nécessaires pour que le Client remplisse cette obligation. Toutefois, le Sous-traitant n'a pas à traiter les demandes d'exercice des droits des personnes à la place et pour le compte du Client. Toute demande supplémentaire visant à assurer cette gestion peut être refusée et, le cas échéant, faire l'objet d'une prestation supplémentaire facturée.

9. Sous-traitant ultérieur

Le Client accepte que le Sous-traitant fasse appel aux sous-traitants ultérieurs listés à l'Annexe 2 du présent DPA, uniquement pour l'exécution du Contrat. Le Sous-traitant doit informer le Client par e-mail au moins deux mois avant toute modification de la liste des sous-traitants ultérieurs figurant à l'Annexe 2, afin que le Client puisse s'y opposer.

Le Sous-traitant s'engage à ne recourir qu'à des sous-traitants ultérieurs présentant les garanties nécessaires et suffisantes pour assurer la sécurité et la confidentialité des données personnelles du Client. Le contrat entre le Sous-traitant et le sous-traitant ultérieur doit contenir des obligations similaires à celles prévues au présent accord. Le Client peut s'y opposer par lettre recommandée avec accusé de réception si (i) le sous-traitant ultérieur est un concurrent du Client, (ii) le Client et le sous-traitant ultérieur sont en situation précontentieuse ou contentieuse, et (iii) le sous-traitant ultérieur a été sanctionné par une autorité de contrôle en matière de protection des données dans l'année précédant son recrutement par le Sous-traitant. Chacune de ces situations doit être démontrée. À défaut d'engagement du Sous-traitant à changer de sous-traitant ultérieur dans un délai de trois mois à compter de la réception de l'opposition, le Client peut résilier le Contrat moyennant un préavis de six (6) mois et sans indemnité. En tout état de cause, le Sous-traitant reste responsable des actes du sous-traitant ultérieur dans le cadre du Contrat.

10. Sort des données personnelles

Le Client informe le Sous-traitant, par écrit et au plus tard un mois avant la fin du Contrat, de son choix : (option 1) restituer les données personnelles au Sous-traitant puis détruire les données personnelles et toutes les copies existantes, ou (option 2) détruire directement les données personnelles et toutes les copies existantes, ou (option 3) transférer les données personnelles à un nouveau prestataire puis détruire les données personnelles et toutes les copies existantes. Sauf stipulation contraire du Contrat, l'option 3 fait l'objet d'un devis du Sous-traitant. À défaut pour le Client d'informer le Sous-traitant de son choix dans le délai imparti, le Sous-traitant se réserve le droit de détruire directement les données et toutes leurs copies (option 2). Le Sous-traitant atteste par écrit au Client que les données personnelles et toutes leurs copies ont bien été détruites.

11. Audits

Le Client a le droit de réaliser une fois par an un audit sous forme de questionnaire écrit afin de vérifier le respect du présent accord. Le questionnaire a valeur de déclaration sur l'honneur engageant le Sous-traitant. Le questionnaire peut être transmis sous toute forme au Sous-traitant, qui s'engage à y répondre dans un délai maximal de deux mois à compter de sa réception. Le Client a également le droit de réaliser, à ses frais, un audit sur site une fois par an, uniquement en cas de violation de données ou de non-respect de la réglementation applicable en matière de protection des données et du présent accord, y compris lorsque celui-ci est établi par le questionnaire écrit. L'audit sur site peut être réalisé par le Client ou par un tiers indépendant désigné par le Client, et doit être notifié par écrit au Sous-traitant au moins trente (30) jours avant l'audit. Le Sous-traitant a le droit de refuser le tiers indépendant choisi si celui-ci est i) un concurrent ou ii) en situation précontentieuse ou contentieuse avec lui. Dans ce cas, le Client s'engage à choisir un nouveau tiers indépendant pour réaliser l'audit. Le Sous-traitant peut refuser l'accès à certaines zones pour des raisons de confidentialité ou de sécurité. Dans ce cas, le Sous-traitant réalise l'audit de ces zones à ses frais et en communique les résultats au Client. En cas d'écart constaté lors de l'audit, le Sous-traitant s'engage à mettre en œuvre sans délai les mesures nécessaires pour se conformer au présent accord.

12. Transferts de données personnelles hors de l'Union européenne

Le Sous-traitant certifie et s'engage à tout mettre en œuvre pour ne pas transférer les données personnelles du Client hors de l'Union européenne et pour ne recourir à aucun sous-traitant ultérieur situé hors de l'Union européenne. Néanmoins, si de tels transferts s'avèrent nécessaires dans le cadre du Contrat, le Sous-traitant certifie et déclare qu'il mettra en œuvre tous les mécanismes requis pour encadrer ces transferts, notamment la conclusion de règles d'entreprise contraignantes (« BCR ») ou de clauses types de protection des données adoptées par la Commission européenne.

13. Coopération avec les autorités de contrôle

Concernant les traitements mis en œuvre dans le cadre du Contrat, le Sous-traitant s'engage à fournir, sur demande, toutes les informations nécessaires pour que le Client puisse coopérer avec l'autorité de contrôle compétente.

14. Contact

Le Client et le Sous-traitant désignent chacun un interlocuteur en charge du présent accord, destinataire des différentes notifications et communications prévues dans le cadre du Contrat. Si un Délégué à la protection des données (« DPO ») a été désigné par le Client et/ou le Sous-traitant, l'interlocuteur est nécessairement le DPO.

15. Nullité

En cas de nullité du Contrat, quelle qu'en soit la cause, le Client communique par écrit au Sous-traitant, dans un délai d'un mois à compter du prononcé de la nullité, sa décision quant au sort de ses données, conformément à l'article 10 du présent accord.

16. Modification

Le Client se réserve le droit de modifier le présent accord en cas d'évolution de la réglementation applicable en matière de protection des données qui aurait pour effet de modifier l'une de ses dispositions.

17. Droit applicable

Nonobstant toute stipulation contraire du Contrat, le présent accord est soumis au droit français. Tout litige relatif à l'exécution du présent accord relève de la compétence exclusive des tribunaux du ressort de la Cour d'appel du lieu de domicile du Client.

Annexe 1 – Mesures de sécurité

Hublead prend la sécurité très au sérieux. Notre équipe applique les bonnes pratiques de sécurité à tous les niveaux.

Pratiques de sécurité au sein de notre équipe

Hublead ne vend aucune donnée client et notre politique est de respecter la confidentialité des données de nos utilisateurs. Notre modèle économique repose sur des abonnements payants à Hublead.

• L'authentification à deux facteurs est utilisée sur les services tiers utilisés par Hublead
• Chaque ordinateur exécutant les outils de développement de Hublead est sécurisé et à jour
• Les salariés pouvant accéder aux données clients via notre système interne disposent de niveaux de sécurité différents. Nous veillons à ce qu'ils n'aient accès qu'aux données pertinentes (c'est-à-dire aucun message de chat, aucune donnée de client final).
• Les ordinateurs des salariés de Hublead ne stockent aucune donnée client
• Nous n'avons ni serveurs ni clés de sécurité dans nos bureaux. Ainsi, Hublead et les données des utilisateurs ne sont pas menacés en cas d'intrusion dans nos locaux.

Sécurité de l'infrastructure & des données

Voici quelques-unes de nos pratiques en matière d'infrastructure & de gestion des données :

• Tous les serveurs et services disposent des dernières mises à jour de sécurité et sont corrigés immédiatement lorsqu'une vulnérabilité du noyau est publiée
• Les serveurs sont situés en France
• Nos bases de données sont sauvegardées tous les jours
• Notre réseau est protégé par des pare-feu
• Notre système dispose d'une supervision automatisée qui nous permet de détecter les problèmes avant qu'ils n'affectent nos clients
• Authentification aux serveurs par clés SSH protégées (l'authentification directe par mot de passe est impossible)
• Les adresses IP abusives sont automatiquement bannies ou limitées (protection contre les attaques par force brute sur les comptes)
• Tout le trafic est chiffré (TLS)
• Nos bases de données sont chiffrées au repos
• Les tokens CRM de nos utilisateurs bénéficient d'une couche de chiffrement supplémentaire

Annexe 2 – Prestataires

1. GitHub : Versionnage et partage du code
2. Google Workspace : Services e-mail et Drive
3. Google Cloud Platform : Hébergement cloud dans l'Union européenne‍
4. HubSpot : CRM‍
5. Stripe : Prestataire de services de paiement
6. PostHog : Analyse produit (EU Cloud)

Annexe 3 – Informations générales

Catégories de données personnelles traitées

Standard (nom, URL LinkedIn, e-mail et téléphone publics, poste, informations sur l'entreprise, compétences, pays, formation, séniorité)

Durée de conservation

Moins d'une heure, aucune conservation dans la plupart des cas

Base légale

Exécution du contrat conclu avec le Client

Finalités

Transfert de données personnelles de LinkedIn vers un CRM