Contrat de sous-traitance

Les parties

Le responsable de traitement est le comité social et économique souscripteur. Le sous-traitant est l’éditeur d’Athena — raison sociale à compléter.

1. Objet, durée, nature et finalité

Le sous-traitant héberge et traite les données déposées par le comité afin de rendre le service décrit aux conditions générales : conservation documentaire, assistance à la rédaction, transcription de réunions, tenue comptable. La durée est celle de l’abonnement.

2. Types de données et catégories de personnes

Données d’identification et de contact des élus et des salariés bénéficiaires, contenus des documents déposés, enregistrements de réunions et leurs transcriptions, écritures comptables. Les personnes concernées sont les élus, les salariés de l’entreprise et les tiers cités dans les documents.

3. Instructions documentées

Le sous-traitant ne traite les données que sur instruction du comité, y compris pour les transferts. Le paramétrage du service vaut instruction.

4. Confidentialité

Les personnes autorisées à traiter les données sont tenues à une obligation de confidentialité.

5. Sécurité (art. 32)

Cloisonnement des données entre comités appliqué par la base elle-même, ligne par ligne, sur les quarante-sept tables du schéma ; chiffrement en transit et au repos ; authentification nominative ; journal des actions sensibles.

6. Sous-traitants ultérieurs

Le comité autorise les prestataires listés à la politique de confidentialité : Supabase, Railway, OpenAI, Anthropic, Deepgram, Stripe. Toute adjonction ou remplacement est notifié au comité, qui peut s’y opposer.

7. Droits des personnes

Le sous-traitant aide le comité à répondre aux demandes d’accès, de rectification, d’effacement et de portabilité, dans la mesure du possible.

État réel : l’export et l’effacement par personne ne sont pas encore outillés dans la console. Les demandes sont traitées à la main, sur demande écrite.

8. Assistance (art. 32 à 36)

Le sous-traitant notifie au comité toute violation de données dont il a connaissance, dans les meilleurs délais, et lui fournit les éléments nécessaires à sa propre notification à la CNIL.

9. Sort des données en fin de contrat

Au terme de la prestation, les données sont restituées sur demande puis supprimées, ainsi que les copies existantes, sauf obligation légale de conservation.

10. Audit

Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l’article 28 et permet la réalisation d’audits, dans des conditions raisonnables et après préavis.

Ce contrat est rédigé et publié ; il n’a pas encore été signé par un comité, ni relu par un avocat. L’audit de conformité de la console suit ces deux points.