Accord sur le traitement des données personnelles (DPA)

Avertissement

Le présent accord encadre le traitement de données personnelles qu’Orion RH réalise, pour le compte de ses Entreprises clientes, à partir des données concernant leurs salariés, agents ou candidats (par exemple l’analyse d’un bulletin de paie ou d’un compte rendu DSN). Il fait partie intégrante du contrat conclu entre Orion RH et l’Entreprise cliente : la création d’un Espace et l’acceptation, lors de l’inscription, des CGU et du présent accord valent acceptation du DPA pour les traitements auxquels il s’applique, y compris pendant la période d’essai gratuite (voir l’article 12 des CGU). Les CGV s’appliquent en outre lors de la souscription à une offre payante. Il complète la politique de confidentialité et les CGU, sans s’y substituer. Une Entreprise cliente souhaitant un exemplaire signé, adapté à sa situation, peut nous contacter à l’adresse indiquée à l’article 15.

1. Objet

Le présent accord encadre le traitement, par Orion RH agissant en qualité de sous-traitant, des données à caractère personnel que l’Entreprise cliente (responsable de traitement) lui confie dans le cadre de l’utilisation du service : questions posées à l’assistant, documents soumis à l’analyse et autres données relatives aux salariés, agents ou situations RH que l’Entreprise cliente confie au service.

Orion RH n’intervient pas dans les mêmes conditions selon la nature des données : pour les données nécessaires à la gestion du compte, de l’abonnement et de la relation commerciale, Orion RH agit comme responsable de traitement ; pour les données concernant les salariés de l’Entreprise cliente que celle-ci confie au service, Orion RH agit comme sous-traitant, sur ses instructions. Cette distinction est détaillée ci-dessous.

• Orion RH responsable de traitement — gestion des membres de l’Espace (comptes, authentification, gestion des accès, sécurité, administration du service), données de facturation et d’abonnement, journal d’audit et de sécurité, gestion commerciale et relation client (voir l’article 1 de la politique de confidentialité).
• Orion RH sous-traitant — contenu des questions posées à l’assistant et des documents soumis à l’analyse, dans la mesure où l’Entreprise cliente ou ses Utilisateurs y font figurer des données concernant des salariés, agents, anciens salariés ou candidats (objet du présent accord).

2. Durée

Le traitement dure pendant toute la période d’utilisation du service par l’Entreprise cliente, y compris pendant l’éventuelle période d’essai gratuite de 30 jours et, le cas échéant, pendant l’abonnement payant, augmenté du temps nécessaire à la suppression ou à la restitution des données conformément aux durées de conservation décrites dans la politique de confidentialité.

3. Nature et finalité du traitement

Traitements réalisés pour le compte de l’Entreprise cliente : recherche documentaire, génération de réponses par un assistant utilisant l’intelligence artificielle à partir des questions posées, analyse des documents déposés et conservation de l’historique de ces contenus dans l’Espace. Les traitements liés au compte, à l’authentification, aux accès, à la facturation, à la sécurité et à l’administration du service relèvent du rôle de responsable de traitement d’Orion RH décrit à l’article 1 et ne sont pas visés par le présent accord.

4. Catégories de données traitées

• Contenu des questions posées à l’assistant et des documents soumis à l’analyse, dans la mesure où l’Entreprise cliente ou ses Utilisateurs y font figurer des données personnelles concernant des salariés, agents, anciens salariés ou candidats ;
• résultat de l’analyse et historique de ces contenus, conservés dans l’Espace de l’Entreprise cliente ;
• le cas échéant, données de nature sociale visibles dans un document déposé (situation d’arrêt de travail, rémunération, etc.).

Les contenus transmis par l’Entreprise cliente peuvent, selon la demande et les documents fournis, comporter des catégories particulières de données au sens du RGPD, notamment des données concernant la santé (par exemple une situation d’arrêt de travail ou d’inaptitude). Ces données ne doivent être transmises que lorsqu’elles sont nécessaires au traitement demandé ; Orion RH ne met en œuvre aucune collecte spécifique de données de santé.

Un masquage automatique retire, avant tout enregistrement, les données identifiantes courantes détectées (NIR, IBAN, e-mails, téléphones) — voir la politique de confidentialité pour le détail et ses limites.

5. Catégories de personnes concernées

Salariés, agents publics, anciens salariés et candidats de l’Entreprise cliente, ainsi que les autres personnes dont des données figureraient dans un document ou une question soumise au service. Les Utilisateurs de l’Espace (membres de l’équipe de l’Entreprise cliente) ne sont pas des personnes concernées du traitement sous-traité : leurs données sont traitées par Orion RH en qualité de responsable de traitement (voir la politique de confidentialité).

6. Instructions du responsable de traitement

Orion RH ne traite les données que sur instruction documentée de l’Entreprise cliente, telle qu’elle résulte de son utilisation du service, des présentes, des CGU et des paramètres qu’elle configure dans son Espace. Orion RH informe l’Entreprise cliente si une instruction lui paraît contraire à la réglementation applicable.

7. Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. L’accès aux données d’une Entreprise cliente est cloisonné vis-à-vis des autres Entreprises utilisatrices du service.

8. Sécurité

Mesures en place à la date de rédaction : mots de passe stockés sous forme hachée, chiffrement des échanges (HTTPS), cloisonnement des données par Entreprise, limitation du nombre de requêtes pour prévenir les abus, sauvegarde quotidienne chiffrée. Le détail figure à l’article 9 de la politique de confidentialité.

9. Sous-traitants ultérieurs

Orion RH a recours aux prestataires suivants. Parmi eux, seul OVH (hébergement) et, dans les conditions de l’article 4, OpenAI (intelligence artificielle) sont susceptibles de traiter les données confiées par l’Entreprise cliente au titre du présent accord ; Stripe et Brevo n’interviennent, pour leur part, que sur des données dont Orion RH est responsable de traitement (facturation, communications commerciales) et ne sont pas des sous-traitants ultérieurs au sens du présent DPA.

• OVH SAS — sous-traitant ultérieur ; hébergement de l’application et de la base de données, en France.
• OpenAI — sous-traitant ultérieur ; traitement par intelligence artificielle des questions et documents textuels transmis à l’assistant, après le masquage décrit à l’article 4. Une image ou un document scanné n’est transmis qu’avec l’autorisation expresse de l’utilisateur, qui atteste l’avoir anonymisé au préalable, selon les modalités décrites dans la politique de confidentialité.
• Stripe — prestataire d’Orion RH pour la facturation ; ne traite pas les données confiées au titre du présent accord.
• Brevo — prestataire d’Orion RH pour les communications commerciales ; ne traite pas les données confiées au titre du présent accord.

L’Entreprise cliente autorise de façon générale le recours par Orion RH aux sous-traitants ultérieurs identifiés ci-dessus.

Orion RH informe préalablement l’Entreprise cliente de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur, par e-mail à l’administrateur de l’Espace, afin de lui permettre de formuler une objection dans un délai raisonnable, à l’adresse indiquée à l’article 15. La liste publiée sur la présente page est mise à jour en complément. En cas d’objection motivée, les parties recherchent une solution de bonne foi ; à défaut, l’Entreprise cliente peut cesser d’utiliser le service.

Les mêmes obligations en matière de protection des données que celles du présent accord sont imposées contractuellement aux sous-traitants ultérieurs. Orion RH demeure responsable envers l’Entreprise cliente de l’exécution de leurs obligations de protection des données, conformément au RGPD.

10. Transferts hors de l’Union européenne

L’hébergement de la base de données est situé en France. Le recours à certains sous-traitants ultérieurs, notamment le prestataire d’intelligence artificielle, peut entraîner un transfert de données vers un pays situé hors de l’Union européenne. Ces transferts sont réalisés avec les garanties prévues par le chapitre V du RGPD (décision d’adéquation ou clauses contractuelles types).

11. Assistance en cas d’exercice des droits

Compte tenu de la nature du traitement, Orion RH assiste l’Entreprise cliente, par des moyens techniques appropriés, pour répondre aux demandes d’exercice des droits des personnes concernées portant sur des données traitées pour son compte.

12. Assistance en cas de violation de données et autres obligations (articles 32 à 36 du RGPD)

Orion RH notifie l’Entreprise cliente sans délai indu de toute violation de données à caractère personnel affectant les données qu’elle lui a confiées, et lui apporte une assistance raisonnable pour l’aider à respecter ses propres obligations de notification.

Compte tenu de la nature du traitement et des informations dont dispose Orion RH, celui-ci assiste plus largement l’Entreprise cliente dans le respect de ses obligations prévues aux articles 32 à 36 du RGPD : sécurité du traitement (article 8 du présent accord), notification des violations de données, analyses d’impact relatives à la protection des données lorsqu’elles sont nécessaires, et consultation préalable de l’autorité de contrôle lorsqu’elle est applicable.

13. Suppression ou restitution des données

Au terme des prestations, selon le choix de l’Entreprise cliente, Orion RH restitue les données personnelles traitées pour son compte ou procède à leur suppression, puis supprime les copies restantes, sous réserve des obligations légales de conservation et des délais techniques applicables aux sauvegardes. L’Entreprise cliente fait connaître son choix par écrit à l’adresse indiquée à l’article 15, avant la cessation de l’utilisation du service ou la fin de l’abonnement, y compris à l’issue d’un essai gratuit non suivi d’un abonnement payant ; à défaut, les données sont supprimées conformément aux durées de conservation de la politique de confidentialité.

Le fichier original d’un document soumis à l’analyse n’est pas conservé au-delà du traitement.

14. Audits et conformité

Sur demande écrite raisonnable, Orion RH met à disposition de l’Entreprise cliente les informations nécessaires pour démontrer le respect du présent accord et contribue aux audits, y compris aux inspections, réalisés par l’Entreprise cliente ou par un auditeur qu’elle mandate, dans le respect de ce qui suit : préavis écrit raisonnable, fréquence raisonnable (sauf demande d’une autorité de contrôle ou violation de données avérée), engagement de confidentialité de l’auditeur, protection de la sécurité et des données des autres clients d’Orion RH, et prise en charge par l’Entreprise cliente des frais d’un audit exceptionnel ou nécessitant un temps significatif, communiqués au préalable.

15. Contact

Pour toute question relative au présent accord ou pour obtenir un exemplaire adapté à votre Entreprise : Administration@orionrh.fr.