Annexe contractuelle — données confiées par l’association

1. Objet, durée, personnes et données

Les opérations autorisées sont l’hébergement, l’organisation, la consultation, les calculs et contrôles configurés, l’export, la sauvegarde, la maintenance et l’effacement nécessaires aux services souscrits. Elles durent pendant la fourniture des services puis leur réversibilité et les cycles de suppression convenus.

Les personnes concernées peuvent être les dirigeants, salariés, candidats, bénévoles, membres et contacts de l’association. Les données comprennent identité, coordonnées, rôles, contrats, temps de travail, absences, rémunération de référence, justificatifs de frais et documents fournis. Des informations particulières peuvent figurer dans les absences ou pièces RH : l’association en contrôle la nécessité et les accès. Le service n’est pas un dossier médical ni une offre d’hébergement de données de santé certifiée HDS.

2. Instructions et confidentialité

IWIOS traite les données pour les finalités documentées par l’association au travers de la commande, des paramètres et demandes de support. Il ne les vend pas, ne les utilise pas pour entraîner ses propres modèles et n’en détermine pas d’autres finalités. Une instruction manifestement contraire au RGPD est signalée au client. Une obligation légale imposant un traitement est portée à sa connaissance sauf interdiction légale.

L’accès administratif est limité aux personnes habilitées pour leur mission, tenues à la confidentialité. Les accès, exports et interventions sensibles doivent être traçables. L’association gère ses propres utilisateurs et reste responsable de leur habilitation ; cela ne décharge pas IWIOS de ses propres contrôles d’accès.

3. Sécurité et incidents

Les mesures comprennent le chiffrement des communications, la séparation des instances et des environnements, la protection des secrets hors des interfaces clientes, les restrictions réseau et d’administration, les mises à jour, les sauvegardes et leur contrôle. Les preuves de configuration et de restauration sont communicables dans le cadre de l’audit prévu ci-dessous. Aucun délai de restauration ou absence absolue de perte n’est présumé hors engagement écrit spécifique.

Une violation de données est notifiée à l’association sans délai injustifié après sa découverte. IWIOS communique progressivement les éléments disponibles : nature, périmètre, catégories et volume estimé, conséquences, mesures prises et interlocuteur. Il coopère pour permettre à l’association de tenir ses propres délais de notification et de documenter l’incident.

4. Assistance et audit

IWIOS aide l’association à répondre aux droits d’accès, de rectification, d’effacement, de limitation et de portabilité, à sécuriser le traitement et à conduire, si nécessaire, son analyse d’impact ou sa consultation de l’autorité. Une demande reçue directement d’un salarié est transmise à l’association, sans divulgation non autorisée.

Les informations nécessaires à la démonstration des obligations de sous-traitance sont mises à disposition. L’association ou son auditeur peut réaliser un contrôle, organisé pour préserver les secrets, la sécurité et les autres clients. Un préavis raisonnable peut être convenu, sauf urgence ou exigence de l’autorité. Le coût d’un service supplémentaire facultatif doit être accepté ; il ne peut empêcher les vérifications légalement dues.

5. Prestataires et changements

L’association autorise le recours aux prestations nécessaires ci-dessous. IWIOS vérifie les garanties et impose des obligations de protection équivalentes aux sous-traitants ultérieurs ; il reste responsable de leur exécution envers l’association. Un ajout ou remplacement est annoncé à l’association avant son intervention, avec les informations utiles et un délai d’opposition motivée de trente jours. Si aucune solution protectrice n’est possible, le service concerné peut être arrêté avec réversibilité et remboursement du reliquat non fourni.

Stancer traite les données de paiement et Abby les données de facturation ; ils ne reçoivent pas les dossiers RH du fait de la souscription. Leurs traitements bancaires, comptables et antifraude peuvent relever d’obligations propres distinctes. Keycloak, Nextcloud et Matomo sont des logiciels, pas à eux seuls des destinataires externes.

Avant tout transfert international, IWIOS vérifie les lieux, les accès et les garanties du chapitre V du RGPD ; l’association peut demander ces informations et les mesures complémentaires. L’ajout d’une option impliquant un nouvel opérateur suit la même procédure. Un ticket de support ne doit pas contenir de pièce RH complète lorsqu’un exemple anonymisé suffit.

6. Fin du traitement

Au terme des prestations, les données sont restituées ou supprimées selon l’instruction de l’association et la procédure de réversibilité des CGV. Les données conservées en sauvegarde ne sont plus utilisées pour le service courant et sont supprimées à l’expiration du cycle communiqué ; une restauration exceptionnelle réapplique les instructions de suppression. Une attestation de fin d’opération est fournie sur demande.

Seules les conservations imposées par la loi sont maintenues, pour leur finalité et leur durée propres, sans réutilisation des dossiers RH. IWIOS conserve séparément les éléments commerciaux dont il doit répondre, notamment les pièces comptables.