Accord de sous-traitance (DPA)
Version en projet, en attente des informations d'immatriculation — voir la note en bas de page. Dernière mise à jour : 15 octobre 2026.
1.Objet
Le présent accord précise les obligations de SHIFTLABS (ci-après « le Sous-traitant ») vis-à-vis du client (ci-après « le Responsable de traitement ») s'agissant des données à caractère personnel traitées par la plateforme SHIFTLABS pour son compte, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD). Il complète, sans s'y substituer, les conditions générales de vente.
2.Description du traitement
Nature : collecte, stockage, analyse assistée par IA et restitution de données déclaratives (entretiens, questionnaires, échantillonnage d'activité) dans un objectif de cartographie du travail et d'identification d'opportunités d'usage de l'IA.
Catégories de données : identité et rôle déclaratif des répondants (prénom, fonction), contenu des entretiens et de leurs synthèses, réponses aux questionnaires et à l'échantillonnage d'activité, agrégats de journaux d'événements et de télémétrie d'usage importés par le client (totaux, médianes et classements : le fichier est lu dans le navigateur, sans ligne brute ni identifiant de personne transmis, et les groupes de moins de cinq personnes sont regroupés), relevés datés des indicateurs publiés, compteurs de consommation d'IA (appels et tokens, jamais le contenu des échanges), messages adressés à l'expert depuis l'espace client, données de compte des utilisateurs côté client (nom, adresse courriel, mot de passe haché).
Personnes concernées : les collaborateurs du Responsable de traitement participant aux entretiens, questionnaires ou échantillonnages, ainsi que les utilisateurs de son compte SHIFTLABS.
Finalité : exécution des prestations décrites au contrat conclu entre les parties — en aucun cas l'évaluation individuelle des personnes concernées, ce que rappelle l'écran de consentement affiché avant chaque entretien.
3.Obligations du Sous-traitant
Conformément à l'article 28-3 du RGPD, SHIFTLABS s'engage à :
- ne traiter les données que sur instruction documentée du Responsable de traitement, y compris pour tout transfert vers un pays tiers, sauf obligation légale contraire ;
- garantir que les personnes autorisées à traiter les données sont engagées à la confidentialité ;
- mettre en œuvre les mesures de sécurité décrites à l'article 5 ci-dessous ;
- respecter les conditions de recours à un sous-traitant ultérieur décrites à l'article 6 ;
- assister le Responsable de traitement pour répondre aux demandes d'exercice des droits des personnes concernées ;
- assister le Responsable de traitement dans le respect de ses obligations en matière de sécurité et de notification de violation ;
- selon le choix du Responsable de traitement au terme du contrat, supprimer ou restituer l'ensemble des données, et supprimer les copies existantes, sous réserve des durées de conservation légales mentionnées à l'article 4 ;
- mettre à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ces obligations, et permettre la réalisation d'audits.
4.Durées de conservation
Les durées ci-dessous sont celles visées contractuellement ; la colonne « application » indique, sans ambiguïté, lesquelles sont aujourd'hui vérifiées par du code plutôt que suivies manuellement :
| Catégorie | Durée | Application | Base |
|---|---|---|---|
| Entretiens, verbatims, réponses collectées, agrégats de sources importées, relevés d'indicateurs, compteurs de consommation d'IA | Durée de la mission, au plus 24 mois | Automatique (revue de conservation) | lib/durees.ts — DUREES.missionMs |
| Journal des actions sensibles (suppressions, purges, publications, restaurations) | 12 mois, dans la limite des 500 entrées les plus récentes tous clients confondus | Automatique (purge à chaque écriture) | lib/durees.ts — DUREES.auditMs ; obligation légale, art. 32 |
| Compte client après fin de contrat | 12 mois | Manuelle : le produit ne date pas encore la fin de contrat | lib/durees.ts — DUREES.compteMs |
Pour les deux durées à application automatique, une revue de conservation ou une purge identifie les dossiers échus à chaque exécution ; le traitement des données échues (purge) reste une action déclenchée par l'équipe SHIFTLABS, jamais silencieuse. Pour la durée à application manuelle, SHIFTLABS s'engage à la respecter en pratique en attendant l'instrumentation correspondante.
5.Mesures de sécurité
Mesures techniques et organisationnelles effectivement en place, en miroir de celles publiées dans la politique de confidentialité :
- chiffrement en transit (TLS) et au repos (AES-256-GCM) — la clé de chiffrement n'est détenue que par SHIFTLABS ;
- cloisonnement logique par organisation cliente : chaque accès est filtré par identifiant de client, et les entretiens et collectes sont stockés dans des fichiers séparés par client ; l'annuaire des comptes et le journal d'audit restent des fichiers communs, chiffrés avec la même clé ;
- authentification par session signée et révocable, second facteur disponible sur les comptes ;
- journal des actions sensibles (suppressions, purges, publications, restaurations), conservé 12 mois dans la limite de 500 entrées ;
- limitation de débit sur les points d'entrée publics (anti-énumération, anti-force brute) ;
- sauvegardes chiffrées, dont les instantanés les plus anciens sont effacés définitivement selon une politique de purge automatisée.
6.Sous-traitants ultérieurs
Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants, qui reflètent la situation réelle à la date de mise à jour de cette page et non un objectif :
| Rôle | Société | Localisation | Garantie |
|---|---|---|---|
| Hébergement et exécution applicative | Vercel Inc. | Exécution en région Paris (cdg1) ; société établie aux États-Unis | Clauses contractuelles types |
| Stockage des données | Vercel Blob | Région Paris (cdg1) ; une copie antérieure à la migration subsiste dans l'ancien magasin (États-Unis) tant qu'il n'est pas détaché | Chiffrement au repos (AES-256-GCM), clé détenue exclusivement par SHIFTLABS |
| Moteur d'analyse (IA), fournisseur principal | Anthropic, PBC | États-Unis (traitement aux États-Unis, via l'API professionnelle d'Anthropic) | Clauses contractuelles types (accord de sous-traitance du fournisseur) ; entrées et sorties supprimées sous 30 jours au plus, sauf obligation légale ou contenu signalé (jusqu'à 2 ans) ; aucun entraînement sans accord exprès |
| Moteur d'analyse de repli (IA) | Mistral AI | France | Traitement en Union européenne ; appelé lorsque le fournisseur principal ne répond pas |
| Envoi de courriels | Brevo | Union européenne (société française ; hébergement en France, en Allemagne et en Belgique) | Traitement dans l'Union européenne ; accord de sous-traitance (DPA) du fournisseur |
| Limitation de débit (anti-abus) | Upstash | Londres (Royaume-Uni, pays reconnu adéquat par la Commission européenne) ; données techniques uniquement (empreinte hachée de l'IP, du compte ou de l'e-mail ; compteurs — jamais la valeur en clair) | Décision d'adéquation UE–Royaume-Uni |
| Suivi des erreurs (supervision applicative) | Sentry (Functional Software, Inc.) | États-Unis, sauf organisation Sentry configurée en résidence UE (à confirmer selon le projet Sentry utilisé) | Clauses contractuelles types |
SHIFTLABS informe le Responsable de traitement de tout ajout ou remplacement de sous-traitant ultérieur, avec un délai raisonnable permettant à celui-ci de formuler des objections avant que le changement ne prenne effet.
7.Transferts hors Union européenne
Une partie des sous-traitants ultérieurs listés à l'article 6 est établie aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, complétées par le chiffrement des données au repos décrit à l'article 5. Le moteur d'analyse par l'IA est concerné : les textes envoyés pour analyse (réponses aux entretiens, contenus des sources, questions posées à l'assistant) sont traités aux États-Unis par Anthropic, PBC, via son API professionnelle, dont l'accord de sous-traitance intègre les clauses contractuelles types. Ces textes sont chiffrés en transit, mais lisibles par le moteur le temps du traitement ; Anthropic les supprime de ses systèmes sous 30 jours au plus (sauf obligation légale, ou contenu signalé comme contraire à sa politique d'usage : jusqu'à 2 ans) et ne les utilise pas pour entraîner ses modèles sans autorisation expresse. SHIFTLABS privilégie les sous-traitants européens partout où une alternative existe : l'exécution applicative et le stockage se font en région Paris, et Mistral AI (France) reste configuré comme moteur d'analyse de repli.
8.Notification de violation de données
SHIFTLABS notifie le Responsable de traitement de toute violation de données à caractère personnel dans les meilleurs délais après en avoir eu connaissance, et lui fournit les informations nécessaires pour lui permettre de respecter, le cas échéant, ses propres obligations de notification à l'autorité de contrôle et aux personnes concernées.
9.Durée et sort des données en fin de contrat
Le présent accord s'applique pendant toute la durée du contrat principal. À son terme, le Responsable de traitement indique s'il souhaite la suppression ou la restitution des données ; à défaut de choix exprimé, les durées de conservation par défaut de l'article 4 s'appliquent avant suppression.