Document rédigé automatiquement, non encore relu par un avocat — ne pas considérer comme définitif.

YH POINTE

Accord de sous-traitance (DPA)
Accueil

AVERTISSEMENT — Ce document a été rédigé par Claude (Anthropic) à partir du guide du sous-traitant de la CNIL (édition septembre 2017) et de son modèle de clauses de sous-traitance officiel. Il ne constitue pas un conseil juridique. Compte tenu des sanctions possibles en cas de DPA absent ou incomplet (la CNIL a sanctionné des manquements à l'article 28 seul, indépendamment de tout incident — jusqu'à 180 000 € pour SLIMPAY, 1,5 M€ pour Dedalus Biologie), ce document doit être relu et validé par un avocat avant signature avec un premier client réel. Les champs entre crochets [ ] restants sont propres à chaque établissement client et se complètent au cas par cas.

Dernière mise à jour : 10/08/2026

Entre les soussignés :

[Nom de l'Établissement], situé à [adresse], représenté par [nom du Gérant] (ci-après « le Responsable de traitement »)

d'une part,

ET

YH Digital, micro-entreprise représentée par Younes Henry, SIRET 10683399900019, située à 173 La Draille Etroite, 84570 Villes-sur-Auzon (ci-après « le Sous-traitant »)

d'autre part,

Il est convenu ce qui suit, dans le cadre de la fourniture du service YH Pointe par le Sous-traitant au Responsable de traitement.

I. Objet

Le présent accord a pour objet de définir les conditions dans lesquelles le Sous-traitant s'engage à effectuer, pour le compte du Responsable de traitement, les opérations de traitement de données à caractère personnel décrites ci-après. Les parties s'engagent à respecter le règlement (UE) 2016/679 du 27 avril 2016 (RGPD) ainsi que la loi Informatique et Libertés modifiée.

II. Description du traitement faisant l'objet de la sous-traitance

III. Durée du contrat

Le présent accord entre en vigueur à la date de signature et s'applique pendant toute la durée de l'abonnement au Service YH Pointe souscrit par le Responsable de traitement, augmentée de la période nécessaire à l'exécution des obligations de fin de contrat prévues à l'article IV.9.

IV. Obligations du Sous-traitant vis-à-vis du Responsable de traitement

Le Sous-traitant s'engage à :

  1. Traiter les données uniquement pour la ou les finalité(s) décrites à l'article II, sur instruction documentée du Responsable de traitement — les paramètres saisis par le Gérant dans l'interface du Service (liste des employés, règles de saisie) valant instruction documentée. Si le Sous-traitant considère qu'une instruction constitue une violation du RGPD, il en informe immédiatement le Responsable de traitement.

  2. Garantir la confidentialité des données à caractère personnel traitées dans le cadre du présent contrat.

  3. Veiller à ce que les personnes autorisées à traiter les données (Younes Henry et tout collaborateur futur de YH Digital ayant accès aux données) s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

  4. Prendre en compte les principes de protection des données dès la conception et par défaut : le Service ne collecte que les données strictement nécessaires au pointage (minimisation), et chaque Établissement dispose d'un fichier de base de données isolé (architecture « un fichier par établissement »), rendant structurellement impossible tout accès croisé entre Établissements.

  5. Sous-traitance ultérieure. Le Sous-traitant recourt à un hébergeur pour l'exécution technique du Service : actuellement OVH (VPS, datacenter de Roubaix, France — hébergement situé dans l'Union européenne). Le Responsable de traitement autorise de manière générale ce recours à un hébergeur UE. Le Sous-traitant informe préalablement et par écrit le Responsable de traitement de tout changement d'hébergeur envisagé ; le Responsable de traitement dispose d'un délai de 15 jours à compter de cette information pour présenter ses objections. Le sous-traitant ultérieur est tenu de respecter les mêmes obligations que celles prévues au présent accord ; le Sous-traitant demeure pleinement responsable devant le Responsable de traitement de leur bonne exécution.

  6. Droit d'information des personnes concernées. Il appartient au Responsable de traitement d'informer ses employés de l'existence et du fonctionnement du traitement (via une information interne appropriée — affichage, note de service, etc.). Le Sous-traitant met à disposition du Responsable de traitement les éléments nécessaires à cette information sur demande.

  7. Exercice des droits des personnes. Dans la mesure du possible, le Sous-traitant aide le Responsable de traitement à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, opposition). Ces demandes, lorsqu'elles sont reçues directement par le Sous-traitant, sont transmises sans délai au Responsable de traitement à l'adresse qu'il aura communiquée.

  8. Notification des violations de données. Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans un délai maximum de 72 heures après en avoir pris connaissance, par email, accompagnée de toute documentation utile permettant au Responsable de traitement de notifier, si nécessaire, cette violation à la CNIL.

  9. Mesures de sécurité. Le Sous-traitant s'engage à mettre en œuvre les mesures suivantes : hébergement des données en Union européenne ; isolation stricte des données par un fichier de base dédié à chaque Établissement ; sauvegardes automatiques quotidiennes avec une rétention d'au moins 7 jours ; accès au Compte Gérant protégé par mot de passe ; procédure de restauration documentée et testée en cas de sinistre. [Le Sous-traitant complètera cette liste avec le détail technique réel une fois le déploiement en production effectué — chiffrement au repos, gestion des accès serveur, etc.]

  10. Sort des données au terme du contrat. Au terme de la relation contractuelle, et selon le choix exprimé par le Responsable de traitement avant la résiliation effective, le Sous-traitant :

    • restitue l'intégralité des données à caractère personnel (export Excel/PDF) puis les supprime, ou
    • supprime directement l'intégralité des données, dans un délai de 30 jours suivant la fin effective du contrat, sauf obligation légale de conservation plus longue. Le Sous-traitant justifie par écrit de cette suppression sur demande.

  11. Registre et documentation. Le Sous-traitant tient un registre écrit des catégories de traitements qu'il effectue pour le compte de ses clients, et met à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect des présentes obligations.

V. Obligations du Responsable de traitement vis-à-vis du Sous-traitant

Le Responsable de traitement s'engage à :

  1. Fournir au Sous-traitant des données exactes et à jour concernant ses employés.
  2. Informer ses employés de l'existence du Service et des modalités de traitement de leurs données.
  3. Documenter par écrit (via l'interface du Service ou par email) toute instruction particulière concernant le traitement, au-delà du paramétrage standard du Service.
  4. Ne diffuser le lien et/ou le QR code de pointage propre à son Établissement qu'à ses employés réels, et en assurer un usage maîtrisé.
  5. Veiller, pour ce qui le concerne, au respect des obligations du RGPD applicables à sa qualité de responsable de traitement.

VI. Contact

Pour toute question relative au présent accord : contact@yhdigitalfr.com

Fait en deux exemplaires,

Le [date], à [lieu]

Pour le Responsable de traitement [Nom, qualité, signature]

Pour le Sous-traitant — YH Digital Younes Henry [Signature]