Accord de sous-traitance

Version 1.1 — en vigueur au 1er octobre 2026 (ajout de l'assistant RH)

1. Parties

Le Responsable de traitement : le Client désigné aux conditions particulières du contrat d'abonnement.

Le Sous-traitant : LBRH Solutions, entreprise individuelle exploitée par Lucas BERLOQUIN, SIRET 106 276 330 000 11, contact@lbrhsolution.fr.

2. Description des traitements

Objet : hébergement et exploitation du logiciel de gestion administrative du personnel LBRH Solutions.

Durée : celle du contrat d'abonnement, augmentée des délais de réversibilité et de suppression prévus à l'article 11.

Nature des opérations : collecte, enregistrement, organisation, structuration, conservation, consultation, extraction, rapprochement, effacement.

Finalités :

• constitution et tenue des dossiers du personnel ;
• rédaction et édition des contrats de travail, avenants et courriers RH ;
• recueil dématérialisé des pièces d'embauche auprès des candidats et salariés ;
• suivi des échéances légales (période d'essai, fin de CDD, titre de séjour, visite médicale) ;
• gestion des plannings, disponibilités et absences ;
• procédures disciplinaires et rédaction des courriers associés ;
• production d'états de synthèse et de tableaux de bord pour le Client ;
• assistance RH conversationnelle : réponses aux questions des utilisateurs du Client à partir des données de son entreprise et des textes publiés sur Légifrance.

2.1 Catégories de personnes concernées

• Salariés du Client, présents et sortis ;
• Candidats à l'embauche ;
• Utilisateurs de l'application désignés par le Client ;
• Le cas échéant, contacts de la médecine du travail et représentants du personnel.

2.2 Catégories de données

2.3 Données sensibles

Le logiciel ne collecte pas de donnée de santé au sens de l'article 9 du RGPD. Les arrêts de travail sont traités par leurs seules dates de début et de fin, sans mention du motif médical ni conservation du volet médical.

Le numéro de sécurité sociale (NIR) est traité aux seules fins de gestion du personnel et de transmission aux organismes sociaux, usage autorisé par le décret n° 2019-341 du 19 avril 2019.

Les données relatives aux titres de séjour sont traitées au titre de l'obligation légale de vérification de l'autorisation de travail (articles L. 8251-1 et R. 5221-41 du code du travail).

3. Obligations du Sous-traitant

Conformément à l'article 28.3 du RGPD, le Sous-traitant s'engage à :

• Traiter les données uniquement sur instruction documentée du Responsable de traitement, y compris en matière de transfert hors Union européenne. L'usage du logiciel par le Client vaut instruction. Si une instruction lui paraît constituer une violation du RGPD, le Sous-traitant en informe immédiatement le Client.
• Garantir la confidentialité : toute personne autorisée à traiter les données est soumise à une obligation de confidentialité écrite.
• Mettre en œuvre les mesures de sécurité décrites à l'annexe 2, conformément à l'article 32.
• Respecter les conditions de sous-traitance ultérieure définies à l'article 4.
• Aider le Client à répondre aux demandes d'exercice de droits des personnes, par la mise à disposition de fonctions d'export, de rectification et de suppression directement dans le logiciel, ainsi que par une assistance sous 5 jours ouvrés en cas de besoin.
• Aider le Client à respecter ses obligations d'analyse d'impact, de sécurité et de notification de violation, en lui fournissant les informations en sa possession.
• Supprimer ou restituer les données au terme du contrat, selon le choix du Client, dans les conditions de l'article 11 des conditions générales d'abonnement.
• Tenir un registre des catégories de traitements effectués pour le compte du Client et le mettre à disposition sur demande.
• Se soumettre aux audits dans les conditions de l'article 7.

Le Sous-traitant s'interdit expressément d'utiliser les données à des fins propres, notamment de prospection, de statistiques commerciales, de revente, ou d'entraînement de modèles d'intelligence artificielle.

4. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants ultérieurs listés à l'annexe 1. Chacun est lié par des obligations de protection des données équivalentes aux présentes.

Tout ajout ou remplacement est notifié au Client au moins 30 jours à l'avance. Le Client peut s'y opposer par écrit dans ce délai pour un motif légitime tenant à la protection des données ; à défaut d'accord, il peut résilier le contrat sans frais.

Le Sous-traitant demeure pleinement responsable, à l'égard du Client, de l'exécution par ses sous-traitants ultérieurs de leurs obligations.

5. Localisation et transferts

L'ensemble des données est hébergé et traité sur le territoire de l'Union européenne, et en pratique exclusivement en France.

Aucun transfert hors Union européenne n'est réalisé. Si un tel transfert devenait nécessaire, il ferait l'objet d'une information préalable du Client et serait encadré par les clauses contractuelles types de la Commission européenne, assorties des mesures complémentaires requises.

6. Violation de données

En cas de violation de données à caractère personnel, le Sous-traitant :

• notifie le Client dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par courriel au contact désigné ;
• communique la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées ;
• fournit, si toutes les informations ne sont pas disponibles immédiatement, une communication par étapes ;
• apporte son concours au Client pour la notification à la CNIL et, le cas échéant, l'information des personnes concernées.

La notification à l'autorité de contrôle relève de la responsabilité du Client, en sa qualité de responsable du traitement.

7. Audit

Le Client peut, une fois par an et moyennant un préavis de 30 jours, vérifier le respect des présentes obligations, soit par questionnaire écrit, soit par un audit conduit par lui-même ou par un tiers indépendant tenu au secret et non concurrent du Sous-traitant.

L'audit se déroule pendant les heures ouvrées, sans perturber le service, et ne peut porter sur les données d'autres clients. Un audit supplémentaire peut être diligenté sans délai après une violation de données avérée.

8. Délégué et point de contact

Le Sous-traitant n'est pas tenu de désigner un délégué à la protection des données au sens de l'article 37. Le point de contact unique pour toute question relative aux données personnelles est : contact@lbrhsolution.fr.

9. Responsabilité

Chaque partie assume les conséquences de ses propres manquements. Les limitations de responsabilité du contrat d'abonnement ne s'appliquent pas aux manquements aux obligations du présent accord.

10. Sort des données au terme du contrat

Au choix du Client exprimé au plus tard à la date de fin du contrat, les données sont restituées dans un format ouvert et exploitable, puis supprimées ; ou supprimées directement.

La suppression intervient sous 30 jours pour les serveurs de production et sous 90 jours pour les sauvegardes. Un certificat de suppression est délivré sur demande. En l'absence d'instruction du Client, la restitution suivie de la suppression s'applique par défaut.

---

Annexe 1 — Sous-traitants ultérieurs

Les prestataires utilisés pour la mesure d'audience du site vitrine ne figurent pas ici : ils n'ont aucun accès au logiciel ni aux données RH. Ils sont décrits dans la politique de confidentialité.

Annexe 2 — Mesures techniques et organisationnelles

Mesures mises en œuvre au titre de l'article 32 du RGPD.

Ces mesures peuvent évoluer, à condition de maintenir un niveau de sécurité au moins équivalent. La version applicable est celle publiée à l'adresse de la présente page.