Annexe 1 aux Conditions Générales de Vente · Service RH Facility · Version 1.0 — en vigueur au 17/08/2026
SEECLICK, société par actions simplifiée au capital de 7 000 €, dont le siège social est situé 155 rue du Faubourg Saint-Denis, C/O SOFRADOM, 75010 Paris, immatriculée au RCS de Paris sous le numéro 921 880 894, SIRET 921 880 894 000 16, numéro de TVA intracommunautaire FR 34 921 880 894, représentée par la société HERA GROUPE, société à responsabilité limitée, dont le siège social est situé 90 avenue de la Colle, 06800 Cagnes-sur-Mer, immatriculée au RCS d'Antibes sous le numéro 920 746 070, en sa qualité de Président, elle-même représentée par Madame Céline RABHI, contact@rh-facility.fr,
ci-après « le Sous-traitant » ou « l'Éditeur »,
et
Le client souscripteur du service RH Facility, tel qu'identifié lors de la souscription,
ci-après « le Responsable de traitement » ou « le Client ».
Le présent accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données à caractère personnel nécessaires à la fourniture du service RH Facility.
Il est conclu en application de l'article 28 du Règlement (UE) 2016/679 (ci-après « RGPD ») et constitue l'Annexe 1 des Conditions Générales de Vente, dont il fait partie intégrante. En cas de contradiction avec les CGV sur la protection des données à caractère personnel, le présent accord prévaut.
Il est accepté par le Client lors de la souscription, dans les mêmes conditions que les CGV.
La nature, la finalité, la durée du traitement, les catégories de données et de personnes concernées sont décrites en Annexe A.
Le Responsable de traitement demeure seul responsable de la licéité du traitement qu'il met en œuvre, de la pertinence et de l'exactitude des données qu'il saisit, de l'information de ses salariés et, le cas échéant, de la consultation de son comité social et économique.
Le présent accord entre en vigueur à la souscription du service et demeure applicable pendant toute la durée de l'abonnement, ainsi que pendant la période de restitution et de suppression des données prévue à l'article 12.
Conformément à l'article 28.3 du RGPD, le Sous-traitant s'engage à :
4.1 — Traiter les données sur instruction documentée. Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement, y compris en cas de transfert vers un pays tiers. Les CGV, le présent accord et l'usage normal des fonctionnalités du service constituent ces instructions. Si le Sous-traitant est tenu de procéder à un traitement en vertu du droit de l'Union ou du droit français, il en informe préalablement le Responsable de traitement, sauf interdiction légale.
4.2 — Alerter en cas d'instruction non conforme. Le Sous-traitant informe immédiatement le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données.
4.3 — Garantir la confidentialité. Le Sous-traitant veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité contractuelle ou légale et disposent de la formation nécessaire.
4.4 — Assurer la sécurité. Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en Annexe B, conformément à l'article 32 du RGPD.
4.5 — Encadrer la sous-traitance ultérieure, dans les conditions de l'article 5.
4.6 — Assister le Responsable de traitement dans le respect des droits des personnes concernées (article 7) et de ses obligations au titre des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont il dispose.
4.7 — Restituer ou supprimer les données au terme du contrat, dans les conditions de l'article 12.
4.8 — Mettre à disposition les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD et permettre la réalisation d'audits, dans les conditions de l'article 10.
Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs listés en Annexe C.
Le Sous-traitant informe le Responsable de traitement de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur avec un préavis de trente (30) jours, par courrier électronique et par notification au sein du service. Le Responsable de traitement dispose de ce délai pour formuler une objection motivée. À défaut d'objection dans le délai, la modification est réputée acceptée. En cas d'objection ne pouvant être levée, chacune des parties peut résilier l'abonnement sans pénalité ni préavis.
Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat écrit, des obligations de protection des données au moins équivalentes à celles du présent accord. Il demeure pleinement responsable devant le Responsable de traitement de l'exécution par ceux-ci de leurs obligations.
Les données à caractère personnel traitées dans le cadre du service sont hébergées sur une infrastructure située en France, opérée par UNYC, 52 boulevard Robert Jarry, 72000 Le Mans.
Aucune donnée RH ne fait l'objet d'un transfert en dehors de l'Union européenne.
L'instruction des demandes d'exercice des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité relève du Responsable de traitement.
Si une personne concernée adresse une telle demande directement au Sous-traitant, celui-ci la transmet au Responsable de traitement dans un délai de cinq (5) jours ouvrés et s'abstient d'y répondre de sa propre initiative.
Le Sous-traitant met à disposition, au sein du service, les fonctionnalités de consultation, de modification, d'export et de suppression permettant au Responsable de traitement de répondre à ces demandes. Toute assistance excédant ces fonctionnalités peut faire l'objet d'une facturation, après information et accord préalables du Responsable de traitement.
Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, par courrier électronique adressé au contact désigné par le Client.
Cette notification comporte, dans la mesure des informations disponibles :
Le Sous-traitant coopère avec le Responsable de traitement et lui fournit toute information utile pour lui permettre, le cas échéant, de procéder à la notification à la CNIL dans le délai de 72 heures de l'article 33 du RGPD et d'informer les personnes concernées. La notification à l'autorité de contrôle incombe au Responsable de traitement.
Le Sous-traitant assiste le Responsable de traitement, sur demande et dans la limite des informations dont il dispose, dans la réalisation d'une analyse d'impact relative à la protection des données (AIPD) et, le cas échéant, dans la consultation préalable de l'autorité de contrôle.
Le Sous-traitant tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients, conformément à l'article 30.2 du RGPD.
Le Responsable de traitement peut, à ses frais, procéder à un audit de conformité du Sous-traitant au titre du présent accord, ou le faire réaliser par un tiers indépendant soumis à une obligation de confidentialité et n'exerçant pas d'activité concurrente de celle du Sous-traitant.
Cet audit est limité à une fois par année civile, sauf survenance d'une violation de données avérée, et fait l'objet d'un préavis écrit de trente (30) jours. Il s'exerce pendant les heures ouvrées, ne doit pas perturber de manière disproportionnée l'activité du Sous-traitant, ni porter atteinte à la confidentialité des données de ses autres clients.
Le Sous-traitant peut satisfaire à cette obligation par la remise de sa documentation de sécurité, de rapports d'audit ou de certifications existants.
Point de contact du Sous-traitant pour toute question relative à la protection des données : contact@rh-facility.fr
SEECLICK n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas obligatoire au regard de l'article 37 du RGPD. Toute demande relative à la protection des données est traitée à l'adresse ci-dessus.
Export en autonomie. Le service met à disposition du Responsable de traitement une fonctionnalité d'export lui permettant, à tout moment et sans intervention du Sous-traitant, de récupérer l'intégralité de ses données dans un format structuré et couramment utilisé, incluant les données saisies et les documents déposés.
À compter de la date d'effet de la résiliation, le Responsable de traitement conserve l'accès à cette fonctionnalité pendant un délai de soixante (60) jours.
À l'issue de ce délai, le Sous-traitant procède à la suppression définitive des données de l'environnement de production dans un délai de sept (7) jours, sauf obligation légale de conservation lui incombant. Les sauvegardes contenant ces données sont purgées selon le cycle de rotation décrit en Annexe B, soit au plus tard sous sept (7) jours.
Une attestation écrite de suppression est délivrée sur demande du Responsable de traitement.
Le Responsable de traitement demeure seul responsable du respect de ses propres obligations légales de conservation des documents sociaux, de paie et de suivi de la santé au travail. Il lui appartient de procéder à l'export avant l'expiration du délai.
Chaque partie assume la responsabilité qui lui incombe au titre du RGPD. Le Sous-traitant n'est responsable du dommage causé par le traitement que s'il n'a pas respecté les obligations du RGPD spécifiquement applicables aux sous-traitants, ou s'il a agi en dehors des instructions licites du Responsable de traitement ou contrairement à celles-ci.
La limitation de responsabilité prévue à l'article 11 des Conditions Générales de Vente s'applique au présent accord, sans préjudice des dispositions impératives de l'article 82 du RGPD relatives à la réparation des dommages causés aux personnes concernées.
Le Sous-traitant peut faire évoluer le présent accord, notamment pour tenir compte d'évolutions réglementaires ou techniques. Toute modification substantielle est portée à la connaissance du Responsable de traitement avec un préavis de trente (30) jours avant son entrée en vigueur. En cas de désaccord, le Responsable de traitement peut résilier l'abonnement sans pénalité.
Chaque version est archivée et reste accessible sur demande.
Le présent accord est régi par le droit français. En cas de litige, une solution amiable sera recherchée en priorité. À défaut, compétence est attribuée aux tribunaux compétents de Paris, sous réserve des dispositions d'ordre public applicables.
Nature du traitement. Collecte, enregistrement, organisation, structuration, conservation, consultation, modification, extraction, effacement de données à caractère personnel, génération automatisée de documents, envoi d'alertes et de rappels par courrier électronique.
Finalité. Fourniture d'un service de gestion administrative des ressources humaines permettant au Client de respecter ses obligations légales en matière de droit du travail, de suivi de la santé au travail, de formation professionnelle et de protection sociale complémentaire.
Durée. Durée de l'abonnement, augmentée de la période de restitution et de suppression prévue à l'article 12.
Catégories de personnes concernées :
Les salariés ne disposent pas d'accès à la plateforme. Le service est destiné aux personnes en charge de la gestion du personnel.
Catégories de données traitées :
| Catégorie | Données |
|---|---|
| Identité | Nom, prénom, date et lieu de naissance, nationalité |
| Coordonnées | Adresse postale, téléphone, adresse électronique |
| Identifiants | Numéro de sécurité sociale (NIR), matricule interne |
| Vie professionnelle | Contrat, poste, classification, ancienneté, temps de travail, forfait jours, temps par projet analytique |
| Situation économique | Rémunération, variables de paie, avantages en nature, bulletins de paie |
| Santé (art. 9 RGPD) | Dates et convocations de visites médicales, avis d'aptitude |
| Protection sociale | Adhésions et dispenses de mutuelle, justificatifs associés |
| Formation | Formations obligatoires, habilitations, dates de validité et de recyclage, attestations |
| Matériels et véhicules | Nature du bien, état, dates d'attribution et de restitution, photographies |
Photographies. Les photographies documentent exclusivement l'état des matériels et véhicules attribués. Elles ne comportent aucune personne identifiable.
Données sensibles. Le service traite des données relatives à la santé au sens de l'article 9 du RGPD, dans la stricte mesure nécessaire à l'exécution des obligations du Client en matière de droit du travail et de sécurité sociale (article 9.2.b du RGPD). Le numéro de sécurité sociale est traité conformément au cadre réglementaire applicable, aux seules fins de l'établissement de la déclaration préalable à l'embauche et de la transmission des éléments de paie.
Traitement automatisé. Aucune décision individuelle entièrement automatisée produisant des effets juridiques n'est mise en œuvre. Les alertes, rappels et calculs produits par le service constituent des aides à la décision. Conformément à l'article 11 des CGV, le service ne se substitue pas au conseil d'un professionnel.
Intelligence artificielle. Les données du Client ne sont utilisées ni pour entraîner, ni pour améliorer un modèle d'intelligence artificielle, ni à aucune fin autre que la fourniture du service.
Hébergement
Chiffrement et authentification
Contrôle d'accès
Traçabilité
Sauvegarde et réversibilité
Maintenance et développement
Organisation
| Prestataire | Prestation | Données transmises | Localisation |
|---|---|---|---|
| UNYC — 52 bd Robert Jarry, 72000 Le Mans | Hébergement de l'infrastructure | Ensemble des données du service | France |
| Stripe Payments Europe, Ltd. | Traitement des paiements par carte bancaire | Données de facturation du Client uniquement — aucune donnée RH | Irlande |
Cal.com, utilisé pour la prise de rendez-vous commerciaux, ne traite aucune donnée relevant du présent accord.
Toute modification de cette liste fait l'objet d'une information préalable du Client dans les conditions de l'article 5.