Annexe de sous-traitance des données — projet

Projet à compléter avec l’identité des parties et à intégrer au contrat — 9 octobre 2026. Cette annexe n’est pas présentée comme un accord déjà signé.

Périmètre

Le client organisation détermine les finalités et moyens essentiels des traitements de ses contenus. Fileaify intervient comme sous-traitant pour leur hébergement, organisation, restitution, gestion des accès, sauvegarde et, sur instruction via les fonctions activées, assistance IA. Sont concernés les collaborateurs, clients, prestataires et autres personnes présentes dans les contenus, pour les catégories de données effectivement déposées. La durée couvre l’exécution du service et les opérations de restitution ou suppression convenues. Les données sensibles ou soumises à une réglementation sectorielle nécessitent une évaluation préalable ; le service ne revendique pas de qualification sectorielle.

Obligations à contractualiser

Fileaify traite les données sur instruction documentée, limite les accès aux personnes habilitées soumises à confidentialité, applique les mesures décrites dans la notice sécurité et alerte le client si une instruction lui paraît contraire au droit applicable. Il l’assiste pour les droits des personnes, les analyses d’impact et les obligations de sécurité dans la mesure des informations disponibles. Les modalités d’audit, les preuves et la fréquence raisonnable des contrôles doivent être convenues sans exposer les données d’autres clients.

Une violation de données personnelles doit être signalée au client sans délai indu après en avoir pris connaissance, avec les informations disponibles et leurs compléments. Le client apprécie les obligations de notification à l’autorité ou aux personnes. Ce texte n’affirme pas qu’une détection exhaustive ou une permanence de support 24 h/24 sont disponibles.

Sous-traitants ultérieurs et transferts

Le registre initial comprend OVHcloud (VPS), AWS (stockage, chiffrement, identité), Brevo (emails), Mistral (IA sur activation) et les opérateurs Web Push selon le navigateur. Les entités contractantes exactes, lieux, accords et garanties de transfert doivent être annexés. Les agents choisis et exploités directement par le client ne deviennent pas automatiquement des sous-traitants de Fileaify.

Le mécanisme d’autorisation générale ou spécifique, le délai d’information d’un changement et le traitement des objections doivent être arrêtés avant la version contractuelle. Une région de stockage européenne ne dispense pas de contrôler les accès internationaux et les garanties nécessaires.

Fin du service et points à finaliser

Le client doit pouvoir choisir la restitution ou la suppression, sous réserve des obligations légales de conservation. Le ZIP actuel restitue les documents mais pas la totalité des données : un processus complémentaire d’export et d’effacement vérifiable est nécessaire. Il faut fixer les délais d’exécution, les durées d’audit, la rotation des sauvegardes S3 et l’effacement des versions avant de promettre un délai uniforme d’effacement. Ces capacités ne sont pas réputées livrées par la rédaction de cette annexe.

Référence : CNIL — clauses de sous-traitance. Une revue juridique adaptée à l’identité, au public visé et aux accords fournisseurs reste nécessaire pour finaliser l’ensemble.