Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Annexe contractuelle, indissociable des CGV. Version 1.0, 2026-08-25.

Entre KEWOS, SASU au capital de 100 €, 8 B rue Abel, 75012 Paris, SIREN 108 533 225 (le « Sous-traitant »), et le client souscripteur (le « Responsable de traitement »).

1. Pourquoi ce document existe

Quand une entreprise met ses données dans Kewos (salariés, clients, fournisseurs, prospects), c’est elle qui reste responsable de ces données. Kewos ne fait que les traiter pour son compte, selon ses instructions.

L’article 28 du RGPD impose que cette relation soit encadrée par un contrat écrit qui fixe précisément ce que le sous-traitant a le droit de faire. Sans ce contrat, le client est en infraction, même si Kewos se comporte parfaitement.

2. Objet, durée, nature du traitement

Catégories de personnes concernées

Selon les modules activés : salariés et candidats du client, ses clients et prospects, ses fournisseurs, les contacts de ses partenaires, les utilisateurs de ses portails et sites publics.

Catégories de données

Identification et coordonnées, données professionnelles, données de connexion et de traçabilité, données économiques et financières, contenus documentaires déposés par le client.

Données sensibles (art. 9) : Kewos ne les traite que si le client active un module qui en implique : santé au travail, adhésion syndicale via la paie, par exemple. Le client est alors seul juge de la licéité de ce traitement et doit avoir mené son analyse d’impact.

3. Instructions

KEWOS traite les données uniquement sur instruction documentée du client. Le contrat, la documentation du service et les paramétrages effectués par le client dans l’application valent instructions.

Si une obligation légale de l’Union ou d’un État membre contraint KEWOS à traiter au-delà de ces instructions, KEWOS en informe le client avant le traitement, à moins que la loi ne l’interdise.

KEWOS informe le client si une instruction lui paraît constituer une violation du RGPD. Ce n’est pas une formule de style : la confidentialité ne va pas jusqu’à exécuter en silence une instruction manifestement illicite.

4. Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité contractuelle, et n’accèdent qu’à ce que leur mission exige.

Accès du personnel KEWOS aux données d’un client : uniquement lorsque le support ou la sécurité l’exigent, avec l’accord du client sauf urgence de sécurité, et systématiquement journalisé dans un registre inaltérable que le client peut consulter.

5. Sécurité (art. 32)

Mesures en place, sans prétendre à l’exhaustivité :

• Cloisonnement par base de données distincte pour chaque client. L’isolement ne repose pas sur une colonne client_id qu’une requête mal écrite pourrait oublier.
• Contrôle d’accès appliqué au niveau du modèle de données, pas seulement à l’interface : un accès direct à l’API ne contourne pas les règles.
• Chiffrement des communications (TLS), chiffrement des secrets au repos.
• Authentification à deux facteurs disponible, politique de mot de passe configurable, SSO OpenID pour les déploiements qui le demandent.
• Journal d’audit en écriture seule : une entrée ne peut être modifiée ni supprimée, seulement ajoutée.
• Sauvegardes chiffrées, restauration testée.
• Serveurs durcis, mises à jour de sécurité automatiques, accès administrateur par clé uniquement.
• Séparation stricte des sessions d’administration et des sessions de portail externe : aucune élévation possible de l’une vers l’autre.

Ces mesures évoluent avec l’état de l’art. Elles ne peuvent être dégradées sans information préalable du client.

6. Sous-traitants ultérieurs

Le client autorise de façon générale le recours à des sous-traitants ultérieurs, dont la liste à jour est publiée sur kewos.io/sous-traitants et reproduite dans liste des sous-traitants.

KEWOS informe le client de tout ajout ou remplacement au moins 30 jours à l’avance. Le client peut s’y opposer pour un motif légitime et raisonnable lié à la protection des données ; à défaut de solution, il peut résilier sans pénalité, avec remboursement au prorata.

Chaque sous-traitant ultérieur est lié par des obligations au moins équivalentes à celles du présent accord. KEWOS demeure pleinement responsable devant le client de l’exécution par ses sous-traitants.

7. Assistance au client

KEWOS assiste le client, compte tenu de la nature du traitement et des informations dont il dispose, pour :

• répondre aux demandes d’exercice de droits. Les fonctions d’export, de rectification, d’effacement et de restriction sont dans l’application : le client agit lui-même, sans dépendre de nos délais ;
• assurer la sécurité et notifier les violations (art. 32 à 34) ;
• réaliser une analyse d’impact (art. 35) et, le cas échéant, la consultation préalable de l’autorité (art. 36).

8. Violation de données

KEWOS notifie le client sans délai injustifié après en avoir pris connaissance, avec les informations dont il dispose : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, mesures prises ou proposées.

Le délai de 72 heures pèse sur le client envers l’autorité : notre notification doit donc lui parvenir assez tôt pour qu’il puisse le tenir. Nous visons 24 heures à compter de la qualification de l’incident.

KEWOS documente chaque violation dans un registre tenu à disposition du client.

9. Sort des données à la fin du contrat

Au choix du client, exprimé avant la fin du contrat :

• restitution dans un format ouvert, structuré et lisible par machine ; ou
• effacement de l’ensemble des données.

À défaut de choix exprimé, la restitution reste possible pendant 30 jours après la fin du contrat. Passé ce délai, les données sont effacées de manière irréversible sous 30 jours supplémentaires, sauvegardes comprises.

Exception : les données dont la conservation est imposée par le droit de l’Union ou d’un État membre (pièces comptables notamment) sont isolées, ne servent qu’à cette finalité et sont effacées au terme du délai légal.

Un certificat d’effacement est délivré sur demande.

10. Audit

KEWOS met à disposition du client toutes les informations nécessaires pour démontrer le respect de l’article 28, et permet la réalisation d’audits, y compris d’inspections, par le client ou un auditeur qu’il mandate.

Modalités : préavis raisonnable (30 jours, sauf incident de sécurité avéré), une fois par an sauf circonstance particulière, aux frais du client, sans perturber l’exploitation ni compromettre la confidentialité des données des autres clients, ce dernier point est une limite absolue, pas une commodité.

11. Localisation et transferts

Les données sont hébergées en France, chez OVH. Aucun transfert hors Union européenne n’a lieu dans la configuration par défaut.

Si le client active une fonctionnalité impliquant un prestataire hors UE, le transfert est encadré par les clauses contractuelles types de la Commission européenne et, si nécessaire, par des mesures supplémentaires. Cette activation relève du client et de lui seul.

12. Fonctions d’intelligence artificielle

Lorsque le client active des fonctions d’IA :

• les données transmises au fournisseur de modèle se limitent au strict nécessaire à la fonction demandée ;
• aucune donnée du client n’est utilisée pour entraîner un modèle, ni par KEWOS ni par ses fournisseurs. Cette interdiction est contractualisée avec chacun d’eux ;
• le fournisseur retenu et sa localisation sont indiqués dans la liste des sous-traitants et dans l’application ;
• les appels sont journalisés (horodatage, fonction, volume) à des fins de traçabilité et de quota ;
• le client peut désactiver ces fonctions à tout moment.

13. Registre des traitements

KEWOS tient le registre prévu à l’article 30.2 et le met à disposition de l’autorité de contrôle sur demande. Un extrait pertinent est communiqué au client qui en fait la demande motivée.

14. Responsabilité

Chaque partie assume les conséquences de ses propres manquements dans les conditions de l’article 82 du RGPD. Les plafonds de responsabilité des CGV ne s’appliquent pas aux amendes administratives infligées à une partie du fait exclusif de l’autre.