Accord de traitement des données personnelles (DPA)

Article 28 du RGPD · Version du 27 septembre 2026

Le présent Accord de traitement des données (« Accord » ou « DPA ») fait partie intégrante des conditions générales conclues entre :

• Momento, nom commercial d’une entreprise individuelle immatriculée en France, 6 rue Cuvier, 69006 Lyon, SIRET 515 394 765 00041, éditrice du service CNX, ci-après le « Sous-traitant » ;
• le Client souscripteur du service CNX, ci-après le « Responsable de traitement ».

Il définit les conditions dans lesquelles le Sous-traitant traite, pour le compte et sur les instructions du Responsable de traitement, des données personnelles dans le cadre de l'utilisation de CNX, conformément à l'article 28 du RGPD.

1. Objet et répartition des rôles

Dans le cadre de CNX :

• le Client est responsable de traitement des données des candidats qu'il saisit, importe ou fait sourcer (CV, coordonnées, parcours, notes d'entretien) ;
• Momento est sous-traitant de ces données, qu'il ne traite que pour fournir le service et sur les instructions documentées du Client (y compris le présent Accord et l'usage normal de l'outil).

2. Description du traitement (Annexe 1)

Nature et finalité

Hébergement, structuration, qualification assistée par intelligence artificielle et gestion des candidatures, pour aider le Responsable de traitement à conduire ses recrutements.

Durée

La durée du contrat de service. Les données sont supprimées ou restituées à son terme (voir article 9).

Catégories de personnes concernées

Candidats et prospects du Responsable de traitement.

Catégories de données

Identité, coordonnées, parcours professionnel, compétences, contenus de CV, notes et évaluations d'entretien. Aucune catégorie particulière (données sensibles au sens de l'article 9) n'est requise ni sollicitée par l'outil.

3. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• ne traiter les données que sur instruction documentée du Responsable de traitement, et à l'informer s'il estime qu'une instruction constitue une violation du RGPD ;
• garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter soient soumises à une obligation de confidentialité ;
• mettre en œuvre les mesures de sécurité techniques et organisationnelles de l'article 32 (voir Annexe 3) ;
• assister le Responsable de traitement pour la sécurité, les notifications de violation, les analyses d'impact et les consultations préalables (articles 32 à 36) ;
• aider le Responsable de traitement à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, opposition, portabilité) ;
• mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 et permettre la réalisation d'audits, dans des conditions raisonnables.

4. Sous-traitants ultérieurs (Annexe 2)

Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs listés ci-dessous. Le Sous-traitant leur impose par contrat les mêmes obligations de protection des données et informe le Responsable de traitement de tout changement, lui laissant la possibilité de s'y opposer pour un motif légitime.

5. Transferts hors de l'Union européenne

Certains sous-traitants ultérieurs sont établis hors de l'Union européenne. Ces transferts sont encadrés par des garanties appropriées au sens du chapitre V du RGPD, en particulier les clauses contractuelles types de la Commission européenne. Les données transmises à Anthropic pour l'analyse ne sont pas utilisées pour entraîner des modèles.

6. Violation de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, avec les informations utiles pour permettre au Responsable de traitement de remplir, le cas échéant, ses obligations de notification à l'autorité de contrôle (articles 33 et 34).

7. Sécurité

Le Sous-traitant met en œuvre des mesures adaptées (détaillées en Annexe 3) : mots de passe hachés (bcrypt), connexions chiffrées (HTTPS), chiffrement au repos des jetons d'accès aux services connectés, cloisonnement des données par compte, protection contre les tentatives répétées d'authentification, journalisation et sauvegardes régulières.

8. Assistance et responsabilité

Chaque partie répond des dommages causés par un traitement qui méconnaît les obligations du RGPD lui incombant. Le Sous-traitant n'est responsable que dans la mesure où il n'a pas respecté les obligations du RGPD spécifiquement dirigées vers les sous-traitants ou a agi en dehors des instructions licites du Responsable de traitement.

9. Sort des données en fin de contrat

Au terme de la prestation, le Sous-traitant, selon le choix du Responsable de traitement, supprime ou restitue les données personnelles et détruit les copies existantes, sauf obligation légale de conservation. À défaut d'instruction contraire, les données sont supprimées dans un délai raisonnable.

10. Durée

Le présent Accord prend effet à la souscription du service et demeure en vigueur tant que le Sous-traitant traite des données pour le compte du Responsable de traitement.

Annexe 3 : Mesures techniques et organisationnelles

• Chiffrement en transit (HTTPS/TLS) et hachage des mots de passe (bcrypt).
• Chiffrement au repos des jetons d'accès aux services tiers connectés.
• Cloisonnement logique des données par compte client.
• Contrôle d'accès, limitation des tentatives d'authentification, journaux de sécurité.
• Sauvegardes régulières de la base de données.
• Minimisation : seules les données nécessaires au recrutement sont traitées.

Signatures