Mandava
← Retour

Contrat de traitement des données personnelles

Annexe aux conditions d'utilisation de Mandava · version en vigueur au 2 novembre 2026.

Le présent contrat est conclu entre MAVOIX DIGITAL SASU, éditrice du service Mandava (ci-après « le Sous-traitant »), et chaque comité social et économique client de Mandava, personne morale distincte de l'entreprise dans laquelle il est institué (ci-après « le Responsable du traitement » ou « le CSE »).

Il précise les engagements des parties au titre de l'article 28 du règlement (UE) 2016/679 du 27 avril 2016 (ci-après « le RGPD »).

Dispositions générales

Article 1 – Objet et durée

Le présent contrat a pour objet de définir les conditions dans lesquelles le Sous-traitant, MAVOIX DIGITAL SASU, société par actions simplifiée unipersonnelle au capital de 300 €, dont le siège social est situé 4 place Albert Uderzo, 78420 Carrières-sur-Seine, immatriculée au RCS de Versailles sous le numéro 131 836 173, s'engage à effectuer, pour le compte du CSE, les opérations de traitement portant sur les données à caractère personnel (ci-après « les Données ») définies ci-après dans le cadre du service Mandava (ci-après « le Service »).

Il est conclu en application de l'article 28 du RGPD et constitue une annexe des conditions d'utilisation de Mandava (ci-après « les Conditions »), dont il fait partie intégrante. En cas de contradiction entre les Conditions et le présent contrat sur la protection des Données, le présent contrat prévaut.

Le présent contrat prend effet à la création de l'espace du CSE dans le Service, ou à défaut à la date d'acceptation des Conditions, et s'applique pendant toute la durée d'utilisation du Service, sous réserve des stipulations des articles 15 et 17.

Le Sous-traitant reste seul responsable des traitements qu'il réalise pour son propre compte : les comptes d'accès des élus et la sécurité du Service, la facturation des licences et la vitrine mandava.fr. Ces traitements sont décrits dans la politique de confidentialité.

Article 2 – Nature et finalité du traitement

Le Sous-traitant est autorisé à traiter les Données pour le compte du CSE dans la seule mesure nécessaire à la fourniture du Service.

Les opérations de traitement réalisées sont les suivantes :

La finalité unique du traitement est la fourniture du Service au CSE pour l'exercice de ses missions, à l'exclusion de toute autre finalité, notamment commerciale ou statistique, propre au Sous-traitant. Les Données ne sont jamais communiquées à l'employeur.

Article 3 – Types de données et catégories de personnes concernées

Les types de Données traités dans le cadre du Service sont les suivants, selon les fonctions utilisées par le CSE :

Les catégories de personnes concernées sont les suivantes : les élus et représentants siégeant au CSE ; les salariés de l'entreprise, notamment ceux que le CSE accompagne, ceux qui bénéficient de ses activités sociales et culturelles et ceux qui lui posent une question, par écrit ou par téléphone ; les participants aux réunions ; les représentants de la direction.

Le Service enregistre la nature du mandat de chaque élu, qui révèle l'appartenance syndicale des représentants et délégués syndicaux. Ce traitement est nécessaire à l'exercice des droits du CSE et de ses membres en matière de droit du travail (article 9.2.b du RGPD) ; les Données correspondantes ne sont jamais communiquées à l'employeur par le Service, sauf dans les documents que le CSE choisit lui-même de lui adresser, tels que les bons de délégation.

Les dossiers, les enquêtes et les questions des salariés peuvent contenir des données concernant la santé, ou les faits reprochés à un salarié dans le cadre d'une procédure disciplinaire ou d'un litige du travail. Le CSE ne les enregistre que dans la mesure nécessaire à ses missions. Avant tout envoi à Vérity, le nom du salarié d'un dossier de défense est remplacé par « le salarié ».

Obligations du Sous-traitant

Article 4 – Instructions documentées

Le Sous-traitant ne traite les Données que sur instruction documentée du CSE, y compris en ce qui concerne les transferts de Données vers un pays tiers ou à une organisation internationale, à moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit de l'État membre auquel il est soumis. Dans ce cas, le Sous-traitant informe le CSE de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public.

Les Conditions, le présent contrat et le paramétrage du Service effectué par le CSE constituent ses instructions documentées. Toute instruction complémentaire est donnée par écrit.

Le Sous-traitant informe immédiatement le CSE si, selon lui, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données. Il peut alors suspendre l'exécution de l'instruction concernée jusqu'à sa confirmation ou sa modification par le CSE.

Article 5 – Confidentialité

Le Sous-traitant garantit la confidentialité des Données traitées dans le cadre du présent contrat. Les personnes de Mavoix Digital chargées d'exploiter le Service disposent d'un accès technique à la base de données. Elles ne consultent pas les Données d'un CSE, sauf à sa demande écrite pour l'aider, ou dans la stricte mesure nécessaire pour rétablir le Service ou traiter un incident de sécurité ; le CSE en est alors informé.

Il veille à ce que les personnes autorisées à traiter les Données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, qu'elles n'aient accès qu'aux seules Données nécessaires à l'exécution de leurs tâches et qu'elles reçoivent la formation nécessaire en matière de protection des données personnelles.

Le Sous-traitant ne communique les Données à aucun tiers, et en particulier jamais à l'employeur, sauf aux Sous-traitants ultérieurs autorisés conformément à l'article 7, ou en exécution d'une obligation légale dans les conditions prévues à l'article 4.

Article 6 – Sécurité du traitement

Conformément à l'article 32 du RGPD, le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes concernées.

Les mesures effectivement mises en œuvre dans le Service sont les suivantes :

Le Sous-traitant peut faire évoluer ces mesures, à condition de ne jamais réduire le niveau de sécurité global du Service.

Article 7 – Sous-traitants ultérieurs

Le CSE donne au Sous-traitant une autorisation écrite générale de recourir aux Sous-traitants ultérieurs figurant dans l'annexe au présent contrat, aux articles 18 à 22, pour mener les activités de traitement qui y sont décrites.

Le Sous-traitant informe préalablement et par écrit le CSE de tout changement envisagé concernant l'ajout ou le remplacement d'un Sous-traitant ultérieur, au moins trente jours avant ce changement, en précisant les activités de traitement concernées, l'identité et les coordonnées du Sous-traitant ultérieur et la garantie de transfert applicable.

Le CSE dispose d'un délai de quinze jours à compter de cette information pour formuler par écrit des objections motivées. En cas d'objection, les parties recherchent une solution de bonne foi ; à défaut d'accord dans les quinze jours suivant l'objection, le CSE peut mettre fin au Service par écrit, sans pénalité, avec effet à la date du changement. Le Sous-traitant lui rembourse alors la part du prix payée d'avance pour la période restant à courir.

Le Sous-traitant impose à chaque Sous-traitant ultérieur, par contrat, les mêmes obligations en matière de protection des Données que celles fixées au présent contrat, notamment des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Il demeure pleinement responsable devant le CSE de l'exécution de leurs obligations par les Sous-traitants ultérieurs.

Article 8 – Localisation et transferts hors de l'Union européenne

La base de données et les fichiers du Service sont hébergés dans l'Union européenne. Certaines fonctions reposent toutefois sur des Sous-traitants ultérieurs établis hors de l'Union européenne, listés en annexe. En acceptant le présent contrat, le CSE donne instruction au Sous-traitant de transférer les Données vers ces Sous-traitants ultérieurs, pour les seules prestations décrites en annexe. Aucun autre transfert n'a lieu sans instruction documentée du CSE, conformément à l'article 4.

Chaque transfert repose sur l'une des garanties prévues aux articles 44 à 49 du RGPD : la décision d'adéquation (UE) 2023/1795 du 10 juillet 2023, lorsque le destinataire figure sur la liste du cadre de protection des données UE–États-Unis (« Data Privacy Framework ») ; à défaut, les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914 du 4 juin 2021), module 3, conclues entre le Sous-traitant et le Sous-traitant ultérieur, accompagnées d'une évaluation écrite du transfert et, si nécessaire, de mesures supplémentaires.

La garantie applicable à chaque Sous-traitant ultérieur est précisée dans l'annexe. Lorsqu'une garantie est seulement déclarée par le Sous-traitant ultérieur, l'annexe le dit expressément. Sur demande écrite du CSE, le Sous-traitant lui communique une copie des documents établissant la garantie applicable à chaque transfert.

Article 9 – Aide à l'exercice des droits des personnes

Le Sous-traitant aide le CSE, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d'exercer leurs droits prévus au chapitre III du RGPD, notamment les droits d'accès, de rectification, d'effacement, de limitation, d'opposition et à la portabilité des Données.

Lorsqu'une personne concernée adresse directement au Sous-traitant une demande d'exercice de ses droits, le Sous-traitant la transmet sans délai au CSE, par courrier électronique, et n'y répond pas lui-même, sauf instruction écrite du CSE.

Le Sous-traitant met à la disposition du CSE, dans le Service, les fonctions permettant de consulter, de rectifier, de supprimer et de télécharger les Données, ou exécute ces opérations sur instruction documentée de celui-ci conformément à l'article 4.

Article 10 – Violation de données

Le Sous-traitant notifie au CSE toute violation de données à caractère personnel, y compris celle survenue chez un Sous-traitant ultérieur, dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans un délai de quarante-huit heures. La notification est adressée par courrier électronique au secrétaire du CSE et à l'administrateur de son espace dans le Service, ou à toute autre adresse que le CSE a désignée par écrit.

La notification contient au moins les informations suivantes, le cas échéant transmises de manière échelonnée lorsqu'elles ne peuvent être fournies en même temps :

Il appartient au CSE de notifier la violation à l'autorité de contrôle et, le cas échéant, aux personnes concernées, le Sous-traitant lui apportant l'aide nécessaire.

Article 11 – Analyses d'impact et consultation préalable

Compte tenu de la nature du traitement et des informations dont il dispose, le Sous-traitant aide le CSE à réaliser les analyses d'impact relatives à la protection des données prévues à l'article 35 du RGPD, en lui fournissant notamment la description des opérations de traitement effectuées dans le Service et des mesures de sécurité mises en œuvre en application de l'article 6.

Le Sous-traitant aide également le CSE, le cas échéant, à mener la consultation préalable de l'autorité de contrôle prévue à l'article 36 du RGPD, en lui communiquant les informations utiles en sa possession.

Article 12 – Documentation et audits

Le Sous-traitant met à la disposition du CSE toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD et au présent contrat, notamment la description des mesures de sécurité et la liste à jour des Sous-traitants ultérieurs.

Le Sous-traitant permet la réalisation d'audits, y compris d'inspections, par le CSE ou par un auditeur qu'il a mandaté, et contribue à ces audits. L'auditeur mandaté est tenu à une obligation de confidentialité et ne peut être un concurrent du Sous-traitant.

Le CSE informe le Sous-traitant de tout audit par écrit, en respectant un préavis de trente jours. Sauf violation de données, indices sérieux de manquement ou demande d'une autorité de contrôle, les audits ont lieu au plus une fois par an et sont à la charge du CSE. L'audit se déroule pendant les heures ouvrées, sans perturber l'exploitation du Service ni porter atteinte aux données des autres clients du Sous-traitant.

Pour les Sous-traitants ultérieurs, le Sous-traitant communique leurs rapports d'audit ou certifications disponibles. Il tient le registre des activités de traitement prévu à l'article 30.2 du RGPD et le communique au CSE sur demande. Il coopère avec l'autorité de contrôle à sa demande.

Obligations du CSE et dispositions finales

Article 13 – Obligations du CSE

Le CSE s'engage à :

Article 14 – La ligne des salariés

Lorsque le CSE a souscrit la ligne des salariés, chaque appel est pris par une assistante vocale automatique. Dès le début de l'appel, en français, elle dit qu'elle est une assistante automatique et non une personne, que l'appel n'est pas enregistré et qu'elle donne une information générale ; lorsque l'appelant choisit une autre langue, elle le redit dans cette langue.

La voix de l'appelant n'est pas enregistrée. Le texte de la conversation n'est utilisé que pendant l'appel, puis supprimé chez le Sous-traitant ultérieur chargé de la voix (article 20). La question posée est transmise à Vérity (article 19), sans le numéro de l'appelant ni son prénom. Le Service ne conserve, pour chaque appel, que son heure de début et de fin, le nombre de questions posées et transmises, et le nombre de questions par sujet et par mois. Le numéro de l'appelant n'est gardé par le Service que sous la forme d'une empreinte codée à clé secrète, enregistrée seulement lorsqu'un code faux est donné, et effacée au plus tard deux jours après ; elle sert uniquement à limiter les essais. L'opérateur de la ligne (article 21) conserve les données d'acheminement de l'appel selon ses propres obligations.

Lorsque l'appelant demande que sa question soit transmise aux élus, elle est rangée dans l'espace du CSE avec, s'il les donne volontairement, son prénom et un numéro de rappel. L'employeur n'a accès ni aux appels ni aux questions ; un appel passé depuis un téléphone de l'entreprise peut toutefois figurer sur la facture de celle-ci.

Article 15 – Sort des données en fin de contrat

Le CSE peut, à tout moment, télécharger ses Données depuis le Service ; les fichiers qui ne peuvent pas y être téléchargés directement lui sont remis sur simple demande. Les Données sont remises dans un format structuré et couramment utilisé.

Au terme de la fourniture du Service, quelle qu'en soit la cause, le Service passe en lecture seule dès le lendemain, et le CSE peut encore télécharger l'ensemble de ses Données pendant trente jours. Trente jours après la fin du Service, le Sous-traitant supprime les Données dans le Service, sauf si le droit de l'Union ou le droit d'un État membre exige leur conservation ; dans ce cas, les Données conservées sont limitées à ce qu'exige ce droit et ne font l'objet d'aucun autre traitement. Les copies de sauvegarde et celles des Sous-traitants ultérieurs disparaissent au terme de leur durée de conservation, et au plus tard quatre-vingt-dix jours après la fin du Service ; elles ne sont plus utilisées entre-temps.

En cas de cessation d'activité du Sous-traitant, le CSE peut obtenir la restitution de ses Données dans les conditions du présent article.

Le Sous-traitant justifie par écrit de la suppression, à la demande du CSE.

Article 16 – Responsabilité

Chaque partie répond des dommages résultant de ses propres manquements au RGPD et au présent contrat, dans les conditions prévues à l'article 82 du RGPD.

Le Sous-traitant n'est responsable du dommage causé par le traitement que s'il n'a pas respecté les obligations du RGPD qui incombent spécifiquement aux sous-traitants ou s'il a agi en dehors des instructions licites du CSE ou contrairement à celles-ci. Chaque partie supporte les amendes administratives prononcées contre elle.

Article 17 – Durée, acceptation et droit applicable

Le présent contrat est accepté par le CSE en même temps que les Conditions, et n'a pas à être signé séparément. Sur demande, le Sous-traitant remet au CSE un exemplaire signé.

Il demeure en vigueur tant que dure la fourniture du Service, et ses stipulations relatives au sort des Données prévues à l'article 15 survivent jusqu'à leur complète exécution.

Le présent contrat est rédigé en français ; toute traduction est fournie pour information et, en cas de divergence, la version française prévaut. Le Sous-traitant informe le CSE par courriel, au moins trente jours à l'avance, de toute modification du présent contrat ; une modification qui réduit la protection des Données ne s'applique qu'avec l'accord écrit du CSE.

Le présent contrat est soumis au droit français. En cas de désaccord, les parties recherchent d'abord une solution amiable ; à défaut, les tribunaux français compétents sont saisis.

Annexe : liste des sous-traitants ultérieurs

Article 18 – Cloudflare, Inc.

Article 19 – Anthropic, PBC

Article 20 – ElevenLabs

Article 21 – Telnyx LLC

Article 22 – Brevo (Sendinblue SAS)

Pour toute question sur le présent contrat : [email protected].