Accord de traitement des données

Dernière mise à jour : 15 septembre 2026

1. Rôles des parties

Le client agit, sauf qualification différente imposée par la nature d’un traitement, en qualité de responsable du traitement au sens du Règlement (UE) 2016/679 relatif à la protection des données personnelles.

Anthys agit en qualité de sous-traitant lorsqu’elle traite des données personnelles pour le compte du client dans le cadre de la fourniture, de l’hébergement, de la maintenance, de la sécurisation, du support ou de l’exploitation technique de la plateforme.

Les informations juridiques complètes relatives à Anthys sont disponibles dans les mentions légales du site et dans les documents contractuels applicables.

2. Objet et durée du traitement

Les traitements réalisés par Anthys ont pour objet de permettre la fourniture et l’exploitation de la plateforme Anthys ainsi que des prestations prévues au contrat ou au devis.

Les traitements sont réalisés pendant la durée de la relation contractuelle et, le cas échéant, pendant les périodes de conservation prévues contractuellement ou imposées par une obligation légale.

3. Nature et finalités des traitements

Les traitements peuvent notamment comprendre :

• l’hébergement et le stockage des données ;
• la consultation et l’affichage des informations saisies par les utilisateurs ;
• la sauvegarde et la restauration technique des données ;
• la gestion des comptes, rôles et habilitations ;
• la journalisation des actions et événements de sécurité ;
• la maintenance corrective et évolutive ;
• le support technique ;
• les exports, migrations ou opérations de réversibilité prévues au contrat ;
• les opérations techniques nécessaires à la sécurité et à la continuité du service.

4. Catégories de personnes concernées

Selon les modules utilisés, les traitements peuvent concerner notamment :

• les agents et personnels du client ;
• les élus ;
• les administrés ;
• les usagers ;
• les fournisseurs, partenaires ou prestataires ;
• les contacts enregistrés dans la plateforme ;
• plus généralement, toute personne dont les données sont saisies par le client.

5. Catégories de données

Selon les modules activés et les usages du client, les traitements peuvent porter notamment sur :

• données d’identification ;
• coordonnées personnelles ou professionnelles ;
• données professionnelles : fonction, service, habilitations, responsabilités ;
• données administratives liées aux dossiers, courriers, documents et procédures ;
• données relatives aux tâches, événements, réunions, ressources ou inventaires ;
• données relatives aux agents dans les modules de gestion des ressources humaines ;
• données techniques : journaux, adresses IP, informations de connexion et traces de sécurité ;
• données librement saisies par le client dans les champs et documents mis à sa disposition.

Le client demeure responsable de la nature des données qu’il saisit ou fait traiter dans Anthys et veille à ne traiter que les données nécessaires à ses finalités et autorisées par la réglementation applicable.

6. Instructions du client

Anthys traite les données personnelles uniquement sur instruction documentée du client, sauf lorsqu’une obligation légale impose un traitement différent.

Les instructions du client résultent notamment du contrat, du devis, des paramètres de la plateforme, des actions réalisées par les utilisateurs autorisés et des demandes formulées dans le cadre du support ou de l’assistance.

Si Anthys estime qu’une instruction constitue une violation manifeste de la réglementation applicable en matière de protection des données, elle en informe le client dans la mesure permise par la loi.

7. Confidentialité

Anthys veille à ce que les personnes autorisées à traiter les données personnelles soient soumises à une obligation de confidentialité appropriée.

L’accès aux données est limité aux personnes pour lesquelles cet accès est nécessaire à la fourniture, à la maintenance, à la sécurité ou au support du service.

8. Sécurité des traitements

Anthys met en œuvre des mesures techniques et organisationnelles adaptées aux risques, notamment :

• contrôle et limitation des accès ;
• comptes utilisateurs nominatifs ;
• gestion des rôles et permissions ;
• sécurisation des échanges par chiffrement HTTPS ;
• cloisonnement des environnements clients ;
• bases de données distinctes lorsque l’architecture du service le prévoit ;
• sauvegardes automatisées ;
• journalisation des événements et actions utiles à la sécurité et à la traçabilité ;
• limitation des accès techniques internes ;
• maintenance et mises à jour de sécurité ;
• mesures destinées à limiter les accès non autorisés, pertes, altérations ou divulgations.

9. Sous-traitants ultérieurs

Le client autorise Anthys à recourir à des sous-traitants techniques nécessaires à la fourniture du service.

La liste des principaux sous-traitants peut être précisée dans les documents contractuels, annexes ou pages d’information dédiées.

Anthys veille à ce que les sous-traitants auxquels elle confie des traitements de données personnelles soient soumis à des obligations de protection des données compatibles avec celles prévues par le présent accord et par la réglementation applicable.

En cas de changement significatif concernant un sous-traitant ultérieur, Anthys informe le client dans les conditions prévues au contrat ou dans l’annexe RGPD applicable.

10. Hébergement et transferts de données

Anthys privilégie l’hébergement et le traitement des données au sein de l’Union européenne ou de l’Espace économique européen.

Lorsqu’un prestataire est susceptible d’entraîner un transfert de données personnelles vers un pays situé hors de l’Union européenne ou de l’Espace économique européen, Anthys veille à ce que ce transfert repose sur un mécanisme reconnu par le RGPD, tel qu’une décision d’adéquation, des clauses contractuelles types ou toute autre garantie appropriée applicable.

11. Assistance au client

Dans la mesure raisonnablement possible et compte tenu de la nature du traitement, Anthys assiste le client afin de lui permettre de respecter ses obligations en matière de protection des données.

Cette assistance peut notamment concerner :

• les demandes d’exercice des droits des personnes concernées ;
• la sécurité des traitements ;
• les violations de données personnelles ;
• les analyses d’impact relatives à la protection des données ;
• les demandes formulées par une autorité de contrôle ;
• les informations utiles relatives aux traitements réalisés par Anthys.

12. Exercice des droits

Lorsqu’une personne concernée adresse directement à Anthys une demande relative à ses droits concernant des données traitées pour le compte d’un client, Anthys transmet la demande au client dans les meilleurs délais raisonnablement possibles, sauf obligation légale contraire.

Anthys ne répond pas à la place du responsable du traitement, sauf instruction expresse ou obligation légale.

13. Violation de données personnelles

En cas de violation de données personnelles affectant les traitements réalisés pour le compte du client, Anthys informe le client dans les meilleurs délais après en avoir eu connaissance.

Anthys communique, dans la mesure où elles sont disponibles, les informations utiles permettant au client d’évaluer l’incident et de respecter ses propres obligations de notification.

14. Sort des données à la fin du contrat

À la fin de la relation contractuelle, les données sont restituées, exportées, conservées temporairement ou supprimées selon les modalités prévues au contrat ou dans ses annexes.

Sauf obligation légale contraire, Anthys procède à la suppression des données à l’issue de la période de conservation contractuellement prévue.

Les données contenues dans les sauvegardes techniques peuvent subsister pendant la durée normale de rotation des sauvegardes avant suppression définitive.

15. Registre et documentation

Anthys conserve la documentation raisonnablement nécessaire pour démontrer le respect de ses obligations lorsqu’elle agit en qualité de sous-traitant.

16. Audit

Anthys met à disposition du client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations de sous-traitant.

Lorsque cela est nécessaire et proportionné, un audit peut être organisé selon des modalités convenues entre les parties.

Les audits doivent être réalisés de manière à ne pas compromettre la sécurité, la confidentialité, les données d’autres clients ou la continuité du service.

Les modalités pratiques, délais, coûts éventuels et obligations de confidentialité applicables à un audit peuvent être précisés dans le contrat ou dans une annexe spécifique.

17. Responsabilité des parties

Le client demeure responsable de la détermination des finalités et des moyens essentiels de ses traitements ainsi que de leur conformité juridique.

Anthys demeure responsable du respect des obligations qui lui incombent en sa qualité de sous-traitant.

18. Modification de l’accord

Le présent accord peut être mis à jour afin de tenir compte des évolutions réglementaires, techniques ou organisationnelles.

Les accords ou annexes spécifiques signés avec un client restent applicables selon les conditions qui leur sont propres.