Accord de sous-traitance des données (art. 28 RGPD)

COVIGI collecte, conserve et organise pour le compte du Client les documents et données nécessaires au suivi de son obligation de vigilance et de vérification : coordonnées de ses sous-traitants, contrats, attestations et autres pièces déposées — dont la liste nominative des salariés étrangers soumis à autorisation de travail —, relances envoyées et historique des contrôles. Le traitement dure aussi longtemps que le compte du Client existe, offre gratuite comprise.

Données d'identification et de contact des sous-traitants du Client (raison sociale, SIRET, nom, email), documents déposés par eux, et données d'usage des membres du Client (nom, email, numéro de téléphone s'il est communiqué, actions réalisées, date de dernière connexion). La liste nominative des salariés étrangers, que les offres payantes réclament, porte en outre des données sur les salariés des sous-traitants : nom, date d'embauche, nationalité, type et numéro du titre de travail. COVIGI ne les extrait pas du document déposé et ne les range nulle part ailleurs. Aucune donnée sensible au sens de l'article 9 n'est requise par le service.

COVIGI ne traite ces données que pour fournir le service et sur instruction du Client — matérialisée par l'usage de l'application. COVIGI ne les vend pas, ne les cède pas et ne les utilise pas pour son propre compte.

Le Client autorise le recours aux prestataires suivants. COVIGI l'informera de tout changement, le Client pouvant alors résilier sans frais s'il s'y oppose.

• Supabase — Base de données et stockage des documents (Union européenne (Irlande / Francfort) ; Supabase Inc., États-Unis)
• Vercel — Hébergement de l'application (Union européenne (Paris) ; Vercel Inc., États-Unis)
• Brevo (Sendinblue) — Envoi des emails (demandes, relances et messages de service) (Union européenne (France) ; Brevo SAS, France)
• Stripe — Traitement des paiements par abonnement (Union européenne (Irlande) ; Stripe Payments Europe Ltd, Irlande (groupe Stripe Inc., États-Unis))

Les données sont hébergées dans l'Union européenne. Certains de ces prestataires appartiennent à des groupes établis aux États-Unis : un accès depuis un pays tiers ne peut être exclu, et relève alors des garanties prévues par leur contrat de sous-traitance (clauses contractuelles types de la Commission européenne).

Les données de chaque client sont cloisonnées par des règles d'accès appliquées par la base elle-même (Row Level Security), les documents sont stockés dans un espace privé accessible uniquement par liens signés à durée limitée, et les échanges sont chiffrés en transit. Les liens de dépôt envoyés aux sous-traitants sont uniques, expirants et révocables.

Lorsqu'une personne exerce un droit (accès, rectification, effacement…) auprès du Client, COVIGI l'assiste : les données sont consultables et rectifiables depuis l'application, et exportables intégralement au format JSON. Toute demande adressée directement à COVIGI est transmise au Client sans délai.

COVIGI notifie au Client toute violation de données le concernant dans les meilleurs délais après en avoir pris connaissance, avec les éléments nécessaires à sa propre notification à la CNIL (article 33).

En fin de contrat, le Client exporte ses données depuis son espace (Paramètres → Vos données) puis peut supprimer son compte : la suppression emporte l'entreprise, ses dossiers et ses fichiers. Indépendamment, chaque dossier de sous-traitant est purgé 5 ans après la fin de la relation contractuelle, conformément à la politique de confidentialité.

COVIGI met à disposition du Client les informations nécessaires pour démontrer le respect du présent accord, et permet la réalisation d'audits, dans des conditions convenues d'un commun accord et aux frais du Client.