Version du 12 novembre 2026 · RGPD-2026-11-12-v8
La présente annexe accompagne la mission entre l’entreprise cliente identifiée au devis, responsable du traitement, et ARIANE - SERVICES, sous-traitant pour les opérations qu’elle réalise pour son compte dans Ariane Solution. Les traitements propres à chaque partie en tant que responsable distinct, notamment les obligations du professionnel comptable, sont identifiés séparément.
Objet : hébergement applicatif, organisation, stockage, consultation, transmission, export et restitution de pièces et données pour les services contractuels. Durée : celle de la mission puis la période de restitution et de conservation autorisée. L’annexe ne donne pas une autorisation générale d’utiliser les données pour la publicité ou l’entraînement d’un modèle d’intelligence artificielle.
Personnes : représentants, utilisateurs, contacts et propres clients de l’entreprise ; salariés et interlocuteurs habilités. Données : coordonnées, identité professionnelle, pièces utiles au dossier, données commerciales, mouvements saisis, informations d’emploi, contrats, rémunérations, temps de travail, variables et bulletins nécessaires à la mission.
Les identifiants nationaux, données sensibles ou documents médicaux ne sont traités que si une nécessité légale ou contractuelle documentée et des mesures adaptées le justifient. Le portail ne doit pas servir à collecter des pièces excessives. Le client fournit les informations nécessaires à ses salariés et autres personnes concernées.
Ariane Services ne traite les données que sur instructions documentées du client, y compris pour les transferts, sauf obligation légale qui lui impose une opération. Elle informe le client d’une instruction paraissant contraire au droit et de l’obligation légale, sauf interdiction applicable.
Les personnes autorisées sont soumises à une obligation de confidentialité et disposent d’accès limités à leur mission. Les habilitations sont révisées lors des changements de rôle ou des départs. L’assistance à distance ne peut être utilisée pour élargir le périmètre autorisé.
Les mesures adaptées au risque comprennent le contrôle d’accès, la séparation logique des entreprises, le stockage privé des documents, le chiffrement des secrets SMTP et des communications, la mise à jour et le suivi des accès. Le contrôle du 12 novembre 2026 confirme le HTTPS, le stockage documentaire hors du répertoire Web avec permissions 700, la désactivation de l’éditeur de fichiers WordPress et la présence de sauvegardes Infomaniak proposées du 6 au 12 novembre. Le contrôle anonyme du téléchargement de dossier redirige vers la connexion ; l’aperçu juridique privé renvoie un refus 403. Le code documentaire examiné vérifie les autorisations et les chemins de fichiers ; les secrets SMTP utilisent AES-256-GCM. Ces contrôles ponctuels ne constituent pas un test complet d’intrusion ni un test de restauration. Le serveur de paie est hébergé chez MTAE selon la confirmation d’Ariane Services du 12 novembre 2026. Les garanties de ce service et les protections du poste d’accès distant doivent être conservées dans la fiche des prestataires avant le démarrage de la mission concernée.
La fiche technique interne et la fiche des prestataires complètent ces mesures. Un responsable de dossier est désigné par la direction ; les habilitations sont documentées, revues lors des changements de personnel et retirées en fin de mission. Les mises à jour, incidents et essais de restauration sont consignés. Les sauvegardes ne remplacent ni la restitution au client ni les archives réglementaires. Aucun chiffrement généralisé de la base, authentification multifacteur, coffre-fort probant ou certification de tout le portail n’est affirmé sans preuve.
La liste nominative des prestataires effectivement utilisés, leurs missions, pays et garanties est remise au client avant autorisation. Infomaniak figure pour l’hébergement ; les flux de courrier et l’accès distant sont à inventorier. Les services d’AOL et de Splashtop ne doivent pas être omis s’ils reçoivent ou rendent accessibles les données de la mission.
Le client autorise de manière générale le recours aux sous-traitants ultérieurs décrits dans la fiche nominative remise avant le traitement. Ariane Services informe le client par écrit au moins trente jours calendaires avant l’ajout ou le remplacement envisagé, avec l’identité, la mission, les lieux et les garanties utiles. Le client peut formuler une objection motivée relative à la protection des données pendant ce délai. L’intervention contestée n’est pas engagée pour ses données avant examen de l’objection et recherche d’une solution. À défaut de solution, la prestation concernée est suspendue ou prend fin selon les conditions contractuelles et les droits applicables, après organisation de la restitution. Une notification de changement n’est pas une autorisation de réutiliser les données à d’autres fins. Les obligations de protection sont répercutées par contrat. Ariane Services reste tenue de ses obligations envers le client.
Aucun transfert non autorisé vers un pays tiers n’est réalisé. Les lieux, mécanismes de transfert et garanties sont documentés avant activation. La nationalité d’un prestataire n’est pas, à elle seule, la preuve du lieu de toutes ses opérations.
Ariane Services aide le client à répondre aux demandes de droits et à ses obligations de sécurité, d’analyse d’impact et de consultation préalable, compte tenu de la nature des traitements et des informations disponibles. Elle ne répond pas pour le compte du client sans instruction, sauf obligation légale.
Une violation de données concernant la mission est signalée au client sans délai indu après connaissance, avec les faits disponibles, les personnes et données potentiellement concernées, les conséquences et les mesures engagées. Les informations sont complétées progressivement. Le client apprécie les notifications aux autorités et aux personnes ; Ariane Services traite ses propres obligations lorsqu’elle est responsable distinct.
À compter de la fin effective du service, le client dispose de trente jours calendaires pour récupérer ses données et documents. Les données courantes sont supprimées au plus tard dans les quatre-vingt-dix jours calendaires suivant cette fin, sous réserve des instructions licites du client, des obligations légales de conservation et des éléments nécessaires à un litige. Les archives ainsi conservées sont isolées et leur accès restreint. Les copies de sauvegarde expirent selon leur cycle documenté ; une restauration doit réappliquer les suppressions déjà décidées.
Les archives soumises à obligation sont isolées et à accès restreint. Le service ne remplace pas les obligations de conservation de l’employeur et ne garantit pas une mise à disposition des bulletins pendant cinquante ans. Les pièces sont restituées dans les formats disponibles convenus ; une impossibilité d’export doit être signalée.
Ariane Services met à disposition les informations nécessaires à la démonstration de ses obligations et permet des vérifications et audits raisonnablement organisés, sans faire obstacle aux pouvoirs des autorités. Les limites de confidentialité et de sécurité sont coordonnées sans vider ce droit de sa substance.
Le responsable du traitement est l’entreprise cliente identifiée dans la proposition acceptée, représentée par son signataire habilité. Le sous-traitant est ARIANE - SERVICES, SARL, RCS Bobigny 440 057 024, 23 rue Baudin, 93700 Drancy, représentée par son gérant Abdel Illah CHADID ou un mandataire habilité. La référence du contrat, la version de cette annexe, la fiche des prestataires remise, la date et la preuve d’accord sont rattachées au dossier du client. La seule ouverture d’un compte ou le dépôt d’un document ne valent pas acceptation de cette annexe. L’acceptation contractuelle ne remplace pas la base juridique propre aux traitements de l’employeur.
Infomaniak Network SA : hébergement du portail et de sa base, stockage documentaire et services de courrier du domaine ; infrastructure Web annoncée en Suisse et DPA publié par le fournisseur. Le périmètre exact des sauvegardes de fichiers privés est vérifié avant mise en service contractuelle.
MTAE — MANAGEMENT TECHNIQUES ASSOCIES ENGINEERING, SARL, RCS Paris 347 499 261, 194 rue d’Alésia, 75014 Paris : logiciel de paie et serveur hébergé chez MTAE selon Ariane Services. Le siège français ne prouve pas le pays du centre de données.
Splashtop : accès distant au serveur de paie. La région de service et l’entité contractante sont celles du compte utilisé ; les conditions Global et EU sont distinctes. L’existence d’un DPA public ne constitue pas la preuve de son application à ce compte.
AOL : réception des redirections contact, support et media. La politique publique consultée identifie AOL Media LLC aux États-Unis et décrit des mécanismes de transfert internationaux ; les conditions réellement applicables à la boîte doivent être archivées. Les pièces de paie et identifiants sensibles sont transmis par le portail et par les canaux sécurisés convenus, sans copie générale des dossiers vers une boîte de contact.
Messagerie propre du client : fournisseur choisi et connecté par ce client pour ses envois de devis, factures et avoirs ; paramétrage et instructions sont enregistrés au dossier. Les rôles de chacun sont distingués du traitement assuré par Ariane Services.
Avant de confier les données au service concerné, Ariane Services précise dans la documentation de mission les prestataires et localisations effectivement utilisés ainsi que les garanties applicables. La liste ci-dessus décrit les fonctions des intervenants ; elle ne constitue pas une certification technique ou une affirmation d’hébergement exclusivement européen. Tout nouveau flux est soumis aux instructions, garanties et modalités d’information prévues par la présente annexe.
Empreinte SHA-256 : b412f8bb5e19d5f62390df7da1875d7d67f5830c6fe465a6df8f0a3816e55bc7