Accord de sous-traitance

Conclu en application de l'art. 28, paragraphe 3, du règlement (UE) 2016/679 (règlement général sur la protection des données, « RGPD »).

1. Parties

1. Responsable du traitement : l'organisation qui utilise Juryline pour gérer des programmes, telle que désignée dans les paramètres de son organisation dans Juryline (l'« organisateur »).
2. Sous-traitant : Everlong s.r.o., Zámocká 8, 811 01 Bratislava, Slovaquie, numéro d'immatriculation 55 271 987, immatriculée au registre du commerce du tribunal municipal de Bratislava III, section Sro, numéro 167806/B, e-mail hello@juryline.com (« nous »).
3. La personne qui accepte le présent accord pour le compte de l'organisateur confirme qu'elle est habilitée à agir pour celui-ci.

2. Objet et durée

1. Nous traitons des données à caractère personnel pour le compte de l'organisateur lorsqu'il gère des programmes dans Juryline : collecte et stockage des candidatures, contrôle de recevabilité, évaluation par les membres du jury, résultats, messages et finale en direct.
2. Finalité : gestion de l'appel à candidatures et de la procédure de sélection de l'organisateur.
3. Nature du traitement : collecte au moyen de formulaires, stockage, affichage aux personnes autorisées, attribution aux membres du jury, calcul des classements, envoi d'e-mails, exports, suppression et enregistrements de sécurité correspondants.
4. Personnes concernées : les candidats et les personnes mentionnées dans les candidatures (par exemple les membres d'une équipe), les membres du jury, le personnel de l'organisateur et les membres du public qui votent lors d'une finale en direct.
5. Catégories de données : coordonnées ; réponses aux champs définis par l'organisateur ; fichiers téléversés (jusqu'à 25 Mo chacun) ; noms des membres d'équipe ; statut des candidatures, annotations, contrôle de recevabilité et décisions ; noms, adresses e-mail, affiliations, déclarations de conflit d'intérêts, notes et commentaires des membres du jury ; journaux des messages ; pour les votes du public, hachages à clé d'un identifiant d'appareil et, le cas échéant, d'une adresse e-mail.
6. Juryline ne demande pas de catégories particulières de données. Si l'organisateur en demande dans son formulaire, il lui incombe de disposer d'une base juridique.
7. Le présent accord s'applique aussi longtemps que l'organisateur utilise Juryline.

3. Instructions

1. Nous ne traitons les données à caractère personnel que sur instruction documentée de l'organisateur, y compris en ce qui concerne les transferts vers des pays tiers, sauf obligation contraire découlant du droit de l'UE ou du droit slovaque.
2. Les instructions sont constituées du présent accord et des actions de l'organisateur dans Juryline, comme la publication d'un appel à candidatures, le paramétrage des champs et de leur visibilité pour les membres du jury, l'invitation de membres du jury, l'attribution des candidatures, l'envoi de messages, l'export, le choix de la durée de conservation et la suppression de données. D'autres instructions peuvent être données par e-mail.
3. L'organisateur nous donne pour instruction :
   • de présenter aux candidats l'appel à candidatures, la politique de confidentialité de l'organisateur et le formulaire,
   • d'envoyer les confirmations, les rappels et les e-mails de résultats que l'organisateur déclenche,
   • de masquer aux membres du jury les champs que l'organisateur marque comme masqués,
   • de supprimer un programme avec l'ensemble de ses candidatures, fichiers et notes une fois écoulé le nombre de mois défini (par défaut 24) après la publication des résultats, ou après la clôture de l'appel à candidatures si les résultats ne sont jamais publiés, après en avoir averti les propriétaires un mois à l'avance.
4. Nous informons l'organisateur si nous estimons qu'une instruction enfreint le droit de la protection des données.

4. Nos obligations

1. Toutes les personnes chez Everlong qui ont accès à des données à caractère personnel sont tenues à la confidentialité. L'accès est limité aux personnes qui en ont besoin pour exploiter Juryline et en assurer l'assistance. Notre équipe d'assistance n'ouvre une organisation que dans le cadre d'une session d'assistance enregistrée, pendant 2 heures, en lecture seule, avec un motif que l'organisateur peut voir dans ses paramètres.
2. Nous mettons en œuvre les mesures de l'annexe 1 (art. 32 du RGPD) et les réexaminons régulièrement.
3. Nous ne faisons appel à des sous-traitants ultérieurs que conformément à l'article 5 du présent accord.
4. Nous aidons l'organisateur à répondre aux demandes des personnes concernées et lui transmettons dans les meilleurs délais les demandes qui nous parviennent.
5. Nous aidons l'organisateur à respecter les obligations prévues aux art. 32 à 36 du RGPD, compte tenu de la nature du traitement.
6. Nous n'utilisons pas les données de l'organisateur à nos propres fins, ne les vendons pas et n'envoyons pas les candidatures, les notes ou d'autres données des programmes à des services d'IA. Des totaux anonymes (comme le nombre de candidatures) peuvent être utilisés pour exploiter et améliorer Juryline.
7. Nous tenons un registre des activités de traitement effectuées pour le compte des organisateurs (art. 30, paragraphe 2, du RGPD).

5. Sous-traitants ultérieurs

1. L'organisateur donne une autorisation écrite générale pour le recours aux sous-traitants ultérieurs figurant à l'annexe 2.
2. Nous annonçons les changements envisagés au moins 30 jours à l'avance par e-mail aux propriétaires de l'organisation. L'organisateur peut s'y opposer ; si nous ne parvenons pas à nous entendre, il peut résilier l'accord avant que le changement ne prenne effet.
3. Nous imposons à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données (art. 28, paragraphe 4, du RGPD).

6. Transferts hors de l'UE

1. La base de données et les fichiers sont stockés dans l'UE (Francfort, Allemagne) et l'application fonctionne dans l'UE.
2. Lorsqu'un sous-traitant ultérieur peut accéder à des données depuis l'extérieur de l'UE, le transfert repose sur le chapitre V du RGPD, en particulier sur le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) ou sur des clauses contractuelles types.

7. Violations de données à caractère personnel

1. Nous notifions à l'organisateur toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail aux propriétaires de l'organisation, avec les informations prévues à l'art. 33, paragraphe 3, du RGPD dans la mesure où elles sont disponibles.
2. Nous aidons l'organisateur à notifier la violation à l'autorité de contrôle et à la communiquer aux personnes concernées. L'organisateur décide des notifications.

8. Informations et audits

1. Sur demande, nous fournissons les informations nécessaires pour démontrer le respect de l'art. 28 du RGPD.
2. L'organisateur, ou un auditeur tenu à la confidentialité, peut réaliser un audit annoncé au moins 30 jours à l'avance, au maximum une fois par an et aux frais de l'organisateur, sauf après une violation ou lorsqu'une autorité de contrôle l'exige.

9. Obligations de l'organisateur

1. L'organisateur est responsable de la licéité du traitement, de sa politique de confidentialité à l'égard des candidats et des membres du jury et de la durée de conservation qu'il fixe.
2. L'organisateur ne donne accès à son organisation qu'aux personnes qui en ont besoin et leur retire cet accès lorsqu'elles n'en ont plus besoin.
3. L'organisateur est responsable des données qu'il exporte, télécharge ou envoie en dehors de Juryline.

10. Fin de l'accord

1. L'accord prend fin lorsque l'organisation de l'organisateur est supprimée ou lorsque le service prend fin conformément aux conditions d'utilisation.
2. Avant la fin, l'organisateur peut exporter ses données. Dans un délai de 30 jours après la fin, nous supprimons les données à caractère personnel de l'organisateur, sauf si le droit de l'UE ou le droit slovaque nous impose de les conserver. Les sauvegardes sont écrasées selon leur cycle habituel.

11. Dispositions finales

1. Le traitement au titre du présent accord fait partie du service Juryline et ne fait l'objet d'aucune rémunération distincte.
2. Les parties sont responsables conformément à l'art. 82 du RGPD et au droit slovaque.
3. L'accord est conclu par voie électronique (art. 28, paragraphe 9, du RGPD) lorsque l'organisateur publie un programme et confirme qu'il accepte les conditions d'utilisation et le présent accord. Nous enregistrons la version, la date et l'heure ainsi que le compte qui a donné la confirmation.
4. Si l'organisateur est un organisme public tenu de publier ses contrats, il publie lui-même le présent accord.
5. En matière de protection des données, le présent accord prévaut sur les conditions d'utilisation. Les annexes 1 et 2 en font partie intégrante.

Annexe 1. Mesures techniques et organisationnelles

• Localisation : base de données, fichiers et application dans l'UE (Francfort, Allemagne).
• Chiffrement : en transit avec TLS et HSTS ; au repos par nos hébergeurs.
• Contrôle d'accès : la sécurité au niveau des lignes (row level security) de la base de données détermine ce que chaque personne peut lire et modifier. Les organisateurs voient leurs propres programmes ; les membres du jury ne voient que les candidatures qui leur sont attribuées et jamais les champs masqués ; les candidats ne voient que leurs propres candidatures. Ces règles sont testées automatiquement pour chaque rôle.
• Connexion : pas de mot de passe ; codes à usage unique et liens personnels envoyés par e-mail ; les sessions expirent après 30 jours sans utilisation.
• Fichiers : stockage privé, téléchargements par des liens valables 5 minutes après une vérification des droits, type de fichier vérifié d'après le contenu, taille limitée à 25 Mo.
• Intégrité : les notes, les décisions du contrôle de recevabilité, les déclarations de conflit d'intérêts et les décisions sur les résultats ne peuvent pas être écrasées ; les modifications sont ajoutées sous forme de nouveaux enregistrements. Les procès-verbaux sont scellés avec une empreinte SHA-256 et un code de vérification.
• Accès de l'assistance : uniquement lors de sessions d'assistance enregistrées, limitées dans le temps, en lecture seule et visibles par l'organisateur.
• Journal d'audit : exports, téléchargements de procès-verbaux, changements de rôle, sessions d'assistance et opérations de facturation, conservés 24 mois.
• Suppression : automatique, quotidienne, selon la durée de conservation de chaque programme.
• Sauvegardes : sauvegardes quotidiennes de la base de données par notre hébergeur, conservées 7 jours.
• Protection contre les abus : limites de requêtes avec des clés pseudonymes conservées 2 jours au maximum.
• IA : les données des programmes ne sont jamais envoyées à des services d'IA.

Annexe 2. Sous-traitants ultérieurs

Version du 27 octobre 2026.