Analyse de contrat

I. OBJET Le présent rapport est établi à la suite du contrôle sur place diligenté par la Commission nationale de l'informatique et des libertés dans les locaux de la société Nexalis Technologies SAS, sur le fondement des articles 8 et 19 de la loi n° 78-17 du 6 janvier 1978 modifiée. Il recense les écarts constatés au regard du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et propose un plan de remédiation hiérarch

II. CONTEXTE Nexalis Technologies SAS édite des solutions logicielles de gestion des ressources humaines et agit, selon les cas, en qualité de sous-traitant au sens de l'article 28 du RGPD pour le compte de ses clients employeurs, et de responsable de traitement pour ses traitements propres (prospection, gestion clients, RH interne).

III. ÉCARTS CONSTATÉS Écart n° 1 : Registre des activités de traitement incomplet (article 30 RGPD). Le registre ne distingue pas les traitements opérés en qualité de responsable de ceux opérés en qualité de sous-traitant et omet les durées de conservation. Écart n° 2 : Contrats de sous-traitance lacunaires (article 28, paragraphe 3, RGPD). Plusieurs contrats clients ne comportent pas l'ensemble des clauses obligatoi

IV. PLAN DE REMÉDIATION Priorité 1 (30 jours) : refonte du registre article 30, sous la supervision du délégué à la protection des données ; formalisation de la politique d'habilitations et activation de la journalisation complète. Priorité 2 (60 jours) : mise à jour de l'ensemble des contrats de sous-traitance par avenant conforme à l'article 28 ; refonte des mentions d'information et de la politique de confidential

V. SUIVI Un point d'étape mensuel sera assuré par Camille Aubry, sous la