Réponse au questionnaire de la CNIL · Dossier 2003-00002
CABINET VERNIER & ASSOCIÉS
Avocats au Barreau de Paris
Dossier n° 2003-00002, Conformité RGPD
Associé responsable : Maître Julien Roche
Collaborateur : Maître Camille Aubry
Paris, le 12 septembre 2025
Commission Nationale de l'Informatique et des Libertés
Service des contrôles
À l'attention de Madame Laure Fontanel
3 place de Fontenoy, TSA 80715
75334 Paris Cedex 07
Lettre recommandée avec accusé de réception
Objet : Réponse au questionnaire adressé à la société Nexalis Technologies SAS dans le cadre de la procédure de contrôle, dossier ouvert le 10 août 2025
Madame,
Agissant au nom et pour le compte de la société Nexalis Technologies SAS, éditeur de logiciels de gestion des ressources humaines, nous avons l'honneur de vous transmettre les réponses de notre cliente au questionnaire que vous lui avez adressé, en application des articles 8 et 19 de la loi n° 78-17 du 6 janvier 1978 modifiée et de l'article 58 du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD).
1. Sur la qualification des traitements
Nexalis Technologies SAS agit principalement en qualité de sous-traitant au sens de l'article 4.8 du RGPD, pour le compte de ses clients employeurs, responsables de traitement. Les traitements portent sur des données de gestion du personnel : identité, éléments de paie, évaluations professionnelles et données de carrière. Aucune donnée relevant de l'article 9 du RGPD n'est traitée, hormis les données relatives aux arrêts de travail, strictement encadrées.
2. Sur les contrats de sous-traitance
Conformément à l'article 28.3 du RGPD, l'ensemble des contrats conclus avec les clients comporte les clauses obligatoires relatives à l'objet, la durée, la nature et la finalité du traitement, ainsi qu'aux obligations d'assistance et de restitution des données. Les modèles contractuels ont été révisés en dernier lieu au premier semestre 2025.
3. Sur le registre des activités de traitement
Le registre prévu à l'article 30 du RGPD est tenu à jour sous la responsabilité du délégué à la protection des données, désigné auprès de vos services conformément à l'article 37 du RGPD. Un extrait du registre figure en annexe 1.
4. Sur les mesures de sécurité
En application de l'article 32 du RGPD, la société met en œuvre : chiffrement des données au repos et en transit, authentification à double facteur, journalisation des accès, cloisonnement des environnements clients et tests d'intrusion annuels réalisés par un prestataire indépendant. La politique de sécurité des systèmes d'information est jointe en annexe 2.
5. Sur les durées de conservation et les droits des personnes
Les durées de conservation sont déterminées par les responsables de traitement clients. La société assure, en qualité de sous-traitant, l'exécution technique des demandes d'exercice des droits prévus aux articles 15 à 22 du RGPD, dans les conditions de l'article 28.3 e).
6. Sur les transferts hors Union européenne
Aucun transfert de données hors de l'Union européenne n'est opéré. L'hébergement est assuré exclusivement dans des centres de données situés en France.
7. Sur les mesures correctrices engagées
À la suite de votre contrôle, notre cliente a d'ores et déjà engagé un plan de mise en conformité renforcée, dont le budget alloué s'élève à 24 000 euros, portant notamment sur la mise à jour de la documentation de conformité et la formation des équipes.
Notre cliente se tient à votre entière disposition pour tout complément d'information ou toute audition que vous jugeriez utile, et vous prie de croire, Madame, à l'assurance de sa considération distinguée.