Madame la Déléguée à la protection des données,
Faisant suite à notre entretien téléphonique de ce jour et à la notification par la CNIL de l'engagement d'une procédure de contrôle visant Nexalis Technologies SAS, nous vous prions de trouver ci-dessous la liste des mesures que nous vous recommandons de mettre en œuvre sans délai, dans la perspective de l'audition à venir et afin de limiter le risque de sanction, lequel est actuellement évalué, sur la base des premiers échanges avec la délégation de contrôle, à un montant de l'ordre de 24 000 euros.
1. Consolidation de la documentation de conformité
Conformément à l'article 30 du RGPD, le registre des activités de traitement doit être mis à jour pour l'ensemble des traitements opérés par Nexalis Technologies, tant en qualité de responsable de traitement (RH interne, prospection) qu'en qualité de sous-traitant pour le compte des clients utilisateurs de la solution logicielle RH. Nous vous invitons à identifier précisément les durées de conservation, les destinataires et les éventuels transferts hors Union européenne, avec la base de transfert applicable au sens des articles 44 et suivants du RGPD.
2. Contrats de sous-traitance
L'article 28 du RGPD impose que chaque relation de sous-traitance soit encadrée par un contrat comportant les mentions obligatoires. Merci de nous transmettre, avant le 25 août 2025, un échantillon de trois contrats clients ainsi que les contrats conclus avec vos propres sous-traitants ultérieurs (hébergeur notamment), afin que nous puissions vérifier leur conformité et, le cas échéant, préparer des avenants.
3. Sécurité des traitements
Au titre de l'article 32 du RGPD, il convient de documenter les mesures techniques et organisationnelles: politique de gestion des habilitations, chiffrement des données RH, journalisation des accès, procédure de gestion des violations de données conforme aux articles 33 et 34 du RGPD. Si des violations sont survenues au cours des vingt-quatre derniers mois, merci de nous communiquer le registre des violations, même pour celles n'ayant pas donné lieu à notification.
4. Analyses d'impact
Les traitements RH opérés à grande échelle par la plateforme sont susceptibles de requérir une analyse d'impact relative à la protection des données au sens de l'article 35 du RGPD et de la liste publiée par la CNIL. Si aucune AIPD n'a été réalisée, il est impératif d'en initier une immédiatement, sa réalisation en cours pouvant être valorisée devant la délégation de contrôle.
5. Information des personnes et exercice des droits
Nous vous demandons de vérifier la conformité des mentions d'information (articles 12, 13 et 14 du RGPD) figurant sur le site et dans la solution, ainsi que la traçabilité des réponses apportées aux demandes d'exercice de droits, dans le délai d'un mois prévu à l'article 12.3.
Enfin, nous vous rappelons que l'article 18 de la loi n° 78-17 du 6 janvier 1978 modifiée et l'article 31 du RGPD imposent une obligation de coopération avec l'autorité de contrôle: toute communication à la CNIL devra désormais transiter par notre cabinet ou, à tout le moins, nous être soumise pour relecture préalable.
Une réunion de préparation est proposée dans nos locaux le jeudi 28 août 2025 à 10 heures, en prés