Politique de Confidentialité

Responsable du traitement : Hicham SADDEK, entrepreneur individuel (EI), exerçant sous le nom commercial SADDEK Entreprises et la marque SDK Enterprises (« SDK »), immatriculé au Registre national des entreprises sous le numéro SIREN 850 513 912, TVA intracommunautaire FR10850513912, domicilié 44 rue Pasquier, 75008 Paris.

Contact données personnelles : SDK Privacy – privacy@sdk.enterprises – 44 rue Pasquier, 75008 Paris.

La présente Politique de Confidentialité entre en vigueur à la date de sa mise en ligne sur le Site, mentionnée sur la page qui la publie et sur le document PDF correspondant.

Article 1 – Objet et champ d'application

1.1 La présente Politique de Confidentialité a pour objet de délivrer aux Personnes Concernées l'information prévue aux articles 12, 13 et 14 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (« RGPD ») et par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (la « Loi Informatique et Libertés »), sur les Traitements de Données à Caractère Personnel mis en œuvre par SDK en qualité de responsable du traitement.

1.2 La présente Politique de Confidentialité s'applique à l'ensemble des publics de SDK et comporte une section propre à chacune des catégories de Personnes Concernées suivantes, précisant pour chacune les finalités, les bases légales, les catégories de données, les durées de conservation et les destinataires :

(a) les Visiteurs du Site et, lorsqu'ils en consultent les pages publiques, les Titulaires de Compte (Article 5) ;

(b) le Personnel du Client (Article 6) ;

(c) les Candidats au Réseau (Article 7) ;

(d) les Prestataires et les Membres des Studios (Article 8).

1.3 La présente Politique de Confidentialité ne s'applique pas :

(a) aux Données à Caractère Personnel que SDK traite pour le compte de ses Clients, en qualité de sous-traitant au sens de l'article 28 du RGPD, lesquelles sont régies par l'Accord de Traitement des Données (Article 9) ;

(b) aux Traitements que des tiers mettent en œuvre pour leur propre compte, notamment Stripe Payments Europe, Limited en qualité de responsable du traitement indépendant, les Clients et les Studios pour leurs besoins propres, ou les éditeurs de sites tiers accessibles par des liens depuis le Site.

1.4 La présente Politique de Confidentialité est un document d'information. Elle ne modifie ni les Conditions Générales Client, ni la Convention du Réseau, ni l'Avenant Studio, ni l'Accord de Traitement des Données, ni les Conditions Particulières d'une Mission, dont les stipulations relatives aux Données à Caractère Personnel prévalent dans leur champ respectif. Pour les données traitées pour le compte d'un Client, l'Accord de Traitement des Données prévaut.

Article 2 – Définitions

Les termes ci-après, lorsqu'ils sont employés avec une majuscule, ont la signification suivante, au singulier comme au pluriel :

• « Accord de Traitement des Données » : l'accord conclu entre SDK et le Client en application de l'article 28 du RGPD, régissant les Traitements effectués par SDK pour le compte du Client.
• « Avenant Studio » : l'avenant à la Convention du Réseau conclu entre SDK et un Studio.
• « Candidat au Recrutement » : toute personne physique présentée par SDK à un Client en vue d'un Recrutement Direct, au sens des Conditions Générales Client.
• « Candidat au Réseau » : toute personne physique qui crée un Compte en vue de son admission au Réseau, ou de celle de l'entreprise ou du Studio qu'elle représente, et constitue ou soumet une candidature, jusqu'à la décision d'admission.
• « Client » : toute personne, physique ou morale, agissant à des fins professionnelles, qui recourt ou envisage de recourir aux services de SDK, notamment en vertu des Conditions Générales Client.
• « CNIL » : la Commission nationale de l'informatique et des libertés.
• « Commande » : l'engagement ferme du Client portant sur une prestation de SDK, le cas échéant par acceptation d'une Proposition.
• « Compte » : l'espace personnel ouvert sur la Plateforme au nom d'un Titulaire de Compte.
• « Conditions Générales Client » : les conditions générales applicables aux relations entre SDK et ses Clients.
• « Conditions Générales d'Utilisation » ou « CGU » : les conditions régissant l'accès au Site et l'utilisation des Comptes.
• « Conditions Particulières » : les conditions propres à une Mission, acceptées par les parties concernées.
• « Convention du Réseau » : le contrat conclu entre SDK et chaque Prestataire.
• « Données à Caractère Personnel » : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4, 1) du RGPD.
• « Livrables » : les résultats et éléments remis au titre d'une Mission ou d'un projet.
• « Membre » : toute personne physique qui exerce au sein d'un Studio ou pour son compte, dans les conditions de l'Avenant Studio, y compris la personne désignée comme responsable du Studio.
• « Mission » : toute mission conclue par l'intermédiaire de SDK, qu'il s'agisse d'une Mission Gérée, d'une Mission Dirigée ou d'un Recrutement Direct.
• « Mission Dirigée » : la mission dans le cadre de laquelle le Client, souhaitant diriger lui-même l'organisation quotidienne des travaux, contracte directement avec le Prestataire, SDK n'intervenant qu'en qualité d'intermédiaire.
• « Mission Gérée » : la mission dans le cadre de laquelle SDK est le prestataire de services du Client et confie au Prestataire, en qualité de sous-traitant, l'exécution de la prestation définie par les Conditions Particulières.
• « Notification d'Inexécution » : la notification écrite adressée en cas de manquement à une condition convenue d'une Mission.
• « Personne Concernée » : toute personne physique dont les Données à Caractère Personnel font l'objet d'un Traitement décrit dans la présente Politique de Confidentialité.
• « Personnel du Client » : les dirigeants, salariés, mandataires et autres personnes agissant pour le compte d'un Client ou d'un prospect.
• « Plateforme » : l'espace en ligne réservé, accessible depuis le Site après authentification, comprenant notamment les espaces destinés aux Clients, aux Prestataires, aux Studios et au personnel de SDK.
• « Politique Cookies » : la politique de SDK relative aux cookies et autres traceurs, publiée sur le Site.
• « Prestataire » : tout professionnel indépendant, exerçant en entreprise individuelle ou en société, ou tout Studio, admis au Réseau en vertu de la Convention du Réseau.
• « Proposition » : l'offre de prestation émise par SDK à l'attention d'un Client.
• « Recrutement Direct » : l'embauche, par le Client, de la personne présentée par SDK, SDK n'intervenant qu'en qualité d'intermédiaire.
• « Réseau » : le réseau des Prestataires admis par SDK en vertu de la Convention du Réseau et présentés à ses Clients.
• « SDK Auth » : le service d'authentification (OpenID Connect) exploité par SDK sur ses propres serveurs, accessible à l'adresse gate.sdk-sites.app.
• « Site » : le site internet accessible à l'adresse https://sdk.enterprises, dans l'ensemble de ses versions linguistiques, y compris la Plateforme.
• « Studio » : la personne morale regroupant plusieurs professionnels indépendants et admise au Réseau en cette qualité, dans les conditions de la Convention du Réseau et de l'Avenant Studio.
• « Tarif Journalier Client » : le prix journalier hors taxes payé par le Client à SDK pour une Mission Gérée, égal au Tarif Journalier du Prestataire augmenté des Frais de Service, au sens de la Convention du Réseau et des Conditions Générales Client.
• « Titulaire de Compte » : toute personne physique au nom de laquelle un Compte est ouvert.
• « Traitement » : toute opération appliquée à des Données à Caractère Personnel, au sens de l'article 4, 2) du RGPD.
• « Utilisateur » : tout Visiteur ou Titulaire de Compte.
• « Visiteur » : toute personne qui consulte le Site sans être connectée à un Compte.

Article 3 – Responsable du traitement et contact

3.1 Le responsable des Traitements décrits dans la présente Politique de Confidentialité est SDK, identifié en tête du présent document.

3.2 SDK n'a pas désigné de délégué à la protection des données au sens des articles 37 à 39 du RGPD, cette désignation n'étant pas obligatoire au regard de la nature et du volume de ses Traitements. Les questions et demandes relatives aux Données à Caractère Personnel sont traitées en interne par SDK Privacy. Hicham SADDEK en assure la direction, sans porter le titre ni exercer les fonctions de délégué à la protection des données, qu'il ne pourrait au demeurant assumer dès lors qu'il détermine lui-même les finalités et les moyens des Traitements (article 38, paragraphe 6, du RGPD).

3.3 SDK Privacy peut être contacté :

(a) par courrier électronique à l'adresse privacy@sdk.enterprises ;

(b) par courrier postal adressé à SDK Privacy, 44 rue Pasquier, 75008 Paris.

Les demandes d'ordre général peuvent être adressées à hello@sdk.enterprises ; toute demande relative aux Données à Caractère Personnel reçue à cette adresse est transmise sans délai à SDK Privacy.

3.4 SDK tient le registre des activités de traitement prévu à l'article 30 du RGPD.

3.5 Certains tiers traitent des Données à Caractère Personnel en qualité de responsables du traitement indépendants, pour leurs propres finalités et sous leur seule responsabilité, notamment :

(a) Stripe Payments Europe, Limited, pour la vérification de l'identité des titulaires de comptes de paiement et ses obligations de lutte contre le blanchiment de capitaux, le financement du terrorisme et la fraude (Article 8.4) ;

(b) chaque Client, pour les données de son Personnel qu'il communique à SDK et pour les éléments de profil de Prestataires qui lui sont présentés, dès leur réception ;

(c) chaque Studio, pour les données de ses Membres dans le cadre de ses relations propres avec eux.

3.6 En application des stipulations contractuelles relatives à la cession des contrats à une société contrôlée par Hicham SADDEK reprenant l'activité de SDK (article 21.5 de la Convention du Réseau, article 17.2 de l'Avenant Studio, articles 30.2 et 30.3 des Conditions Générales Client, article 19 de l'Accord de Traitement des Données et article 17 des Conditions Générales d'Utilisation), cette société deviendra, à compter de la cession, responsable des Traitements décrits aux présentes. Les Personnes Concernées en seront informées préalablement par courrier électronique et par un avis publié sur le Site ; leurs droits demeureront inchangés.

Article 4 – Principes applicables à l'ensemble des Traitements

4.1 SDK traite les Données à Caractère Personnel de manière licite, loyale et transparente, pour des finalités déterminées, explicites et légitimes, en se limitant aux données adéquates, pertinentes et nécessaires au regard de ces finalités, en veillant à leur exactitude, en limitant leur conservation à la durée nécessaire et en garantissant leur sécurité, conformément à l'article 5 du RGPD.

4.2 Les Données à Caractère Personnel sont collectées :

(a) directement auprès de la Personne Concernée, au moyen des formulaires du Site, de la Plateforme ou de ses échanges avec SDK ;

(b) auprès de SDK Auth, lors de la connexion, pour l'identifiant unique de la personne, son adresse électronique, son nom et, le cas échéant, sa photographie de profil ;

(c) auprès du Client, lorsqu'un de ses Titulaires de Compte habilités invite un membre de son Personnel (adresse électronique et rôle) ;

(d) auprès du responsable d'un Studio, lorsqu'il invite un Membre ou le désigne pour une offre de Mission ;

(e) auprès de Stripe Payments Europe, Limited, pour le seul statut de vérification et de disponibilité du compte de versement ;

(f) à partir des pages professionnelles publiques dont le Candidat au Réseau ou le Prestataire communique lui-même le lien (profil professionnel, dépôt de code, portfolio, site internet), consultées pour les seuls besoins de l'examen de sa candidature et de ses propositions.

4.3 Le caractère obligatoire ou facultatif des données demandées est signalé sur chaque formulaire. Le défaut de communication d'une donnée obligatoire fait obstacle à la finalité concernée : la demande ne peut être traitée, la candidature ne peut être soumise, la Mission ne peut débuter ou le versement ne peut être effectué. Les données exigées par une obligation légale (Articles 8.3 (d) et 8.3 (f)) conditionnent la poursuite de la relation dans les conditions prévues par la réglementation applicable.

4.4 SDK ne sollicite aucune donnée relevant des catégories particulières visées à l'article 9 du RGPD, ni aucune donnée relative aux condamnations pénales et aux infractions visée à l'article 10 du RGPD. Les Personnes Concernées sont invitées à ne pas en faire figurer dans les champs libres, messages et documents, notamment dans leur curriculum vitae. Si de telles données sont néanmoins communiquées, SDK s'abstient de les exploiter et peut demander le remplacement du document concerné.

4.5 SDK ne vend ni ne loue aucune Donnée à Caractère Personnel et ne met en œuvre aucun profilage à des fins publicitaires.

Article 5 – Visiteurs du Site

5.1 Traitements. Les Traitements mis en œuvre à l'égard des Visiteurs et, lorsqu'ils consultent les pages publiques du Site, des Titulaires de Compte sont les suivants :

5.2 Suite de la relation. Lorsqu'une demande visée aux points (e) à (g) donne lieu à l'ouverture d'un Compte ou à une relation contractuelle, les données correspondantes sont traitées dans les conditions de l'Article 6 ou de l'Article 7, selon le cas.

5.3 Destinataires. Les données traitées au titre du présent Article sont accessibles au seul personnel habilité de SDK. Elles sont hébergées par OVH SAS (OVHcloud) sur les serveurs de SDK en France. Les données de réservation d'appel sont traitées par Calendly LLC, en qualité de sous-traitant de SDK lié par un accord de traitement des données conforme à l'article 28 du RGPD, dans les conditions des Articles 12.2 et 13.3. Les courriers électroniques de service sont relayés par SDK Mail, service exploité par SDK lui-même (Article 12.3). Aucune autre transmission n'est effectuée, sous réserve de l'Article 12.4.

5.4 Cookies. Les cookies et traceurs utilisés sur le Site, leur finalité et leur durée sont énumérés à l'Article 20 et décrits dans la Politique Cookies.

Article 6 – Personnel des Clients

6.1 Personnes concernées et source des données. Le présent Article s'applique au Personnel du Client qui détient un Compte ou qui est désigné comme interlocuteur de SDK. Les données sont collectées auprès de la Personne Concernée, auprès de SDK Auth lors de la connexion et, en cas d'invitation, auprès du Client qui communique l'adresse électronique et le rôle attribué. Il appartient au Client, lorsqu'il communique à SDK les données de son Personnel, de porter la présente Politique de Confidentialité à la connaissance des personnes concernées.

6.2 Traitements.

6.3 Paiement en ligne. Les données de carte ou de compte bancaire saisies lors d'un paiement en ligne le sont directement sur les pages de paiement de Stripe. SDK n'a jamais accès aux numéros complets de carte bancaire ; il reçoit uniquement le statut du paiement et les références techniques qui s'y rapportent.

6.4 Destinataires. Les données du Personnel du Client sont accessibles :

(a) au personnel habilité de SDK, dans la limite de ses attributions (administration, conduite des Missions, finance) ;

(b) aux Prestataires et Membres affectés à une Mission ou à un projet du Client, pour les seules données nécessaires à son exécution (nom, fonction, coordonnées professionnelles, messages et documents échangés) ;

(c) à Stripe Payments Europe, Limited, pour le traitement des paiements ;

(d) à OVH SAS (OVHcloud), en qualité d'hébergeur ;

(e) aux destinataires mentionnés à l'Article 12.4.

Article 7 – Candidats au Réseau

7.1 Personnes concernées. Le présent Article s'applique aux Candidats au Réseau, y compris aux personnes qui candidatent sur invitation de SDK ou d'un Studio et aux personnes ayant adressé une candidature au moyen de l'ancien formulaire du Réseau publié sur le Site.

7.2 Données traitées. Sont traitées :

(a) les données d'identification et de connexion issues de SDK Auth (Article 6.2 (a)) ;

(b) les données de candidature : titre professionnel, pays d'exercice, fuseau horaire, langues, compétences, nombre d'années d'expérience, présentation, curriculum vitae (fichier PDF), liens vers les pages professionnelles, disponibilité (date et nombre de jours par semaine), modalités d'exercice (à distance, hybride, sur site), ouverture aux Missions Gérées et au Recrutement Direct et, à titre facultatif, la fourchette de tarif journalier envisagée ;

(c) les informations relatives à l'entreprise du Candidat au Réseau : forme juridique, dénomination, numéro d'immatriculation, adresse, pays de résidence fiscale, numéro de TVA ou indication de non-assujettissement ;

(d) les données d'examen : étapes et dates de la candidature, identité du membre du personnel de SDK chargé de l'examen, observations communiquées au Candidat au Réseau, catégorie de motif en cas de refus, date de la décision, indicateur de complétude du profil ;

(e) la preuve de l'acceptation de la Convention du Réseau (Article 6.2 (d), applicable mutatis mutandis).

7.3 Traitements.

7.4 Décision humaine. Chaque décision d'admission ou de refus est prise par un membre nommément identifié du personnel de SDK, au regard des critères publiés (compétences, expérience, disponibilité, tarif, besoins des Clients et documents), à l'exclusion de tout critère discriminatoire. Les motifs sont communiqués au Candidat au Réseau qui en fait la demande. L'Article 10 est applicable, notamment le droit de demander le réexamen de la décision par un autre membre du personnel de SDK que son auteur ou, à défaut, par Hicham SADDEK (Article 10.4).

7.5 Conservation du Compte. En cas de refus, les données d'identification du Compte (identifiant, adresse électronique, nom) sont conservées afin de permettre une nouvelle candidature à l'expiration du délai de six (6) mois prévu à l'article 3.5 de la Convention du Réseau. Le Compte d'un Candidat au Réseau dont la candidature a été refusée est fermé, et ces données supprimées, à l'expiration d'un délai de douze (12) mois sans connexion à ce Compte, ou à sa clôture antérieure à la demande du Candidat au Réseau, sous réserve des seuls éléments conservés au titre de l'Article 7.3 (c) et (d). Les données de candidature adressées au moyen de l'ancien formulaire du Réseau sont conservées douze (12) mois à compter du dernier contact.

7.6 Destinataires. Les données des Candidats au Réseau sont accessibles au personnel habilité de SDK et, pour les Candidats au Réseau présentés par un Studio, au responsable de ce Studio. Elles sont hébergées par OVH SAS (OVHcloud). Aucune donnée d'un Candidat au Réseau n'est communiquée à un Client avant son admission au Réseau.

Article 8 – Prestataires et Membres des Studios

8.1 Personnes concernées. Le présent Article s'applique aux Prestataires personnes physiques, aux personnes physiques qui représentent un Prestataire constitué en société ou interviennent pour son compte, ainsi qu'aux Membres des Studios, y compris la personne qui dirige un Studio sans exercer elle-même de Mission. Il s'applique également à ces personnes lorsqu'elles sont présentées à un Client en qualité de Candidat au Recrutement. SDK contracte avec l'entreprise du Prestataire ou avec le Studio ; les données des Membres sont traitées au titre de l'intérêt légitime de SDK à exécuter la Convention du Réseau et l'Avenant Studio conclus avec le Studio.

8.2 Données traitées. Outre les données visées à l'Article 7.2, sont traitées :

(a) les documents de vigilance : attestation de vigilance délivrée par l'organisme de recouvrement des cotisations sociales, justificatif d'immatriculation et attestation d'assurance de responsabilité civile professionnelle ;

(b) les offres de Mission adressées au Prestataire ou au Membre et ses réponses, les éléments présentés au Client (titre, présentation, Tarif Journalier Client, disponibilité, rattachement à un Studio) et la décision du Client ;

(c) les données des Missions : Conditions Particulières, dates, tarif, lieu d'exécution et jours de présence convenus, relevés d'activité, Livrables et leur réception, Notifications d'Inexécution, refus motivés de directives, messages et documents échangés ;

(d) les données de facturation et de paiement : factures, montants, statut et date des versements, références techniques de virement, motif d'un éventuel échec ;

(e) les données relatives au compte de versement Stripe : identifiant du compte, statut de vérification, capacités activées et liste des informations restant à fournir, à l'exclusion des pièces d'identité et des justificatifs, qui sont communiqués directement à Stripe ;

(f) les données fiscales requises des opérateurs de plateforme : nom ou dénomination, adresse principale, numéro d'identification fiscale et État membre de délivrance, numéro de TVA, numéro d'immatriculation, date de naissance pour les personnes physiques, identifiant du compte financier sur lequel les sommes sont versées dans la mesure où SDK en dispose, montant de la contrepartie versée ou créditée par trimestre, nombre d'activités rémunérées et frais retenus, le cas échéant (néant) ;

(g) pour les Studios : rôle de chaque Membre, autorisation du Recrutement Direct donnée par le responsable du Studio, offres adressées aux Membres.

8.3 Traitements.

8.4 Stripe. Les versements sont effectués par l'intermédiaire de Stripe Connect. L'ouverture et la vérification du compte de versement sont réalisées directement par Stripe, auprès de laquelle le Prestataire ou le Studio accepte le Stripe Connected Account Agreement. Stripe Payments Europe, Limited agit :

(a) en qualité de responsable du traitement indépendant pour la vérification de l'identité, la lutte contre le blanchiment de capitaux et le financement du terrorisme et la prévention de la fraude, dans les conditions de sa propre politique de confidentialité et pendant la durée que lui imposent ses obligations légales ;

(b) en qualité de sous-traitant de SDK pour l'exécution des versements.

8.5 Défaut de communication des données fiscales. Lorsque les données visées à l'Article 8.2 (f) ne sont pas communiquées malgré les rappels prévus par la réglementation, SDK retient, comme celle-ci l'y oblige, le versement des sommes dues au Prestataire jusqu'à leur communication, dans les conditions de l'article 12.6 de la Convention du Réseau. Les sommes retenues demeurent acquises au Prestataire et lui sont versées dès la régularisation. Ce défaut n'entraîne pas la fermeture du Compte.

8.6 Destinataires. Les données des Prestataires et des Membres sont accessibles :

(a) au personnel habilité de SDK, dans la limite de ses attributions ;

(b) aux Clients auxquels le profil est présenté, pour les éléments visés à l'Article 8.2 (b), puis, en cas de Mission, pour les données nécessaires à son exécution ; en cas de Mission Gérée impliquant l'accès à des données du Client, l'identité du Prestataire ou du Membre est communiquée au Client avant tout accès ;

(c) au responsable du Studio, pour les données des Membres de ce Studio relatives aux offres, aux Missions et aux versements ;

(d) à Stripe Payments Europe, Limited, dans les conditions de l'Article 8.4 ;

(e) à la Direction générale des finances publiques, pour les déclarations prévues à l'Article 8.3 (f), qui les transmet, le cas échéant, à l'administration fiscale de l'État membre de résidence du déclarant ;

(f) à OVH SAS (OVHcloud), en qualité d'hébergeur ;

(g) aux destinataires mentionnés à l'Article 12.4.

8.7 Fin de la relation. Au terme de la Convention du Réseau ou d'une Mission, SDK ne conserve que les données dont la conservation est prévue à l'Article 11.

Article 9 – Données traitées pour le compte des Clients

9.1 Dans le cadre des Missions Gérées et des projets réalisés pour ses Clients, SDK peut être amené à traiter des Données à Caractère Personnel dont le Client est responsable du traitement. SDK agit alors en qualité de sous-traitant, au sens de l'article 28 du RGPD, et les Prestataires et Studios affectés en qualité de sous-traitants ultérieurs, dans les conditions de l'Accord de Traitement des Données, dont l'article 8 prévoit notamment une autorisation générale écrite, la désignation des sous-traitants ultérieurs affectés dans les Conditions Particulières avant tout accès et la faculté pour le Client de s'y opposer pour des motifs raisonnables tenant à la protection des données dans un délai de huit (8) jours.

9.2 Ces Traitements sont décrits dans l'information délivrée par le Client, à qui les Personnes Concernées adressent leurs demandes d'exercice des droits. SDK assiste le Client dans le traitement de ces demandes et lui transmet sans délai toute demande qu'il reçoit directement.

Article 10 – Outils automatisés et décisions humaines

10.1 Aucune décision produisant des effets juridiques à l'égard d'une Personne Concernée ou l'affectant de manière significative de façon similaire n'est fondée exclusivement sur un traitement automatisé, au sens de l'article 22 du RGPD.

10.2 Des outils peuvent aider le personnel de SDK à trier ou à suggérer, notamment par le calcul d'un indicateur de complétude du profil ou par des filtres portant sur les compétences et la disponibilité. Une personne décide de chaque admission, de chaque proposition de Prestataire à un Client, de chaque suspension et de chaque résiliation, après examen individuel du dossier.

10.3 SDK n'a recours à aucun système d'intelligence artificielle pour classer les Candidats au Réseau ou les Prestataires. Un tel système ne sera utilisé qu'après le respect des obligations applicables aux systèmes d'intelligence artificielle à haut risque en vertu du Règlement (UE) 2024/1689 du 13 juin 2024 (annexe III, point 4), et après mise à jour préalable de la présente Politique de Confidentialité.

10.4 Toute Personne Concernée peut obtenir les motifs d'une décision la concernant, présenter ses observations et en demander le réexamen par un autre membre du personnel de SDK que son auteur ou, à défaut, par Hicham SADDEK, en écrivant à privacy@sdk.enterprises. Lorsque la décision relève d'un contrat conclu avec SDK, la demande de réexamen est en outre traitée selon la procédure de réclamation prévue par ce contrat.

10.5 La présente Politique de Confidentialité sera mise à jour à l'adoption des dispositions françaises transposant la directive (UE) 2024/2831 du 23 octobre 2024 relative à l'amélioration des conditions de travail dans le cadre du travail via une plateforme.

Article 11 – Durées de conservation

11.1 Les Données à Caractère Personnel sont conservées en base active pendant la durée nécessaire à la finalité poursuivie. Lorsque leur conservation demeure nécessaire au respect d'une obligation légale ou à la preuve d'un droit ou d'un contrat, elles font l'objet d'un archivage intermédiaire, sur un support distinct ou avec un accès restreint aux seules personnes habilitées. À l'expiration de ces durées, elles sont supprimées ou anonymisées de manière irréversible.

11.2 Les durées applicables sont récapitulées ci-après :

11.3 Les données sont supprimées sur demande de la Personne Concernée, à l'exception de celles que SDK est tenu de conserver en vertu d'une obligation légale ou qui demeurent nécessaires à la constatation, à l'exercice ou à la défense de droits en justice, pour la durée prévue ci-dessus.

Article 12 – Destinataires et sous-traitants

12.1 Personnel de SDK. Les Données à Caractère Personnel sont accessibles aux seules personnes habilitées de SDK, selon leur rôle (administration, conduite des Missions, finance) et dans la stricte limite de leurs attributions. Ces personnes sont tenues à une obligation de confidentialité.

12.2 Sous-traitants. SDK a recours aux sous-traitants suivants, liés par un contrat conforme à l'article 28 du RGPD :

12.3 Services exploités par SDK. Les services suivants sont exploités par SDK lui-même sur ses propres serveurs hébergés par OVHcloud en France et n'impliquent l'intervention d'aucun sous-traitant autre qu'OVH SAS : SDK Auth (authentification) ; SDK Mail, infrastructure de messagerie exploitée par SDK lui-même sur ses serveurs hébergés par OVHcloud, par laquelle sont relayés l'ensemble des courriers électroniques de service, notamment depuis l'adresse no-reply@notify.sdk.enterprises, et qui ne constitue pas un sous-traitant distinct ; SDK Web Analytics (mesure d'audience) ; le service de suivi des erreurs ; le stockage d'objets privé dans lequel sont conservés les curriculum vitae et documents ; la base de données et le cache de la Plateforme.

12.4 Autres destinataires. Les Données à Caractère Personnel peuvent en outre être communiquées, dans la stricte mesure nécessaire :

(a) aux Clients, Prestataires et Studios, dans les conditions des Articles 6.4, 7.6 et 8.6 ;

(b) aux autorités administratives et judiciaires habilitées, notamment l'administration fiscale, les organismes de recouvrement des cotisations sociales, la CNIL et les juridictions, sur demande fondée sur un texte ou pour satisfaire à une obligation légale ;

(c) aux conseils juridiques, à l'expert-comptable et aux auxiliaires de justice de SDK, soumis au secret professionnel ;

(d) à la société cessionnaire visée à l'Article 3.6.

Article 13 – Hébergement et transferts hors de l'Union européenne

13.1 Les données de la Plateforme et du Site sont hébergées en France, sur les serveurs de SDK exploités chez OVHcloud.

13.2 Stripe Payments Europe, Limited peut transférer des Données à Caractère Personnel à Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, Californie 94080, États-Unis. Ces transferts reposent sur la décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 constatant le niveau de protection adéquat assuré par le cadre de protection des données UE–États-Unis (article 45 du RGPD) et sur les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021 (article 46 du RGPD).

13.3 Les données de réservation d'appel sont traitées aux États-Unis par Calendly LLC, sous-traitant de SDK en vertu d'un accord de traitement des données conforme à l'article 28 du RGPD. Ces transferts reposent sur la décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (article 45 du RGPD), Calendly LLC ayant adhéré à ce cadre, et sur les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021, dans leur module applicable aux transferts d'un responsable du traitement vers un sous-traitant, incorporées à cet accord (article 46 du RGPD).

13.4 Lorsqu'un Client ou un Prestataire est établi hors de l'Union européenne, la communication des données nécessaires à une Mission repose, selon le cas, sur une décision d'adéquation de la Commission européenne, notamment celles relatives au Royaume-Uni et à la Suisse, sur des clauses contractuelles types conclues avec le destinataire ou, pour un transfert occasionnel nécessaire à l'exécution d'un contrat conclu avec la Personne Concernée ou dans son intérêt, sur l'article 49, paragraphe 1, points b) et c), du RGPD.

13.5 Une copie des garanties appropriées peut être obtenue auprès de SDK Privacy.

Article 14 – Sécurité

14.1 Conformément à l'article 32 du RGPD, SDK met en œuvre des mesures techniques et organisationnelles appropriées au risque, notamment :

(a) le chiffrement des communications par le protocole TLS ;

(b) une authentification déléguée à SDK Auth selon le protocole OpenID Connect, sans conservation de mot de passe par la Plateforme, et un cookie de session chiffré d'une durée de validité absolue de douze (12) heures ;

(c) la vérification, à chaque requête, de l'identité, des rôles et des habilitations du Titulaire de Compte, et le cloisonnement des données de chaque Client ;

(d) un stockage privé des curriculum vitae et documents, inaccessible sans autorisation ;

(e) la limitation du nombre de tentatives de connexion ;

(f) une piste d'audit des actions sensibles ;

(g) la gestion centralisée et cloisonnée des secrets, et la séparation des environnements, les environnements de test ne recevant jamais de copie des données de production.

14.2 En cas de violation de Données à Caractère Personnel, SDK la notifie à la CNIL dans les conditions de l'article 33 du RGPD et, lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des Personnes Concernées, communique celle-ci aux personnes intéressées dans les conditions de l'article 34 du RGPD.

14.3 Chaque Titulaire de Compte est responsable de la confidentialité de ses moyens d'authentification et informe sans délai SDK de toute utilisation non autorisée de son Compte.

Article 15 – Droits des Personnes Concernées

15.1 Dans les conditions et limites prévues par le RGPD, toute Personne Concernée dispose :

(a) d'un droit d'accès à ses données et d'en obtenir copie (article 15) ;

(b) d'un droit de rectification des données inexactes ou incomplètes (article 16) ;

(c) d'un droit à l'effacement (article 17) ;

(d) d'un droit à la limitation du Traitement (article 18) ;

(e) du droit d'être informée des rectifications, effacements et limitations notifiés aux destinataires (article 19) ;

(f) d'un droit à la portabilité des données qu'elle a fournies, lorsque le Traitement est fondé sur son consentement ou sur un contrat et effectué à l'aide de procédés automatisés (article 20) ;

(g) d'un droit d'opposition, à tout moment, pour des raisons tenant à sa situation particulière, aux Traitements fondés sur l'intérêt légitime (article 21) ; SDK cesse alors le Traitement, sauf motifs légitimes et impérieux prévalant sur les intérêts et les droits de la personne ou pour la constatation, l'exercice ou la défense de droits en justice ;

(h) du droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé et des garanties décrites à l'Article 10 (article 22) ;

(i) du droit de retirer à tout moment son consentement, sans porter atteinte à la licéité du Traitement fondé sur le consentement effectué avant ce retrait (article 7, paragraphe 3) ;

(j) du droit de définir des directives relatives au sort de ses données après son décès (Article 17).

15.2 Ces droits ne font pas obstacle à la conservation des données exigée par une obligation légale ni à celle nécessaire à la constatation, à l'exercice ou à la défense de droits en justice. Ils s'exercent sans porter atteinte aux droits et libertés de tiers, notamment au secret des affaires et à la confidentialité des informations des Clients.

Article 16 – Modalités d'exercice des droits

16.1 Les droits s'exercent par courrier électronique adressé à privacy@sdk.enterprises ou par courrier postal adressé à SDK Privacy, 44 rue Pasquier, 75008 Paris. Les Titulaires de Compte peuvent en outre rectifier directement certaines données depuis leur Compte.

16.2 Une demande adressée depuis l'adresse électronique associée au Compte ou à la relation avec SDK est présumée émaner de la Personne Concernée. En cas de doute raisonnable sur l'identité du demandeur, SDK peut demander les informations supplémentaires nécessaires pour la confirmer, conformément à l'article 12, paragraphe 6, du RGPD. La copie d'un titre d'identité n'est demandée qu'à défaut de tout autre moyen de vérification et est supprimée dès la vérification effectuée. Une demande présentée par un mandataire doit être accompagnée d'un mandat exprès.

16.3 SDK répond dans un délai d'un (1) mois à compter de la réception de la demande. Ce délai peut être prolongé de deux (2) mois, compte tenu de la complexité et du nombre de demandes ; la Personne Concernée en est alors informée, avec les motifs de la prolongation, dans le délai d'un (1) mois. Tout refus est motivé et mentionne la possibilité d'introduire une réclamation auprès de la CNIL et de former un recours juridictionnel.

16.4 L'exercice des droits est gratuit. En cas de demande manifestement infondée ou excessive, notamment en raison de son caractère répétitif, SDK peut exiger le paiement de frais raisonnables tenant compte des coûts administratifs ou refuser d'y donner suite, conformément à l'article 12, paragraphe 5, du RGPD.

Article 17 – Directives relatives au sort des données après le décès

17.1 Conformément à l'article 85 de la Loi Informatique et Libertés, toute Personne Concernée peut définir des directives relatives à la conservation, à l'effacement et à la communication de ses Données à Caractère Personnel après son décès. Les directives générales peuvent être enregistrées auprès d'un tiers de confiance numérique certifié par la CNIL ; les directives particulières concernant les Traitements de SDK peuvent être adressées à SDK Privacy.

17.2 La Personne Concernée peut désigner une personne chargée de l'exécution de ces directives, et les modifier ou les révoquer à tout moment. En l'absence de directives, ses héritiers peuvent exercer ses droits dans les conditions prévues au même article.

Article 18 – Réclamation et recours

18.1 Toute Personne Concernée peut introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr, ou auprès de l'autorité de contrôle de l'État membre de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée (article 77 du RGPD). Elle dispose en outre du droit à un recours juridictionnel effectif (article 79 du RGPD).

18.2 Les Personnes Concernées sont invitées à s'adresser d'abord à SDK Privacy, sans que cette démarche constitue un préalable obligatoire à l'exercice de ces droits.

18.3 Sans préjudice des Articles 18.1 et 18.2, les litiges relatifs à l'exécution d'un contrat conclu avec SDK demeurent soumis aux stipulations de ce contrat relatives aux réclamations, à la médiation devant le Centre de Médiation et d'Arbitrage de Paris et aux juridictions compétentes (article 22 de la Convention du Réseau, article 19 de l'Avenant Studio, article 32 des Conditions Générales Client, article 22 de l'Accord de Traitement des Données et article 20 des Conditions Générales d'Utilisation). La présente Politique de Confidentialité est régie par le droit français et par le droit de l'Union européenne.

Article 19 – Mineurs

Le Site et la Plateforme s'adressent exclusivement à des personnes majeures agissant à des fins professionnelles. SDK ne collecte pas sciemment de Données à Caractère Personnel concernant des mineurs. Si SDK apprend qu'il a collecté de telles données, il les supprime dans les meilleurs délais, sous réserve de ses obligations légales.

Article 20 – Cookies et traceurs

20.1 SDK ne lit ni ne dépose dans le terminal des Utilisateurs que les traceurs suivants, tous émis par le Site et exemptés de consentement en application de l'article 82 de la Loi Informatique et Libertés, dès lors qu'ils sont strictement nécessaires à l'authentification, à la sécurité de la connexion ou au fonctionnement du Site et de la Plateforme, ou qu'ils se bornent à mémoriser un choix de personnalisation de l'interface exprimé par l'Utilisateur. La Politique Cookies les décrit de manière détaillée, dans les mêmes termes :

20.2 La mesure d'audience réalisée par SDK Web Analytics sur les serveurs de SDK ne dépose aucun cookie et ne lit ni ne stocke aucune information sur le terminal ; la création d'un Compte est comptabilisée par les serveurs de SDK, sans recours à un traceur. Le calendrier Calendly n'est chargé que si l'Utilisateur choisit de l'afficher, après avoir été informé de ce chargement ; Stripe ne dépose ses propres cookies que sur ses pages de paiement.

20.3 Tout traceur non exempté de consentement ne pourra être déployé qu'après le recueil du consentement préalable des personnes, le refus devant être aussi simple que l'acceptation, et après mise à jour de la Politique Cookies et de la présente Politique de Confidentialité.

Article 21 – Modifications

21.1 SDK peut modifier la présente Politique de Confidentialité, notamment pour tenir compte d'une évolution de ses Traitements ou de la réglementation. Chaque version est identifiée par un numéro et une date d'entrée en vigueur, et les versions antérieures restent disponibles sur demande adressée à SDK Privacy.

21.2 Toute nouvelle version est portée à la connaissance des Titulaires de Compte par courrier électronique et par un avis sur la Plateforme au moins quinze (15) jours avant son entrée en vigueur, et leur est présentée, pour information et sans être soumise à leur acceptation, lors de leur première connexion suivant cette notification. Elle est publiée sur le Site à l'attention des Visiteurs et entre en vigueur à la date qu'elle indique.

21.3 La présente Politique de Confidentialité ayant une valeur d'information, sa modification n'emporte pas modification des bases légales des Traitements. Tout nouveau Traitement fondé sur le consentement ne sera mis en œuvre qu'après recueil de celui-ci.

Article 22 – Langue

22.1 La présente Politique de Confidentialité est établie en langue française. La version française est seule authentique et prévaut sur toute traduction.

22.2 Les traductions mises à disposition dans les autres langues du Site ne le sont qu'à titre d'information ; chacune d'elles s'ouvre sur la mention « Traduction fournie à titre d'information ; seule la version française, disponible à l'adresse indiquée, fait foi ». La version portée à la connaissance des Personnes Concernées dans les conditions de l'Article 21 est la version française.