Accord de traitement des données (DPA)

Sous-traitance de données personnelles — article 28 du RGPD.

Lorsque vous utilisez Qorha pour gérer les ressources humaines de votre entreprise, vous êtes responsable de traitement des données de vos salariés et Qorha agit comme sous-traitant. Le RGPD (article 28) impose qu'un contrat encadre cette relation : c'est l'objet du DPA (Data Processing Agreement).

Ce que contient le DPA

• Les parties : votre entreprise (responsable de traitement) et Qorha (sous-traitant).
• La description du traitement : objet, durée, nature, finalités, catégories de données et de personnes concernées.
• Les obligations de Qorha conformes à l'article 28.3 : traitement sur instruction, confidentialité, sécurité, assistance à l'exercice des droits, assistance aux obligations des articles 32 à 36.
• Les sous-traitants ultérieurs : un hébergeur unique, o2switch (Clermont-Ferrand, France) — aucun transfert hors Union européenne.
• La notification des violations de données : sous 72 heures au plus tard après leur découverte.
• Le sort des données : export complet à tout moment, suppression définitive 30 jours après la clôture du compte.
• L'annexe sécurité : les mesures techniques et organisationnelles détaillées, identiques à celles publiées sur la page Sécurité.

Questions fréquentes

Le DPA est-il obligatoire ?

Oui : l'article 28 du RGPD impose un contrat écrit entre le responsable de traitement et son sous-traitant. Le DPA proposé ici couvre l'ensemble des clauses exigées.

Dois-je le signer pour utiliser Qorha ?

Les engagements du DPA s'appliquent contractuellement dès votre inscription (il fait partie intégrante des CGV/CGU). Le document téléchargeable vous permet d'en disposer sous forme signée pour votre documentation de conformité, vos audits ou vos propres clients.

Où sont hébergées les données ?

Exclusivement en France, chez o2switch (Clermont-Ferrand). Aucune donnée n'est transférée hors de l'Union européenne.