RGPD et traitement des données

Dernière mise à jour 12 August 2026

La politique de confidentialité couvre ce site web. Cette page couvre ce que votre service juridique doit réellement évaluer : ce qu’il advient des données personnelles au sein d’une mission, quand nos équipes travaillent dans vos systèmes.

Qui est responsable de traitement et qui est sous-traitant

Dans une mission type, vous êtes le responsable du traitement des données personnelles présentes dans vos systèmes, et LebSource agit comme sous-traitant, sur vos instructions documentées. Lorsque nous déterminons nous-mêmes les finalités, notre propre recrutement, notre propre correspondance client, nous sommes responsable du traitement et la politique de confidentialité s’applique.

L’accord de traitement des données

Nous signons un accord de sous-traitance avant toute mission impliquant des données personnelles. Il précise l’objet et la durée, la nature et la finalité du traitement, les catégories de personnes concernées et de données personnelles, ainsi que les obligations de chaque partie, comme l’exige l’article 28.

Notre accord de sous-traitance standard est disponible sur demande à contact@lebsource.com, et nous acceptons tout aussi volontiers de partir du vôtre. Il intègre la liste de sous-traitants ultérieurs ci-dessous, qui est la liste en vigueur.

Transferts internationaux

Les données sont hébergées et stockées dans des régions européennes plutôt qu’exportées vers le Liban. Notre équipe travaille depuis le Liban, hors EEE et sans décision d’adéquation en vigueur : son accès aux données constitue donc un transfert à part entière, couvert par les clauses contractuelles types de la Commission européenne, accompagnées d’une analyse d’impact du transfert et des mesures supplémentaires qu’elle identifie. Nous préférons soulever ce point tôt dans une discussion achats plutôt que de le voir apparaître tard.

Comment nous limitons l’exposition en pratique

• Les accès sont limités à ce que la mission exige réellement, et retirés à la clôture
• Les personnes travaillent dans vos systèmes sous vos contrôles d’accès plutôt que de recopier des données chez nous
• Les données personnelles de production ne servent pas aux tests quand un jeu synthétique ou masqué suffit
• Les changements d’accès sont documentés pour que vous puissiez en apporter la preuve lors d’un audit

Sous-traitants ultérieurs

Nos sous-traitants ultérieurs actuels sont Vercel, qui héberge et sert ce site depuis des régions européennes ; Supabase, qui stocke les candidatures déposées sur notre portail de recrutement ; Resend, qui achemine les e-mails transactionnels ; et Google, dont le calendrier est derrière la page de prise de rendez-vous. Vous êtes informé avant tout ajout ou remplacement, avec la possibilité de vous y opposer. Cette liste est la même que celle citée dans notre politique de confidentialité, afin que les deux ne puissent pas diverger.

Notification de violation de données

Si nous avons connaissance d’une violation de données personnelles touchant vos données, nous vous en informons sous 48 heures afin que vous puissiez remplir vos propres obligations, et nous appuyons votre analyse ainsi que toute notification que vous devez faire. Ces 48 heures sont un engagement contractuel, délibérément plus court que les 72 heures que le RGPD vous laisse pour notifier une autorité de contrôle, afin que le compte à rebours que nous déclenchons vous laisse encore le temps d’agir.

Posez-nous les questions gênantes tôt

Si votre fonction conformité a une exigence stricte que nous ne pouvons pas satisfaire, par exemple une localisation des données dans l’UE, le bon moment pour le découvrir est le premier appel. Nous vous le dirons, et si la conclusion est qu’un partenaire basé dans l’UE vous convient mieux, nous le dirons aussi.