Notice d’information relative à la protection des données des fournisseurs et partenaires

Dernière mise à jour : 08/06/2026

Dans le cadre de la relation contractuelle qui vous lie au Groupe SQORUS en tant que fournisseur, partenaire, prestataire technique ou freelance, des données à caractère personnel vous concernant en tant que personne physique sont collectées et traitées par le Groupe : votre nom, vos coordonnées professionnelles, votre fonction au sein de l’organisation fournisseur, vos données contractuelles, vos données de paiement, et les éléments associés aux échanges. Le Règlement Général sur la Protection des Données (RGPD) impose au Groupe de vous informer précisément sur ces traitements.

La présente notice répond à cette obligation. Elle vous est portée à votre connaissance en étant annexée à votre contrat principal au moment de sa signature. Elle est également accessible en permanence à l’adresse sqorus.com/protection-donnees-partenaires.

La notice est rédigée dans un langage clair et accessible. Si une formulation vous paraît néanmoins peu compréhensible, ou si vous avez une question, le Délégué à la Protection des Données du Groupe (DPO) est à votre disposition à l’adresse dpo@sqorus.com. 

1.1. Identité du responsable de traitement

Le responsable du traitement de vos données à caractère personnel est :

Si la relation contractuelle est portée par SQORUS Côte d’Ivoire ou SQORUS Maroc, l’entité juridique locale agit en qualité de responsable de traitement (cf. addendums A et B en fin de notice).

1.2. Coordonnées du Délégué à la Protection des Données

Le Groupe SQORUS a désigné un Délégué à la Protection des Données (DPO), interlocuteur unique pour toute question ou demande relative à vos données :

1.3. Périmètre de la notice

La présente notice s’applique à tous les contacts personnes physiques de la chaîne fournisseur et partenaire du Groupe SQORUS :

• Représentants légaux et signataires des fournisseurs et partenaires personnes morales ;
• Interlocuteurs commerciaux et opérationnels désignés par les fournisseurs et partenaires ;
• Contacts comptables et financiers en charge de la facturation ;
• Freelances et consultants externes contractant directement avec SQORUS en tant que personnes physiques (statut autoentrepreneur, entreprise individuelle, indépendants) ;
• Sous-traitants techniques externes en relation avec SQORUS ;
• Partenaires commerciaux des alliances et consortiums du Groupe.

La notice ne couvre pas les collaborateurs des fournisseurs traités dans le cadre d’une mission spécifique sous responsabilité du client final (cas où SQORUS est sous-traitant et le fournisseur est sous-traitant ultérieur) — ce cas relève de la section 9 et des clauses contractuelles dédiées (article 28 RGPD).

2.1. Vue d’ensemble

Cette section présente l’ensemble des traitements de vos données mis en œuvre par SQORUS dans le cadre de la relation fournisseur ou partenaire, en sa qualité de responsable de traitement. Chaque traitement est décrit selon une trame standardisée : finalité, base juridique au sens de l’article 6 du RGPD, catégories de données, durée de conservation.

Les bases légales mobilisées sont principalement :

• L’exécution du contrat fournisseur ou partenaire (article 6 §1.b RGPD) — pour les traitements directement liés à la conclusion et à l’exécution du contrat, y compris les mesures précontractuelles ;
• Le respect d’obligations légales (article 6 §1.c RGPD) — pour les traitements imposés par le Code de commerce (comptabilité), le Code général des impôts (fiscalité), la loi n° 2016-1691 du 9 décembre 2016 dite « Sapin II » (lutte contre la corruption et cartographie des risques tiers), le Code monétaire et financier (KYC) ;
• L’intérêt légitime du Groupe (article 6 §1.f RGPD) — pour la gestion globale du panel fournisseurs, l’évaluation qualité, la prospection partenariale, l’amélioration continue de la chaîne d’approvisionnement. Un test de balance des intérêts a été conduit pour chaque traitement de ce type.

Aucune donnée sensible au sens de l’article 9 du RGPD n’est sollicitée ni traitée. Si vous communiquez spontanément de telles informations (par exemple : extrait de casier judiciaire — KBis comporte rarement cette mention en France standard), elles sont conservées uniquement le temps nécessaire à la vérification puis supprimées.

2.2. Onboarding et référencement fournisseur (VSA)

Fiche de traitement n°1 — Onboarding et VSA

2.3. Gestion contractuelle et opérationnelle

Fiche de traitement n°2 — Gestion du contrat fournisseur

2.4. Facturation, paiement et comptabilité

Fiche de traitement n°3 — Facturation fournisseur et comptabilité

 Pour les freelances et autoentrepreneurs facturant directement en personne physique, les coordonnées bancaires et l’identité personnelle font partie des données traitées et sont conservées dans les mêmes conditions que ci-dessus.

2.5. Évaluation et notation des fournisseurs

Fiche de traitement n°4 — Évaluation des fournisseurs

 L’évaluation est conduite par les équipes SQORUS (chefs de projet, achats, équipes opérationnelles) selon un cadre formalisé. Vous pouvez demander à connaître les éléments d’évaluation vous concernant directement (en tant qu’interlocuteur identifié) en exerçant votre droit d’accès auprès du DPO.

2.6. Lutte anti-corruption (loi Sapin II) et KYC

Fiche de traitement n°5 — Cartographie des risques tiers et KYC

3.1. Destinataires internes

Au sein du Groupe SQORUS, l’accès à vos données est limité aux personnes ayant un rôle dans la chaîne d’approvisionnement et la gestion des fournisseurs :

• Les équipes Achats — pour le sourcing, la sélection, le référencement et la gestion du panel fournisseurs ;
• Les équipes opérationnelles utilisatrices de la prestation (chefs de projet, managers d’équipe) — pour la gestion contractuelle et l’évaluation ;
• Les équipes administratives et financières — pour la facturation, le suivi des paiements, la comptabilité ;
• La Direction Générale — pour les fournisseurs stratégiques et les décisions d’engagement importantes ;
• Le Délégué à la Protection des Données (DPO) — pour les questions de protection des données ;
• Le Responsable Conformité — pour les vérifications Sapin II et KYC.

Des transferts intra-groupe peuvent intervenir avec les filiales SQORUS Côte d’Ivoire et SQORUS Maroc lorsque la relation fournisseur les concerne (par exemple : prestataire mutualisé Groupe, ou achats Groupe coordonnés).

3.2. Sous-traitants techniques

Le Groupe s’appuie sur des sous-traitants techniques pour la gestion des achats et de la chaîne fournisseur. Ces sous-traitants sont sélectionnés selon une procédure rigoureuse et encadrés contractuellement par des clauses article 28 RGPD :

 La liste complète et à jour des sous-traitants intervenant sur des données à caractère personnel est tenue par le DPO et accessible sur demande à dpo@sqorus.com.

3.3. Tiers externes destinataires

Vos données peuvent être communiquées à des tiers externes uniquement dans les cas suivants :

• Les autorités publiques et judiciaires sur demande légale formalisée (notamment dans le cadre des obligations Sapin II et LCB-FT) ;
• Les conseils du Groupe (avocats, experts-comptables, commissaires aux comptes) dans le cadre strict de leur mission ;
• Les organismes de financement et établissements bancaires pour les opérations de paiement fournisseurs ;
• Le cas échéant, le client final lorsque vous intervenez en sous-traitance ultérieure pour un de nos clients RT (cf. section 9).

Certains traitements impliquent des transferts vers des pays situés hors de l’Espace Économique Européen. Ces transferts sont encadrés conformément à la politique de transferts du Groupe (POL-RGPD-TRANSFERTS v1.0) :

La durée de conservation de vos données varie selon la nature du traitement et les obligations légales applicables. Récapitulatif :

Vous disposez sur vos données à caractère personnel des droits suivants, prévus par les articles 15 à 22 du RGPD :

7.1. Canal d’exercice

Pour exercer l’un de vos droits, adressez une demande au Délégué à la Protection des Données du Groupe :

dpo@sqorus.com

7.2. Identification

Pour les contacts en relation établie avec SQORUS, l’utilisation de l’adresse email professionnelle constitue en principe une identification suffisante. Pour les demandes portant sur des éléments KYC ou Sapin II, ou en cas de doute sur l’identité, le DPO pourra solliciter une copie d’une pièce d’identité ; cette copie sera supprimée dans les 30 jours suivant la clôture de votre demande.

7.3. Délai de réponse

Le DPO vous répond dans un délai d’un mois à compter de la réception de votre demande complète. Ce délai peut être prorogé de deux mois si votre demande est complexe (typiquement : demande portant sur les vérifications Sapin II/KYC), avec information préalable dans le délai d’un mois.

7.4. Droit d’introduire une réclamation

Si vous estimez que vos droits n’ont pas été respectés, vous pouvez introduire une réclamation auprès de l’autorité de contrôle compétente :

• Pour la France : Commission Nationale de l’Informatique et des Libertés (CNIL), 3 place de Fontenoy, 75007 Paris — www.cnil.fr ;
• Pour la Côte d’Ivoire : Autorité de Régulation des Télécommunications de Côte d’Ivoire (ARTCI) ;
• Pour le Maroc : Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP).

Vous disposez également du droit de former un recours juridictionnel devant la juridiction compétente, conformément à l’article 79 du RGPD.

L’article 22 du RGPD prévoit le droit, pour la personne concernée, de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques significatifs.

Le Groupe SQORUS ne met en œuvre aucun traitement répondant à cette qualification dans le cadre de la gestion des fournisseurs et partenaires :

• Les décisions de référencement, de renouvellement ou de fin de relation sont prises par les équipes Achats du Groupe, le cas échéant en comité interne, sur la base d’une instruction complète ;
• Les outils d’aide à la décision (notation, scoring, dépistage de listes de sanctions) produisent des indicateurs consultatifs ; les décisions associées font systématiquement l’objet d’une analyse humaine ;
• Aucun rejet de candidature fournisseur ni aucune décision de fin de relation contractuelle n’est prononcé sur la seule base d’un outil automatisé.

Une situation contractuelle particulière mérite une attention spécifique : lorsque le Groupe SQORUS, en qualité de sous-traitant pour le compte d’un client (responsable de traitement), recourt à un fournisseur ou prestataire (vous-même) pour exécuter tout ou partie d’une prestation impliquant le traitement de DCP du client. Vous devenez alors sous-traitant ultérieur au sens de l’article 28 §2 et §4 du RGPD.

9.1. Conditions de la sous-traitance ultérieure

Conformément à l’article 28 §2 RGPD, la sous-traitance ultérieure est soumise à autorisation préalable du client responsable de traitement. Cette autorisation peut être :

• Spécifique — l’autorisation porte sur votre intervention nominative ;
• Générale — l’autorisation porte sur la catégorie de sous-traitance dont vous relevez, avec information préalable obligatoire du client en cas d’ajout ou de remplacement, et droit de s’y opposer.

Le Groupe SQORUS s’engage à respecter scrupuleusement ces obligations vis-à-vis de ses clients RT et à ne mobiliser un sous-traitant ultérieur que dans les conditions autorisées.

9.2. Engagements imposés en cascade

Conformément à l’article 28 §4 RGPD, lorsque vous intervenez en sous-traitance ultérieure pour un client de SQORUS, vous êtes soumis aux mêmes obligations en matière de protection des données que celles imposées contractuellement à SQORUS par ce client. Ces obligations sont notamment :

• Traiter les données uniquement sur instruction documentée (instructions transitant par SQORUS) ;
• Garantir la confidentialité des données ;
• Mettre en œuvre les mesures techniques et organisationnelles appropriées (article 32 RGPD) ;
• Vous obliger à l’autorisation préalable pour toute sous-traitance ultérieure de second rang ;
• Notifier toute violation de données à SQORUS dans des délais permettant à SQORUS de respecter ses propres obligations (24 heures vers le client RT) ;
• Coopérer aux exercices de droits, aux AIPD, et aux audits ;
• Restituer ou supprimer les données au terme de la prestation.

9.3. Documentation contractuelle

Ces engagements sont formalisés contractuellement par signature d’une annexe RGPD au contrat de prestation, conforme au modèle SQORUS aligné sur les exigences article 28 RGPD. La présente notice ne se substitue pas à cette annexe contractuelle ; elle vise uniquement à informer la personne physique signataire ou interlocutrice de l’existence et de la portée de ces engagements en cascade.

La présente notice est susceptible d’évoluer pour tenir compte des modifications réglementaires, des évolutions des outils utilisés, ou de l’ajout ou suppression de sous-traitants. Les modalités d’information sont les suivantes :

• Versioning systématique : chaque modification donne lieu à une nouvelle version numérotée (v1.0 → v1.1 → v2.0) avec date d’application ;
• La version en vigueur est en permanence accessible à l’adresse sqorus.com/protection-donnees-partenaires ;
• Toute modification substantielle (nouveau traitement, nouvelle finalité, nouveau destinataire majeur, évolution des bases légales, changement de durée de conservation significatif) fait l’objet d’une information préalable, par email, à l’ensemble des fournisseurs et partenaires en relation contractuelle active ;
• Une modification purement formelle (correction typographique) est tracée à l’historique des versions sans information individuelle.

La version applicable à une relation contractuelle est celle en vigueur à la date de signature du contrat, sauf modification substantielle ultérieure pour laquelle vous serez informé(e).

Le présent addendum complète la notice principale pour les fournisseurs et partenaires en relation contractuelle directe avec SQORUS Côte d’Ivoire.

A.1. Identité de l’entité contractante

Lorsque la relation contractuelle est portée par SQORUS Côte d’Ivoire, c’est cette entité juridique qui est responsable de traitement local. Le DPO Groupe reste votre interlocuteur de référence à l’adresse dpo@sqorus.com.

A.2. Cadre juridique applicable

Les traitements de vos données sont encadrés simultanément par :

• La loi ivoirienne n° 2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel ;
• La législation ivoirienne en matière de lutte contre le blanchiment, le financement du terrorisme et la corruption ;
• Le RGPD, lorsque les traitements impliquent la coordination avec le Groupe en France (transferts intra-groupe).

L’autorité de contrôle compétente pour la Côte d’Ivoire est l’Autorité de Régulation des Télécommunications de Côte d’Ivoire (ARTCI). Vous pouvez introduire une réclamation auprès de cette autorité si vous estimez que vos droits n’ont pas été respectés.

A.3. Spécificités pratiques

• Le canal d’exercice des droits reste dpo@sqorus.com (DPO Groupe). Un référent local de SQORUS Côte d’Ivoire peut être désigné pour le relais ;
• Les transferts vers la France (Groupe) sont encadrés par les mécanismes prévus par la loi ivoirienne et par les Clauses Contractuelles Types européennes accompagnées d’un Transfer Impact Assessment ;
• Les durées et modalités décrites dans le corps de la notice s’appliquent, à l’exception des durées légales locales le cas échéant divergentes.

Le présent addendum complète la notice principale pour les fournisseurs et partenaires en relation contractuelle directe avec SQORUS Maroc.

B.1. Identité de l’entité contractante

Lorsque la relation contractuelle est portée par SQORUS Maroc, c’est cette entité juridique qui est responsable de traitement local. Le DPO Groupe reste votre interlocuteur de référence à l’adresse dpo@sqorus.com.

B.2. Cadre juridique applicable

Les traitements de vos données sont encadrés simultanément par :

• La loi marocaine n° 09-08 du 18 février 2009 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel ;
• La législation marocaine en matière de lutte contre le blanchiment, le financement du terrorisme et la corruption (loi n° 43-05 modifiée) ;
• Le RGPD, lorsque les traitements impliquent la coordination avec le Groupe en France.

L’autorité de contrôle compétente pour le Maroc est la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP). Vous pouvez introduire une réclamation auprès de cette autorité si vous estimez que vos droits n’ont pas été respectés.

B.3. Spécificités pratiques

• Le canal d’exercice des droits reste dpo@sqorus.com (DPO Groupe). Un référent local de SQORUS Maroc peut être désigné pour le relais ;
• Les transferts vers la France (Groupe) sont encadrés par les mécanismes prévus par la loi 09-08 (autorisation préalable ou notification CNDP selon les cas) et par les Clauses Contractuelles Types européennes accompagnées d’un Transfer Impact Assessment ;
• Les durées et modalités décrites dans le corps de la notice s’appliquent, à l’exception des durées légales locales le cas échéant divergentes.

Version 1 — Clause à intégrer au contrat fournisseur SQORUS

À intégrer dans tout contrat fournisseur où SQORUS est l’émetteur du modèle :

Version 2 — Mention dans le questionnaire VSA (onboarding)

Version 3 — Clause spécifique pour les contrats freelance / autoentrepreneur

Adaptation à utiliser dans les contrats de prestation conclus directement avec une personne physique (freelance, autoentrepreneur, entrepreneur individuel). La personne physique est ici à la fois cocontractante et personne concernée :