Code de conduite des fournisseurs

Conformément à la loi française **Sapin II** (loi n° 2016-1691 du **9 décembre 2016**), le fournisseur s'interdit toute forme de corruption, active ou passive, de trafic d'influence, de concussion et de conflit d'intérêts non déclaré.

En particulier, le fournisseur :

1. N'offre ni n'accepte aucun **cadeau ou invitation** susceptible d'influencer une décision, au-delà des usages professionnels raisonnables (plafond indicatif : **80 €** par personne et par année civile) ;
2. Ne verse ni ne sollicite aucune **commission occulte** (*kickback*) ;
3. N'utilise **ni intermédiaire ni société écran** dans le but de contourner les règles anti-corruption ;
4. Déclare tout **lien familial, financier ou capitalistique** avec un collaborateur ou un dirigeant d'Stayinto, dès qu'il en a connaissance ;
5. Respecte les **sanctions internationales** (UE, ONU, OFAC) et les mesures restrictives de lutte contre le blanchiment et le financement du terrorisme.

Le fournisseur qui traite des données personnelles pour le compte d'Stayinto le fait en qualité de **sous-traitant** au sens de l'article **28 du RGPD**. Il signe à cet effet un **accord de traitement des données (DPA)**, annexé au contrat, et s'engage à :

- Traiter les données **uniquement** sur instruction documentée d'Stayinto ;
- Mettre en place des **mesures techniques et organisationnelles** appropriées (chiffrement en transit et au repos, gestion des accès par rôle, journalisation, tests de restauration) ;
- Ne recourir à un **sous-traitant ultérieur** qu'avec l'autorisation écrite préalable d'Stayinto ;
- **Localiser** les données, par défaut, au sein de l'Union européenne ou dans un pays bénéficiant d'une décision d'adéquation. Tout transfert hors UE fait l'objet d'un encadrement spécifique (**clauses contractuelles types** de la Commission européenne, **BCR**, analyse **Schrems II**) ;
- **Notifier** Stayinto sous **48 heures** de toute violation de données le concernant, conformément à l'article **33 du RGPD** ;
- **Restituer ou détruire** les données au terme du contrat, avec preuve de destruction à la demande.

Le fournisseur qui accède au système d'information d'Stayinto, ou qui héberge des données Stayinto, met en œuvre un niveau de sécurité cohérent avec l'état de l'art (référentiel **ISO 27001**, guide **ANSSI**). Il garantit :

- Une politique de **gestion des accès** fondée sur le *least privilege* et l'authentification à **deux facteurs** ;
- Une **séparation** des environnements de développement, de recette et de production ;
- Une **veille** active sur les vulnérabilités des composants utilisés et un cycle de correctifs documenté ;
- La **réversibilité** de la prestation (export des données dans un format standard, documentation des schémas, délai de transition d'au moins **trois mois**) ;
- La **traçabilité** des actions d'administration et la conservation des logs pendant la durée légale applicable.

Conformément au règlement européen **IA Act** (règlement (UE) 2024/1689), tout fournisseur qui propose à Stayinto des systèmes d'intelligence artificielle ou des modèles de fondation s'engage à :

- Documenter clairement le **niveau de risque** de son système au sens du règlement ;
- Fournir, pour les systèmes à **haut risque**, la documentation technique prévue à l'annexe IV du règlement ;
- Interdire toute utilisation **prohibée** (notation sociale, police prédictive hors cadre, catégorisation biométrique sensible hors exceptions) ;
- Informer Stayinto, **avant mise en service**, de tout changement matériel dans les données d'entraînement ou l'architecture du modèle.

Stayinto se réserve le droit d'auditer, au moins une fois par an, les contrôles mis en œuvre et, le cas échéant, de faire appel à un auditeur indépendant aux frais du fournisseur en cas d'écart significatif.

Dans la continuité de notre politique **Durabilité**, le fournisseur s'engage à :

- Respecter la **réglementation environnementale** applicable à ses activités ;
- Réduire, autant qu'il est techniquement possible, la consommation d'énergie et les déchets liés à la prestation fournie à Stayinto ;
- Pouvoir **documenter**, à la demande, la provenance des biens livrés (minerais, bois, textile, composants électroniques) ;
- Coopérer, dans le cadre de la **CSRD** et du **devoir de vigilance** (loi n° 2017-399 du **27 mars 2017**), aux enquêtes diligentées par Stayinto auprès des fournisseurs de rang 1 et 2.

Toute personne — salarié d'Stayinto, salarié du fournisseur, tiers — peut signaler de bonne foi un manquement au présent Code ou aux lois applicables, sans crainte de représailles, via l'adresse suivante :

- **Mail** : Napisz do nas

Les signalements sont traités de manière **confidentielle** par la direction juridique d'Stayinto (ou par un référent externe lorsque le signalement concerne la direction elle-même). L'identité du lanceur d'alerte est protégée conformément à la loi française **n° 2022-401 du 21 mars 2022** et à la directive **(UE) 2019/1937**.

Le fournisseur s'engage à **ne pas sanctionner**, licencier ni discriminer un salarié ou un sous-traitant pour avoir signalé de bonne foi un manquement à Stayinto.

Stayinto peut, à tout moment, vérifier le respect du présent Code :

1. Par l'envoi d'un **questionnaire écrit** (auto-évaluation) ;
2. Par la demande de **pièces justificatives** ciblées ;
3. Par un **audit sur site**, réalisé par Stayinto ou par un tiers mandaté, moyennant un préavis raisonnable de **quinze (15) jours calendaires**.

En cas de manquement, Stayinto peut, selon la gravité :

- Demander un **plan de remédiation** avec calendrier précis ;
- **Suspendre** tout ou partie des commandes en cours ;
- **Résilier** le contrat aux torts du fournisseur, avec effet immédiat pour les manquements majeurs.

Pour toute question relative au présent Code, vous pouvez nous contacter :

- **Conformité et éthique** : Napisz do nas
- **Direction juridique** : Napisz do nas
- **Signalement confidentiel** :
Napisz do nas
- **Adresse postale** : OPIDUN,
11 rue de Magdebourg, 75016 Paris, France

L'acceptation du présent Code se matérialise soit par sa **signature en annexe** du contrat-cadre, soit par le **démarrage effectif de la prestation** après communication du document au fournisseur.