Contrat de sous-traitance des données

1. Qui fait quoi

Le Client, l’employeur, décide pourquoi et comment les données de ses salariés sont traitées : il est le responsable du traitement.

Le Prestataire traite ces données seulement pour fournir Badgette, pour le compte du Client : il est son sous-traitant.

2. Le traitement

Objet

Fournir le service Badgette : enregistrer le temps de travail, les plannings et les absences, et préparer les éléments de paie.

Durée

Pendant l’abonnement, puis 30 jours au plus pour la suppression.

Opérations

Collecte, enregistrement, conservation, consultation, calcul, export, envoi d’e-mails, suppression.

Personnes concernées

Les salariés du Client et ses responsables (gérants, managers, administrateurs).

Données

Nom, prénom, matricule, poste ; heures de début et de fin, pauses, absences et leur motif (sans information médicale) ; plannings ; taux horaire et pourboires si le Client les saisit ; e-mail si le salarié le donne ; code personnel (enregistré sous une forme chiffrée, illisible) ; historique des modifications ; adresse IP et date de connexion dans les journaux techniques.

Jamais collecté

Pas de géolocalisation, pas de photo, pas d’empreinte digitale ni de reconnaissance faciale.

3. Les engagements du Prestataire

• Il traite les données seulement selon les instructions du Client. L’utilisation du service et les réglages choisis par le Client valent instructions. Si une instruction lui semble illégale, il le dit tout de suite au Client.
• Il n’utilise jamais les données pour lui-même : pas de publicité, pas de revente, pas d’entraînement d’intelligence artificielle.
• Il garde les données confidentielles. Lui seul a un accès technique, et son espace d’administration n’affiche que des nombres (combien de salariés, combien d’heures saisies), jamais les noms ni les heures de quelqu’un.
• Il protège les données avec les mesures décrites à l’annexe 2, et les tient à jour.
• Il aide le Client à répondre aux demandes des salariés : accès, rectification, effacement, opposition, limitation, portabilité. S’il reçoit une demande directement, il la transmet au Client sans délai.
• En cas de violation de données (fuite, perte, accès non autorisé), il prévient le Client dans les meilleurs délais, et au plus tard 48 heures après l’avoir découverte, avec les informations utiles pour que le Client puisse la déclarer à la CNIL si besoin.
• Il aide le Client, si nécessaire, pour une analyse d’impact ou une consultation de la CNIL.
• Il tient un registre des traitements qu’il réalise pour ses clients.
• Il n’a pas désigné de délégué à la protection des données. Le contact pour ces questions est : aboud123moussa@gmail.com.

4. Les autres prestataires (sous-traitants ultérieurs)

Le Client autorise le Prestataire à faire appel aux prestataires listés à l’annexe 1. Ils sont tenus aux mêmes obligations de protection, et le Prestataire reste responsable envers le Client.

Avant tout ajout ou changement, le Prestataire prévient le Client au moins 30 jours à l’avance. Le Client peut s’y opposer ; si aucune solution n’est trouvée, il peut résilier sans frais.

Certains de ces prestataires sont des sociétés américaines. Ces transferts sont encadrés par le Data Privacy Framework (décision d’adéquation de la Commission européenne du 10 juillet 2023) et par les clauses contractuelles types de la Commission européenne.

5. Fin du contrat

Avant la fin, le Client peut exporter ses données. Au plus tard 30 jours après la fin, le Prestataire supprime toutes les données du Client, copies comprises, et le confirme par écrit si le Client le demande. Les sauvegardes techniques s’effacent automatiquement dans le même délai.

6. Contrôle

Le Prestataire met à la disposition du Client les informations nécessaires pour vérifier ces engagements. Le Client peut faire réaliser un audit, à ses frais, au plus une fois par an, en prévenant 30 jours avant, sans accès aux données des autres clients.

7. Les engagements du Client

Le Client s’engage à :

• avoir une base légale pour enregistrer le temps de travail (c’est en principe une obligation légale de l’employeur) ;
• informer ses salariés : Badgette fournit une notice à compléter dans les réglages, que les salariés peuvent lire dans leur espace ;
• ne saisir que les données nécessaires ;
• répondre aux demandes de ses salariés, avec l’aide du Prestataire.

Annexe 1 : les autres prestataires

Annexe 2 : les mesures de sécurité

• Connexion chiffrée (HTTPS) sur toutes les pages.
• Mots de passe et codes personnels enregistrés sous une forme chiffrée irréversible : personne ne peut les relire, pas même le Prestataire.
• Connexion en deux étapes obligatoire pour les administrateurs du Client et pour le Prestataire.
• Blocage temporaire après plusieurs mots de passe ou codes faux.
• Données de chaque entreprise séparées : chaque accès à la base est filtré automatiquement par entreprise, et des tests le vérifient à chaque mise à jour.
• Adresse de la badgeuse privée, impossible à deviner.
• Journal d’activité : chaque modification d’heures garde qui l’a faite et quand.
• Base de données dans l’Union européenne, chiffrée sur disque par l’hébergeur, avec des sauvegardes automatiques.
• Le moins de données possible : pas de géolocalisation, pas de biométrie.
• Mises à jour de sécurité régulières des composants du logiciel.