Accord de sous-traitance

1. Les parties et leurs rôles

Le Client est responsable de traitement. C'est lui qui décide de recourir à Badgeo, qui choisit les données saisies et qui détermine les finalités poursuivies.

À COMPLÉTER — raison sociale est sous-traitant au sens de l'article 28 du RGPD. Elle ne traite les données que sur instruction documentée du Client, dont les présentes constituent l'instruction initiale, et ne les utilise à aucune fin propre — ni pour améliorer un modèle, ni pour de la prospection, ni pour de la revente.

Si une instruction du Client paraissait contraire au droit de la protection des données, le sous-traitant l'en informerait sans délai.

2. Objet, durée et nature du traitement

Objet

Hébergement et exploitation du service Badgeo pour le compte du Client : enregistrement des heures de travail par code QR et relevé de position, planification des interventions, gestion des absences, comptes rendus d'intervention et production de documents de synthèse.

Durée

Toute la durée de l'abonnement, augmentée du délai de conservation prévu à l'article 8.

Nature des opérations

Collecte, enregistrement, organisation, conservation, consultation, extraction, sauvegarde et effacement.

Finalités

Décomptes du temps de travail, organisation des interventions, traçabilité des passages et communication interne entre intervenants.

3. Données et personnes concernées

Salariés du Client

• identité : nom, prénom, adresse électronique, numéro de téléphone ;
• données professionnelles : rôle, durée contractuelle hebdomadaire, plannings, absences (congés, maladie, autre) ;
• données de pointage : date et heure d'arrivée et de départ, coordonnées de géolocalisation relevées au seul moment du scan, distance au point de référence, indicateur de contrôle ;
• données de connexion : identifiant, mot de passe chiffré, horodatage de connexion.

Personnes chez lesquelles le Client intervient

• identité : nom, prénom ;
• coordonnées : adresse postale, téléphone, adresse électronique le cas échéant ;
• informations d'organisation saisies librement par les intervenants (consignes d'accès, observations) et actions réalisées lors des interventions.

Le service n'est pas conçu pour recevoir des données de santé, ni aucune autre donnée relevant de l'article 9 du RGPD. Le sous-traitant n'est pas hébergeur de données de santé au sens de l'article L. 1111-8 du Code de la santé publique. Il appartient au Client de veiller à ce que les notes et comptes rendus ne contiennent que des informations d'organisation.

4. Obligations du sous-traitant

• ne traiter les données que sur instruction documentée du Client ;
• garantir la confidentialité, et n'autoriser l'accès qu'aux seules personnes qui en ont besoin, tenues à une obligation de confidentialité ;
• mettre en œuvre les mesures de sécurité décrites à l'article 5 ;
• ne recourir à un sous-traitant ultérieur que dans les conditions de l'article 6 ;
• aider le Client à répondre aux demandes d'exercice de droits (article 7) ;
• l'assister dans ses analyses d'impact et la sécurité de ses traitements, dans la limite des informations dont il dispose ;
• notifier toute violation de données dans les conditions de l'article 9 ;
• supprimer ou restituer les données au terme du contrat (article 8) ;
• mettre à disposition les éléments nécessaires pour démontrer le respect de ces obligations (article 10).

5. Mesures de sécurité

• Chiffrement des échanges : la totalité du service est servie en HTTPS ; aucun accès en clair n'est possible.
• Cloisonnement : chaque structure dispose d'un espace isolé. Le filtrage est appliqué au niveau du modèle de données pour toutes les requêtes, et non page par page.
• Authentification : mots de passe stockés sous forme de condensats non réversibles (bcrypt), jamais en clair et jamais consultables par l'éditeur.
• Habilitations : trois niveaux d'accès distincts ; un salarié ne voit que son propre planning, ses heures et les personnes chez lesquelles il intervient.
• Minimisation : la position n'est relevée qu'au moment d'un scan, sur un lieu où l'intervenant est planifié. Aucun suivi continu, aucun trajet, aucune collecte entre deux interventions.
• Sauvegardes : sauvegardes régulières et chiffrées de la base de données, conservées séparément du serveur de production.
• Journalisation : les accès et les actions sensibles sont journalisés.
• Mises à jour : application et dépendances tenues à jour ; les correctifs de sécurité sont appliqués sans délai déraisonnable.

Ces mesures peuvent évoluer avec l'état de l'art, sans jamais diminuer le niveau de protection.

6. Sous-traitants ultérieurs

Le Client autorise de façon générale le recours aux sous-traitants ultérieurs listés ci-dessous. Toute adjonction ou remplacement sera notifié au moins trente jours à l'avance, le Client pouvant s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais.

Aucun transfert hors de l'Union européenne n'est réalisé. Les polices de caractères du site sont servies par Bunny Fonts, sans dépôt de cookie ni transmission de données personnelles, ce qui ne constitue pas une sous-traitance.

7. Droits des personnes

Les demandes d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité sont adressées au Client, seul responsable de traitement, qui y répond.

Le service permet au Client de traiter lui-même la plupart de ces demandes : consultation, modification et suppression des données depuis son espace, et export au format PDF et tableur pour la portabilité. Pour ce qui excède ces moyens, le sous-traitant apporte son concours dans un délai raisonnable et sans frais.

Si une personne concernée s'adressait directement au sous-traitant, celui-ci transmettrait la demande au Client sans y répondre sur le fond.

8. Sort des données en fin de contrat

À la fin du contrat, le Client dispose de 90 jours pour exporter ses données depuis son espace ou en demander la restitution dans un format structuré et couramment utilisé.

À l'expiration de ce délai, l'ensemble des données est supprimé définitivement des systèmes de production. Les sauvegardes contenant encore ces données sont écrasées selon leur cycle normal de rotation, dans un délai maximal de trente jours supplémentaires, sans qu'aucune exploitation n'en soit faite.

Une attestation de suppression est délivrée sur demande.

La suspension pour non-paiement n'emporte aucune suppression : les données sont conservées et redeviennent accessibles dès régularisation.

9. Violation de données

En cas de violation de données à caractère personnel, le sous-traitant en informe le Client dans les meilleurs délais et au plus tard sous quarante-huit heures après en avoir pris connaissance, par courrier électronique adressé au contact déclaré dans l'espace client.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées.

La notification à la CNIL et, le cas échéant, aux personnes concernées incombe au Client, en sa qualité de responsable de traitement. Le sous-traitant lui apporte l'assistance nécessaire.

10. Documentation et audit

Le sous-traitant tient un registre des traitements effectués pour le compte de ses clients et met à disposition, sur demande, les informations nécessaires pour démontrer le respect de l'article 28.

Le Client peut faire réaliser un audit, une fois par an, moyennant un préavis de trente jours, aux frais du Client et sans perturber l'exploitation du service. L'auditeur est tenu à la confidentialité et ne peut être un concurrent du sous-traitant.

11. Rappel des obligations du Client

En sa qualité de responsable de traitement, il appartient au Client :

• d'informer individuellement ses salariés du dispositif, de sa finalité et des données collectées, avant toute utilisation ;
• de consulter et d'informer le comité social et économique lorsqu'il en existe un ;
• de s'assurer que le recours à la géolocalisation est justifié et proportionné, la CNIL n'admettant le suivi du temps de travail par ce moyen que lorsqu'aucun autre ne permet de l'établir ;
• d'informer les personnes chez lesquelles ses intervenants se rendent ;
• d'inscrire le traitement à son registre et d'en apprécier la nécessité d'une analyse d'impact ;
• de ne saisir dans le service aucune donnée de santé ni donnée sensible ;
• de gérer les habilitations de ses propres utilisateurs et de désactiver sans délai les comptes des personnes ayant quitté la structure.

12. Contact

Toute question relative au présent accord peut être adressée à contact@badgeo.fr. Un exemplaire signé peut être fourni sur demande.