Accord de traitement des données (DPA)

Le présent accord est le contrat exigé par l'art. 28, par. 3, du RGPD entre l'Abonné, en qualité de responsable du traitement, et Nivorbit, en qualité de sous-traitant.

1. Parties et leurs rôles

• Responsable du traitement — L'Abonné (employeur). C'est lui qui décide des finalités et des moyens du traitement des données à caractère personnel de ses salariés.
• Sous-traitant — Nivorbit Teknoloji Limited Şirketi (« Nivorbit »). Ne traite que sur instructions documentées de l'Abonné et uniquement pour fournir le Service.

Les données de compte que Nivorbit traite en sa propre qualité de responsable du traitement sont en dehors du champ du présent accord ; la politique de confidentialité les régit.

2. Objet, durée, nature et finalité

• Objet : Traitement des données à caractère personnel concernant les salariés de l'Abonné au moyen de Vardify.
• Durée : La durée de l'abonnement et jusqu'à l'achèvement du processus de destruction prévu à l'article 8.
• Nature et finalité : Planification des postes, collecte des disponibilités, relevés de pointage d'arrivée et de départ, approbations de congés et d'échanges, rapports de coûts de main-d'œuvre, répartition des pourboires, éléments de préparation de la paie, conservation des dossiers du personnel et — lorsque l'Abonné l'a activé — rapports agrégés à destination d'un réseau de franchise.

2.1 Catégories de données

Données d'identité et de contact ; informations relatives à l'emploi (poste, rémunération, type de contrat, ancienneté) ; relevés de travail (postes, pointages, congés, absences) ; documents du personnel ; compte bancaire (IBAN) ; une localisation relevée au moment d'un pointage (uniquement lorsque l'application est ouverte, par l'intermédiaire de l'autorisation de localisation du téléphone) ; identité de l'appareil et signaux d'anomalie ; jeton de notification ; catégories particulières de données au titre de l'art. 9 (données de santé telles que le groupe sanguin et le taux d'invalidité, appartenance syndicale) — uniquement lorsque l'Abonné dispose d'une base juridique au titre de l'art. 9, par. 2, que le produit enregistre sous la forme d'un consentement explicite ; les noms et numéros d'identité des personnes à charge des salariés.

2.2 Catégories de personnes concernées

Les salariés de l'Abonné, les anciens salariés et — dans une mesure limitée — les personnes à charge des salariés.

3. Obligations de Nivorbit (art. 28, par. 3)

1. Ne traite que sur instructions documentées, y compris en ce qui concerne les transferts vers un pays tiers, à moins d'y être tenue par le droit de l'Union ou le droit d'un État membre auquel elle est soumise ; dans ce cas, elle en informe l'Abonné avant le traitement, sauf si la loi l'interdit. Elle ne traite pas de données à caractère personnel pour ses propres finalités. Seules des mesures agrégées de telle sorte que ni une personne ni une entreprise ne puisse être identifiée sont utilisées pour améliorer le produit.
2. Si elle estime qu'une instruction constitue une violation du RGPD, elle en informe immédiatement l'Abonné.
3. Elle veille à ce que les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité et limite l'accès à ce que le rôle exige.
4. Elle applique les mesures techniques et organisationnelles prévues à l'article 4 (art. 32).
5. Elle recrute des sous-traitants ultérieurs selon les règles de l'article 5 (art. 28, par. 2 et 4).
6. Elle aide l'Abonné, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées (chapitre III) et à s'acquitter de ses obligations au titre des art. 32 à 36.
7. Elle notifie les violations conformément à l'article 7.
8. Au terme des services, elle supprime ou restitue les données comme le prévoit l'article 8.
9. Elle met à disposition les informations nécessaires pour démontrer le respect des obligations et permet la réalisation d'audits, et y contribue, comme le prévoit l'article 9.

4. Mesures techniques et organisationnelles

Ces mesures sont intégrées au produit ; il ne s'agit pas d'un texte promotionnel :

• Isolation des locataires — Sécurité au niveau des lignes (RLS) de PostgreSQL et contexte de locataire à chaque requête. La requête d'un locataire ne peut pas voir les lignes d'un autre au niveau de la base de données.
• Chiffrement en transit — Tout le trafic client-serveur et serveur-sous-traitant ultérieur par TLS.
• Chiffrement au repos — Base de données et sauvegardes chiffrées au niveau du disque.
• Chiffrement au niveau des colonnes — Les catégories particulières de données au titre de l'art. 9 et les numéros d'identité des personnes à charge sont en outre chiffrés dans la base de données.
• Accès fondé sur les rôles — Les champs de rémunération et d'identité sont masqués selon le rôle ; un responsable d'établissement ne peut pas voir les rémunérations.
• Verrou du consentement explicite — Les catégories particulières de données ne sont pas du tout écrites sans enregistrement de consentement explicite en vigueur ; le retrait du consentement efface les champs.
• Journal d'audit — Les accès aux données à caractère personnel et leurs modifications sont consignés dans un journal d'audit ; pour les champs relevant de catégories particulières, seul un indicateur « modifié » est conservé.
• Accès aux documents — Les documents du personnel sont conservés dans un stockage d'objets et ne sont téléchargés que par un lien signé de courte durée (5 minutes).
• Minimisation des données — La localisation n'est lue que lorsque l'application est ouverte et par l'intermédiaire de l'autorisation de localisation du système d'exploitation du téléphone : lors du pointage, pour le contrôle du périmètre géographique de l'établissement et du Wi-Fi, ainsi que dans la recherche d'entreprise ou d'établissement (par le serveur vers Google Places). Le contrôle de présence dans l'établissement effectué sur l'appareil ne quitte jamais le téléphone. Il n'y a aucun suivi en arrière-plan ni en continu. La base juridique du traitement de la localisation est propre à l'Abonné (exécution du contrat de travail, obligation légale ou intérêts légitimes, art. 6, par. 1, points b), c) ou f), du RGPD, ou art. 88 et droit national du travail) ; elle ne repose pas sur le consentement du salarié. Aucune donnée biométrique et aucune reconnaissance faciale.
• Lutte contre la fraude — Association de l'appareil et signaux d'anomalie ; pas de vérification biométrique.
• Effacement — Anonymisation : supprime le lien d'emploi, efface le profil de la personne si elle ne travaille pour aucun autre employeur, et détruit les documents dont la durée de conservation est échue.

5. Sous-traitants ultérieurs

1. L'Abonné donne une autorisation écrite générale (art. 28, par. 2) à Nivorbit de recourir à des sous-traitants ultérieurs. Liste actuelle : liste des sous-traitants.
2. Nivorbit impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations en matière de protection des données que celles du présent accord (art. 28, par. 4) et demeure pleinement responsable envers l'Abonné de l'exécution des obligations de ce sous-traitant ultérieur.
3. L'ajout ou le remplacement d'un sous-traitant ultérieur est notifié au moins 30 jours à l'avance. Si l'Abonné s'y oppose pour des motifs raisonnables dans ce délai, les parties recherchent une solution ; à défaut, l'Abonné peut résilier sans pénalité.

6. Transferts vers des pays tiers

Les serveurs de Vardify sont hébergés dans l'Union européenne (Falkenstein, Allemagne). Deux transferts en dehors de l'Union ont néanmoins lieu :

1. L'accès propre de Nivorbit depuis la Türkiye pour exploiter et assister le Service. Il n'existe aucune décision d'adéquation pour la Türkiye ; le transfert est effectué sur la base des clauses contractuelles types de la Commission européenne (module deux, du responsable du traitement au sous-traitant ; décision (UE) 2021/914), que les parties intègrent au présent accord par référence, avec les mesures supplémentaires prévues à l'article 4.
2. L'envoi de notifications mobiles par l'intermédiaire de Google LLC (États-Unis), sur la base des clauses contractuelles types (module trois, de sous-traitant à sous-traitant) et, tant que Google LLC est certifiée, du cadre de protection des données UE-États-Unis.
3. Aucun transfert ne repose sur le consentement des salariés, et l'Abonné n'a pas à en recueillir : un dispositif d'hébergement continu n'est pas un transfert occasionnel au sens de l'art. 49.
4. Le chiffrement (TLS + disque + colonnes) est une mesure de sécurité, non le mécanisme de transfert. Les deux sont prévus séparément.

7. Notification des violations

1. Nivorbit informe l'Abonné dans les meilleurs délais et au plus tard dans les 24 heures après avoir pris connaissance d'une violation de données à caractère personnel (art. 33, par. 2).
2. La notification porte sur la nature de la violation, les catégories de données et le nombre approximatif de personnes concernées, ses conséquences probables et les mesures prises ou envisagées.
3. L'obligation de notifier l'autorité de contrôle dans un délai de 72 heures (art. 33) et les personnes concernées (art. 34) incombe au responsable du traitement, c'est-à-dire à l'Abonné. Nivorbit fournit les informations et l'assistance nécessaires à cette notification.

8. Fin de l'accord : restitution et destruction

1. Lorsque l'abonnement prend fin, une fenêtre de 30 jours s'ouvre pendant laquelle l'Abonné peut exporter ses données ; l'export s'effectue depuis le panneau et est gratuit.
2. À l'issue de cette période, les données à caractère personnel sont supprimées ou anonymisées ; leur suppression des sauvegardes chiffrées s'achève à la fin du cycle de sauvegarde, dans un délai de 6 mois (180 jours) au plus tard.
3. La seule exception concerne les documents dont le droit de l'Union ou le droit d'un État membre exige la conservation. Ceux-ci ne sont conservés que pendant la durée légale applicable et uniquement aux fins de cette conservation ; ils ne sont traités à aucune autre fin pendant ce temps.
4. Une demande d'effacement ne détruit pas les documents du personnel dont la durée légale de conservation n'est pas échue (art. 17, par. 3, point b)). Dans ce cas, la ligne du salarié est anonymisée ; ce qui subsiste, ce sont des documents que le système ne peut plus attribuer à personne.

9. Audit

1. Nivorbit fournit à l'Abonné les informations nécessaires pour démontrer le respect de l'art. 28.
2. Une fois par an, moyennant un préavis d'au moins 30 jours, pendant les heures de travail et sans perturber le Service, l'Abonné peut réaliser un audit ou faire réaliser un audit par un auditeur indépendant. L'Abonné supporte le coût ; si l'audit révèle une non-conformité, le coût est transféré à Nivorbit.
3. Nivorbit peut satisfaire à l'obligation d'audit en fournissant un rapport d'audit indépendant.

10. Partage avec le réseau de franchise — à qui revient la décision

Lorsque l'Abonné active la fonctionnalité de réseau de franchise, c'est lui qui décide des champs partagés avec le centre du réseau et l'Abonné est le responsable du traitement pour ce partage ; Nivorbit se borne à effectuer la transmission. Les noms des salariés, les rémunérations, les coûts horaires, les numéros d'identité et de sécurité sociale, les heures de travail par personne et les relevés de localisation ne sont jamais envoyés au centre du réseau, quel que soit le niveau de partage.

11. Responsabilité

La responsabilité au titre du présent accord est soumise aux limites prévues à l'article 9 des Conditions d'utilisation. Toutefois, la responsabilité envers les personnes concernées et les autorités de contrôle au titre de l'art. 82 demeure telle que le RGPD la répartit entre le responsable du traitement et le sous-traitant et ne peut être réduite par contrat.

12. Conflit

En cas de conflit entre le présent accord et les Conditions d'utilisation ou la politique de confidentialité, le présent accord prévaut sur les questions relatives au traitement des données à caractère personnel. En cas de conflit avec les clauses contractuelles types, ce sont les clauses qui prévalent.