Accord de traitement des données

1. Description du traitement

Finalité

Organiser la présence au travail : planning partagé, occupation des bureaux, règles de télétravail, notifications.

Nature des opérations

Hébergement, enregistrement, consultation, modification, envoi d'e-mails, suppression.

Personnes concernées

Salariés, collaborateurs et prestataires invités par le client.

Données

Identité et coordonnées professionnelles, organisation (équipe, site, poste), statuts de présence par jour, informations de profil facultatives, journal technique.

Données sensibles

Aucune. Le client s'engage à ne pas en saisir, par exemple dans les noms de statuts ou les présentations.

Durée

La durée du contrat, puis 30 jours au maximum avant effacement définitif.

2. Engagements du sous-traitant

Le sous-traitant s'engage à :

• traiter les données uniquement pour fournir le service et selon les instructions du client, que constituent le contrat et les réglages faits dans l'espace. Si une instruction lui paraît contraire au RGPD, il en informe le client,
• garantir que les personnes autorisées à accéder aux données sont tenues à la confidentialité,
• mettre en œuvre les mesures de sécurité décrites ci-dessous,
• aider le client à répondre aux demandes des personnes concernées (accès, rectification, effacement…) et à réaliser, si nécessaire, une analyse d'impact,
• notifier au client toute violation de données dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles pour que le client puisse la déclarer à la CNIL si besoin,
• mettre à disposition du client les informations nécessaires pour démontrer le respect de ces obligations, et répondre à ses questions écrites. Un audit sur place peut être organisé une fois par an, à la charge du client, avec un préavis de 30 jours,
• à la fin du contrat, effacer toutes les données dans un délai de 30 jours, après en avoir remis une copie au client s'il le demande.

3. Engagements du client

• Informer les personnes concernées du traitement avant de les inviter, et consulter ses représentants du personnel lorsque la loi le prévoit.
• Disposer d'une base légale pour le traitement, par exemple l'intérêt légitime à organiser le travail.
• N'utiliser WORQO que pour organiser la présence, et non pour surveiller ou sanctionner l'activité des personnes.
• Tenir son propre registre des traitements.

4. Sous-traitants ultérieurs

Le client autorise le recours aux sous-traitants suivants :

Supabase

Base de données, authentification et stockage des fichiers. Données stockées en France (Amazon Web Services, région Paris eu-west-3).

Vercel

Hébergement du site et de l'application. Traitement en Europe (région Paris), réseau de diffusion mondial.

Brevo

Envoi des e-mails (codes de connexion, invitations, notifications). France et Union européenne.

ImprovMX

Réception des messages envoyés à contact@worqo.app et redirection vers la boîte de l'éditeur. Selon l'éditeur, le contenu n'est pas lu. Serveurs pouvant être situés hors de l'Union européenne.

Le sous-traitant prévient le client par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le client peut s'y opposer pour un motif légitime en écrivant à contact@worqo.app. À défaut de solution, il peut résilier sans frais. Chaque sous-traitant ultérieur est tenu, par contrat, à des obligations équivalentes à celles du présent accord.

5. Localisation et transferts

Les données de l'application sont stockées en France. Si un sous-traitant ultérieur situé hors de l'Union européenne doit y accéder, le transfert est encadré par les clauses contractuelles types de la Commission européenne ou par une décision d'adéquation.

6. Mesures de sécurité

• Chiffrement des échanges (HTTPS) et des données stockées par l'hébergeur.
• Connexion par code à usage unique, sans mot de passe stocké.
• Isolation de chaque entreprise par des règles d'accès appliquées dans la base de données.
• Accès de l'équipe du sous-traitant limité aux personnes habilitées, modifications enregistrées.
• Anonymisation immédiate du profil d'un membre retiré par le client.

7. Durée et priorité

Cet accord s'applique tant que le sous-traitant traite des données pour le compte du client. En cas de contradiction avec un autre document contractuel sur la protection des données, cet accord prévaut.