Accord de sous-traitance des données

1. Les rôles de chacun

Le client qui utilise Bliipz (le « Client ») est l’employeur. Il décide pourquoi et comment les données de ses salariés sont traitées : il est responsable du traitement.

[à compléter], éditeur de Bliipz (« Bliipz »), traite ces données pour le compte du Client et selon ses instructions : Bliipz est sous-traitant au sens de l’article 4, 8) du RGPD.

Les données que Bliipz traite pour son propre compte (comptes des gérants pour la gestion de la relation client, prospects, facturation, sécurité du service) relèvent de la politique de confidentialité.

2. Objet et durée

L’accord a pour objet de fournir au Client le logiciel en ligne Bliipz décrit dans les conditions générales.

Il s’applique pendant toute la durée d’utilisation du service, puis jusqu’à la restitution et à la suppression des données prévues à l’article 12.

3. Nature et finalités du traitement

Bliipz héberge, enregistre, organise, consulte, calcule, affiche, exporte et supprime les données, dans le seul but de permettre au Client :

• de préparer, générer, modifier, publier et exporter les plannings de ses établissements, et de les montrer à ses salariés ;
• de suivre le temps de travail par la badgeuse (arrivées, départs, pauses, corrections et validation des journées) ;
• de gérer les demandes d’absence, les congés et leurs soldes ;
• de tenir les fiches des salariés, de préparer leur contrat de travail et les informations de leur déclaration préalable à l’embauche (DPAE), sans la déposer, et de mettre à leur disposition leurs contrats et fiches de paie ;
• de tenir les registres d’hygiène signés par les salariés ;
• de donner à chaque salarié un accès personnel (planning, absences, badge, documents) ;
• de répondre aux questions posées à l’assistant Bliipz AI, lorsqu’un Utilisateur s’en sert ;
• d’assurer la sécurité, la traçabilité et le support du service.

Bliipz n’utilise pas ces données à d’autres fins, ne les vend pas et ne s’en sert pas pour sa prospection.

4. Personnes concernées

• Les salariés du Client, quel que soit leur contrat, y compris les apprentis, les stagiaires et les salariés mineurs.
• Les anciens salariés, tant que le Client conserve leur fiche.
• Les Utilisateurs à qui le Client ouvre un accès : dirigeants, gérants, administrateurs, responsables.

5. Catégories de données

Selon ce que le Client saisit, les données traitées sont les suivantes.

La RQTH est une donnée concernant la santé (article 9 du RGPD) et le numéro de sécurité sociale fait l’objet d’un encadrement particulier (article 87 du RGPD, article 30 de la loi n° 78-17 du 6 janvier 1978) : le Client ne les saisit que si c’est nécessaire et en limite l’accès aux personnes qui en ont besoin.

L’application ne propose aucun champ pour les coordonnées bancaires des salariés ni pour un contact d’urgence.

6. Obligations de Bliipz

Bliipz s’engage à :

• ne traiter les données que sur instruction documentée du Client ; les conditions générales, cet accord et les réglages faits par le Client dans le service constituent ces instructions ; si une instruction lui paraît contraire au RGPD ou au droit français, Bliipz en informe le Client immédiatement (article 28, 3, a et dernier alinéa) ;
• ne transférer les données hors de l’Union européenne que dans les conditions de l’article 10 ;
• veiller à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité (article 28, 3, b) et n’y accèdent que pour le support, la maintenance ou la sécurité ;
• mettre en œuvre les mesures de sécurité de l’article 7 (article 32) ;
• ne faire appel à un autre sous-traitant que dans les conditions de l’article 8 ;
• aider le Client à répondre aux demandes des personnes concernées (article 9) et à respecter ses obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable (articles 32 à 36) ;
• supprimer ou restituer les données à la fin du contrat selon l’article 12 ;
• mettre à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations et permettre les audits de l’article 13 ;
• tenir le registre des traitements effectués pour le compte de ses clients (article 30, 2).

7. Sécurité

Bliipz met en œuvre les mesures suivantes :

• chiffrement des échanges : le site et l’application ne sont servis qu’en HTTPS, avec une politique HSTS qui interdit une connexion non chiffrée ;
• chiffrement des données au repos : [à compléter] ;
• cloisonnement par établissement : la base de données vérifie à chaque lecture et à chaque écriture que l’utilisateur a un droit sur le magasin concerné ; un client ne voit jamais les données d’un autre ;
• droits par rôle : un salarié n’accède qu’à son espace (planning publié, ses absences, ses badges et ses propres documents) ; les données sensibles des fiches ne sont ouvertes qu’à l’encadrement du magasin ;
• double authentification par application (code à usage unique) proposée à chaque compte, avec des codes de secours ; lorsqu’elle est activée, elle est exigée par la base pour lire les fiches et les documents des salariés ;
• codes de badge et codes de signature d’hygiène enregistrés sous forme d’empreinte ;
• fichiers (contrats, fiches de paie, photos) rangés dans un espace de stockage privé, lisible selon les mêmes droits ;
• journaux : journal des actions de l’application, conservé 90 jours ; journal des badges et de leurs corrections, qui ne s’efface pas ; registres d’hygiène dont toute modification est tracée ;
• limitation du nombre de tentatives sur les formulaires publics et les codes, et case anti-robot à l’ouverture d’un essai ;
• politique de sécurité du contenu du navigateur, qui n’autorise que les sources connues du service ;
• le motif et les notes d’une absence ne sont jamais transmis à l’assistant Bliipz AI.

Bliipz fait évoluer ces mesures selon l’état de l’art. Le Client, de son côté, choisit ses Utilisateurs et leurs droits, protège ses appareils (dont la tablette de la badgeuse) et active la double authentification.

8. Sous-traitants ultérieurs

Le Client autorise de façon générale Bliipz à faire appel aux sous-traitants ultérieurs suivants (article 28, 2) :

Bliipz impose à chacun des obligations de protection des données au moins équivalentes à celles de cet accord et reste responsable envers le Client de leur respect (article 28, 4).

Bliipz informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur au moins trente jours à l’avance. Le Client peut s’y opposer pour un motif lié à la protection des données ; à défaut d’accord, il peut résilier sans frais avant l’entrée en service du nouveau prestataire.

9. Droits des personnes concernées

Les salariés exercent leurs droits (accès, rectification, effacement, limitation, opposition, portabilité) auprès du Client, leur employeur. Le Client dispose dans le service des moyens de consulter, corriger, exporter et archiver les fiches.

Si une demande parvient directement à Bliipz, Bliipz la transmet au Client sans délai et n’y répond pas elle-même, sauf instruction du Client. Bliipz aide le Client à répondre dans le délai d’un mois de l’article 12 du RGPD.

10. Transferts hors de l’Union européenne

La base de données et les fichiers sont hébergés dans l’Union européenne. Certains prestataires de l’article 8 sont établis aux États-Unis, ce qui peut entraîner un transfert au sens des articles 44 et suivants du RGPD.

En particulier, lorsqu’un Utilisateur écrit à l’assistant Bliipz AI, son message et les données du planning nécessaires à la réponse (noms des salariés, services, heures) sont envoyés à xAI, aux États-Unis. Le Client qui ne souhaite pas ce transfert demande à ses Utilisateurs de ne pas se servir de l’assistant.

Garanties encadrant ces transferts : [à compléter].

11. Violation de données

Bliipz notifie au Client toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance (article 33, 2), à l’adresse de contact du compte.

La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables, les mesures prises ou proposées, et la personne à contacter. Les informations qui ne sont pas encore connues sont transmises dès qu’elles le sont.

Il appartient au Client, responsable du traitement, de notifier la violation à la CNIL dans les 72 heures et, le cas échéant, d’en informer les personnes concernées (articles 33 et 34). Bliipz l’y aide.

12. Sort des données à la fin du contrat

À la fin du contrat ou de l’essai, le compte passe en lecture seule : le Client peut exporter ses plannings (PDF et tableur), ses badges (fichier CSV) et ses registres d’hygiène (classeur imprimable), et télécharger les documents déposés.

Bliipz supprime ensuite les données, sauvegardes comprises dans le cycle normal de leur renouvellement, au terme du délai suivant : [à compléter], sauf si le droit de l’Union ou le droit français exige leur conservation (article 28, 3, g). Sur demande, Bliipz confirme la suppression par écrit.

13. Documentation et audits

Bliipz répond par écrit aux questions du Client sur ses traitements et ses mesures de sécurité.

Le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret, une fois par an ou après une violation de données, en prévenant Bliipz au moins trente jours à l’avance. L’audit ne doit ni perturber le service ni donner accès aux données d’autres clients ; ses frais sont à la charge du Client (article 28, 3, h).

14. Obligations du Client

• Disposer d’une base légale pour chaque traitement (article 6) et, pour la RQTH, d’une exception de l’article 9, 2.
• Informer ses salariés des traitements réalisés avec Bliipz (articles 13 et 14), notamment de la badgeuse et de l’usage éventuel de l’assistant.
• Informer et consulter, le cas échéant, son comité social et économique avant la mise en place de la badgeuse (article L2312-38 du Code du travail).
• Ne saisir que les données nécessaires ; dans les notes et motifs, éviter les informations médicales ou sans rapport avec le travail.
• Choisir ses Utilisateurs et leurs droits, et retirer l’accès de ceux qui quittent l’entreprise.
• Tenir son propre registre des traitements (article 30, 1).

15. Contact

Pour toute question sur cet accord ou sur une donnée : [à compléter], à défaut [email protected].