Contrat de sous-traitance des données

Le présent contrat régit le traitement de données personnelles qu'ABARCANDO, S.L. (NIF espagnol B88017173, C/ Casuarina 18, 7AD, 28044 Madrid ; « le sous-traitant ») effectue pour le compte de chaque entreprise cliente d'AccessTime (« le responsable ») lorsqu'il lui fournit le service. Il est accepté par la personne qui inscrit l'entreprise, en son nom, en cochant la case de l'inscription, et est consigné par écrit sous forme électronique aux fins de l'art. 28.9 du règlement (UE) 2016/679 (RGPD). AccessTime conserve la preuve de la version acceptée (document, version, empreinte SHA-256, date, IP et navigateur de la personne qui l'a acceptée). Il fait partie des conditions d'utilisation.

1. Objet, durée, nature et finalité

• Objet : la fourniture du service AccessTime (registre du temps de travail, absences et congés, horaires et plannings, télétravail, validations, rapports et exports).
• Durée : celle du contrat de service, plus la période de conservation et de blocage de la section 10.
• Nature du traitement : collecte via la plateforme, enregistrement, structuration, conservation, consultation, export, communication au responsable lui-même (et à ceux à qui il donne accès), blocage et effacement.
• Finalité : permettre au responsable de respecter ses obligations d'enregistrement du temps de travail et de gérer le temps de travail et les absences de son personnel.

2. Types de données et catégories de personnes concernées

• Personnes concernées : les salariés et collaborateurs du responsable, et les personnes auxquelles il donne accès à la plateforme.
• Données d'identification et de contact : nom, e-mail, numéro d'identité (NIF/NIE, si le responsable l'enregistre), langue.
• Données professionnelles : rôle, service, lieu de travail, poste, date d'entrée, horaire, plannings, soldes de congés, et les clôtures mensuelles des heures (art. 35.5 et 12.4.c du Statut des travailleurs) avec leur accusé de réception (date, IP, navigateur, canal et commentaire).
• Registre du temps de travail : pointages avec date et heure du serveur, méthode, lieu de travail, télétravail, IP et agent utilisateur de l'appareil, heure de l'appareil pour les pointages hors connexion, et leurs révisions (ancienne et nouvelle valeur, auteur, rôle, motif, accord).
• Géolocalisation : uniquement si le responsable l'active, au moment du pointage.
• Vérification locale sur le téléphone : si l'application mobile l'envoie, avec chaque pointage, la méthode par laquelle le téléphone lui-même a vérifié la personne (sa biométrie, un code PIN ou le code de déverrouillage, ou aucune) et si la vérification a réussi. Elle est faite par le système d'exploitation du téléphone : le sous-traitant ne reçoit que ce résultat et ne traite pas de données biométriques.
• Absences et justificatifs, qui peuvent révéler des données de santé (catégorie particulière, art. 9 RGPD). Il s'agit d'un traitement prévisible du service, que le responsable fonde sur l'art. 9.2.b RGPD et l'art. 9 LOPDGDD. Le responsable doit éviter que d'autres catégories particulières soient saisies dans des champs de texte libre.
• Traçabilité : journal d'audit des modifications et journal des accès, y compris ceux des représentants légaux (avec leur périmètre) et ceux de l'Inspection avec son lien temporaire.

3. Instructions du responsable

Le sous-traitant traite les données uniquement sur instruction documentée du responsable, y compris en ce qui concerne les transferts internationaux. Constituent des instructions documentées le présent contrat, les conditions d'utilisation et la configuration que le responsable effectue sur la plateforme (rôles, géolocalisation, circuits de validation, exports). En acceptant ce contrat, le responsable donne en outre les instructions suivantes :

1. Conserver le registre du temps de travail, ses révisions, les journées, incidents, propositions de correction et absences 5 ans (4 de minimum légal, art. 34.9 du Statut des travailleurs, et un de marge pour les réclamations et contrôles qui commencent en fin de période) ; les pointages, leurs révisions et les propositions, par années civiles complètes (entre 5 et 6 ans) ; les clôtures mensuelles, 5 ans à compter du mois qu'elles récapitulent (ou de la génération de la version, si elle est postérieure) ; le journal d'audit, 5 ans (pour ce qui reste conservé après ce délai, comme un horaire en vigueur, le rôle d'une personne ou une absence qui se termine plus tard, on garde avec cette donnée qui l'a fait, uniquement par son identifiant, avec quel rôle, par quel canal et quand, et on le supprime avec elle) ; le journal des accès, 2 ans ; les coordonnées de géolocalisation, 30 jours ; et les liens de l'Inspection, tant que l'entreprise existe. À l'expiration du délai, les effacer par la procédure de purge, que le sous-traitant lance manuellement après avoir examiné le rapport mensuel de ce qui serait purgé et qui garde la trace de ce qui a été effacé et quand. Le responsable peut demander une durée plus longue : un gel pour litige ou contrôle, pendant lequel rien de son entreprise n'est purgé, pas même les coordonnées ni ses conversations d'assistance.
2. Ne jamais écraser ni supprimer de pointages : chaque correction ou annulation est ajoutée sous forme de révision, avec auteur, rôle, date et motif.
3. Enregistrer, pour chaque modification, qui l'a faite, avec quel rôle, quand et d'où, et pourquoi pour les actions qui exigent un motif (entre autres, les corrections et annulations de pointages), et conserver ce registre de façon que toute altération puisse être détectée.
4. Maintenir, après le départ d'un salarié, son accès en consultation à son propre registre, à ses révisions et à ses clôtures pendant 5 ans à compter de sa date de sortie, sauf si le responsable le lui retire (jamais avant la fin de ses délais pour répondre aux propositions de correction en attente et pour confirmer la réception de sa clôture finale) ou à la fin du présent contrat (section 10) ; et, lorsque plus rien ne le concerne dans les délais de conservation, anonymiser ses données d'identification si le responsable le décide depuis sa fiche ou, une fois le présent contrat terminé, par la procédure de purge.

Si, selon le sous-traitant, une instruction enfreint le RGPD, la LOPDGDD ou une autre disposition relative à la protection des données, il en informe immédiatement le responsable.

4. Confidentialité

Le sous-traitant veille à ce que les personnes autorisées à traiter les données (son personnel technique et de support) se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, y compris après la fin de leur relation. Le personnel de support n'accède aux données d'une entreprise que lorsque c'est nécessaire pour fournir le service ou à la demande du responsable ; chaque entrée est enregistrée avec son motif ou son ticket, et chaque entrée, sortie et modification avec son rôle (la sortie, lorsqu'il quitte l'entreprise, passe à une autre entreprise ou se déconnecte ; si la session se termine autrement, par exemple parce qu'elle expire, c'est sa dernière requête dans l'entreprise qui est enregistrée).

5. Mesures de sécurité (art. 32 RGPD)

Le sous-traitant applique au minimum les mesures de l'annexe I et les revoit périodiquement. Il peut les remplacer par d'autres offrant un niveau de sécurité égal ou supérieur.

6. Sous-traitants ultérieurs

Le responsable donne une autorisation générale pour recourir aux sous-traitants ultérieurs de l'annexe II. Le sous-traitant informera le responsable de tout ajout ou remplacement au moins 30 jours à l'avance, par e-mail à l'administration de l'entreprise et sur cette page, et le responsable pourra s'y opposer pour des motifs justifiés ; à défaut d'accord, il pourra résilier le contrat sans pénalité. Le sous-traitant impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles du présent contrat, notamment des garanties suffisantes quant à la mise en œuvre des mesures de l'art. 32 RGPD, et demeure responsable envers le responsable de leur respect (art. 28.4 RGPD).

7. Transferts internationaux

Les données du service sont hébergées dans l'Union européenne. Seul le sous-traitant ultérieur des notifications push (Google) peut traiter des données aux États-Unis, sur la base de la décision d'adéquation du Cadre de protection des données UE-États-Unis (art. 45 RGPD). Tout autre transfert nécessitera une garantie appropriée du chapitre V du RGPD et une instruction du responsable.

8. Assistance au responsable

Le sous-traitant aide le responsable, compte tenu de la nature du traitement :

• Droits des personnes concernées : la plateforme permet au responsable de consulter, d'exporter et de rectifier (avec sa révision) les données de chaque personne, et à chaque salarié de consulter et de télécharger son propre registre. Si une personne concernée s'adresse au sous-traitant, celui-ci transmettra la demande au responsable dans un délai maximal de 5 jours ouvrables et n'y répondra pas de lui-même.
• Sécurité, violations de données, analyses d'impact et consultations préalables (art. 32 à 36 RGPD) : le sous-traitant fournit les informations dont il dispose, y compris celles nécessaires au responsable pour réaliser une analyse d'impact lorsque son traitement l'exige.

9. Violations de données

Le sous-traitant notifiera au responsable, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, toute violation de sécurité affectant ses données, par e-mail à l'administration de l'entreprise, avec les informations disponibles : nature de l'incident, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou proposées et un point de contact. S'il ne peut pas fournir toutes les informations en même temps, il les communiquera de manière échelonnée. Le responsable décide et, le cas échéant, notifie l'AEPD (72 heures) et les personnes concernées. Pour délimiter l'étendue, le sous-traitant dispose des journaux d'accès et d'audit de la plateforme.

10. Sort des données à la fin

À la fin du service, le sous-traitant restitue les données au responsable : celui-ci dispose d'au moins 30 jours pour tout exporter (export complet de l'entreprise, avec le registre du temps de travail par événement et ses révisions, les rapports, les absences et les justificatifs et le journal d'audit, et export pour l'Inspection du travail sur toute période).

Ensuite, le sous-traitant conserve les données bloquées (art. 32 et 33.4 LOPDGDD), accessibles uniquement pour les mettre à disposition des juges et tribunaux, de l'Inspection du travail ou des autorités de protection des données, jusqu'à l'expiration de la durée de conservation de chaque donnée (section 3), puis les efface par la procédure de purge, qui garde la trace de ce qui a été effacé et quand ; elles disparaissent des sauvegardes au fil de leur rotation (au plus tard sous 12 mois). Les données d'identification de chaque salarié sont anonymisées dès que plus rien ne le concerne dans les délais, et celles du responsable et de quiconque reste encore, 6 ans après la fin du contrat (art. 30 du Code de commerce espagnol). Pendant le blocage, seule l'administration du responsable accède à la plateforme, et uniquement pour les mettre à disposition de ces autorités : avec l'export complet, l'export pour l'Inspection du travail ou un lien pour l'Inspection, en indiquant à chaque fois la demande à laquelle elle répond, et qui l'a fait, quand et pourquoi est enregistré. Personne d'autre du responsable n'y accède, pas même les anciens salariés disposant d'un accès en consultation : le responsable traite leurs droits avec les données restituées. Il n'y a pas d'effacement anticipé : le sous-traitant les conserve bloquées tant que des responsabilités peuvent découler de sa relation avec le responsable (art. 33.4 LOPDGDD). Conserver le registre du temps de travail 4 ans est une obligation du responsable en tant qu'employeur (art. 34.9 du Statut des travailleurs), qu'il garantit avec les données restituées (art. 33.3 LOPDGDD). Le sous-traitant certifiera l'effacement si le responsable le demande.

11. Information et audits

Le sous-traitant met à la disposition du responsable les informations nécessaires pour démontrer le respect du présent contrat : la présente documentation, la description des mesures de l'annexe I, le registre des activités de traitement en tant que sous-traitant (art. 30.2 RGPD) et le résultat de la vérification de l'intégrité du registre. Il permet la réalisation d'audits, y compris d'inspections, par le responsable ou un auditeur qu'il mandate, et y contribue, moyennant un préavis raisonnable (30 jours), sans compromettre la sécurité ni la confidentialité des autres clients, et en règle générale une fois par an, sauf indices de manquement ou exigence d'une autorité.

12. Obligations du responsable

Le responsable garantit qu'il dispose d'une base juridique pour les traitements qu'il confie, informe son personnel (art. 13 RGPD) du système d'enregistrement et, s'il active la géolocalisation, respecte l'art. 90 LOPDGDD ; configure les rôles et les accès de sorte que chacun ne voie que ce qui est nécessaire ; et communique par écrit au sous-traitant toute instruction supplémentaire.

13. Responsabilité

Chaque partie répond de ses manquements conformément à l'art. 82 RGPD. Si le sous-traitant traite les données à ses propres fins ou en violation des instructions, il sera considéré comme responsable de ce traitement (art. 28.10 RGPD).

Annexe I · Mesures de sécurité

• Accès : comptes personnels ; mots de passe hachés avec bcrypt et d'au moins 10 caractères ; nouveaux comptes activés par un lien à usage unique qui expire ; validation en deux étapes obligatoire pour l'administration, les RH, les représentants légaux des salariés et le support d'AccessTime ; limites de tentatives par compte et par IP avec blocage et avertissement du titulaire ; sessions et accès de l'application visibles et révocables par l'utilisateur ; accès de l'application qui expirent au bout de 90 jours.
• Autorisation : données isolées par entreprise dans toutes les requêtes ; permissions par rôle (le salarié voit ce qui le concerne ; son responsable, son service ; les RH et l'administration, leur entreprise ; les représentants légaux, le registre de leur périmètre, sans numéro d'identité, coordonnées ni textes libres) ; le type d'absence n'est pas montré aux collègues.
• Chiffrement : HTTPS avec HSTS pour toutes les communications ; chiffrement au repos (AES-256) du numéro d'identité, des motifs d'absence, des justificatifs, des secrets du second facteur et des sauvegardes.
• Intégrité et traçabilité : le registre du temps de travail n'est jamais écrasé (révisions en insertion seule) ; journal d'audit en insertion seule avec qui, rôle, quand, d'où, avant, après et motif ; chaînes d'empreintes HMAC-SHA256 par entreprise ; déclencheurs de la base de données qui refusent la modification ou la suppression de ces enregistrements hors de la purge légale ; sceau des chaînes toutes les heures hors de la base de données et chaque jour hors du serveur ; vérification quotidienne par rapport au dernier sceau hors de la base de données, avec alerte en cas d'altération détectée (le sceau quotidien hors du serveur permet aussi une vérification manuelle) ; le compte de l'application n'a pas de privilèges pour modifier la structure de la base de données.
• Disponibilité : sauvegardes chiffrées (14 quotidiennes et 12 mensuelles) avec restauration vérifiée, conservées sur le serveur et, avec la même rotation, en dehors de celui-ci, sur un serveur d'Arsys Internet, S.L.U. en Espagne (annexe II), qui ne détient pas la clé pour les déchiffrer ; le journal des modifications de la base de données, qui permet de la restaurer jusqu'au moment d'une panne, est conservé 14 jours au plus et ne quitte le serveur que chiffré ; pointages hors connexion conservés sur l'appareil et synchronisés sans doublons.
• Application web : politique de sécurité du contenu (CSP), en-têtes de protection, protection CSRF et anti-robots sur les formulaires publics, revue périodique des dépendances faisant l'objet d'avis de sécurité.
• Organisation : personnel tenu à la confidentialité ; accès du support enregistrés ; procédure de gestion et de notification des violations de données ; registre des activités de traitement en tant que sous-traitant.

Annexe II · Sous-traitants ultérieurs autorisés

Chaque jour, le serveur d'Arsys récupère depuis le serveur principal, par une connexion chiffrée (SSH) et avec un accès qui ne permet que de les lire, les sauvegardes et le journal des modifications, déjà chiffrés ; le sous-traitant conserve la clé qui les déchiffre en dehors de ce serveur (annexe I).

Ne sont pas des sous-traitants ultérieurs, car ils ne traitent pas de données du personnel pour le compte du responsable : Stripe Payments Europe, Ltd. (paiement de l'abonnement, responsable indépendant de ses données de paiement) et Google reCAPTCHA (protection des formulaires publics, traitement propre d'ABARCANDO décrit dans la politique de confidentialité).