Contrat de traitement des données (DPA)

Le Client est responsable du traitement des données de ses salariés et intervenants ; Cédric SCHEYDER SAS (l'Éditeur) est son sous-traitant pour l'exécution du Service. Ce contrat remplit les exigences de l'article 28 du RGPD et fait partie intégrante des CGV.

1 — Objet, nature et finalité du traitement

L'Éditeur héberge et traite les Données Client pour fournir le Service : suivi des habilitations, autorisations, visites médicales et contrôles périodiques ; envoi des rappels d'échéance et des synthèses ; conservation des justificatifs ; affichage du statut sur la vue terrain par QR code ; journal d'activité, y compris les consultations des badges sur le terrain (date, verdict affiché, type d'appareil, utilisateur connecté le cas échéant, sans adresse IP ni position) ; mise à disposition des données par l'API pour la formule Enterprise (lecture seule, sans données de santé). Les opérations sont la collecte par saisie ou import, l'enregistrement, la consultation, l'envoi par e-mail, la sauvegarde et l'effacement.

2 — Personnes concernées et catégories de données

Les visites médicales sont traitées comme des données sensibles : elles ne sont visibles que des administrateurs et responsables QSE / RH, jamais des chefs d'équipe, du rôle lecture seule ni de la vue terrain.

3 — Durée

Ce contrat s'applique pendant toute la durée de l'abonnement, puis jusqu'à la suppression des Données Client selon l'article 9.

4 — Obligations de l'Éditeur

L'Éditeur s'engage à :

1. ne traiter les données que sur instruction documentée du Client, constituée des CGV, de ce contrat et des réglages du Service ; informer le Client si une instruction lui paraît contraire au RGPD ;
2. ne pas utiliser les données à d'autres fins, ne pas les vendre et ne pas les utiliser pour entraîner des modèles d'intelligence artificielle ;
3. garantir la confidentialité des données ; les personnes autorisées à y accéder sont soumises à une obligation de confidentialité et n'y accèdent que pour le support ou la maintenance, sur demande ou avec l'accord du Client sauf urgence de sécurité ;
4. mettre en œuvre les mesures de sécurité de l'annexe 2 ;
5. aider le Client à répondre aux demandes d'exercice des droits des personnes, notamment par les fonctions d'export et d'effacement d'une fiche ;
6. aider le Client à réaliser une analyse d'impact lorsqu'elle est requise, en lui fournissant les informations utiles sur le Service ;
7. tenir le registre des catégories de traitements effectués pour le compte de ses clients ;
8. mettre à disposition les informations nécessaires pour démontrer le respect de ce contrat, et permettre un audit dans les conditions de l'article 8.

5 — Obligations du Client

Le Client informe ses collaborateurs du traitement (finalité, destinataires, durée, droits), détermine la base légale (obligation légale de sécurité de l'employeur et intérêt légitime pour l'essentiel), définit les rôles et les accès de ses Utilisateurs, et ne dépose aucune donnée de santé au-delà de l'aptitude. Il règle la durée de conservation dans les paramètres du Service.

6 — Sous-traitants ultérieurs

Le Client autorise de façon générale le recours aux sous-traitants listés en annexe 3. L'Éditeur informe le Client par e-mail au moins 30 jours avant tout ajout ou remplacement ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais. L'Éditeur impose à chaque sous-traitant ultérieur des obligations au moins équivalentes et reste responsable de leur exécution.

Les données sont hébergées dans l'Union européenne. Un transfert hors de l'Union n'a lieu que s'il est encadré par une décision d'adéquation ou des clauses contractuelles types de la Commission européenne (cas de Stripe pour les données de facturation).

Les fournisseurs d'identité que le Client choisit pour la connexion de ses Utilisateurs (Microsoft 365, Google) ne sont pas des sous-traitants de l'Éditeur : ils authentifient l'Utilisateur pour le compte du Client et ne reçoivent aucune Donnée Client. L'Éditeur ne conserve que l'identifiant technique du compte relié.

7 — Violation de données

L'Éditeur notifie au Client toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, avec la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Il appartient au Client, responsable du traitement, de notifier la CNIL dans les 72 heures et, le cas échéant, les personnes concernées.

8 — Audit

Le Client peut demander les informations démontrant le respect de ce contrat. Un audit sur place, au plus une fois par an, est possible avec un préavis de 30 jours, par un auditeur indépendant tenu au secret et non concurrent de l'Éditeur, à la charge du Client, sans accès aux données des autres clients.

9 — Sort des données en fin de contrat

Pendant l'abonnement, les données sont conservées selon les durées de l'annexe 1. À la fin de l'abonnement, le Client dispose de 90 jours pour exporter ses données, compte en lecture seule. Elles sont ensuite supprimées de la base de production et du stockage des justificatifs ; les sauvegardes chiffrées qui les contiennent sont effacées par rotation au plus tard 12 mois après. Sur demande, l'Éditeur confirme la suppression par écrit.

Annexe 1 — Durées de conservation

Le Client peut à tout moment supprimer définitivement une fiche (droit à l'effacement) ; les lignes du journal qui la concernent sont alors anonymisées.

Annexe 2 — Mesures de sécurité

• Isolation des clients : contrôle dans l'application et cloisonnement au niveau de la base de données (Row-Level Security PostgreSQL), testés automatiquement.
• Chiffrement : HTTPS (TLS 1.2 et 1.3) avec HSTS ; justificatifs chiffrés en AES-256-GCM avant stockage ; sauvegardes chiffrées (restic).
• Accès : rôles par entreprise (administrateur, responsable, chef d'équipe limité à ses groupes, lecture seule) ; double authentification obligatoire pour les administrateurs ; verrouillage après 5 échecs de connexion ; limitation du nombre de tentatives ; connexion Microsoft 365 ou Google possible (formule Enterprise) pour les seuls comptes reliés par leur titulaire, sans rapprochement par adresse e-mail ; clés d'API conservées sous forme d'empreinte, révocables à tout moment.
• Traçabilité : journal d'activité non modifiable par l'application.
• Administration : serveur accessible en SSH uniquement par un réseau privé chiffré ; base de données non exposée sur Internet ; mises à jour de sécurité régulières.
• Continuité : sauvegarde quotidienne hors site (Paris) avec seconde copie, contrôle d'intégrité et test de restauration automatique chaque semaine.
• Vue terrain : lien QR aléatoire de 256 bits, révocable, sans donnée de santé ni coordonnées, non indexé par les moteurs de recherche.

Annexe 3 — Sous-traitants ultérieurs