Accord de traitement des données (DPA)

1. Parties et rôles

• Responsable de traitement : l'entreprise cliente (le « Client »), qui détermine les finalités et les moyens du traitement des données de ses salariés.
• Sous-traitant : Baptiste COUCHOUX (nom commercial « TrackRH »), SIRET 991 973 900 00012, Rue Paypagan, 13400 Aubagne, qui traite ces données pour le compte et sur instruction du Client.

Le présent accord fait partie intégrante du contrat ; en cas de contradiction sur la protection des données, il prévaut sur les CGV.

2. Objet, durée, nature et finalité

• Objet : fourniture du Service TrackRH (pointage, planning, congés, suivi RH).
• Nature : collecte, enregistrement, organisation, conservation, consultation, modification, export et suppression.
• Finalité : gérer le temps de travail, les plannings, les congés et le suivi RH des salariés du Client.
• Durée : pendant toute la durée du contrat, augmentée des durées de conservation légales (article 9).

3. Catégories de données et de personnes

Personnes : salariés et collaborateurs du Client, le cas échéant les responsables/managers.

Données : identité (nom, prénom), coordonnées professionnelles, données contractuelles (poste, contrat, dates, heures, matricule), planning et pointage (horaires, pauses), congés et absences (y compris, le cas échéant, arrêts maladie), codes PIN de pointage (stockés hachés), notes de suivi RH. Aucune donnée biométrique n'est traitée.

4. Obligations du sous-traitant (TrackRH)

• Traiter les données uniquement sur instruction documentée du Client ;
• Garantir la confidentialité des données et l'engagement des personnes habilitées ;
• Mettre en œuvre les mesures de sécurité de l'art. 32 (voir Annexe 1) ;
• Respecter les conditions de recours aux sous-traitants ultérieurs (article 5) ;
• Assister le Client pour les demandes d'exercice des droits des personnes ;
• Aider le Client pour la sécurité, la notification de violation et, le cas échéant, l'AIPD ;
• Notifier toute violation de données dans les meilleurs délais ;
• À la fin des prestations, supprimer ou restituer les données selon le choix du Client (article 9) ;
• Tenir à disposition les informations nécessaires et permettre des audits raisonnables.

5. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants suivants :

TrackRH impose à ces sous-traitants des obligations équivalentes et informe le Client de tout changement, le Client pouvant s'y opposer pour un motif légitime.

6. Transferts hors UE

Les données sont hébergées dans l'Union européenne (Irlande, région Supabase eu-west-1). Tout transfert hors UE n'est réalisé que vers un pays reconnu adéquat ou moyennant des garanties appropriées (clauses contractuelles types).

7. Sécurité (art. 32)

Chiffrement des communications (HTTPS/TLS), cloisonnement strict des données par entreprise (RLS), contrôle des accès, codes PIN et mots de passe hachés (jamais en clair), journalisation des corrections de pointage, sauvegardes régulières.

8. Droits des personnes

Les demandes sont adressées au Client (responsable de traitement). TrackRH fournit les fonctions d'export et de suppression par salarié et apporte une assistance technique raisonnable.

9. Durées de conservation et sort des données

• Données de pointage et éléments du décompte du temps de travail : conservés conformément aux obligations de l'employeur (durée recommandée : 5 ans), puis purgés.
• À la fin du contrat, le Client peut exporter ses données ; au-delà de 30 jours, TrackRH les supprime ou anonymise, sous réserve des obligations légales.

10. Registre · Annexes

TrackRH tient le registre des activités de traitement effectuées pour le compte de ses clients (art. 30.2). Annexe 1 — Mesures de sécurité : chiffrement en transit, isolation multi-entreprise (RLS), authentification + verrouillage anti-force brute du PIN, hachage des secrets, journal d'audit horodaté, sauvegardes, accès limité aux personnes habilitées. Contact : bcouchoux@trackrh.com.

En souscrivant au Service, le Client accepte le présent accord de traitement des données.