Acte de sous-traitance (article 28 du RGPD)

Acte de sous-traitance — version 2026-07-31

1. Objet, nature et finalite

Le present acte encadre le traitement de donnees a caractere personnel realise par l'editeur, en qualite de sous-traitant, pour le compte du client, responsable du traitement, dans le cadre de la fourniture du service de mesure du temps d'activite sur postes informatiques.

Nature des operations : collecte sur les postes equipes au moyen d'un agent logiciel, ecriture dans un journal local sur le poste, transmission, hebergement, conservation, agregation et restitution dans la console du client, puis suppression.

Finalite : permettre au client de disposer d'indicateurs d'activite et de temps de travail pour l'organisation de son activite.

Duree : l'acte s'applique pendant toute la duree de fourniture du service et jusqu'a restitution ou suppression des donnees.

2. Type de donnees traitees

• Identifiants techniques du poste et de la session Windows ; identifiants d'annuaire du salarie ; nom d'affichage, adresse e-mail et telephone lorsqu'ils sont renseignes par le client.
• Periodes d'activite et d'inactivite ; compteurs d'utilisation du clavier et de la souris ; nom de l'application au premier plan et titre de sa fenetre, tronque ; etat de la session ; ouvertures de session et battements de presence ; indicateur d'utilisation d'un microphone.
• Le cas echeant : signalements de presence simulee et taux d'activite recalcules ; declarations de taches ; absences et jours feries declares par le client.
• Donnees des comptes utilisateurs du client : identite, adresse e-mail, journaux de connexion et d'actions.

3. Categories de personnes concernees

Salaries du client dont les postes sont equipes ; utilisateurs de la console du client.

4. Obligations et droits du responsable du traitement

Le client determine les finalites et les moyens du traitement. Il lui appartient de disposer d'une base juridique et, s'il retient l'interet legitime, d'en conserver le test de mise en balance ; d'informer individuellement les salaries prealablement a toute collecte ; de consulter les institutions representatives du personnel lorsque le seuil d'effectif l'impose ; de realiser l'analyse d'impact et d'inscrire le traitement a son registre ; de parametrer le service conformement a ces obligations ; et de repondre aux demandes d'exercice de droits des personnes concernees.

Le client peut donner a l'editeur toute instruction documentee dans les limites du present acte, obtenir les informations necessaires a la demonstration de sa conformite, faire objection a un sous-traitant ulterieur, faire realiser un audit dans les conditions du paragraphe 5 h), et obtenir la restitution ou la suppression des donnees au terme de la prestation.

5. Obligations de l'editeur

a) Instructions documentees. L'editeur ne traite les donnees que sur instruction documentee du client, y compris en matiere de transfert hors Union europeenne. Le present acte, les reglages effectues par le client dans la console et ses demandes ecrites constituent ces instructions. L'editeur informe le client s'il estime qu'une instruction constitue une violation du reglement.

b) Confidentialite. L'editeur veille a ce que les personnes autorisees a traiter les donnees s'engagent a la confidentialite ou soient soumises a une obligation legale appropriee.

c) Securite. L'editeur met en oeuvre les mesures requises par l'article 32 : chiffrement des echanges et du journal local sur les postes, cloisonnement des espaces clients, comptes nominatifs et habilitations restreintes, journalisation des acces et des actions sensibles. Une verification en deux etapes par courrier electronique est disponible sur chaque compte et activee par defaut ; elle demeure desactivable par le titulaire du compte, l'editeur ne pouvant l'imposer a l'echelle d'un espace client.

d) Sous-traitants ulterieurs. Le client autorise l'editeur a recourir a OVH SAS (hebergement, France) et Gandi SAS (acheminement des courriers electroniques, Union europeenne). Stripe intervient pour le traitement des paiements, qui porte sur les donnees de facturation du client et non sur les donnees d'activite des salaries. L'editeur informe le client de tout ajout ou remplacement et lui laisse la possibilite d'y faire objection. Chaque sous-traitant ulterieur est tenu par des obligations equivalentes a celles du present acte.

e) Droits des personnes. L'editeur aide le client a donner suite aux demandes d'exercice de leurs droits par les personnes concernees. Le service comporte a cet effet une fonction d'anonymisation d'un salarie ainsi qu'une fonction d'export de l'ensemble de ses donnees, dont l'ouverture doit etre demandee pour l'espace du client. L'anonymisation efface l'identite et les ancres d'annuaire du salarie ; l'inventaire des postes et la ligne d'appartenance de groupe, close a la date du depart, subsistent. Toute demande d'effacement excedant cette portee est traitee par l'editeur sur demande ecrite du client.

f) Assistance sur les articles 32 a 36. L'editeur aide le client a garantir le respect de ses obligations de securite, de notification des violations de donnees et d'analyse d'impact, compte tenu de la nature du traitement et des informations dont il dispose. Il notifie au client toute violation de donnees dans les meilleurs delais apres en avoir pris connaissance. A la demande ecrite du client, il lui confirme l'etat des reglages qu'il maitrise et qui ne sont pas consultables depuis la console.

g) Sort des donnees en fin de contrat. Au choix du client, l'editeur supprime les donnees ou les lui restitue au terme de la prestation, et detruit les copies dont il a la maitrise, sauf obligation legale de conservation. Le journal local present sur les postes du client releve de l'infrastructure de celui-ci ; l'editeur en indique l'emplacement et les modalites de suppression.

h) Demonstration de conformite et audits. L'editeur met a la disposition du client les informations necessaires pour demontrer le respect des obligations du present article. Le client peut demander un audit, au plus une fois par an sauf incident de securite avere, moyennant un preavis ecrit de trente jours, a ses frais, pendant les heures ouvrables, sans perturber l'exploitation du service et sous engagement de confidentialite. L'editeur peut y repondre par la remise de documentation ou d'attestations equivalentes.

6. Conservation

Les donnees d'activite, les signalements, les ouvertures de session et battements de presence, les absences declarees par le client et le journal d'audit sont supprimes au-dela du delai de conservation retenu pour l'espace du client, par un traitement automatique.

Les occurrences de taches et les sessions de travail qui leur sont rattachees suivent ce delai une fois la tache arrivee a son terme et sa derniere session ecoulee ; une tache demeuree disponible, en cours ou en attente de reprise les conserve au-dela.

Le journal systeme est conserve quatre-vingt-dix jours et le journal de securite sept cent trente jours. L'identite du salarie et les ancres d'annuaire sont conservees jusqu'a l'anonymisation du salarie ou la suppression de l'espace du client. Le journal local present sur le poste du salarie est conserve soixante jours, independamment de la transmission au serveur.

7. Version

Le present acte est identifie par un numero de version. Toute nouvelle version publiee est soumise a l'acceptation du client ; l'acceptation est horodatee et conservee.