Accord de traitement des données

Contrat de sous-traitance au sens de l'article 28 du Règlement général sur la protection des données (RGPD) · version 2026-10

Le présent accord est conclu entre l'entreprise cliente (« le Responsable de traitement ») et [raison sociale], éditeur de Zentau (« le Sous-traitant »). Il fait partie des conditions générales, acceptées lors de la création de l'espace ; la date et la version acceptées sont enregistrées.

1. Objet et durée

Le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement, aux seules fins de lui fournir le service Zentau : organisation des plannings, suivi des temps de travail et des pointages, gestion des absences et des congés, préparation des variables de paie. Le traitement dure le temps de l'abonnement (ou de l'essai), puis jusqu'à la suppression prévue à l'article 8.

2. Données et personnes concernées

Personnes concernées : salariés, managers et autres utilisateurs du Responsable de traitement.

• Identité et coordonnées professionnelles : nom, prénom, e-mail, téléphone, matricule ;
• Vie professionnelle : établissements, postes, contrats (type, dates, durée hebdomadaire, taux horaire), plannings ;
• Temps de travail : pointages horodatés (arrivée, pause, départ) et corrections ;
• Absences : type et dates. Le type « maladie » révèle seulement l'existence d'un arrêt : aucune donnée médicale (diagnostic, certificat) ne doit être saisie dans le service ;
• Éléments variables de paie saisis par le Responsable de traitement (primes, acomptes…) ;
• Comptes utilisateurs : identifiants, mot de passe chiffré de façon irréversible, dates de connexion.

Le service n'utilise ni photographie, ni géolocalisation, ni donnée biométrique pour le pointage.

3. Obligations du Sous-traitant

• ne traiter les données que sur instruction documentée du Responsable de traitement, constituée par l'utilisation du service et ses réglages ;
• garantir la confidentialité des données et en limiter l'accès aux personnes habilitées, tenues au secret ;
• mettre en œuvre les mesures de sécurité décrites à l'article 5 ;
• aider le Responsable de traitement à répondre aux demandes d'exercice des droits des personnes concernées ;
• notifier au Responsable de traitement toute violation de données dans un délai maximal de 48 heures après en avoir pris connaissance ;
• mettre à sa disposition les informations nécessaires pour démontrer le respect du présent accord et permettre des audits, à ses frais, avec un préavis raisonnable ;
• ne pas transférer les données hors de l'Union européenne, sauf vers un pays bénéficiant d'une décision d'adéquation ou avec des garanties appropriées.

4. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants suivants. Tout changement lui est notifié, et il peut s'y opposer en résiliant l'abonnement.

Stripe, prestataire de paiement, ne reçoit que les données de facturation du Client, et aucune donnée sur ses salariés.

5. Mesures de sécurité

• connexion chiffrée (HTTPS) ;
• mots de passe stockés sous forme d'empreinte irréversible ; limitation des tentatives de connexion ;
• séparation stricte des données de chaque entreprise cliente, et droits d'accès par rôle et par établissement ;
• protection contre les principales attaques web (falsification de requêtes, injection, détournement de session) ;
• codes de pointage et liens d'accès (badgeuse, invitations) stockés sous forme d'empreintes ;
• sauvegardes : [fréquence et durée de conservation des sauvegardes, à préciser selon l'offre d'hébergement].

6. Obligations du Responsable de traitement

Le Responsable de traitement veille à la licéité des données qu'il saisit et à l'information de ses salariés, notamment sur la mise en place d'un dispositif de suivi du temps de travail, conformément au Code du travail et aux recommandations de la CNIL. Il ne saisit que des données nécessaires et pertinentes.

7. Exercice des droits

Les salariés exercent leurs droits auprès de leur employeur. Si une demande parvient au Sous-traitant, il la transmet sans délai au Responsable de traitement.

8. Fin du traitement

À la fin de l'abonnement ou de l'essai, le Responsable de traitement peut demander l'export de ses données. Le Sous-traitant supprime ensuite les données 3 mois après la fin du contrat, y compris dans les sauvegardes au terme de leur durée de conservation, sauf obligation légale contraire.