1. Parties
Le présent accord est conclu entre :
- Yanis Capelle EI, Entreprise individuelle dont le siège est situé 2 impasse Les Thermes, 34170 Castelnau-le-Lez, France, immatriculée au Registre national des entreprises (RNE) sous le numéro SIREN 102 223 898, éditeur du service Planexo, ci-après « le Sous-traitant » ;
- le titulaire du compte Planexo, tel qu'identifié par les informations d'entreprise renseignées dans son espace, ci-après « le Responsable de traitement ».
Il est accepté par voie électronique lors de la création de l'espace, et l'acceptation est horodatée et conservée avec la version du document.
2. Objet
Le Responsable de traitement décide de collecter les données de ses salariés pour organiser leur travail. Le Sous-traitant met à sa disposition l'outil qui héberge ces données et les traite exclusivement pour son compte et sur ses instructions.
Le présent accord définit les conditions dans lesquelles le Sous-traitant s'engage à effectuer ces opérations, conformément à l'article 28 du règlement (UE) 2016/679 (RGPD).
Il complète les conditions générales d'utilisation et prévaut sur elles pour toute question relative à la protection des données.
3. Description du traitement
| Élément | Contenu |
|---|---|
| Nature des opérations | Collecte, enregistrement, organisation, conservation, consultation, modification, extraction, effacement |
| Finalité | Organisation et publication des plannings de travail, gestion des absences, preuve de la communication du planning aux salariés |
| Type de données | Identité, coordonnées professionnelles, photographie, poste, horaires planifiés, absences et leur motif, confirmations de lecture avec adresse IP et type de navigateur, identifiants de connexion |
| Catégories de personnes | Salariés du Responsable de traitement, ainsi que les gérants et utilisateurs qu'il autorise |
| Durée | La durée de l'abonnement, prolongée des durées de conservation publiées dans la politique de confidentialité |
Le Responsable de traitement garantit qu'il dispose d'une base légale pour ces traitements — typiquement l'exécution du contrat de travail et son obligation de décompte du temps de travail (art. L3171-2 du Code du travail) — et qu'il a informé les personnes concernées conformément à l'article 14 du RGPD.
4. Instructions documentées
Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Constituent de telles instructions :
- l'usage normal des fonctionnalités du service ;
- les demandes écrites adressées au Sous-traitant par un utilisateur habilité du compte.
Le Sous-traitant n'utilise les données à aucune autre fin : ni pour son propre compte, ni pour entraîner un modèle, ni pour prospecter, ni pour les céder à un tiers.
Si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition relative à la protection des données, le Sous-traitant en informe immédiatement le Responsable de traitement et peut suspendre son exécution.
5. Confidentialité
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
L'accès aux données de production est restreint aux seules personnes qui en ont besoin pour exploiter le service ou répondre à une demande d'assistance, et il est tracé.
6. Sécurité
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD :
- chiffrement des échanges de bout en bout (HTTPS) ;
- mots de passe stockés hachés (bcrypt), jamais en clair ni sous forme réversible ;
- cloisonnement strict des données par entreprise, vérifié côté serveur à chaque requête ;
- limitation du nombre de tentatives sur les points d'entrée sensibles ;
- sauvegardes régulières et procédure de restauration documentée ;
- supervision des erreurs et des accès, avec alerte en cas d'anomalie.
7. Sous-traitance ultérieure
Le Responsable de traitement autorise le Sous-traitant à faire appel aux sous-traitants ultérieurs listés ci-dessous. Chacun est lié par un accord offrant des garanties équivalentes à celles du présent accord.
| Sous-traitant ultérieur | Rôle | Localisation |
|---|---|---|
| OVH SAS | Hébergement de l'application et de la base de données | France |
| Amazon Web Services EMEA SARL | Sauvegardes chiffrées de la base de données | Union européenne (Suède, région eu-north-1) |
| Stripe Payments Europe, Ltd. | Paiement et facturation | Irlande, avec transferts vers les États-Unis encadrés par clauses contractuelles types |
| Resend, Inc. | Envoi des courriers électroniques | États-Unis. Clauses contractuelles types |
| ImageKit | Stockage et diffusion des photographies | Réseau de diffusion international. Clauses contractuelles types |
| Sentry (Functional Software, Inc.) | Détection des erreurs techniques | Union européenne (Allemagne) |
Toute adjonction ou remplacement est notifié au Responsable de traitement au moins trente jours à l'avance. Il peut s'y opposer dans ce délai en écrivant à capelleyanis@icloud.com ; à défaut d'accord, il peut résilier sans frais ni pénalité.
La liste à jour est publiée en annexe de la politique de confidentialité.
8. Transferts hors Union européenne
Les données sont stockées dans l'Union européenne. Les transferts vers des sous-traitants ultérieurs établis hors de l'Union sont encadrés par les clauses contractuelles types de la Commission européenne, assorties le cas échéant de mesures complémentaires.
9. Assistance au Responsable de traitement
Le Sous-traitant aide le Responsable de traitement à s'acquitter de ses obligations, dans la mesure du possible et compte tenu de la nature du traitement :
- Droits des personnes — le service permet au Responsable de traitement d'exporter, de rectifier et de supprimer lui-même les données d'un salarié depuis sa fiche. Le Sous-traitant l'assiste sur demande si les fonctions de l'outil n'y suffisent pas.
- Demande reçue directement d'une personne concernée — le Sous-traitant n'y répond pas de lui-même : il la transmet sans délai au Responsable de traitement, à qui il appartient d'y donner suite.
- Sécurité, violations et analyses d'impact — le Sous-traitant fournit les informations nécessaires aux obligations des articles 32 à 36.
10. Violation de données
Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance.
La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ou envisagées. Il appartient au Responsable de traitement de notifier l'autorité de contrôle et, le cas échéant, les personnes concernées.
11. Conservation et sort des données
Les durées de conservation appliquées par le service sont les suivantes :
| Donnée | Durée | Comptée depuis |
|---|---|---|
| Créneaux de planning | 5 ans | la fin du créneau |
| Confirmations de lecture du planning | 5 ans | la confirmation |
| Adresse IP et type de navigateur d'une confirmation | 13 mois | la confirmation |
| Absences, y compris motif et notes | 5 ans | la fin de l'absence |
| Notifications internes | 6 mois | leur création |
| Fichiers téléversés non rattachés à une fiche | 30 jours | leur dépôt |
| Invitations expirées | 90 jours | leur expiration |
| Jetons de réinitialisation de mot de passe | 30 jours | leur expiration |
Au terme de la prestation, le Responsable de traitement peut exporter ses données depuis son espace. Elles restent récupérables pendant trente jours après la résiliation, puis sont supprimées, y compris des sauvegardes selon le cycle de rotation de celles-ci.
12. Documentation et audit
Le Sous-traitant met à disposition du Responsable de traitement la documentation nécessaire pour démontrer le respect du présent accord, et permet la réalisation d'audits, y compris d'inspections, par le Responsable de traitement ou un auditeur qu'il mandate.
Les audits sont annoncés avec un préavis raisonnable, limités à un par an sauf incident de sécurité, et menés sans compromettre la confidentialité des données des autres clients.
13. Version et modifications
Le présent accord est en version 1.0. La version acceptée par le Responsable de traitement est conservée avec la date de son acceptation.
Toute modification de fond donne lieu à une nouvelle version, notifiée au moins trente jours avant son entrée en vigueur et soumise à une nouvelle acceptation. Tant qu'elle n'est pas acceptée, la version précédente continue de régir la relation.
14. Contact
Toute question ou demande relative au présent accord : capelleyanis@icloud.com.