Accord de sous-traitance des données

Parties et portée

Le présent accord, version dpa-2026-09-28-v4, complète les conditions générales de vente. L’entreprise cliente agit comme responsable du traitement et Levy-Ytshak Zekri, exploitant le service Ekipora, comme sous-traitant au sens de l’article 28 du RGPD. Il prend effet lors de son acceptation et dure tant qu’Ekipora traite des données personnelles pour le compte du client.

Objet, nature et finalités

Le traitement consiste à héberger, organiser, afficher, transmettre et sécuriser les données nécessaires aux fonctions activées par le client : gestion des salariés et magasins, planning, pointage, demandes, messages, documents RH, alertes et préparation de paie. Le sous-traitant agit uniquement sur instruction documentée du client, y compris pour un éventuel transfert hors de l’Espace économique européen, sauf obligation légale contraire dont le client est informé.

Personnes et données concernées

Les personnes concernées sont les salariés, apprentis, anciens salariés, dirigeants, administrateurs et autres utilisateurs autorisés du client. Les données peuvent comprendre l’identité, les coordonnées, le rattachement professionnel, le contrat et les horaires, les absences et demandes, les messages, les documents déposés, les pointages, les distances et précisions de contrôle, ainsi que les journaux techniques et de sécurité. Des justificatifs médicaux peuvent contenir des données de santé lorsque le client active cette fonction.

Engagements du sous-traitant

• ne traiter les données que pour fournir et sécuriser Ekipora ;
• imposer une obligation de confidentialité aux personnes autorisées ;
• maintenir des mesures adaptées de contrôle d’accès, séparation par entreprise, chiffrement des communications, journalisation et sauvegarde ;
• aider raisonnablement le client à répondre aux demandes de droits, analyses d’impact, contrôles et obligations de sécurité ;
• notifier au client toute violation de données personnelles connue sans délai indu, avec les informations disponibles puis les compléments utiles ;
• mettre à disposition les informations nécessaires pour démontrer le respect du présent accord et permettre un audit raisonnable.

Sous-traitants ultérieurs

Le client autorise de manière générale le recours aux prestataires indispensables au service. Ekipora informe le client d’un ajout ou remplacement substantiel au moins 30 jours avant sa prise d’effet, lorsque l’information est disponible, afin qu’il puisse formuler une objection motivée. À défaut de solution raisonnable, chaque partie peut mettre fin à la partie du service affectée.

• Cloudflare, Inc. et ses sous-traitants : hébergement, base de données, fichiers, diffusion, sécurité et support de l’infrastructure ;
• Supabase : authentification des utilisateurs ;
• Resend : acheminement des e-mails transactionnels ;
• Stripe : paiement, facturation et prévention de la fraude, avec un rôle propre pour certaines opérations réglementaires.

Transferts internationaux

La base de données et le stockage des fichiers privés utilisent la juridiction Union européenne de Cloudflare. Cette configuration ne couvre pas l’ensemble des traitements techniques ni les autres prestataires du service.

Lorsqu’un traitement a lieu hors de l’Espace économique européen sans décision d’adéquation, il est encadré par les clauses contractuelles types de la Commission européenne applicables et, lorsque nécessaire, des mesures complémentaires. Le client peut demander les informations utiles, sous réserve des obligations de confidentialité et de sécurité.

Mesures techniques et organisationnelles

• authentification et contrôles d’accès fondés sur les rôles ;
• séparation logique des données par entreprise ;
• chiffrement HTTPS des communications et stockage privé des fichiers ;
• journalisation des accès sensibles et des décisions importantes ;
• sauvegardes, restauration et suppression contrôlées ;
• minimisation du pointage GPS : absence de conservation des coordonnées exactes du téléphone, seules la précision et la distance calculée étant enregistrées ;
• revue des incidents et restriction des accès d’administration.

Instructions et obligations du client

Le client garantit la licéité de ses instructions, informe les personnes concernées, limite les données aux besoins professionnels et configure les accès et durées de conservation. Si une instruction paraît contraire au RGPD ou au droit applicable, Ekipora en informe le client et peut suspendre son exécution pendant la vérification.

Fin du service, restitution et suppression

À la fin du contrat, selon le choix documenté du client, Ekipora restitue les données disponibles ou les supprime, ainsi que leurs copies, sauf obligation légale de conservation. Le client dispose d’un export depuis son espace tant que son accès est actif et doit le télécharger avant la fermeture définitive. Les données principales sont supprimées après l’instruction de clôture ; les copies de sauvegarde disparaissent ensuite selon leur cycle technique et restent isolées de tout usage courant dans l’intervalle.

Demandes de droits, analyses d’impact et audits

Ekipora transmet au client toute demande reçue concernant ses salariés et l’assiste, compte tenu de la nature du traitement, pour l’accès, la rectification, l’effacement, la limitation, la portabilité, l’opposition, les analyses d’impact et les consultations de l’autorité. Un audit documentaire raisonnable peut être demandé au plus une fois par an, sauf incident ou demande d’une autorité, sans compromettre la sécurité ni les données d’autres clients.

Contact

Les instructions, demandes d’assistance et questions relatives au présent accord sont adressées à ekipora.pro@gmail.com.