Accord de traitement des données

1. Introduction

Le présent Accord de traitement des données (« ATD ») fait partie intégrante du contrat d'abonnement principal conclu entre Labb Holding Ltd, société privée chypriote à responsabilité limitée par actions dont le siège social est situé Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Chypre, immatriculée sous le numéro HE 424230 (exploitant la plateforme PersoHR, le « Sous-traitant »), et le client (le « Responsable du traitement »). Il régit le traitement des données à caractère personnel que le Sous-traitant effectue pour le compte du Responsable du traitement dans le cadre de la plateforme PersoHR et est conçu pour satisfaire aux exigences du règlement (UE) 2016/679 (le « RGPD »). En cas de contradiction entre une disposition du présent ATD et le contrat principal, le présent ATD prévaut pour les questions relatives au traitement des données à caractère personnel. Les termes commençant par une majuscule utilisés sans être définis dans le présent ATD ont la signification qui leur est donnée dans le contrat principal ou, le cas échéant, dans le RGPD.

2. Objet, durée, nature et finalité

Le Sous-traitant traite les données à caractère personnel dans le seul but de fournir le service de gestion des ressources humaines PersoHR. Le traitement couvre la gestion des dossiers des employés, des congés et absences, de l'intégration, des départs, du suivi du temps, de la préparation de la paie, des évaluations de performance, du recrutement, du stockage de documents, de la communication interne et des autres flux de travail RH configurés par le Responsable du traitement. Le traitement comprend la collecte, l'enregistrement, l'organisation, la conservation, l'extraction, l'utilisation, la communication autorisée, l'export et la suppression aux fins de ces services. Le présent ATD continue de protéger les données à caractère personnel du client tant qu'elles sont conservées, y compris pendant une procédure convenue de restitution ou de suppression au titre de la section 13. Le traitement effectué pour les propres finalités de PersoHR, tel que décrit dans la Politique de confidentialité, est distinct de la présente mission de sous-traitance. Le Responsable du traitement reconnaît que la portée et la profondeur précises du traitement dépendent des modules et de la configuration qu'il choisit d'activer.

3. Catégories de données à caractère personnel

Les catégories de données à caractère personnel traitées dépendent de la configuration de la plateforme par le Responsable du traitement et peuvent inclure : les données de base du personnel (nom, coordonnées, adresse postale, date de naissance, photographie, coordonnées des contacts d'urgence) ; les données de base relatives à l'emploi (intitulé du poste, département, type d'emploi, dates de début et de fin, horaires de travail, responsable hiérarchique, situation de handicap) ; le contenu des documents (contrats de travail, certifications, pièces d'identité, autres fichiers téléversés par le Responsable du traitement) ; les données de performance et de développement (objectifs, évaluations, retours, historique des formations) ; les données de congés et d'absences (demandes, soldes, jours fériés) ; les données de suivi du temps (pointages d'entrée et de sortie, feuilles de temps, heures supplémentaires) ; les données de préparation de la paie (données salariales, IBAN s'il est fourni, identifiants fiscaux et de sécurité sociale s'ils sont fournis, nationalité, genre, situation matrimoniale, nombre d'enfants, lieu de naissance, organisme et type d'assurance maladie, confession pour l'impôt ecclésiastique) ; les données de recrutement (candidatures, CV, notes d'entretien, références) ; les données de communication et de messagerie ; les données d'authentification et de sécurité (horodatages de connexion, adresses IP, informations user-agent du navigateur ou de l'appareil et enregistrements de sessions d'appareil, état de l'authentification à deux facteurs) ; et toute autre donnée à caractère personnel que le Responsable du traitement choisit de téléverser ou de générer au sein de la plateforme. Le traitement peut également inclure le contenu de signatures électroniques et les preuves de signature. La confession pour l'impôt ecclésiastique peut révéler la religion. La situation de handicap, les absences pour maladie et les enregistrements de certificats médicaux peuvent révéler des données de santé, même sans téléversement de documents médicaux. Lorsque des catégories particulières de données sont traitées, le Responsable du traitement doit établir une base juridique au titre de l'article 6 et une condition applicable de l'article 9, et donner au Sous-traitant des instructions sur les garanties nécessaires. Les données relatives aux condamnations pénales sont soumises aux conditions de l'article 10 et ne doivent pas être fournies sans un dispositif de traitement convenu, licite et pris en charge. Le Sous-traitant reste responsable de ses propres obligations applicables en matière de protection des données et de sécurité.

4. Catégories de personnes concernées

Les catégories de personnes concernées, s'agissant du Responsable du traitement et de toute entité affiliée que le Responsable du traitement choisit d'administrer via la plateforme, comprennent généralement : les employés, prestataires, travailleurs indépendants et autres membres du personnel actuels, y compris les travailleurs de moins de 18 ans lorsqu'ils sont employés licitement ; les anciens employés, prestataires et membres du personnel ; les postulants et candidats à des processus de recrutement en cours ou passés ; et les personnes à charge ou contacts d'urgence communiqués par l'une quelconque des personnes précitées. Le Responsable du traitement est responsable de la licéité de l'inclusion de toute personne concernée déterminée dans le périmètre du traitement.

5. Instructions et droit de refus

Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts internationaux, à moins qu'il ne soit tenu d'agir autrement en vertu du droit de l'Union ou du droit d'un État membre (auquel cas le Sous-traitant informe le Responsable du traitement avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d'intérêt public). Le Responsable du traitement désigne les personnes exclusivement habilitées à donner des instructions de traitement via la plateforme ; en l'absence d'une telle désignation, seules les personnes physiques habilitées à représenter légalement le Responsable du traitement peuvent donner des instructions. Si le Sous-traitant estime raisonnablement qu'une instruction constitue une violation du RGPD ou d'une autre législation applicable en matière de protection des données, il en informe immédiatement le Responsable du traitement et peut suspendre l'exécution de cette instruction jusqu'à ce que la question ait été résolue entre les parties.

6. Confidentialité

Le Sous-traitant veille à ce que toute personne physique autorisée à traiter des données à caractère personnel pour son compte soit soumise à une obligation de confidentialité, de nature contractuelle ou légale. Chaque partie s'engage en outre à garder confidentielle toute information non publique qu'elle reçoit de l'autre partie dans le cadre du présent ATD, y compris le contenu des audits, la documentation de sécurité et les rapports d'incident, et à n'utiliser ces informations qu'aux fins de l'exécution du contrat principal et du présent ATD. Sont exclues les informations qui sont de notoriété publique, qui ont été développées de manière indépendante sans utiliser les informations confidentielles de la partie divulgatrice, qui ont été reçues licitement d'un tiers non soumis à une obligation de confidentialité ou dont la divulgation est exigée par une procédure légale contraignante. Les obligations générales de confidentialité survivent à la résiliation pendant cinq ans. Les obligations protégeant les données à caractère personnel perdurent aussi longtemps que ces données sont conservées, y compris lorsqu'une obligation légale plus longue s'applique.

7. Sécurité du traitement (article 32)

Le Sous-traitant met en œuvre et maintient des mesures techniques et organisationnelles appropriées au risque, compte tenu des facteurs énoncés à l'article 32 du RGPD. Les garanties applicatives comprennent des contrôles d'accès fondés sur les rôles et cloisonnés par tenant, des jetons d'authentification à durée limitée, l'authentification à deux facteurs obligatoire pour les rôles Propriétaire et Admin RH, le chiffrement de certains champs sensibles et des enregistrements d'audit pour les actions prises en charge. L'annexe de sécurité disponible à l'adresse /legal/security décrit ces garanties. Les obligations du Sous-traitant d'assurer une protection, une disponibilité et une restauration appropriées ne se limitent pas aux fonctionnalités énumérées ici. Les mises à jour des mesures ne doivent pas réduire de manière significative le niveau global de sécurité.

8. Sous-traitants ultérieurs

Le Responsable du traitement autorise le Sous-traitant à faire appel aux sous-traitants ultérieurs énumérés à l'adresse /legal/sub-processors. Le Sous-traitant informe le Responsable du traitement par écrit (y compris par e-mail) au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le Responsable du traitement peut s'y opposer pour des motifs raisonnables liés à la protection des données dans un délai de 14 jours à compter de cette notification ; en l'absence d'opposition dans ce délai, la modification est réputée approuvée. Si les parties ne parviennent pas à résoudre une opposition justifiée dans un délai supplémentaire de 30 jours, chacune d'elles peut résilier le contrat principal par notification écrite sans autre responsabilité, auquel cas le Responsable du traitement a droit au remboursement au prorata des frais payés d'avance couvrant la partie non utilisée de la durée de l'abonnement. Le Sous-traitant conclut avec chaque sous-traitant ultérieur des contrats écrits imposant des obligations de protection des données équivalentes à celles du présent ATD, et demeure responsable des actes et omissions de ses sous-traitants ultérieurs.

9. Assistance pour l'exercice des droits des personnes concernées

Le Sous-traitant aide le Responsable du traitement, compte tenu de la nature du traitement et dans toute la mesure du possible, à traiter les demandes présentées au titre du chapitre III du RGPD. L'application fournit des outils d'export, de rectification et d'effacement des données, assortis de restrictions de rôle et de périmètre. Ces outils assistent le Responsable du traitement mais ne déterminent pas s'il doit être fait droit à une demande individuelle. La portabilité prévue à l'article 20 est limitée aux données fournies par la personne concernée et traitées de manière automatisée sur le fondement du consentement ou d'un contrat ; d'autres enregistrements peuvent relever du droit d'accès prévu à l'article 15. Le Sous-traitant fournit une assistance supplémentaire raisonnable lorsque les outils sont insuffisants. Les demandes relatives au traitement RH du Responsable du traitement reçues directement d'une personne sont transmises au Responsable du traitement dans les meilleurs délais.

Lorsqu'une personne demande au Sous-traitant de supprimer son compte PersoHR personnel, le Sous-traitant ferme le compte immédiatement. Il met fin à l'accès de la personne, supprime les données du compte qu'il détient en tant que responsable du traitement (informations de connexion, paramètres d'authentification à deux facteurs, sessions, préférences du compte et demandes de support que la personne a formulées dans l'application, avec leurs captures d'écran) et supprime les conversations de la personne avec l'assistant IA, que l'application ne montre à personne d'autre. Les copies de ces demandes de support parvenues à la boîte de support du Sous-traitant, ainsi que toute autre correspondance avec le Sous-traitant, sont conservées comme décrit dans la Politique de confidentialité. Il n'efface ni ne modifie aucun autre enregistrement que le Responsable du traitement détient sur la personne. Il consigne la demande sur l'appartenance de la personne à chacun des espaces de travail du Responsable du traitement et en informe les propriétaires et les administrateurs RH du Responsable du traitement dans l'application et par e-mail dans les meilleurs délais. Le Responsable du traitement décide d'effacer les enregistrements, au moyen de l'outil d'effacement de l'application, ou de les conserver, et répond à la personne. Le Sous-traitant confirme la demande à la personne par e-mail et l'informe par e-mail dès que le Responsable du traitement a enregistré sa décision dans l'application, ou dès que les enregistrements ont été effacés parce que l'espace de travail est en cours de suppression.

Les données d'identité du compte de la personne qu'utilisent les enregistrements du Responsable du traitement (nom, adresse e-mail, date de naissance et numéro de téléphone) sont conservées pour le compte du Responsable du traitement et de tout autre client dont les enregistrements les utilisent, jusqu'à ce que chaque appartenance de la personne à un espace de travail ait été effacée ou que son espace de travail ait été supprimé, puis sont anonymisées. Une appartenance effacée peut laisser subsister des enregistrements que le Responsable du traitement doit conserver en vertu de la loi, tels qu'un registre du temps de travail tenu au nom de la personne, qui suivent leur propre durée de conservation. Les données d'identité ne sont modifiées que sur instruction d'un Responsable du traitement : le Responsable du traitement peut ajouter une date de naissance manquante dans l'application, et toute autre rectification est effectuée par le support du Sous-traitant. Le Sous-traitant ne les utilise pour écrire à la personne que pour la confirmation et la notification de décision décrites ci-dessus, pour les notifications que le Responsable du traitement est tenu par la loi d'adresser, et pour l'archive finale décrite ci-dessous. Un compte fermé ne peut pas être rouvert, et son adresse e-mail ne peut être ni utilisée pour un nouveau compte ni invitée dans un espace de travail tant que chaque appartenance de la personne à un espace de travail n'a pas été effacée ou que son espace de travail n'a pas été supprimé.

Lorsque le Responsable du traitement a demandé la suppression de son espace de travail, une demande en cours au moment où l'espace de travail entre en fermeture, ou reçue pendant sa fermeture, est exécutée une fois l'archive finale de l'espace de travail achevée (lors du traitement nocturne qui suit l'achèvement, ou qui suit la demande lorsque l'archive était déjà achevée), ou lors de la suppression de l'espace de travail si celle-ci intervient avant, de sorte que les enregistrements de la personne figurent dans toute archive finale que reçoit le Responsable du traitement. La copie de l'archive finale détenue par le Sous-traitant est supprimée avec l'espace de travail. Lorsque la personne est le contact désigné par le Responsable du traitement pour cette archive, l'archive est adressée à un autre propriétaire de l'espace de travail qui peut encore se connecter, et à l'adresse de la personne uniquement s'il n'en existe aucun. Lorsque la personne est le seul propriétaire d'un espace de travail qui n'est pas en cours de suppression, la demande ne peut pas être menée à terme tant que l'espace de travail n'a pas un autre propriétaire actif ou un administrateur RH actif, ou tant qu'il n'est pas en cours de suppression ; lorsqu'un administrateur RH actif existe, le Sous-traitant fait de celui qui a la plus grande ancienneté un propriétaire afin que le Responsable du traitement conserve un propriétaire.

10. Notification des violations de données à caractère personnel

Le Sous-traitant notifie au Responsable du traitement toute violation de données à caractère personnel affectant les données du Responsable du traitement dans les meilleurs délais, et en tout état de cause dans un délai de 72 heures après en avoir pris connaissance, comme le prévoit l'article 33, paragraphe 2, du RGPD. Les informations disponibles comprennent la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les coordonnées de contact et les mesures prises ou envisagées. Les informations peuvent être communiquées de manière échelonnée, sans autre retard indu. Le Sous-traitant aide le Responsable du traitement à s'acquitter de ses obligations d'évaluation et de notification au titre des articles 33 et 34. Le délai de 72 heures, assorti de conditions, dont dispose le Responsable du traitement pour notifier l'autorité de contrôle ne constitue pas un délai d'attente pour le Sous-traitant.

11. AIPD et consultation préalable

Le Sous-traitant aide le Responsable du traitement, sur demande raisonnable, à réaliser les analyses d'impact relatives à la protection des données prévues à l'article 35 et les consultations préalables des autorités de contrôle prévues à l'article 36, compte tenu de la nature du traitement et des informations à la disposition du Sous-traitant.

12. Audits et inspections

Le Sous-traitant met à disposition toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et permet la réalisation d'audits, y compris des inspections, par le Responsable du traitement ou par l'auditeur qu'il a mandaté, et y contribue. Les parties conviennent de modalités raisonnables concernant le préavis, le calendrier, la confidentialité et la protection des informations des autres clients. Des rapports indépendants et la documentation de sécurité peuvent contribuer à démontrer ce respect, mais ne remplacent pas les droits d'audit légaux du Responsable du traitement. Les exigences relatives au calendrier, à la fréquence et à l'auditeur ne doivent pas empêcher un audit exigé par la loi, par une autorité de contrôle, par une violation de données à caractère personnel ou par des motifs raisonnables de soupçonner un manquement. Chaque partie supporte normalement ses propres frais, sauf accord contraire ou disposition légale contraire.

13. Restitution ou suppression des données à caractère personnel

À la fin des services de traitement, le Sous-traitant restitue ou supprime les données à caractère personnel, au choix du Responsable du traitement, et supprime les copies existantes, à moins que le droit de l'Union ou d'un État membre n'en exige la conservation, comme le prévoit l'article 28, paragraphe 3, point g), du RGPD. Le Responsable du traitement devrait télécharger les exports nécessaires avant la fin de l'accès payant et contacter le support pour organiser toute restitution ou suppression supplémentaire. La fin du renouvellement de l'abonnement ne constitue pas en soi une demande de suppression du compte. La procédure de suppression du compte dans l'application programme la suppression après un délai d'annulation de 30 jours ; une demande antérieure ou différente exigée par la loi doit être adressée directement au Sous-traitant. Les parties doivent convenir de la procédure de restitution ou de suppression et l'exécuter sans conserver les données plus longtemps que nécessaire. Les copies de sauvegarde restent protégées par le présent ATD jusqu'à leur suppression selon le calendrier de sauvegarde applicable ; toute restauration doit respecter les instructions de suppression antérieures. Les enregistrements de facturation traités pour les propres obligations légales du Sous-traitant relèvent séparément de la Politique de confidentialité.

14. Transferts internationaux

Le Sous-traitant traite principalement les données à caractère personnel au sein de l'Union européenne. Lorsque le Sous-traitant ou l'un de ses sous-traitants ultérieurs doit transférer des données à caractère personnel vers un pays situé en dehors de l'Espace économique européen, le transfert n'est effectué que sur la base d'une décision d'adéquation au titre de l'article 45 du RGPD ou de garanties appropriées au titre de l'article 46 du RGPD. Il s'agit généralement des clauses contractuelles types de la Commission européenne (décision 2021/914/UE), complétées si nécessaire par des mesures techniques et organisationnelles supplémentaires. La liste actualisée des destinataires et des mécanismes de transfert applicables est publiée à l'adresse /legal/sub-processors.

15. Insolvabilité, saisie et événements impliquant des tiers

Si les données à caractère personnel du Responsable du traitement sont menacées du fait d'une saisie, d'une confiscation, d'une procédure d'insolvabilité ou de concordat, ou de toute autre action d'un tiers susceptible d'affecter la capacité du Sous-traitant à respecter le présent ATD, le Sous-traitant en informe le Responsable du traitement dans les meilleurs délais et informe le tiers par écrit que les données relèvent de la responsabilité du Responsable du traitement en sa qualité de responsable du traitement au sens du RGPD. Le Sous-traitant prend des mesures raisonnables pour protéger l'intégrité et la disponibilité des données du Responsable du traitement dans l'attente de l'issue de l'action du tiers.

16. Responsabilité

Chaque partie est responsable des dommages causés par sa propre violation du présent ATD, en application de l'article 82 du RGPD et du droit applicable. Aucune disposition du présent ATD n'exclut ni ne limite une responsabilité qui ne peut être exclue ou limitée par la loi, y compris en cas de décès ou de dommage corporel, de fraude, de déclaration frauduleuse ou de faute intentionnelle. Aucune disposition du présent ATD ne restreint les droits des personnes concernées ou des autorités de contrôle. À tous autres égards, les limitations et exclusions de responsabilité prévues par le contrat principal s'appliquent également au présent ATD.

17. Divisibilité et dispositions finales

Les modifications et compléments apportés au présent ATD doivent être consignés par écrit, y compris sous forme électronique, et identifier explicitement les dispositions modifiées. L'article 28, paragraphe 9, du RGPD permet que le contrat revête une forme électronique ; cela n'établit pas à lui seul l'acceptation d'une modification. Si une disposition du présent ATD est ou devient nulle, illicite ou inapplicable, la validité des autres dispositions n'en est pas affectée ; les parties remplaceront la disposition nulle par une disposition valable dont l'effet économique se rapproche le plus possible de celui de la disposition nulle. Le présent ATD peut être conclu et mis à jour par voie électronique et remplace tout accord antérieur de traitement des données conclu entre les parties pour le même objet.

18. Droit applicable et juridiction compétente

Le présent ATD est régi par le droit de la République de Chypre, à l'exclusion de ses règles de conflit de lois et de la Convention des Nations Unies sur les contrats de vente internationale de marchandises. Les tribunaux de Paphos, Chypre, sont exclusivement compétents pour tout litige découlant du présent ATD ou s'y rapportant, sans préjudice des règles impératives de compétence en matière de protection des consommateurs ou au bénéfice des personnes concernées prévues par le RGPD.

19. Contact

Pour toute question relative au présent ATD, contactez Labb Holding Ltd à l'adresse privacy@persohr.eu, ou écrivez à Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Chypre. Le point de contact du Responsable du traitement en matière de protection des données est le compte utilisateur désigné comme OWNER sur la plateforme PersoHR.