Projet de texte à faire valider (juriste) avant la publication. Les éléments entre crochets sont à compléter.
Accord de traitement des données
Version du [date] · Article 28 du RGPD et article 9 de la loi suisse sur la protection des données (LPD)
Cet accord s'applique entre l'agence ou l'entreprise qui crée un compte sur l'Espace Pro (le « responsable du traitement ») et [raison sociale], éditeur de Cockpit Management (le « sous-traitant »). Il est accepté lors de la création du compte de l'agence et fait partie des conditions d'utilisation.
1. Objet et durée
Le sous-traitant héberge et traite, pour le compte de l'agence, les données nécessaires au suivi des missions et des heures, pendant toute la durée du compte de l'agence.
2. Données et personnes concernées
- Personnes : membres de l'agence, collaborateurs (intérimaires, salariés) invités sur une mission, responsables des entreprises clientes.
- Données : identité et e-mail, missions, tarifs, heures validées par les collaborateurs, relevés mensuels et décisions des clients, journal des actions. Jamais les repas, trajets, dépenses, lieux ou notes des collaborateurs, qui restent privés.
- Finalités : organisation des missions, suivi des heures, envoi et validation des relevés.
3. Engagements du sous-traitant
- Traiter les données uniquement sur instruction documentée de l'agence (utilisation de l'Espace Pro) et pour les finalités ci-dessus ; ne jamais les vendre ni les utiliser à des fins publicitaires.
- Garantir la confidentialité : les personnes autorisées sont soumises à une obligation de confidentialité ; l'administrateur de la plateforme ne voit ni les heures ni les données personnelles des collaborateurs.
- Assurer la sécurité : chiffrement des échanges (HTTPS), contrôle d'accès par ligne dans la base de données, connexion par code à usage unique, protection anti-robots, sauvegardes.
- N'avoir recours qu'aux sous-traitants ultérieurs listés ci-dessous, et informer l'agence de tout changement pour qu'elle puisse s'y opposer.
- Aider l'agence à répondre aux demandes d'exercice des droits (accès, rectification, effacement, portabilité).
- Notifier à l'agence toute violation de données dans les meilleurs délais, au plus tard 48 heures après en avoir eu connaissance.
- À la fin du contrat, supprimer les données de l'agence, sauf obligation légale de conservation, après avoir permis leur export.
- Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits raisonnables, sur demande écrite.
4. Sous-traitants ultérieurs
- Supabase, Inc. : base de données et fonctions serveur, hébergées dans l'Union européenne (Irlande).
- Resend : envoi des e-mails (codes de connexion, relevés), région Union européenne (Irlande).
- Netlify, Inc. : hébergement des pages web (États-Unis).
- Stripe : paiement de l'abonnement de l'agence.
- Cloudflare : protection anti-robots de la connexion (Turnstile).
Les transferts hors de l'Union européenne ou de la Suisse sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le Data Privacy Framework UE–États-Unis / Suisse–États-Unis.
5. Obligations de l'agence
L'agence informe ses collaborateurs et clients du traitement, dispose d'une base légale pour celui-ci et n'invite que des personnes concernées par ses missions.