Accord de traitement des données (DPA) pour vivotempo

Préambule

Bergx2 GmbH, Hochriesstr. 46, 85560 Ebersberg, Allemagne (ci-après le « sous-traitant »), exploite l'application en mode logiciel en tant que service vivotempo pour la gestion des congés, le suivi du temps de travail, les arrêts maladie et d'autres tâches RH. Dans ce cadre, elle traite des données à caractère personnel pour le compte du client (ci-après le « responsable du traitement ») au sens de l'article 4, point 8, et de l'article 28 du RGPD. Le présent accord fixe les obligations et les droits des deux parties conformément à l'article 28, paragraphe 3, du RGPD.

Article 1 Objet et durée du traitement

(1) Objet. Le sous-traitant met vivotempo à la disposition du responsable du traitement en tant que logiciel en tant que service. Il traite à cet effet les données à caractère personnel décrites à l'annexe 1 exclusivement sur instruction du responsable du traitement.

(2) Durée. L'accord s'applique à compter de la conclusion du contrat relatif à vivotempo (contrat principal selon les conditions générales) et prend fin avec celui-ci. Les obligations de restitution et de suppression (article 10) et de confidentialité (article 5, paragraphe 2) continuent de s'appliquer au-delà.

Article 2 Nature et finalité du traitement

(1) Le sous-traitant traite les données aux fins suivantes :

• Mise à disposition de vivotempo : gestion des congés et des absences, suivi du temps de travail dans le navigateur et à la borne, arrêts maladie, prime de santé, analyses et exports pour la paie
• Connexion et protection des accès : mot de passe, second facteur, passkeys et identification à la borne
• Envoi de notifications dans l'application et par e-mail
• Exploitation, sécurité, analyse des erreurs et assistance

(2) Aucun traitement n'a lieu pour les propres finalités du sous-traitant, par exemple à des fins de publicité, de profilage ou de vente de données.

Article 3 Types de données et catégories de personnes concernées

(1) Les détails figurent à l'annexe 1. Les personnes concernées sont les salariés du responsable du traitement, y compris les anciens salariés, ainsi que les autres personnes auxquelles il accorde un accès à vivotempo.

(2) Catégories particulières de données à caractère personnel (article 9 du RGPD). Selon les fonctions utilisées, vivotempo traite des données de santé (arrêts maladie avec leur période et, le cas échéant, justificatifs) et des données biométriques (une caractéristique du visage calculée à partir d'une image de la caméra pour l'identification à la borne, uniquement si le responsable du traitement active ce mode d'identification ; l'image elle-même n'est pas enregistrée). Le responsable du traitement veille à ce qu'il existe une base juridique ; la reconnaissance faciale nécessite en règle générale le consentement libre des salariés. vivotempo limite l'accès à ces données aux rôles autorisés par le responsable du traitement.

Article 4 Obligations et droits du responsable du traitement

(1) Responsabilité et instructions. Le responsable du traitement est responsable de la licéité du traitement (article 24 du RGPD). Valent instructions le présent accord et les paramètres que le responsable du traitement définit dans vivotempo, par exemple les rôles, les droits, les fonctions activées et les durées de conservation. Il donne toute autre instruction sous forme écrite, y compris électronique.

(2) Information des salariés. Le responsable du traitement informe les personnes concernées du traitement conformément aux articles 13 et 14 du RGPD.

(3) Vérification. Le responsable du traitement vérifie que les mesures de l'annexe 2 conviennent à son traitement et fait part de ses réserves éventuelles au sous-traitant.

Article 5 Obligations du sous-traitant

(1) Instructions. Le sous-traitant ne traite les données que sur instruction documentée du responsable du traitement, à moins d'y être tenu en vertu du droit de l'Union ou du droit d'un État membre ; dans ce cas, il informe le responsable du traitement de cette obligation avant le traitement, sauf si ce droit l'interdit. S'il estime qu'une instruction est illicite, il en informe immédiatement le responsable du traitement (article 28, paragraphe 3, du RGPD).

(2) Confidentialité. Toutes les personnes ayant accès aux données se sont engagées à la confidentialité avant de commencer leur activité (article 28, paragraphe 3, point b, du RGPD).

(3) Sécurité. Le sous-traitant met en œuvre les mesures techniques et organisationnelles de l'annexe 2 (article 32 du RGPD) et les adapte à l'état de l'art sans réduire le niveau de protection.

(4) Assistance. Le sous-traitant aide le responsable du traitement à respecter les obligations prévues aux articles 32 à 36 du RGPD, notamment pour les droits des personnes concernées (article 7), la notification des violations de données (article 8) et une analyse d'impact relative à la protection des données.

(5) Délégué à la protection des données. Le délégué à la protection des données du sous-traitant est Zsu Sernc-Urban, joignable à l'adresse indiquée ci-dessus ou par e-mail à info@bergx2.de avec l'objet « Datenschutz ».

Article 6 Sous-traitants ultérieurs

(1) Autorisation. Le responsable du traitement autorise les sous-traitants ultérieurs mentionnés à l'annexe 3 (article 28, paragraphe 2, du RGPD).

(2) Modifications. Le sous-traitant informe le responsable du traitement par écrit, au moins 30 jours à l'avance, de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur, à savoir aux adresses e-mail des administrateurs du compte client.

(3) Opposition. Le responsable du traitement peut s'opposer à une modification dans ce délai pour un motif important lié à la protection des données. Si les parties ne trouvent pas de solution amiable, le responsable du traitement peut résilier le contrat principal pour motif grave.

(4) Engagement. Le sous-traitant impose contractuellement à chaque sous-traitant ultérieur les obligations du présent accord (article 28, paragraphe 4, du RGPD).

(5) Pays tiers. Un transfert vers des pays situés hors de l'UE ou de l'EEE n'a lieu que si les conditions des articles 44 à 49 du RGPD sont remplies, notamment sur la base d'une décision d'adéquation, y compris le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework), ou des clauses contractuelles types de la Commission européenne.

Article 7 Droits des personnes concernées

(1) Le sous-traitant aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, à donner suite aux droits prévus au chapitre III du RGPD (accès, rectification, effacement, limitation, portabilité, opposition). vivotempo propose notamment à cet effet des fonctions de modification, d'export et de suppression des données.

(2) Si des personnes concernées s'adressent directement au sous-traitant, celui-ci transmet immédiatement la demande au responsable du traitement et n'y répond que sur son instruction.

Article 8 Notification des violations de données

(1) Le sous-traitant informe le responsable du traitement sans délai, si possible dans les 24 heures suivant la prise de connaissance, de toute violation de données à caractère personnel survenue dans son domaine de responsabilité ou chez un sous-traitant ultérieur.

(2) La notification est adressée par écrit aux administrateurs du compte client et contient, dans la mesure où elles sont connues, les informations prévues à l'article 33, paragraphe 3, du RGPD : nature et étendue de la violation, nombre de personnes concernées, conséquences probables et mesures prises.

(3) Les notifications à l'autorité de contrôle (article 33 du RGPD) et aux personnes concernées (article 34 du RGPD) incombent au responsable du traitement ; le sous-traitant l'assiste en lui fournissant toutes les informations nécessaires.

Article 9 Preuves et contrôles

(1) Sur demande, le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations du présent accord, en particulier la version actuelle des annexes 2 et 3 ainsi que les certificats et rapports d'audit des exploitants des centres de données.

(2) Après un préavis d'au moins quatre semaines, le responsable du traitement peut vérifier le respect des mesures, y compris sur place pendant les heures ouvrables habituelles. Les contrôles ne doivent pas perturber l'activité de manière disproportionnée et ont lieu au plus une fois par année civile, sauf motif particulier. Les auditeurs doivent être tenus à la confidentialité.

Article 10 Restitution et suppression

(1) Pendant la durée du contrat, le responsable du traitement peut lui-même modifier et supprimer des données dans vivotempo et définir des durées de conservation pour les saisies de temps et les arrêts maladie.

(2) À la fin du contrat principal, le sous-traitant restitue les données au choix du responsable du traitement (export dans un format courant et lisible par machine) ou les supprime, au plus tard 30 jours après la fin du contrat, sauf obligation légale de conservation.

(3) Les sauvegardes sont écrasées dans le cycle de sauvegarde habituel, au plus tard après 30 jours. Sur demande, le sous-traitant confirme la suppression par écrit.

(4) Les obligations légales de conservation du sous-traitant, par exemple pour les documents comptables selon l'article 257 du code de commerce allemand (HGB) et l'article 147 du code fiscal allemand (AO), ne sont pas affectées.

Article 11 Responsabilité et dispositions finales

(1) La responsabilité est régie par les dispositions du contrat principal (conditions générales) et par l'article 82 du RGPD.

(2) Toute modification du présent accord requiert la forme écrite, y compris électronique. Le sous-traitant annonce les nouvelles versions au moins 30 jours avant leur entrée en vigueur (voir « Prise d'effet »).

(3) En cas de contradiction entre le présent accord et le contrat principal, le présent accord prévaut pour les questions de protection des données.

(4) Si certaines dispositions devaient être invalides, la validité des autres dispositions n'en serait pas affectée.

(5) Le droit allemand s'applique, à l'exclusion de la Convention des Nations unies sur les contrats de vente internationale de marchandises. Dans la mesure permise par la loi, le tribunal compétent est celui du siège du sous-traitant.

Annexe 1 : Description du traitement

• Objet : mise à disposition de vivotempo en tant que logiciel en tant que service, avec hébergement, stockage des données, connexion, notifications et assistance
• Durée : durée du contrat principal et au maximum 30 jours supplémentaires pour la restitution et la suppression
• Nature du traitement : collecte, enregistrement, conservation, organisation, adaptation, consultation, analyse, mise à disposition des utilisateurs autorisés, effacement
• Personnes concernées : salariés du responsable du traitement (y compris les anciens), administrateurs et autres utilisateurs auxquels il accorde un accès
• Données de base : nom, adresse e-mail, matricule, service, rôle, dates d'entrée et de sortie, pays de travail, fuseau horaire, photo de profil
• Absences : demandes de congé et décisions avec commentaires, solde de congés et report, autres absences
• Temps de travail : début, fin, pauses, corrections, heure et borne d'un pointage, majorations et soldes
• Données de santé (article 9 du RGPD) : arrêts maladie avec leur période et justificatifs téléversés, jours de maladie pour la prime de santé
• Données de connexion : adresse e-mail, mot de passe (uniquement sous forme de hachage), second facteur (adresse e-mail ou identifiant Threema), clés publiques des passkeys
• Identification à la borne : code PIN, identifiant de carte NFC, code QR, identifiant d'appareil Bluetooth ; à la demande du responsable du traitement, une caractéristique du visage sous forme de vecteur (données biométriques au sens de l'article 9 du RGPD)
• Journaux : journal des modifications avec heure et personne agissante, journaux techniques des serveurs (adresse IP, heure, adresse consultée)
• Notifications : notifications dans l'application et par e-mail
• Lieu de stockage : base de données et stockage de fichiers chez Supabase dans l'UE (centre de données de Paris, France), fonctions serveur chez Vercel dans l'UE (région de Paris)
• Pays tiers : Vercel Inc. et Supabase Inc. ont leur siège aux États-Unis ; un accès depuis ce pays, par exemple pour l'exploitation et l'assistance, est possible et encadré par le cadre de protection des données UE-États-Unis ainsi que par des clauses contractuelles types. Pour Threema GmbH (Suisse), il existe une décision d'adéquation de la Commission européenne.

Annexe 2 : Mesures techniques et organisationnelles (article 32 du RGPD)

Les mesures suivantes s'appliquent à vivotempo. Les détails de mise en œuvre, par exemple les configurations, ne sont pas décrits publiquement pour des raisons de sécurité ; le responsable du traitement les reçoit sur demande motivée dans le cadre de l'article 9.

• Contrôle de l'accès physique : les serveurs se trouvent dans les centres de données des prestataires (Amazon Web Services via Supabase, Vercel) dotés d'une sécurité physique certifiée, notamment selon ISO/IEC 27001 et SOC 2. Les locaux du sous-traitant sont protégés contre tout accès non autorisé ; les visiteurs y sont toujours accompagnés.
• Contrôle de l'accès aux systèmes : connexion avec un compte personnel et un mot de passe, au choix avec un second facteur (code par e-mail, Threema, passkey) et blocage après cinq tentatives infructueuses ; les bornes se connectent avec leur propre clé d'appareil ; seules quelques personnes autorisées disposent d'un accès administratif aux prestataires.
• Contrôle de l'accès aux données : séparation des clients au niveau de la base de données (row level security) ; rôles différenciés (salarié, chef d'équipe, RH, administrateur) avec des droits précis ; données de santé et caractéristiques d'identification réservées aux rôles autorisés ; tests automatisés des règles d'accès à chaque modification.
• Contrôle de séparation : les données des différents clients sont traitées de manière logiquement séparée ; chaque accès est lié au client concerné.
• Chiffrement : toutes les connexions sont chiffrées par TLS ; la base de données et le stockage de fichiers sont chiffrés au repos ; les mots de passe ne sont enregistrés que sous forme de hachage.
• Contrôle des saisies : les modifications des données des salariés, des demandes, des saisies de temps et des paramètres sont consignées dans le journal avec l'heure et la personne agissante ; les corrections des saisies de temps restent traçables.
• Contrôle des transferts : les données ne sont transmises que sous forme chiffrée ; les exports et analyses ne sont accessibles qu'aux rôles autorisés ; aucune transmission n'a lieu sans base contractuelle.
• Contrôle des sous-traitants : accords de traitement des données avec tous les sous-traitants ultérieurs (annexe 3) et vérification régulière.
• Disponibilité et résilience : exploitation chez des prestataires disposant d'une infrastructure redondante et d'une surveillance continue ; sauvegardes régulières de la base de données ; en cas de coupure de connexion, les bornes conservent les pointages et les transmettent ensuite.
• Capacité de restauration : les sauvegardes permettent de restaurer les données après un incident.
• Vérification et évaluation : délégué à la protection des données désigné, procédure définie en cas de violation de données, tests automatisés avant chaque mise en production, contrôles de sécurité réguliers des règles d'accès.
• Minimisation et suppression des données : durées de conservation paramétrables pour les saisies de temps et les arrêts maladie, restitution et suppression après la fin du contrat conformément à l'article 10.

Annexe 3 : Sous-traitants ultérieurs

État au 14/10/2026

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis : hébergement de l'application et des fonctions serveur (région de Paris, France) et diffusion du site web ; traite toutes les données lors du traitement des requêtes ainsi que les journaux des serveurs. Base : accord de traitement des données, cadre de protection des données UE-États-Unis, clauses contractuelles types.
• Supabase Inc., États-Unis : base de données, connexion et stockage de fichiers dans le centre de données de Paris (France, Amazon Web Services) ; traite toutes les données mentionnées à l'annexe 1. Base : accord de traitement des données, cadre de protection des données UE-États-Unis, clauses contractuelles types.
• Scaleway SAS, Paris, France : envoi d'e-mails (notifications, codes, liens) ; traite l'adresse e-mail, le nom et le contenu du message. Base : accord de traitement des données.
• Threema GmbH, Churerstrasse 82, 8808 Pfäffikon SZ, Suisse : envoi de codes de connexion via Threema, uniquement si les utilisateurs choisissent Threema comme second facteur ; traite l'identifiant Threema et le code. Base : décision d'adéquation de la Commission européenne pour la Suisse.

Les e-mails transitent en outre par un service de relais exploité par Bergx2 GmbH elle-même. Les autres prestataires sans accès aux données de vivotempo, par exemple pour le paiement du compte client (Mollie), pour les données des jours fériés ou pour la vérification du numéro de TVA intracommunautaire (VIES), ne sont pas des sous-traitants ultérieurs au sens du présent accord.

Prise d'effet

Le présent accord fait partie du contrat dès la conclusion du contrat principal (inscription selon les conditions générales) ; la conclusion sous forme électronique suffit (article 28, paragraphe 9, du RGPD).

En outre, les administrateurs du client peuvent accepter expressément l'accord dans le compte client. Sont alors enregistrés la version, la date et l'heure, la personne qui accepte, le client et une somme de contrôle de la version acceptée.

Le sous-traitant annonce les nouvelles versions par écrit au moins 30 jours avant leur entrée en vigueur ; dans le compte client, les administrateurs sont invités à les accepter de nouveau.

À la demande du client, l'accord peut en outre être signé à la main ou au moyen d'une signature électronique qualifiée ; l'acceptation électronique n'en est pas affectée.

Versions

• Version 1.0 du 14/10/2026 : première version