Accord de traitement des données Time-Up

Accord conclu en application de l'article 28 du règlement (UE) 2016/679 (RGPD).

Entre

• le client, identifié dans son espace Time-Up ou dans l'offre qu'il a acceptée, agissant comme responsable du traitement (ci-après « le client ») ;
• et M.M MANAGEMENT SRL, représentée par Margaux Mejjati Alami, administrateur, 54 avenue Louise, Bruxelles, Belgique, numéro d'entreprise 0769.564.247, TVA BE0769.564.247, qui édite et exploite le service Time-Up, agissant comme sous-traitant (ci-après « l'éditeur »).

Cet accord est accepté en même temps que les conditions générales d'utilisation et d'abonnement Time-Up, et fait partie du contrat. Une version signée peut être établie à la demande du client, sans modification de son contenu.

Sommaire

1. Définitions
2. Objet et champ d'application
3. Rôles des parties
4. Description du traitement
5. Obligations du client
6. Instructions documentées
7. Confidentialité et accès du personnel
8. Sécurité
9. Sous-traitants ultérieurs
10. Transferts hors de l'Espace économique européen
11. Assistance au client
12. Violations de données
13. Demandes des autorités
14. Information et audits
15. Durée, fin du traitement, restitution et suppression
16. Responsabilité
17. Dispositions finales

Annexe 1 : Description du traitement

Annexe 2 : Mesures techniques et organisationnelles

Annexe 3 : Sous-traitants ultérieurs

Article 1. Définitions

1.1 Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « analyse d'impact » ont le sens que leur donne le RGPD.

1.2 Dans cet accord :

• Données : les données à caractère personnel que l'éditeur traite pour le compte du client dans le cadre du service ;
• Contrat : les conditions générales d'utilisation et d'abonnement Time-Up, l'offre acceptée et le présent accord ;
• Service, espace, utilisateur, travailleur, administrateur, lecture seule, suspension et heures de bureau : les notions définies dans les conditions générales ;
• Sous-traitant ultérieur : tout prestataire auquel l'éditeur confie tout ou partie d'un traitement des données ;
• Jour ouvrable : du lundi au vendredi, à l'exception des jours fériés légaux en Belgique.

Article 2. Objet et champ d'application

2.1 Cet accord fixe les conditions dans lesquelles l'éditeur traite les données pour le compte du client lorsqu'il fournit le service.

2.2 Il s'applique dès l'ouverture de l'espace, y compris pendant l'essai gratuit, et jusqu'à la suppression complète des données. Lorsque l'éditeur ouvre l'espace pour le client, il n'y enregistre aucune donnée de travailleur avant que le client ait accepté cet accord (article 4.1 des conditions générales).

2.3 Pour tout ce qui concerne les données, cet accord prévaut sur les autres documents contractuels. En cas de contradiction avec le RGPD, le RGPD prévaut.

2.4 Cet accord ne vise pas les traitements pour lesquels l'éditeur est lui-même responsable, dont la liste est fermée : la relation commerciale et la facturation avec le client, la sécurité générale du service et la prévention des abus, le suivi de l'activité du service au moyen de statistiques qui ne permettent pas d'identifier les personnes, et le respect de ses obligations légales. Ces traitements sont décrits dans la politique de confidentialité de l'éditeur. L'éditeur n'utilise les données pour aucune autre finalité.

Article 3. Rôles des parties

3.1 Le client est responsable du traitement : il détermine les finalités et les moyens essentiels du traitement des données de ses travailleurs et de ses utilisateurs. L'éditeur est son sous-traitant.

3.2 Si le client utilise le service pour le compte d'un tiers, par exemple en tant que prestataire d'un autre employeur, il garantit avoir obtenu de ce tiers les autorisations nécessaires ; l'éditeur intervient alors comme sous-traitant ultérieur et le client relaie les instructions et les informations entre ce tiers et l'éditeur.

3.3 Les destinataires que le client choisit lui-même ne sont pas des sous-traitants ultérieurs de l'éditeur, notamment : la fiduciaire à laquelle il donne un accès délégué, le secrétariat social auquel il fait envoyer des exports, le logiciel de paie qu'il raccorde au service, et les fournisseurs d'assistants d'intelligence artificielle externes que ses utilisateurs connectent en lecture seule. Le client répond de leur intervention.

Article 4. Description du traitement

L'objet, la durée, la nature et les finalités du traitement, les catégories de données et de personnes concernées, les lieux de traitement et les durées de conservation sont décrits à l'annexe 1.

Article 5. Obligations du client

5.1 Le client veille à la licéité des traitements qu'il réalise avec le service. Il lui appartient notamment :

a) de disposer d'une base légale pour chaque traitement ;

b) d'informer les personnes concernées, en particulier ses travailleurs, avant la mise en service ; l'annexe 1 peut servir de base à cette information ;

c) d'informer ou de consulter les organes de concertation de l'entreprise et d'adapter son règlement de travail lorsque le droit social l'exige ;

d) de réaliser une analyse d'impact lorsqu'elle est requise ;

e) de ne donner que des instructions conformes au RGPD.

5.2 Le client ne saisit que les données nécessaires et exactes. Il ne dépose des justificatifs pouvant contenir des données de santé que lorsqu'ils sont nécessaires et en réserve l'accès aux personnes habilitées. Le service ne comporte aucun champ destiné au numéro de registre national : le client ne l'enregistre pas, notamment dans un champ personnalisé. Il n'introduit dans le service aucune donnée biométrique, ni aucune donnée de localisation en dehors du réglage de position au moment du pointage décrit à l'article 10 des conditions générales, qu'il n'active qu'après avoir informé ses travailleurs.

5.3 Le client paramètre son espace sous sa responsabilité : rôles et droits des utilisateurs, double authentification imposée à certains comptes, adresses IP autorisées, règles de calcul, heure retenue pour les pointages faits sans connexion et activation des options qui relèvent de ses administrateurs. Il décide aussi de demander une durée de conservation des pointages plus longue que celle de l'article 9.7 des conditions générales, ou l'activation d'une option par l'éditeur.

5.4 Le client désigne un contact pour la protection des données et les incidents, par e-mail à support@time-up.be. À défaut, les communications prévues par cet accord sont adressées à ses administrateurs.

5.5 Le client répond seul aux personnes concernées et aux autorités pour les traitements dont il est responsable, avec l'assistance de l'éditeur prévue à l'article 11.

Article 6. Instructions documentées

6.1 L'éditeur ne traite les données que sur instruction documentée du client, y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation légale qui s'impose à lui. Dans ce dernier cas, il informe le client de cette obligation avant le traitement, sauf si la loi l'interdit.

6.2 Constituent des instructions documentées :

a) le contrat ;

b) le paramétrage et l'utilisation de l'espace par le client et ses administrateurs, y compris l'activation d'une option par ses administrateurs ;

c) les demandes écrites adressées par le client au support, y compris la demande d'activer une option que seul l'éditeur peut activer, comme l'assistant IA.

6.3 L'éditeur informe immédiatement le client s'il estime qu'une instruction est contraire au RGPD ou à une autre règle de protection des données. Il peut suspendre l'exécution de cette instruction jusqu'à ce que le client la confirme par écrit en connaissance de cause ou la modifie.

6.4 Une instruction qui exige un développement ou une intervention en dehors des fonctions standard du service peut faire l'objet d'un devis préalable.

Article 7. Confidentialité et accès du personnel

7.1 L'éditeur veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité, par contrat ou par une obligation légale, et n'y accèdent que dans la mesure nécessaire à leur mission.

7.2 Le personnel de l'éditeur n'accède à l'espace du client que pour traiter une demande du client, assurer la sécurité du service ou respecter une obligation légale. L'accès d'assistance lui donne les droits d'un administrateur de l'espace et lui permet de voir l'espace comme un utilisateur donné ; chaque entrée et chaque sortie sont journalisées, et l'accès prend fin à la sortie de l'espace ou à la fin de la session.

7.3 L'éditeur ne communique pas les données à des tiers, sauf aux sous-traitants ultérieurs de l'article 9, sur instruction du client ou dans les conditions de l'article 13.

Article 8. Sécurité

8.1 L'éditeur met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2, afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD.

8.2 L'éditeur peut faire évoluer ces mesures pour suivre l'état de l'art, à condition de ne pas réduire le niveau global de protection.

8.3 Le client est responsable des mesures qui relèvent de son côté : gestion des comptes et des droits, recours à la double authentification pour les comptes de son espace dans la mesure où le service le lui permet (article 7.4 des conditions générales), protection des appareils et des tablettes d'accueil, sécurité des exports qu'il télécharge et des destinataires qu'il choisit.

Article 9. Sous-traitants ultérieurs

9.1 Le client donne à l'éditeur une autorisation générale de recourir aux sous-traitants ultérieurs. Ceux qui interviennent à la date de cet accord sont listés à l'annexe 3, également publiée sur le site à l'adresse https://www.time-up.be/sous-traitants.

9.2 Avant qu'un nouveau sous-traitant ultérieur commence à traiter des données, ou qu'un sous-traitant existant soit remplacé, l'éditeur prévient le client par e-mail (au contact désigné ou, à défaut, aux administrateurs) au moins 30 jours à l'avance, et actualise la liste publiée.

9.3 Le client peut s'opposer à ce changement, par écrit et pour un motif raisonnable lié à la protection des données, dans ce même délai. Les parties recherchent alors une solution de bonne foi. À défaut, le client peut résilier sans frais la partie du service concernée ou le contrat avant l'intervention du nouveau sous-traitant ; l'éditeur rembourse au prorata les sommes payées d'avance pour la période non utilisée.

9.4 Si un remplacement s'impose sans délai pour la sécurité ou la continuité du service, l'éditeur peut réduire le délai de l'article 9.2. Il en informe alors le client, avec la raison de l'urgence, avant que le nouveau sous-traitant ultérieur ne traite des données ; le client exerce les droits prévus à l'article 9.3 dans les 30 jours de cette information.

9.5 Chaque sous-traitant ultérieur est lié à l'éditeur par un contrat écrit qui lui impose les mêmes obligations de protection des données que cet accord (article 28.4 du RGPD). Si ce sous-traitant y manque, l'éditeur en répond envers le client comme de son propre fait.

9.6 Le sous-traitant ultérieur lié à une option n'intervient au titre de cette option que si elle est activée pour l'espace du client : par ses administrateurs, ou par l'éditeur à la demande écrite du client pour l'assistant IA (article 11.1 des conditions générales).

Article 10. Transferts hors de l'Espace économique européen

10.1 L'application, la base de données, les fichiers déposés et les sauvegardes sont hébergés dans l'Union européenne, selon les lieux indiqués à l'annexe 1. Les seuls traitements hors de l'Espace économique européen sont ceux décrits à l'article 10.2.

10.2 Un transfert de données vers un pays situé hors de l'Espace économique européen, ou un accès depuis un tel pays, n'a lieu que sur instruction du client, y compris par la demande ou l'activation d'une option, ou par l'intervention d'un sous-traitant ultérieur de l'annexe 3. Il est alors encadré par une garantie prévue au chapitre V du RGPD : décision d'adéquation de la Commission européenne, y compris pour les sociétés qui adhèrent au cadre de protection des données UE États-Unis, ou clauses contractuelles types de la Commission européenne, complétées si nécessaire par des mesures supplémentaires.

10.3 Les garanties applicables à chaque sous-traitant ultérieur sont indiquées à l'annexe 3. Le client peut en obtenir une copie sur demande.

10.4 Tout nouveau transfert est annoncé selon la procédure de l'article 9.2.

Article 11. Assistance au client

11.1 Demandes des personnes concernées. L'éditeur transmet au client, dans les cinq jours ouvrables de sa réception, toute demande qu'il reçoit d'une personne concernée au sujet des données. Il n'y répond pas lui-même, sauf instruction du client.

11.2 Le service permet au client de consulter, rectifier et exporter les données. Le registre des pointages étant en ajout seul, aucun utilisateur ne peut effacer un pointage ; il appartient au client d'apprécier si une demande d'effacement doit être satisfaite avant la fin de la durée de conservation, au regard de ses obligations de conservation. Si elle doit l'être, l'éditeur procède à l'effacement ciblé sur instruction écrite du client, et cet effacement est tracé dans le journal des suppressions de l'éditeur (date, auteur, référence de l'instruction du client, nombre d'enregistrements effacés), sans reprendre les données effacées.

11.3 Sécurité, analyses d'impact et consultation préalable. L'éditeur aide le client, compte tenu de la nature du traitement et des informations dont il dispose, à respecter ses obligations relatives à la sécurité, aux violations de données, aux analyses d'impact et à la consultation préalable de l'autorité de contrôle. Il fournit notamment les informations des annexes et une description du fonctionnement technique du service.

11.4 Cette assistance est comprise dans l'abonnement lorsqu'elle reste raisonnable. Une assistance qui exige des travaux importants ou répétés peut être facturée à un tarif raisonnable annoncé à l'avance, sans que l'assistance soit suspendue. Aucune assistance liée à une violation de données imputable à l'éditeur ni à une demande de personne concernée n'est facturée.

Article 12. Violations de données

12.1 L'éditeur notifie au client toute violation de données qui le concerne dans les meilleurs délais, et en tout cas dans les 48 heures qui suivent le moment où il en a connaissance, au contact désigné et aux administrateurs.

12.2 La notification précise, dans la mesure où ces éléments sont connus :

a) la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;

b) le nom et les coordonnées d'un point de contact chez l'éditeur ;

c) les conséquences probables de la violation ;

d) les mesures prises ou proposées pour y remédier et en limiter les effets.

Les informations qui ne sont pas disponibles immédiatement sont communiquées dès qu'elles le sont.

12.3 L'éditeur prend sans délai les mesures raisonnables pour contenir la violation et en limiter les conséquences, coopère avec le client et documente la violation, ses effets et les mesures prises.

12.4 Il appartient au client, en sa qualité de responsable, de notifier la violation à l'autorité de contrôle et, le cas échéant, aux personnes concernées. L'éditeur ne le fait à sa place que sur instruction écrite.

12.5 La notification d'une violation ne vaut pas reconnaissance de responsabilité.

12.6 Le client informe de même l'éditeur, sans délai, de tout incident de son côté qui peut affecter la sécurité du service, comme la compromission d'un compte d'administrateur.

Article 13. Demandes des autorités

13.1 Si une autorité demande à l'éditeur l'accès aux données, l'éditeur, sauf interdiction légale, en informe le client sans délai et invite l'autorité à s'adresser à lui.

13.2 S'il est légalement tenu de répondre, l'éditeur vérifie la régularité de la demande, ne communique que les données strictement nécessaires et conteste, dans la mesure raisonnable, une demande manifestement disproportionnée.

Article 14. Information et audits

14.1 L'éditeur met à la disposition du client les informations nécessaires pour démontrer le respect de cet accord : le présent accord et ses annexes, les réponses à un questionnaire de sécurité raisonnable, et les rapports ou attestations dont il dispose.

14.2 Si ces informations ne suffisent pas, le client peut faire réaliser un audit, une fois par année contractuelle, aux conditions suivantes :

a) un préavis écrit d'au moins 30 jours, précisant le périmètre et le déroulement envisagés ;

b) un audit réalisé par le client lui-même ou par un auditeur qu'il mandate, tenu à la confidentialité et qui n'est pas un concurrent de l'éditeur ;

c) un déroulement pendant les heures de bureau, à distance ou dans les locaux de l'éditeur, sans perturber le service, et d'une durée raisonnable au regard du périmètre, en principe une journée ;

d) aucun accès aux données des autres clients, et aucun test d'intrusion sans l'accord écrit préalable de l'éditeur.

14.3 Un audit supplémentaire est possible à la suite d'une violation de données qui concerne le client, ou lorsqu'une autorité de contrôle l'exige.

14.4 Chaque partie supporte ses propres frais. Au-delà d'une journée, le temps consacré par l'éditeur peut être facturé à un tarif raisonnable annoncé à l'avance, sauf si l'audit révèle un manquement significatif de l'éditeur à cet accord.

14.5 Le rapport d'audit est communiqué à l'éditeur, qui peut formuler ses observations. Les parties conviennent d'un plan de correction pour les écarts constatés.

Article 15. Durée, fin du traitement, restitution et suppression

15.1 Cet accord dure aussi longtemps que le contrat, puis jusqu'à la suppression complète des données.

15.2 Pendant le contrat. Les pointages sont supprimés automatiquement à l'expiration de la durée de conservation de l'espace (article 9.7 des conditions générales : cinq ans, ou la durée plus longue demandée par le client), et l'identité d'un travailleur est anonymisée lorsque cette même durée s'est écoulée depuis sa date de sortie. Ces opérations automatiques ne s'exécutent que pour les espaces actifs : lorsqu'un espace est en lecture seule, suspendu ou clos, aucune donnée n'est supprimée automatiquement, sauf la suppression d'un essai non converti prévue à l'article 15.3. Les autres données sont conservées pendant la durée du contrat, sauf suppression par le client.

15.3 Essai non converti. Les données d'un essai qui n'a pas débouché sur un abonnement sont restituées ou supprimées sur instruction du client ; à défaut, elles sont supprimées 30 jours après le passage de l'espace en lecture seule, soit le 45e jour après son ouverture, après un avertissement écrit adressé aux administrateurs au moins 7 jours avant, conformément aux articles 5.4 à 5.6 des conditions générales.

15.4 Fin du contrat. À la fin du contrat, le client choisit la restitution de ses données, leur suppression, ou les deux. Il dispose pour cela de la période de récupération prévue à l'article 17 des conditions générales, pendant laquelle il peut exporter ses données et obtenir gratuitement une copie complète dans un format structuré, couramment utilisé et lisible par machine. À défaut d'instruction à la fin de cette période, l'éditeur adresse un rappel aux administrateurs et supprime les données 30 jours après ce rappel s'il reste sans réponse.

15.5 Sauvegardes. Les données présentes dans les copies de sauvegarde sont effacées au plus tard 90 jours après la suppression. Jusqu'à leur effacement, elles restent chiffrées et protégées par les mesures de l'annexe 2 et ne sont utilisées que pour rétablir le service après un incident.

15.6 Obligation légale. Si une loi de l'Union européenne ou d'un État membre impose à l'éditeur de conserver certaines données, il en informe le client, les protège et ne les traite plus qu'aux fins de cette obligation.

15.7 Sur demande, l'éditeur confirme la suppression par écrit.

15.8 Les obligations de confidentialité et de sécurité survivent tant que l'éditeur détient des données.

Article 16. Responsabilité

16.1 Chaque partie répond de ses manquements au présent accord et au RGPD dans les conditions et limites de l'article 21 des conditions générales, sans préjudice des droits que les personnes concernées tiennent de l'article 82 du RGPD.

16.2 À l'égard des personnes concernées, la responsabilité de l'éditeur est celle que prévoit l'article 82.2 du RGPD. Entre les parties, l'article 16.1 s'applique.

Article 17. Dispositions finales

17.1 L'éditeur peut modifier cet accord selon la procédure de l'article 23 des conditions générales. Une modification ne peut réduire le niveau de protection des données, sauf si la loi l'impose ; le client qui la refuse peut résilier sans frais avant son entrée en vigueur.

17.2 Cet accord est rédigé en français ; en cas de divergence avec une traduction, la version française fait foi. Il est soumis au droit belge. Le tribunal de l'entreprise francophone de Bruxelles est seul compétent, après la tentative de règlement amiable prévue par les conditions générales.

17.3 Une clause nulle ou inapplicable n'affecte pas les autres ; les parties la remplacent par une clause valable dont l'effet est le plus proche possible, dans le respect du RGPD.

Annexe 1 : Description du traitement

1. Objet

Fourniture au client du service Time-Up : logiciel en ligne d'enregistrement du temps de travail, de gestion des présences, des plannings, des congés et des absences, avec les services associés de support, de sauvegarde et de mise à jour.

2. Durée

La durée du contrat, essai compris, augmentée de la période de récupération et du délai de suppression prévus à l'article 15.

3. Nature des opérations

Collecte, enregistrement, organisation, structuration, conservation, consultation, calcul (durées, compteurs, heures supplémentaires selon les règles paramétrées par le client), export, transmission aux destinataires choisis par le client, sauvegarde, restauration, anonymisation et effacement.

4. Finalités, pour le compte du client

• tenir le registre du temps de travail et en assurer la preuve (horodatage, scellement, journal d'audit) ;
• gérer les plannings, les congés, les absences et leurs justificatifs, les heures supplémentaires ;
• préparer la paie et les exports destinés au secrétariat social ou à la fiduciaire du client ;
• envoyer des alertes aux responsables et aux personnes chargées des ressources humaines ;
• réaliser les évaluations automatiques que le client paramètre : alertes (absence non signalée, pause dépassée, pointage depuis un appareil inhabituel, pointage fait sans connexion reçu tardivement ou à placer), déduction d'une pause prévue au-delà d'une durée de travail ; le client les mentionne dans l'information de ses travailleurs ;
• mettre des documents RH à la disposition des travailleurs ;
• appliquer les règles de sécurité que le client fixe pour son espace (droits des utilisateurs, double authentification imposée à certains comptes, adresses IP autorisées) ;
• fournir le support demandé par le client ou ses utilisateurs, y compris par le chatbot d'aide, qui ouvre un ticket lorsqu'il ne trouve pas de réponse ;
• répondre aux questions posées à l'assistant IA, si cette option est activée à la demande du client ;
• conserver la preuve des e-mails envoyés pour le client (alertes, exports, accès), dans le journal des e-mails.

La sécurité générale du service (tentatives de connexion, réinitialisation du mot de passe, envoi des codes de double authentification, usage du journal des e-mails pour la sécurité, détection des abus) relève des traitements propres de l'éditeur (article 2.4), décrits dans sa politique de confidentialité.

5. Catégories de personnes concernées

• travailleurs salariés et indépendants enregistrés par le client, et toute autre personne dont le client enregistre le temps de travail ou les présences ;
• responsables d'équipe, personnes chargées des ressources humaines et administrateurs du client ;
• personnes à qui le client donne un accès délégué, comme les collaborateurs de sa fiduciaire.

6. Catégories de données

7. Données particulières

• Données de santé : un justificatif d'absence peut être un certificat médical. Le client décide de son dépôt et en limite l'accès aux personnes habilitées.
• Numéro de registre national : le service ne comporte aucun champ destiné à ce numéro, et le client ne l'enregistre pas dans un champ personnalisé (article 5.2).
• Aucune donnée biométrique n'est collectée par le service.
• Position au moment du pointage : seulement si le client active le réglage de son espace (désactivé par défaut, article 10 des conditions générales). Une seule position par pointage fait depuis un téléphone ou un ordinateur (latitude, longitude, précision en mètres), jamais de suivi continu ; à défaut de position, le pointage est soit enregistré et marqué « sans position », soit refusé, selon le choix du client. Finalité : établir le lieu du pointage. Base légale : l'intérêt légitime du client (article 6.1.f du RGPD) ; le client réalise l'analyse d'impact. Le client informe préalablement ses travailleurs, et le cas échéant son organe de concertation : c'est son obligation de responsable du traitement ; sa confirmation dans le service est horodatée et conservée.

8. Lieux de traitement

9. Durées de conservation

10. Contact du client pour la protection des données

Communiqué par le client par e-mail à support@time-up.be (article 5.4).

Annexe 2 : Mesures techniques et organisationnelles

Cette annexe décrit les mesures en place à la date de la présente version. Elles peuvent évoluer selon l'article 8.2.

1. Contrôle des accès à l'application

• mots de passe d'au moins 8 caractères (réglage de l'éditeur à la date de cette version), conservés uniquement sous forme hachée avec l'algorithme Argon2id ;
• verrouillage du compte après une série d'échecs de connexion ;
• fin automatique des sessions après une période d'inactivité ;
• double authentification par application ou par e-mail, que l'administrateur du client peut imposer compte par compte et que l'éditeur peut rendre obligatoire par rôle pour l'ensemble du service ;
• limitation du nombre de tentatives : pointages, recherches et saisies de code PIN, avec blocage temporaire du code PIN après des essais infructueux répétés ;
• gestion des droits par rôle (travailleur, responsable, ressources humaines, administrateur), le coût horaire et le taux brut n'étant visibles que des administrateurs ;
• possibilité de limiter le pointage d'un travailleur à certaines adresses IP.

2. Cloisonnement entre clients

• chaque client dispose d'un espace séparé ;
• la séparation entre les espaces est vérifiée par des scénarios automatisés de tentative d'accès croisé, intégrés à la batterie de tests exécutée avant chaque mise en production.

3. Accès du personnel de l'éditeur

• accès à l'espace d'un client limité aux besoins du support, de la sécurité ou d'une obligation légale ;
• fonction d'assistance donnant les droits d'un administrateur de l'espace et permettant de voir l'espace comme un utilisateur, avec journalisation de chaque entrée et de chaque sortie, et fin de l'accès à la sortie de l'espace ou à la fin de la session ;
• l'accès d'administration aux serveurs se fait uniquement par clé nominative, sans mot de passe, et est réservé à une liste restreinte de personnes habilitées, revue au moins une fois par semestre.

4. Intégrité et traçabilité

• registre des pointages en ajout seul, protégé par trois dispositifs : le compte de l'application n'a pas le droit de modifier ni de supprimer un pointage ; un mécanisme de la base de données refuse toute modification ; chaque pointage est scellé par une empreinte HMAC-SHA-256 enchaînée, travailleur par travailleur, qui porte sur l'espace, le travailleur, le type de pointage, l'heure d'enregistrement par le serveur, le moyen de pointage, l'identifiant unique du pointage et le lien vers l'enregistrement corrigé ; les autres éléments, dont l'heure retenue, sont protégés par les deux premiers dispositifs ;
• contrôle automatique et régulier de l'intégrité de toutes les chaînes ;
• corrections enregistrées comme de nouveaux événements motivés, l'événement d'origine restant conservé ;
• journal d'audit des actions des utilisateurs, avec adresse IP et navigateur ;
• empreinte SHA-256 jointe aux exports de paie, celle du fichier principal étant conservée dans l'historique des exports de l'espace ;
• suppression automatique et tracée des pointages arrivés à expiration.

5. Chiffrement

• connexions chiffrées par TLS, avec obligation de connexion sécurisée (HSTS) ;
• secrets chiffrés en base de données ;
• les copies de sauvegarde sont chiffrées sur le serveur avant leur envoi vers le stockage distinct, avec une clé qui n'est pas confiée au prestataire de stockage ; elles y sont conservées 90 jours puis effacées.

6. Disponibilité, sauvegardes et restauration

• sauvegarde horaire sur le serveur, avec 24 copies horaires tournantes et des copies quotidiennes conservées 7 jours ;
• copie quotidienne vers un stockage distinct, chez un autre prestataire, par l'intermédiaire d'un serveur de relais situé dans un autre centre de données ;
• contrôle indépendant quotidien des sauvegardes, avec alerte par e-mail en cas d'anomalie ;
• restaurations complètes testées (dernier test complet à la date de cette version : 6 octobre 2026) ;
• pointage possible sans connexion avec l'application installée, avec transmission au rétablissement de la connexion, dans le délai d'envoi fixé dans les paramètres de l'espace ;
• protection du service contre les attaques par saturation, par l'intermédiaire de Cloudflare.

7. Protection des données dès la conception

• aucun traceur de publicité dans l'application ; mesure d'audience limitée à l'outil de Cloudflare (section 8.2 de la politique de confidentialité), dont la balise est le seul script chargé par le navigateur depuis un autre site, et à une mesure agrégée d'usage par espace et par écran, sans suivi nominatif d'un salarié ; aucune police ni image chargée depuis un autre site ;
• trois cookies au plus, tous liés au fonctionnement du service ou à un choix de l'utilisateur, et transmis uniquement par connexion chiffrée : le cookie de session et celui de l'appareil de confiance pour la double authentification (protégés contre la lecture par des scripts), et celui du choix de langue ; dans le navigateur, un identifiant aléatoire de l'appareil, utile à la sécurité des pointages, des préférences d'affichage, le jeton d'une tablette d'accueil, la file des pointages faits sans connexion et une copie des pages nécessaires au pointage sans connexion (liste détaillée à la section 8 de la politique de confidentialité) ;
• aucune collecte de données biométriques ; position relevée au seul moment du pointage, si le client l'active (désactivé par défaut), jamais en continu ;
• options faisant intervenir un tiers (assistant IA, assistants IA externes) désactivées par défaut ; le chatbot d'aide, actif pour tous, ne fait appel à aucun tiers ni à aucune intelligence artificielle ;
• l'assistant IA ne reçoit aucune donnée de la base du client : seulement la question, le nom de l'écran (sans capture ni contenu de l'écran), le rôle, la formule, le mode d'emploi et les échanges précédents de la même conversation ;
• liens de réinitialisation du mot de passe à usage unique, valables 60 minutes ;
• durées courtes pour les données techniques (tentatives de connexion : 1 jour ; journal des e-mails : 90 jours).

8. Organisation

• l'éditeur tient une politique de sécurité écrite, désigne une personne responsable de la sécurité, applique une procédure écrite de gestion et de notification des incidents, fait signer un engagement de confidentialité aux personnes qui ont accès aux données et les sensibilise au moins une fois par an.

Annexe 3 : Sous-traitants ultérieurs

Liste à la date du 2 novembre 2026.

Les contrats et les accords de traitement conclus avec ces prestataires le sont par l'éditeur. Le support et l'exploitation technique sont assurés par LCC Services depuis le Maroc ; cet accès est encadré par les clauses contractuelles types de la Commission européenne.

Ne sont pas des sous-traitants ultérieurs de l'éditeur :

• les sources publiques consultées pour vérifier les entreprises (Banque-Carrefour des Entreprises, VIES, Statbel), qui ne reçoivent aucune donnée des travailleurs ;
• les destinataires choisis par le client (article 3.3) : fiduciaire, secrétariat social, logiciel de paie raccordé, fournisseurs d'assistants IA externes connectés par les utilisateurs.