Accord de sous-traitance des données

Parties et portée

Le présent accord, version dpa-2026-10-14-v6, complète les conditions générales de vente. L’entreprise cliente agit comme responsable du traitement et Levy-Ytshak Zekri, exploitant le service Ekipora, comme sous-traitant au sens de l’article 28 du RGPD. Il prend effet lors de son acceptation et dure tant qu’Ekipora traite des données personnelles pour le compte du client.

Objet, nature et finalités

Le traitement consiste à héberger, organiser, afficher, transmettre et sécuriser les données nécessaires aux fonctions activées par le client : gestion des salariés et magasins, planning, pointage, demandes, messages, documents RH, alertes et préparation de paie. Le sous-traitant agit uniquement sur instruction documentée du client, y compris pour un éventuel transfert hors de l’Espace économique européen, sauf obligation légale contraire dont le client est informé.

Personnes et données concernées

Les personnes concernées sont les salariés, apprentis, anciens salariés, dirigeants, administrateurs et autres utilisateurs autorisés du client. Les données peuvent comprendre l’identité, les coordonnées, le rattachement professionnel, le contrat et les horaires, les absences et demandes, les messages, les documents déposés, les pointages, les distances et précisions de contrôle, ainsi que les journaux techniques et de sécurité. Des justificatifs médicaux peuvent contenir des données de santé lorsque le client active cette fonction.

Engagements du sous-traitant

• ne traiter les données que pour fournir et sécuriser Ekipora ;
• imposer une obligation de confidentialité aux personnes autorisées ;
• maintenir des mesures adaptées de contrôle d’accès, séparation par entreprise, chiffrement des communications, journalisation et sauvegarde ;
• aider raisonnablement le client à répondre aux demandes de droits, analyses d’impact, contrôles et obligations de sécurité ;
• notifier au client toute violation de données personnelles connue sans délai indu, avec les informations disponibles puis les compléments utiles ;
• mettre à disposition les informations nécessaires pour démontrer le respect du présent accord et permettre un audit raisonnable.

Sous-traitants ultérieurs

Le client autorise de manière générale le recours aux prestataires indispensables au service.

Pour l’ajout ou le remplacement d’un prestataire directement choisi par Ekipora, le client est informé au moins trente jours avant sa prise d’effet.

Pour un changement dans la chaîne de sous-traitance décidé par un prestataire déjà autorisé, Ekipora transmet l’information sans délai indu, avec l’identité, la prestation concernée, les lieux de traitement, les garanties applicables et la date prévue. Le client dispose d’au moins sept jours calendaires à compter de la réception de cette information pour émettre une objection motivée.

Le changement ne peut concerner les données du client avant la fin de ce délai et le traitement de son objection. Si le calendrier du fournisseur ne permet pas ce délai ou la transmission utile de l’objection, Ekipora doit obtenir un report, convenir d’une solution expressément acceptée par le client ou organiser une alternative avant le changement. Le délai ne peut être réduit unilatéralement.

À défaut de solution raisonnable, chaque partie peut mettre fin à la partie du service affectée conformément au contrat, avec restitution ou suppression des données selon l’instruction documentée du client et les obligations applicables.

Avenant du 14 octobre 2026 — application aux sociétés existantes

Pour les sociétés ayant déjà accepté une version antérieure, cette modification prend effet uniquement lors de l’acceptation expresse de la nouvelle version par leur représentant habilité. Jusqu’alors, le préavis de trente jours précédemment accepté demeure applicable. Les preuves et engagements antérieurs sont conservés ; aucune acceptation rétroactive n’est créée.

• Cloudflare, Inc. et ses sous-traitants : hébergement, base de données, fichiers, diffusion, sécurité et support de l’infrastructure ;
• Supabase : authentification des utilisateurs ;
• Resend : acheminement des e-mails transactionnels ;
• Stripe : paiement, facturation et prévention de la fraude, avec un rôle propre pour certaines opérations réglementaires.

Transferts internationaux

La base de données et le stockage des fichiers privés utilisent la juridiction Union européenne de Cloudflare. Cette configuration ne couvre pas l’ensemble des traitements techniques ni les autres prestataires du service.

Lorsqu’un traitement a lieu hors de l’Espace économique européen sans décision d’adéquation, il est encadré par les clauses contractuelles types de la Commission européenne applicables et, lorsque nécessaire, des mesures complémentaires. Le client peut demander les informations utiles, sous réserve des obligations de confidentialité et de sécurité.

Mesures techniques et organisationnelles

• authentification et contrôles d’accès fondés sur les rôles ;
• séparation logique des données par entreprise ;
• chiffrement HTTPS des communications et stockage privé des fichiers ;
• journalisation des accès sensibles et des décisions importantes ;
• sauvegardes, restauration et suppression contrôlées ;
• minimisation du pointage GPS : absence de conservation des coordonnées exactes du téléphone, seules la précision et la distance calculée étant enregistrées ;
• revue des incidents et restriction des accès d’administration.

Instructions et obligations du client

Le client garantit la licéité de ses instructions, informe les personnes concernées, limite les données aux besoins professionnels et configure les accès et durées de conservation. Si une instruction paraît contraire au RGPD ou au droit applicable, Ekipora en informe le client et peut suspendre son exécution pendant la vérification.

Fin du service, restitution et suppression

À la fin du contrat, selon le choix documenté du client, Ekipora restitue les données disponibles ou les supprime, ainsi que leurs copies, sauf obligation légale de conservation. Le client dispose d’un export depuis son espace tant que son accès est actif et doit le télécharger avant la fermeture définitive. Les données principales sont supprimées après vérification et exécution de l’instruction de clôture. La mise en corbeille réversible d’une société ne constitue pas cette suppression. Les exports manuels et les copies techniques sont inclus dans le traitement de l’instruction ; les sauvegardes quotidiennes ont un cycle de conservation de 30 jours. Les copies restant temporairement nécessaires sont isolées de tout usage courant. Les seules preuves conservées pour une obligation légale ou la défense des droits font l’objet d’un accès restreint et d’une durée justifiée.

Demandes de droits, analyses d’impact et audits

Ekipora transmet au client toute demande reçue concernant ses salariés et l’assiste, compte tenu de la nature du traitement, pour l’accès, la rectification, l’effacement, la limitation, la portabilité, l’opposition, les analyses d’impact et les consultations de l’autorité. Un audit documentaire raisonnable peut être demandé au plus une fois par an, sauf incident ou demande d’une autorité, sans compromettre la sécurité ni les données d’autres clients.

Contact

Les instructions, demandes d’assistance et questions relatives au présent accord sont adressées à ekipora.pro@gmail.com.