Accord de traitement des données (DPA)

1. Identification des parties

Le Sous-traitant : PLANOR, société par actions simplifiée (SAS) au capital de 10 000 €, immatriculée au RCS de Meaux sous le numéro 100 903 780, siège social 2B rue Roger Salengro, 77164 Ferrières-en-Brie, France (SIRET 100 903 780 00011, TVA FR57100903780), éditrice du service Badgez (badgez.fr), représentée par Monsieur Esteban Antonio-Mota, Président. Contact protection des données : contact@badgez.fr, +33 6 95 01 54 27.

Le Responsable de traitement : le « Client », entreprise ou ensemble d'entreprises souscrivant au service Badgez, identifié dans le devis ou le bon de commande (le « Contrat principal »).

2. Objet et cadre

Le présent accord encadre le traitement de données à caractère personnel effectué par PLANOR pour le compte du Client dans le cadre du service Badgez, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD). En cas de contradiction avec le Contrat principal sur les seules questions de protection des données, le présent accord prévaut.

3. Rôles des parties

Le Client agit en qualité de responsable de traitement : il décide quels salariés reçoivent un badge, quelles données y figurent, quand le badge est révoqué et quelles offres sont publiées. PLANOR agit en qualité de sous-traitant et ne traite les données que sur instruction documentée du Client, laquelle résulte de l'utilisation du service et du Contrat principal. PLANOR ne traite les données à aucune autre fin, et n'en fait aucun usage commercial.

PLANOR informe immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données ; elle peut alors en suspendre l'exécution jusqu'à sa confirmation ou sa modification par le Client. Si le droit de l'Union ou d'un État membre lui impose un traitement, elle en informe le Client au préalable, sauf si ce droit l'interdit.

4. Fonctionnement du service et flux de données

1. Création des salariés. Les Administrateurs du Client saisissent les salariés, importent un fichier (lu dans le navigateur : seules les lignes validées sont envoyées), ou connectent le logiciel de paie Silae. Dans ce dernier cas, Badgez lit en lecture seule le nom, l'e-mail, le mobile, l'établissement et les dates d'emploi ; les autres données renvoyées par Silae (numéro de sécurité sociale, date de naissance, adresse) sont ignorées et jamais stockées.
2. Remise du badge. Un lien personnel est envoyé par e-mail ou par SMS, ou présenté sous forme de QR code. Il ne sert qu'une fois, sur un seul téléphone.
3. Badge dans le Wallet. Sur iPhone, le badge est un fichier signé installé sur le téléphone ; les mises à jour sont signalées par Apple (APNs), qui ne reçoit qu'un jeton technique d'appareil (donnée pseudonyme, sans nom ni coordonnées). Sur Android, les informations affichées sur le badge, telles que configurées par le Client (nom, entreprise, numéro de badge, statut et champs ajoutés), sont transmises à Google Wallet. Une fois le badge ajouté par le salarié, Apple et Google le conservent sur son téléphone ou dans son compte selon leurs propres conditions.
4. Vérification. Le QR code ouvre une page publique qui n'affiche que le statut, le nom et l'entreprise. Chaque scan est compté (date et résultat), sans identifier la personne qui scanne.
5. Offres. Les offres publiées par le Client apparaissent sur le badge, sans notification, et sur une page réservée aux badges actifs.
6. Messages. Le Client peut envoyer un message à ses salariés : sur le badge (notification Apple Wallet ou Google Wallet), par SMS ou par e-mail. Le texte est conservé dans l'historique du salarié.
7. Révocation et purge. À la révocation, le badge est désactivé sur le téléphone. Les données du salarié sont supprimées 12 mois après la révocation. L'effacement demandé depuis la fiche du salarié désactive le badge immédiatement et supprime ses données dans l'heure.

5. Obligations de PLANOR

PLANOR s'engage à : ne traiter les données que sur instruction documentée du Client ; garantir la confidentialité des données et l'engagement de confidentialité des personnes autorisées ; mettre en œuvre les mesures de sécurité de l'annexe 3 ; respecter les conditions de recours à un sous-traitant ultérieur ; assister le Client pour les demandes des personnes concernées et pour ses obligations de sécurité, de notification de violation et d'analyse d'impact (articles 32 à 36 du RGPD) ; supprimer ou restituer les données au terme du contrat ; mettre à disposition les informations nécessaires pour démontrer sa conformité.

6. Obligations du Client

Le Client s'engage à : disposer d'une base légale pour le traitement ; informer ses salariés ; ne transmettre que des données exactes et nécessaires ; désigner des Administrateurs habilités et retirer leurs accès à leur départ ; révoquer les badges des salariés qui quittent l'entreprise.

7. Sous-traitants ultérieurs

Le Client autorise PLANOR à recourir aux sous-traitants ultérieurs listés à l'annexe 2. PLANOR leur impose par contrat des obligations de protection des données équivalentes à celles du présent accord. Pour Apple et Google, dont les conditions ne sont pas négociables, ces garanties résultent de leurs conditions et engagements standard de protection des données, que le Client accepte. Tout ajout ou remplacement est notifié au Client au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier le contrat sans pénalité.

8. Transferts hors de l'Union européenne

Toutes les données stockées par PLANOR pour le compte du Client sont hébergées en France. Deux services impliquent un transfert vers les États-Unis : Google Wallet, pour les badges installés sur Android, et le service de notification d'Apple, qui ne reçoit qu'un jeton technique d'appareil. Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne relative au Data Privacy Framework (article 45 du RGPD) et, à défaut, par des clauses contractuelles types (article 46 du RGPD).

9. Droits des personnes concernées

Le service permet au Client d'exporter les données d'un salarié et de les effacer : le badge est désactivé immédiatement, les données sont supprimées dans l'heure, puis des sauvegardes sous 30 jours. Lorsqu'une assistance de PLANOR est nécessaire, elle est apportée dans un délai maximal de 30 jours ; une assistance qui excède les fonctions du service peut être facturée sur devis. Toute demande adressée directement à PLANOR par une personne concernée est transmise sans délai au Client.

10. Accès de support

PLANOR n'accède aux données d'un Client que par un personnel habilité, à sa demande ou lorsque c'est nécessaire pour traiter un incident, assurer la sécurité ou le fonctionnement du service. Les secrets du Client (mots de passe, identifiants de logiciel de paie) sont chiffrés ou hachés et ne sont jamais affichés en clair.

11. Violation de données à caractère personnel

En cas de violation affectant les données du Client, PLANOR notifie le Client sans retard injustifié, et au plus tard 72 heures après en avoir pris connaissance, par e-mail aux Administrateurs principaux du Client, en décrivant la nature de la violation, ses conséquences probables et les mesures prises ou proposées. Cette notification ne vaut pas reconnaissance de responsabilité.

12. Sort des données en fin de contrat

À la fin du contrat, les badges du Client sont désactivés et l'ensemble de ses données (salariés, badges, scans, offres, journaux, identifiants chiffrés) est supprimé dans un délai de 30 jours, ou immédiatement sur demande. Les sauvegardes chiffrées sont écrasées dans les 30 jours suivants. Une attestation de suppression est fournie sur demande. Les badges déjà installés restent, désactivés, sur les téléphones ou dans les comptes Google des salariés jusqu'à ce qu'ils les suppriment.

13. Audit

PLANOR met à disposition les informations nécessaires pour démontrer sa conformité et répond une fois par an à un questionnaire de sécurité transmis par le Client. Un audit peut être organisé une fois par an au plus, aux frais du Client, avec un préavis de 30 jours, pendant les heures ouvrées et par un auditeur indépendant tenu au secret, sans accès aux données des autres clients ni aux informations confidentielles de PLANOR.

14. Responsabilité

La responsabilité de PLANOR au titre du présent accord est soumise aux exclusions et au plafond prévus à l'article 13 des conditions générales de vente, qui forment un plafond unique pour l'ensemble du contrat, dans les limites permises par la loi. Le Client garantit PLANOR contre les conséquences d'une instruction illicite ou d'un manquement à ses propres obligations de responsable du traitement.

15. Durée, droit applicable et juridiction

Le présent accord s'applique pendant toute la durée du Contrat principal et jusqu'à la suppression des données. Il est régi par le droit français ; tout litige relève du Tribunal de commerce de Meaux.

Annexe 1 : description du traitement

Annexe 2 : sous-traitants ultérieurs

Annexe 3 : mesures techniques et organisationnelles

• Hébergement : serveurs en France ; base de données et cache sur un réseau interne, jamais exposés à internet ; pare-feu limité aux ports web.
• Chiffrement : TLS pour tous les échanges, HSTS ; secrets chiffrés en AES-256-GCM (doubles authentifications, identifiants de logiciel de paie) ; mots de passe hachés (bcrypt) ; sauvegardes chiffrées hors du serveur.
• Accès : double authentification obligatoire pour tous les Administrateurs, protection contre le rejeu des codes, limitation des tentatives ; sessions courtes, coupées au changement de mot de passe ou au retrait des droits.
• Cloisonnement : chaque client ne voit que ses données ; chaque administrateur RH ne voit que ses entreprises.
• Badges : liens de téléchargement de 128 bits à usage unique ; badges Apple signés ; partage par AirDrop bloqué ; alerte si un badge apparaît sur un second téléphone ; vérification en ligne qui fait foi.
• Minimisation : aucune photo ni fonction ; page de vérification limitée au statut, au nom et à l'entreprise ; destinataires masqués dans l'historique ; liens personnels masqués dans les journaux.
• Traçabilité : journal des actions des Administrateurs conservé 12 mois.
• Effacement : purge automatique des salariés 12 mois après la révocation ; export et effacement d'un salarié depuis sa fiche.
• Développement : contrôle des dépendances à chaque livraison ; secrets hors du code source ; images uploadées réencodées pour retirer tout contenu caché.

Signatures