Accord de sous-traitance des données

1. Parties, objet et durée

L’entreprise cliente identifiée dans l’offre ou la convention de pilote est le responsable du traitement. D.A. SOLUTIONS, SARL au capital de 2 000 €, SIREN 831 220 017, RCS Lisieux, 11 rue des Picanes, 14130 Saint-Gatien-des-Bois, représentée par Arnaud Delamare, est le sous-traitant. Contact : arnaud@planekip.fr.

L’accord encadre les opérations nécessaires à Planékip : saisie, organisation, hébergement, affichage, transmission autorisée, sauvegarde et restitution des données de planning. Il s’applique à compter de son acceptation écrite avec l’offre ou la convention, pour la durée du service puis les opérations de restitution et d’effacement. Sa simple mise en ligne ne prouve pas son acceptation par une entreprise.

2. Données et personnes concernées

Personnes : dirigeants, administrateurs, salariés et intervenants inscrits par le Client. Données : identité et contact professionnel, fonction, équipe, compte et habilitation, chantiers, ressources, affectations, temps, demandes et validations d’absence ou d’heures supplémentaires, éléments de traçabilité nécessaires.

Les catégories d’absence sont limitées au besoin d’organisation. Le Client détermine les conditions permettant de traiter une éventuelle donnée de santé ; aucun diagnostic ni contenu médical détaillé n’est demandé. Les comptes doivent être nominatifs.

3. Instructions et usages

L’offre, les paramétrages autorisés et les demandes écrites du représentant habilité constituent les instructions du Client. D.A. Solutions n’utilise pas les données de salariés pour la publicité, l’entraînement d’un modèle ou une finalité propre. Toute réutilisation distincte exige un fondement et un encadrement spécifiques. Une instruction manifestement contraire à la protection des données est signalée au Client avant exécution.

4. Confidentialité et sécurité

Les intervenants autorisés sont tenus à la confidentialité et n’accèdent aux données que pour leur mission. Le Client administre ses habilitations ; l’Éditeur maintient les contrôles serveur et la séparation des entreprises.

Mesures du pilote : HTTPS, empreintes scrypt, contrôle des rôles, sessions limitées, jetons de récupération à usage unique, protections de requêtes, copies SQLite cohérentes et journalisation applicative. Les absences des collègues sont affichées comme indisponibilités sans leur motif. Les sauvegardes quotidiennes restent sur le VPS ; la copie automatique hors serveur n’est pas annoncée comme déployée. Ces mesures sont revues à chaque changement important et ne valent pas certification.

5. Sous-traitants et transferts

Le Client autorise les prestataires recensés sur la liste datée des sous-traitants pour les fonctions indiquées. Tout ajout ou remplacement est annoncé par écrit avant sa mise en œuvre ; le Client dispose de trente jours pour une objection motivée liée à la protection des données. Les parties recherchent une solution avant de poursuivre le traitement concerné. D.A. Solutions demeure tenue de ses obligations envers le Client.

Un transfert hors Espace économique européen ne doit pas être initié sans instruction ou obligation applicable et garanties adéquates, par exemple une décision d’adéquation ou des clauses contractuelles appropriées avec l’évaluation nécessaire. La seule localisation du VPS en Europe ne prouve pas l’absence d’accès de support depuis un pays tiers.

6. Droits, assistance et contrôles

Le Client informe ses salariés et détermine la réponse à leurs demandes. Toute demande portant sur ses données reçue par D.A. Solutions lui est transmise sans délai ; l’Éditeur l’assiste pour rechercher, extraire, corriger ou effacer les données sur instruction vérifiée, ainsi que pour les analyses d’impact et consultations nécessaires.

D.A. Solutions fournit les informations utiles permettant de vérifier le respect de cet accord. Les audits convenus sont organisés de manière proportionnée et confidentielle, sans accès aux données d’une autre entreprise. Les droits d’une autorité de contrôle et les vérifications urgentes justifiées ne sont pas écartés par une formalité contractuelle.

7. Incident et violation

D.A. Solutions informe le Client sans délai indu après avoir établi une violation de ses données, par le contact professionnel désigné dans la convention. L’information initiale précise les faits disponibles, les catégories concernées, les conséquences probables, les mesures prises et un interlocuteur ; des compléments suivent à mesure des investigations.

L’Éditeur conserve les éléments utiles et coopère à la maîtrise de l’incident. Le Client évalue sa notification à l’autorité et l’information des personnes ; lorsqu’une notification à la CNIL est requise, son délai de principe est de soixante-douze heures après connaissance par le responsable du traitement. L’Éditeur ne se substitue pas à cette décision sans mandat.

8. Sort des données et sauvegardes

Le Client peut demander la restitution ou l’effacement selon les CGV et la procédure de réversibilité. Après la période de restitution d’au moins trente jours et l’instruction vérifiée, les données actives sont effacées, sauf conservation imposée et expliquée. Les comptes partagés entre plusieurs entreprises ne sont pas supprimés au détriment d’une autre entreprise ; seul le rattachement concerné est retiré.

Les copies techniques ont une rotation maximale de trente jours par rotation après une nouvelle copie vérifiée. Une sauvegarde contenant une donnée effacée est isolée de l’usage courant et expire dans ce cycle ; toute restauration réapplique les effacements. Une attestation d’exécution précise le périmètre, les exceptions et la date d’expiration des dernières copies. Les exports téléchargés par le Client relèvent ensuite de sa maîtrise.

9. Responsabilités du Client et prise d’effet

Le Client vérifie la licéité, la pertinence et la durée de ses données, l’information de ses salariés et le périmètre de chaque accès. Les clôtures et documents de temps ne constituent pas automatiquement une paie ou une preuve de conformité sociale.

Version 1.0 du 9 novembre 2026. L’identification du Client, son représentant habilité, son contact d’incident et la preuve d’acceptation sont joints à l’offre ou à la convention de pilote. Les précisions propres à l’hébergement sont consignées dans la liste des prestataires. Cet accord ne réduit pas les droits des personnes ni les pouvoirs des autorités.