Accord de sous-traitance (DPA)

Dernière mise à jour : 3 novembre 2026 — Version 1.3

1.Objet et durée

Le présent accord de sous-traitance (le « DPA »), établi conformément à l'article 28 du RGPD, encadre le traitement par TempsSync, édité par Monsieur Louis Jalabert (voir mentions légales), agissant en qualité de sous-traitant, des données à caractère personnel des employés d'une entreprise cliente (le « Client »), agissant en qualité de responsable de traitement. Il fait partie intégrante des CGS et s'applique pour toute la durée de l'abonnement du Client, ainsi que pendant la période de conservation décrite dans la politique de confidentialité.

2.Nature et finalité du traitement

TempsSync traite, pour le compte et sur instruction du Client, les données nécessaires au fonctionnement de la Solution : gestion du temps de travail (badgeage, horodatages, géolocalisation éventuelle), gestion des congés et absences, notifications applicatives, et données nécessaires à l'authentification des utilisateurs. Aucune donnée de santé ni aucun document médical ne doit être transmis à la Solution, qui ne conserve aucun justificatif : voir l'article 6 des CGS.

Les catégories de personnes concernées sont : les employés du Client inscrits sur la Solution, et les administrateurs/gestionnaires désignés par le Client.

3.Obligations du sous-traitant

TempsSync s'engage à :

Ne traiter les données que sur instruction documentée du Client, conformément à l'usage normal de la Solution ;
Informer immédiatement le Client si, selon lui, une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données ;
Garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
Mettre en œuvre les mesures de sécurité décrites dans la politique de confidentialité (authentification, cloisonnement des données entre entreprises clientes, chiffrement des communications) et dans l'annexe 1 ;
Ne recourir à un sous-traitant ultérieur qu'avec les garanties appropriées, et informer le Client de tout changement envisagé (voir Article 4) ; imposer à ce sous-traitant ultérieur les mêmes obligations de protection des données que celles du présent accord, TempsSync restant responsable à l'égard du Client de leur respect ;
Assister le Client, dans la mesure du raisonnable, pour répondre aux demandes d'exercice des droits des personnes concernées et pour ses obligations en matière d'analyse d'impact (AIPD) le cas échéant ;
Notifier le Client dans les meilleurs délais, et au plus tard dans les 48 heures, après avoir pris connaissance d'une violation de données le concernant ;
Supprimer ou restituer, au choix du Client, l'ensemble des données à l'issue de la relation contractuelle, selon les modalités et le délai décrits dans la politique de confidentialité (suppression définitive 90 jours après expiration de l'abonnement) ;
Mettre à disposition du Client les informations nécessaires pour démontrer le respect du présent accord, et permettre la réalisation d'audits, y compris d'inspections, par le Client ou un auditeur mandaté par lui, sur préavis d’au moins soixante (60) jours et dans la limite d’un audit par an, si l’audit entraine des frais supplémentaires pour TempsSync, ces frais seront pris en charge intégralement par le Client.

4.Sous-traitants ultérieurs autorisés

Le Client autorise TempsSync à recourir aux sous-traitants ultérieurs suivants, nécessaires au fonctionnement du Service :

Sous-traitant	Rôle	Localisation
Railway Corporation	Hébergement de l'application et de la base de données	Pays-Bas
Expo	Acheminement des notifications push mobiles	États-Unis

Stripe ne figure pas dans cette liste : ce prestataire ne traite que les données de facturation des administrateurs, pour lesquelles TempsSync agit en qualité de responsable de traitement (voir la politique de confidentialité).

TempsSync informera le Client de tout ajout ou remplacement de sous-traitant ultérieur. Le Client pourra s'opposer à ce changement pour un motif légitime lié à la protection des données.

5.Transferts hors Union européenne

Certains sous-traitants ultérieurs sont établis ou peuvent traiter des données aux États-Unis. Ces transferts doivent s'appuyer sur un mécanisme reconnu par le RGPD (clauses contractuelles types de la Commission européenne, ou tout autre mécanisme équivalent mis en place par ces prestataires).

Expo → cadre UE-États-Unis à titre principal, clauses contractuelles types en complément
Railway → hébergement de l'application et de la base de données dans l'Union européenne (Pays-Bas) ; DPA de Railway activé (clauses contractuelles types incluses pour tout traitement éventuel hors Union européenne)

6.Responsabilité

Chaque partie est responsable des dommages causés par un traitement en violation du RGPD qui lui est imputable. Les limitations de responsabilité prévues aux CGS s'appliquent au présent accord, sans préjudice des dispositions impératives du RGPD.

Annexe 1 — Mesures de sécurité

Mesures actuellement décrites dans la politique de confidentialité :

Accès authentifié par compte individuel
Cloisonnement des données entre entreprises clientes
Communications chiffrées (HTTPS)
Hébergement chez un prestataire réputé (Railway), dans l'Union européenne (Pays-Bas)

Mesures complémentaires : mots de passe stockés sous forme hachée ; jetons de session invalidés en cas de changement de mot de passe ou de désactivation du compte ; droits d'accès par rôle et par périmètre (site, équipe) ; aucune donnée de santé dans les notifications et e-mails du Service. Journal des connexions. Accès de l'éditeur à l'hébergement et à la base de données limité à une seule personne, avec double authentification.