Contrat de traitement des données (DPA)

Le présent contrat de traitement des données (« DPA ») encadre le traitement des données à caractère personnel réalisé par KORCODE, société par actions simplifiée à associé unique au capital de 1 500 €, dont le siège social est situé 870 rue de la Briqueterie, 62580 Thélus, immatriculée au RCS d'Arras sous le n° 130 116 148, exerçant sous le nom commercial KADENCEO (« le Sous-traitant »), pour le compte du Client (« le Responsable de traitement ») dans le cadre de l'utilisation du Service, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD »). Il complète les Conditions Générales de Vente et prévaut en cas de contradiction sur les questions de protection des données.

3.1 — Obligations du Client (Responsable de traitement)

• Établir la licéité du traitement à l'égard de ses salariés : information préalable (articles 12 à 14 du RGPD), consultation du comité social et économique lorsqu'elle est requise, et inscription du traitement à son propre registre.
• Ne renseigner dans le Service aucune donnée de l'article 9 du RGPD au-delà du motif d'absence prévu par le Service. En particulier, le champ libre « remarques » ne doit recevoir ni diagnostic, ni pathologie, ni information de santé, ni donnée relative à la vie privée, aux opinions, à l'appartenance syndicale ou à l'origine d'un salarié.
• Ne pas détourner le Service en outil de surveillance individualisée : le pointage a pour finalité le décompte du temps de travail et la paie, non le contrôle permanent des salariés.
• Gérer les habilitations de ses propres comptes (création, rôle, retrait) et révoquer sans délai les accès des personnes qui quittent l'entreprise.

3.2 — Obligations du Sous-traitant (KADENCEO)

• Traiter les données uniquement sur instruction documentée du Responsable (les présentes et l'usage du Service valant instructions), et l'alerter si une instruction lui paraît contraire au RGPD.
• Garantir la confidentialité : seules les personnes habilitées et tenues à la confidentialité accèdent aux données.
• Mettre en œuvre des mesures techniques et organisationnelles appropriées (voir l'article 5 ci-dessous).
• Assister le Responsable pour répondre aux demandes d'exercice des droits des personnes et pour ses obligations de sécurité, de notification de violation et d'analyse d'impact.
• Ne pas transférer les données hors de l'Union européenne sans garanties appropriées (voir l'article 7 ci-dessous).

Le Client autorise le recours aux sous-traitants ultérieurs listés ci-dessous. Le Sous-traitant leur impose des obligations équivalentes aux présentes et informe le Client de tout changement envisagé, laissant la possibilité d'émettre des objections motivées.

Concernant Sentry : la supervision est configurée pour ne transmettre aucune donnée à caractère personnel — ni adresse IP, ni cookie, ni en-tête d'authentification, ni corps de requête, ni identité d'utilisateur, et aucune trace de navigation n'est collectée. Seuls le message d'erreur technique et la route concernée sont transmis. Le Sous-traitant s'interdit d'activer la collecte de données personnelles sur ce service sans en informer préalablement le Client.

• Chiffrement en transit (TLS), mots de passe hachés (bcrypt), secrets sensibles chiffrés au repos.
• Contrôle d'accès, double authentification disponible, limitation anti-brute-force.
• Journal d'audit horodaté, en-têtes HTTP durcis, isolation des données entre clients (multi-tenant).
• Purge automatique des données au terme des durées de conservation.

Le Sous-traitant notifie au Responsable toute violation de données à caractère personnel dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, avec les éléments utiles permettant au Responsable de satisfaire, le cas échéant, à ses obligations de notification (art. 33 et 34 RGPD). Les éléments qui ne sont pas encore connus à l'issue de ce délai sont communiqués au fur et à mesure.

Les données du Service sont hébergées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur implique un transfert hors UE (ex. Stripe, Resend), celui-ci est encadré par des clauses contractuelles types de la Commission européenne ou un mécanisme équivalent.

Le Sous-traitant met à disposition du Responsable les fonctions permettant de répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité — notamment via l'export de données) et l'assiste raisonnablement pour les demandes qu'il ne peut traiter seul.

Au terme de la prestation — fin de l'essai gratuit sans souscription, ou prise d'effet de la résiliation —, le Sous-traitant met à la disposition du Responsable, pendant trente (30) jours, l'export complet des Données Client depuis son espace (formats Excel et JSON), y compris lorsque l'accès au Service est suspendu. À l'expiration de ce délai, et après en avoir averti le Responsable par courrier électronique au moins sept (7) jours à l'avance, il supprime définitivement les Données Client de ses systèmes. Les sauvegardes sont purgées selon leur cycle de rotation.

Les obligations légales de conservation qui s'imposent au Responsable en sa qualité d'employeur, notamment pour les éléments de paie, demeurent à sa charge : il lui appartient de récupérer ses données avant la suppression. Le Sous-traitant ne conserve aucune Donnée Client au-delà, aucune disposition légale ne le lui imposant pour son propre compte.

Le Sous-traitant met à disposition du Responsable les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et permet la réalisation d'audits, dans des conditions raisonnables (préavis, confidentialité, périodicité), par le Responsable ou un tiers mandaté.