Accord de sous-traitance PlusTime

Version 2026-11-v2

1. Rôles

Le client est responsable du traitement des données à caractère personnel de ses travailleurs. PlusTime (Axpeco B.V., numéro d'entreprise BE 1001.385.042) est sous-traitant au sens de l'article 28 du Règlement général sur la protection des données (RGPD).

2. Objet, nature et durée

PlusTime traite les données uniquement pour fournir le service PlusTime : conserver, afficher, calculer, exporter et envoyer par e-mail des données relatives au temps de travail, aux horaires et aux absences, ainsi que le support et la sécurité de ces opérations. Le traitement dure pendant le contrat et ensuite pendant la période prévue à l'article 11.

3. Données et personnes concernées

• Personnes concernées : les travailleurs et autres utilisateurs ajoutés par le client.
• Données : nom, adresse e-mail, rôle, langue, références externes, horaires, heures prestées, pauses, absences et leur motif (code), demandes, quotas, heures supplémentaires et suppléments, modifications avec moment et motif, adresse IP lors d'une confirmation.
• En cas d'utilisation de la pointeuse : moment du pointage d'entrée et de sortie et des pauses, le fait que cela s'est fait via le kiosque ou hors ligne, le fait qu'une fin a été modifiée manuellement, et le statut de présence actuel. Le code PIN n'est conservé que sous forme de hachage irréversible.
• PlusTime ne traite pas de données biométriques, de photos ni de localisation GPS.
• Aucune catégorie particulière de données, sauf ce que le client enregistre lui-même comme motif d'absence (p. ex. maladie, sans détails médicaux). Le client n'introduit pas de détails médicaux dans les champs de texte libre.

4. Instructions

PlusTime traite les données uniquement selon les instructions écrites du client, y compris le présent accord et l'utilisation de l'application, également en ce qui concerne le transfert vers des pays tiers. Il en va autrement si une obligation légale contraint PlusTime à agir autrement ; PlusTime le signale alors au préalable, sauf si la loi l'interdit. PlusTime signale immédiatement si, selon elle, une instruction est contraire au RGPD.

5. Confidentialité

Les personnes ayant accès aux données chez PlusTime sont tenues à la confidentialité. L'accès aux données d'un client n'a lieu que lorsque cela est nécessaire pour le service, pour une panne ou à la demande du client.

6. Sécurité

PlusTime prend des mesures techniques et organisationnelles appropriées, décrites à l'annexe 2. PlusTime peut les adapter, pour autant que le niveau de protection ne diminue pas.

7. Sous-traitants ultérieurs

Le client donne une autorisation générale pour les sous-traitants ultérieurs de l'annexe 1. PlusTime leur impose les mêmes obligations que celles du présent accord et reste responsable de leurs prestations envers le client. PlusTime annonce tout sous-traitant ultérieur nouveau ou remplaçant 30 jours à l'avance par e-mail. Le client peut s'y opposer pour un motif fondé ; si les parties ne trouvent pas de solution, le client peut résilier gratuitement pour la date du changement.

8. Transfert en dehors de l'Espace économique européen

Les données sont stockées dans l'Union européenne. Un transfert en dehors de l'Espace économique européen n'a lieu que comme mentionné à l'annexe 1, avec une garantie appropriée conforme au chapitre V du RGPD, comme une décision d'adéquation ou les clauses contractuelles types de la Commission européenne.

9. Assistance

PlusTime aide le client, dans la mesure du raisonnable et compte tenu des informations dont elle dispose, pour les demandes des personnes concernées, la sécurité, les notifications de violations, une analyse d'impact et une consultation préalable. Une demande que PlusTime reçoit directement d'une personne concernée est transmise au client sans y donner suite elle-même.

10. Violations de données

PlusTime notifie une violation de données à caractère personnel dans les meilleurs délais et au plus tard dans les 48 heures après sa découverte, avec les informations dont le client a besoin pour sa propre notification : la nature de la violation, les données et personnes concernées, les conséquences probables et les mesures prises. Ce qui n'est pas encore connu suit dès que possible.

11. Fin

À la fin du contrat, le client peut exporter ses données pendant 30 jours, ou plus longtemps si cela découle du régime de changement de fournisseur des conditions générales. PlusTime supprime ensuite les données dans les 30 jours, sauf ce que PlusTime doit légalement conserver. Les sauvegardes disparaissent d'elles-mêmes lors de leur rotation normale, au plus tard 35 jours plus tard.

Le délai de conservation de l'enregistrement du temps de travail est une obligation du client. PlusTime conserve les données pendant la durée du contrat et non au-delà : le client exporte avant la fin ce qu'il doit conserver plus longtemps.

12. Audit

PlusTime fournit au client les informations nécessaires pour démontrer le respect du présent accord. Le client peut, à ses frais et moyennant un préavis raisonnable, vérifier lui-même ou par un auditeur indépendant le respect du présent accord par PlusTime. Il le fait sans perturber le service et en respectant la confidentialité des autres clients.

13. Données pour lesquelles PlusTime est responsable du traitement

Pour les coordonnées du client, l'inscription, la preuve de l'acceptation, la facturation et la sécurité de ses propres systèmes, PlusTime est elle-même responsable du traitement. La politique de confidentialité sur plustime.be l'explique.

14. Responsabilité et priorité

La responsabilité au titre du présent accord suit les conditions générales, sans préjudice des droits des personnes concernées. En cas de contradiction concernant les données à caractère personnel, le présent accord prévaut.

Annexe 1 : sous-traitants ultérieurs

• Microsoft Ireland Operations Ltd. (Azure) : hébergement, base de données, stockage, gestion des clés, envoi d'e-mails et journaux techniques (Application Insights). Localisation : Union européenne.
• Uniquement si le client les utilise : Google (connexion avec Google et liaison d'agenda) et Microsoft Entra ID (connexion avec Microsoft). Transfert possible vers les États-Unis, dans le cadre du EU-US Data Privacy Framework.

Le secrétariat social ou les autres destinataires auxquels le client exporte lui-même des données ne sont pas des sous-traitants ultérieurs de PlusTime.

Annexe 2 : mesures techniques et organisationnelles

• Chiffrement pendant le transport (TLS) et au repos (base de données et stockage).
• Données séparées par client dans l'application, contrôle d'accès par rôle. L'aperçu des présences n'est visible que pour la paie et les administrateurs.
• Mots de passe, codes PIN et clés de kiosque uniquement sous forme de hachage. Après cinq codes PIN erronés, l'accès est bloqué pendant 15 minutes.
• Un journal des modifications des enregistrements, avec moment, auteur et motif.
• Secrets dans un coffre-fort de clés sécurisé, en dehors du code source.
• Base de données accessible uniquement via un pare-feu. L'accès d'administration se fait avec des comptes distincts, en lecture seule lorsque cela suffit.
• Sauvegardes automatiques, réparties géographiquement dans l'Union européenne.
• Les journaux techniques sont conservés 90 jours, avec des adresses IP masquées.