Accord de traitement des données (DPA)

Objet, durée et nature du traitement

EACHR traite les données pour fournir le service eachr : hébergement, stockage, affichage, calcul, notification par e-mail, export et suppression, selon les modules activés par l'entreprise cliente. Le traitement dure aussi longtemps que l'abonnement, puis le temps de la restitution des données.

Catégories de données et de personnes

• Personnes concernées : salariés, managers, administrateurs et contacts de facturation de l'entreprise cliente, office managers mandatés.
• Données : identité et coordonnées, données contractuelles et de carrière, notes de frais et justificatifs, absences et justificatifs (pouvant contenir des données de santé), temps de travail et pointages, éléments de paie et bulletins (contenant le numéro de sécurité sociale), documents RH, contenus de communication interne, journaux d'accès.

Obligations d'EACHR

• Traiter les données uniquement sur instruction documentée de l'entreprise cliente, les fonctionnalités du service constituant ces instructions.
• Garantir la confidentialité des personnes autorisées à traiter les données.
• Mettre en œuvre les mesures de sécurité décrites sur la page Sécurité : chiffrement en transit et au repos, isolation par entreprise, contrôle d'accès par rôle, scellement des documents, journalisation, sauvegardes.
• Assister l'entreprise cliente pour répondre aux demandes d'exercice de droits des personnes concernées et pour ses analyses d'impact lorsque c'est nécessaire.
• Notifier l'entreprise cliente de toute violation de données personnelles sans délai injustifié après en avoir eu connaissance, avec les informations utiles à sa propre notification.
• Tenir un registre des catégories d'activités de traitement effectuées pour le compte de l'entreprise cliente.

Sous-traitants ultérieurs

L'entreprise cliente autorise EACHR à recourir aux sous-traitants ultérieurs listés dans la politique de confidentialité (hébergement, base de données, stockage de fichiers, lecture automatique des justificatifs, paiement, e-mails, connexion Google, supervision, protection contre les abus). EACHR informe l'entreprise cliente de tout ajout ou remplacement au moins 30 jours avant, par e-mail ou dans l'application ; l'entreprise cliente peut s'y opposer par écrit et, à défaut de solution, résilier l'abonnement sans frais.

Localisation et transferts

Les données sont stockées dans l'Union européenne. Les transferts vers des sous-traitants établis hors UE sont encadrés par les Clauses Contractuelles Types de la Commission européenne.

Fin du traitement

À la fin de l'abonnement, l'entreprise cliente dispose de 60 jours pour exporter ses données depuis l'application ou en demander la restitution. Passé ce délai, EACHR supprime les données, sauf obligation légale de conservation (notamment comptable).

Audit

EACHR met à disposition les informations nécessaires pour démontrer le respect de ses obligations et permet, une fois par an et sur préavis de 30 jours, un audit mené par l'entreprise cliente ou un auditeur indépendant mandaté par elle, aux frais de l'entreprise cliente et sans perturber le service.

Responsabilité

La responsabilité d'EACHR au titre du présent accord s'exerce dans les limites prévues par les conditions générales.