Contrat de sous-traitance des données

Ce contrat est prévu par l’article 28 du Règlement général sur la protection des données (RGPD). Il fixe les règles selon lesquelles Emblava traite les données personnelles saisies dans l’application pour le compte de l’entreprise cliente. Il fait partie de l’abonnement et s’applique dès son acceptation à l’ouverture du compte.

1. Les parties

• Le responsable du traitement : l’entreprise cliente (ci-après « le Client »), qui décide pourquoi et comment ses données et celles de ses salariés sont enregistrées.
• Le sous-traitant : Kilyan PEREIRA DA COSTA EI, nom commercial Kilyan Web, SIRET 994 036 572 00018, 2 le Poteau, 55800 Sommeilles, France, éditeur d’Emblava (ci-après « Emblava »).

2. Description du traitement

Objet	Mise à disposition de l’application Emblava et de ses modules activés par le Client : heures, journal de campagne, machines, agenda.
Nature des opérations	Collecte, enregistrement, conservation, consultation, modification à la demande du Client, export, suppression.
Finalités	Décompte du temps de travail et préparation de la paie ; suivi des travaux par parcelle et registre phytosanitaire ; suivi du matériel ; organisation de l’exploitation ; gestion des accès.
Personnes concernées	Les salariés du Client et ses représentants (patron, gérants) ; les personnes que le Client cite dans l’agenda (transporteur, interlocuteur d’un rendez-vous).
Données	Identité (nom, e-mail), rôle et droits ; données de connexion et journal des actions sensibles. Heures : horaires et heures travaillées, congés, maladie (statut seul), absences, commentaire du jour ; fiche salarié (contrat, dates d’entrée et de fin, note de l’employeur). Journal de campagne et machines : qui a noté ou modifié chaque intervention ou action, avec la date, les notes et les photos. Agenda : ce qui est prévu ou fait, avec la personne absente le cas échéant, le contact et les notes ; certaines lignes sont visibles de leur seul auteur. Fichiers : photos et documents déposés (cartes grises, assurances, factures…).
Limites	Le statut d’absence pour maladie peut être renseigné, sans diagnostic, motif médical ou justificatif. Aucune géolocalisation : les informations de localisation des photos sont supprimées au dépôt. Aucun numéro de sécurité sociale, aucune donnée bancaire de salarié.
Durée	Celle de l’abonnement, puis jusqu’à la suppression prévue à l’article 10. Pendant l’abonnement : données et fichiers conservés tant que le Client ne les supprime pas ; journal de sécurité 12 mois ; invitations et codes de connexion 30 jours après leur expiration ; sauvegardes 7 jours.

3. Instructions du Client

Emblava ne traite les données que sur instruction documentée du Client. Les instructions sont l’utilisation de l’application elle-même (créer un salarié, valider une semaine, noter un traitement, exporter un relevé…) et les demandes écrites envoyées à [email protected]. Si une instruction lui paraît contraire au RGPD, Emblava en informe immédiatement le Client. Emblava n’utilise jamais les données pour son propre compte : ni publicité, ni revente, ni analyse commerciale.

4. Confidentialité

Seul l’éditeur d’Emblava peut accéder aux données, et uniquement pour le support ou la maintenance, à la demande du Client ou pour corriger un incident. Son espace d’administration n’affiche aucune donnée de ferme ; l’ouverture d’un compte client pour le support est inscrite dans un journal qui ne se modifie pas. Toute personne qui interviendrait pour Emblava serait tenue à la confidentialité.

5. Sécurité

Emblava met en œuvre les mesures suivantes (article 32 du RGPD) :

• chiffrement des échanges (HTTPS imposé sur tout le service) ;
• mots de passe stockés sous forme hachée (irréversible), de 10 caractères au moins ;
• limitation du nombre de tentatives de connexion et d’essais des codes de connexion ;
• cloisonnement des données par entreprise, vérifié par des tests automatiques avant chaque mise en ligne ;
• rôles distincts (salarié, patron), droits réglables par module et accès de chacun limité à ce dont il a besoin ;
• photos et documents rangés hors de l’espace public du serveur, servis seulement aux utilisateurs de l’entreprise ;
• double authentification obligatoire pour l’administration ;
• journal des actions sensibles protégé contre la modification (blocage en base de données et empreintes chaînées) ;
• sauvegarde quotidienne chiffrée de la base de données, conservée 7 jours ;
• en-têtes de sécurité limitant les contenus chargés par les pages ;
• hébergement en France.

6. Sous-traitants ultérieurs

Le Client autorise Emblava à faire appel aux prestataires suivants :

Prestataire	Rôle	Lieu
o2switch, Chemin des Pardiaux, 63000 Clermont-Ferrand, France, SIRET 510 909 807 00032	Hébergement de l’application, de la base de données et des sauvegardes	France
Plus Five Five, Inc. (« Resend »), San Francisco, États-Unis	Envoi des e-mails automatiques : nom et e-mail du destinataire, contenu du message (invitation, programme de la semaine de l’agenda)	Envoi depuis l’Union européenne (Irlande) ; traitements principaux de la société aux États-Unis
Cloudflare, Inc., San Francisco, États-Unis	Nom de domaine et acheminement protégé du trafic (adresses IP, échanges chiffrés)	Réseau mondial, dont États-Unis

Chaque prestataire est soumis, par son contrat, à des obligations de protection des données. Resend et Cloudflare étant établis aux États-Unis, des données peuvent y être transférées. Ces deux sociétés sont certifiées au cadre de protection des données UE–États-Unis (Data Privacy Framework), reconnu par la décision d’adéquation de la Commission européenne du 10 juillet 2023 ; leurs accords de traitement des données prévoient en outre les clauses contractuelles types de la Commission européenne. Tout ajout ou remplacement de prestataire est annoncé au Client par e-mail au moins 30 jours avant ; le Client peut s’y opposer et, à défaut d’accord, résilier sans frais.

7. Droits des salariés

Les salariés disposent des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition. Le Client y répond ; Emblava l’aide :

• accès et portabilité : relevés et registre dans l’application, export complet sur demande ;
• rectification : correction par le Client dans l’application, chaque correction étant tracée ;
• effacement : suppression sur instruction du Client, dans la limite de ses obligations légales de conservation ;
• toute demande reçue directement par Emblava est transmise au Client sous 5 jours ouvrés, sans y répondre à sa place.

8. Violation de données

En cas de violation de données (perte, accès non autorisé, fuite), Emblava prévient le Client dans les meilleurs délais et, en tout état de cause, au plus tard dans les 24 heures après en avoir pris connaissance, avec ce qu’il sait : nature de l’incident, données et personnes touchées, conséquences probables, mesures prises. Le Client décide s’il doit notifier la CNIL (sous 72 heures) et informer ses salariés ; Emblava l’y aide.

9. Aide au Client

Emblava aide le Client, sur demande, pour une analyse d’impact ou une consultation de la CNIL, dans la mesure de ce qu’il sait du traitement. Emblava tient un registre des traitements effectués pour le compte de ses clients.

10. Fin du contrat

À la fin de l’abonnement, le Client peut exporter ses relevés et son registre, et demander un export complet de ses données (format CSV, lisible par un tableur) avec ses photos et documents, remis sous 15 jours. Emblava supprime ensuite les données actives du Client (base de données en service et fichiers déposés) au plus tard 3 mois après la fin de l’abonnement, et le confirme par écrit sur demande.

Des copies peuvent subsister dans les sauvegardes réalisées avant cette suppression. Une sauvegarde ne pouvant pas être modifiée ligne par ligne, ces copies s’effacent progressivement, au fil du cycle de rétention : 7 jours pour les sauvegardes d’Emblava ; selon son propre cycle de rotation pour les sauvegardes techniques de l’hébergeur. Jusqu’à leur effacement, elles ne sont ni consultées ni utilisées, sauf restauration du service après un incident ; dans ce cas, les données du Client seraient de nouveau supprimées.

Seules restent les factures, conservées 10 ans pour les obligations comptables d’Emblava.

11. Contrôle

Emblava met à disposition du Client les informations nécessaires pour vérifier le respect de ce contrat. Le Client peut faire réaliser un audit, à ses frais, avec un préavis de 30 jours et sans perturber le service ; l’auditeur est tenu à la confidentialité.

12. Obligations du Client

Le Client reste responsable de la licéité des traitements qu’il confie à Emblava, de l’information de ses salariés et du respect de ses obligations légales, notamment en droit du travail et en protection des données. À ce titre, il s’engage à :

• informer ses salariés de l’usage d’Emblava (par exemple en leur transmettant la politique de confidentialité) ;
• ne saisir que les données nécessaires, et aucune information médicale dans les commentaires, notes, photos ou documents ;
• garder ses accès confidentiels et désactiver le compte d’un salarié qui quitte l’entreprise ;
• exporter et conserver ses relevés d’heures et son registre phytosanitaire selon ses obligations légales.

13. Acceptation

Ce contrat est accepté par le représentant du Client lors de l’ouverture du compte patron (case à cocher), en même temps que les conditions générales de vente. La date, la version et la personne qui l’accepte sont enregistrées. Si le texte change, la nouvelle version est présentée au Client avant de s’appliquer. Il est régi par le droit français.