Contrat de sous-traitance des données

Le présent contrat de sous-traitance (le « Contrat ») régit la manière dont shifta traite les données personnelles que votre entreprise saisit dans le Service, avant tout les données personnelles de vos employés. Il fait partie intégrante de nos conditions générales et est accepté en même temps qu'elles, de sorte qu'aucun document distinct n'a besoin d'être signé. Il est rédigé pour satisfaire à l'art. 9 de la nouvelle loi fédérale sur la protection des données (nLPD) et à l'art. 28 du règlement général européen sur la protection des données (RGPD).

Parties et rôles

Le client, c'est-à-dire l'entreprise titulaire d'un compte shifta, est le responsable du traitement. Yannis Schnider et Eliott Langer, formant ensemble une société simple au sens des art. 530 ss CO et exploitant le service sous le nom « shifta », à 8 Route d'Echandens, 1027 Lonay, canton de Vaud, Suisse, est le sous-traitant (« shifta », « nous »). Vous déterminez les finalités et les moyens du traitement des données personnelles de vos employés ; nous ne les traitons que pour fournir le Service et uniquement sur vos instructions.

Le présent Contrat ne couvre que les Données client. Lorsque nous traitons des données personnelles pour nos propres finalités, comme les informations de votre compte et de facturation, l'analyse de notre site web et notre propre marketing, nous agissons en tant que responsable du traitement et c'est notre politique de confidentialité qui s'applique.

Objet et durée

L'objet est la fourniture du service shifta de planification des équipes, de messagerie et de gestion du temps de travail. Le traitement dure aussi longtemps que votre compte existe, puis uniquement pour la conservation limitée décrite dans la section relative à la suppression.

Vos instructions

Nous ne traitons les Données client que sur vos instructions documentées. Votre utilisation du Service, conjointement avec les présents documents, constitue l'intégralité de vos instructions. Nous vous informerons si, à notre avis, une instruction viole le droit de la protection des données, et nous pourrons refuser de la suivre. Nous n'utiliserons pas les Données client à nos propres fins, ne les vendrons pas, ne les utiliserons pas à des fins publicitaires et ne les utiliserons pas pour entraîner des modèles d'intelligence artificielle. Lorsque la loi nous oblige à traiter des Données client au-delà de vos instructions, nous vous en informerons au préalable, sauf si la loi l'interdit.

Confidentialité

L'accès aux Données client est limité aux personnes qui en ont besoin pour exploiter et assurer le support du Service. Elles sont tenues à une obligation de confidentialité qui perdure après la fin de leur engagement, et leurs accès sont journalisés et contrôlés.

Mesures de sécurité

Nous mettons en œuvre et maintenons des mesures techniques et organisationnelles appropriées pour protéger les Données client, en tenant compte de l'état de la technique, des coûts de mise en œuvre et des risques pour les personnes concernées. Ces mesures figurent à l'annexe 3. Nous pouvons les faire évoluer, pour autant que le niveau de protection ne soit pas réduit.

Sous-traitants ultérieurs

Vous nous donnez une autorisation générale de recourir aux sous-traitants ultérieurs listés à l'annexe 2. Chacun est lié par un contrat écrit imposant des obligations de protection des données au moins équivalentes à celles du présent Contrat, et nous restons pleinement responsables envers vous de leurs prestations.

Nous vous informerons au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, par e-mail au titulaire du compte. Si vous formulez une objection raisonnable fondée sur la protection des données dans ce délai, nous chercherons une solution avec vous ; à défaut, vous pourrez résilier la partie du Service concernée et nous rembourserons les montants payés d'avance couvrant la période postérieure à la résiliation. C'est le seul cas dans lequel nous remboursons du temps non utilisé.

Transferts internationaux

Les Données client sont stockées dans l'Union européenne. Certains sous-traitants ultérieurs listés à l'annexe 2 traitent des données aux États-Unis ou à l'échelle mondiale. Pour ces transferts, nous nous fondons sur le Swiss-U.S. Data Privacy Framework et, le cas échéant, sur l'EU-U.S. Data Privacy Framework, ou sur des clauses contractuelles types reconnues par le PFPDT et par la Commission européenne, assorties des mesures supplémentaires requises par les circonstances. Vous pouvez demander une copie des garanties en place à privacy@shifta.ch.

Notre assistance pour vos obligations

Compte tenu de la nature du traitement, nous vous assisterons, par des mesures techniques et organisationnelles appropriées et dans la mesure du raisonnable, dans l'accomplissement de vos propres obligations. En particulier, nous :

• vous transmettrons, sans y répondre nous-mêmes, toute demande reçue directement d'un de vos employés visant à accéder à ses données, à les corriger ou à les supprimer ;
• vous aiderons à répondre à ces demandes, notamment en fournissant un export des données concernées ;
• vous aiderons à réaliser une analyse d'impact relative à la protection des données ou une consultation préalable auprès d'une autorité, lorsqu'elle est requise ;
• vous fournirons les informations dont vous avez raisonnablement besoin pour démontrer le respect du présent Contrat.

Le Service vous permet également d'exporter vos données vous-même à tout moment, ce qui sera généralement la voie la plus rapide.

Violations de données

Si nous prenons connaissance d'une violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée de Données client ou l'accès non autorisé à celles-ci, de manière accidentelle ou illicite, nous vous en informerons sans délai injustifié et en tout état de cause dans les 48 heures suivant notre prise de connaissance, afin que vous puissiez respecter vos propres délais d'annonce. L'information décrira ce qui s'est passé, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Nous vous tiendrons informé à mesure que la situation se précise, et nous n'annoncerons la violation ni à votre autorité de contrôle ni à vos employés à votre place, sauf si vous nous le demandez.

Audits

Sur demande, et au maximum une fois par an sauf si une violation ou une autorité l'exige, nous fournirons les informations nécessaires pour démontrer le respect du présent Contrat, y compris une description de nos mesures de sécurité actuelles et les certifications ou rapports pertinents de nos sous-traitants ultérieurs. Si cette documentation s'avère réellement insuffisante, vous pouvez procéder à un audit sur place, sous réserve d'un préavis écrit d'au moins 30 jours, d'un engagement de confidentialité, d'une planification pendant les heures ouvrables, de l'absence de perturbation du Service ou des autres clients, et du remboursement de nos frais raisonnables.

Suppression et restitution des données

Vous pouvez exporter vos Données client à tout moment tant que votre compte est ouvert. La résiliation d'un abonnement payant ne supprime rien : le compte revient au forfait Gratuit et les données restent disponibles si vous vous réabonnez. Lorsque vous supprimez votre compte ou votre espace de travail, ou nous demandez par écrit de le faire, nous supprimons les Données client de nos systèmes actifs sans délai injustifié, et des sauvegardes courantes au fur et à mesure que celles-ci sont écrasées selon leur cycle normal.

Deux exceptions s'appliquent, toutes deux imposées par la loi. Les heures confirmées et les décomptes signés sont conservés cinq ans en vertu de l'art. 73 de l'ordonnance 1 relative à la loi sur le travail, qui oblige les employeurs à les conserver ; nous les conservons sous une forme qui n'identifie plus l'employé concerné, de sorte que l'enregistrement subsiste sans que la personne nous reste identifiable. Les pièces de facturation et de comptabilité sont conservées dix ans en vertu de l'art. 958f du Code des obligations, mais il s'agit de nos propres données en tant que responsable du traitement, et non de Données client.

Responsabilité

La responsabilité au titre du présent Contrat est soumise aux limitations prévues par nos conditions générales, sauf lorsqu'une telle limitation n'est pas admise par le droit de la protection des données.

Modifications, transfert et droit applicable

Nous pouvons mettre à jour le présent Contrat lorsqu'une évolution législative, une évolution du Service ou un changement de sous-traitant ultérieur l'exige, moyennant un préavis d'au moins 30 jours et pour autant que votre protection ne soit pas réduite. Le présent Contrat peut être transféré en même temps que les conditions générales, aux conditions prévues à la section « Transfert du présent contrat » de celles-ci. Le présent Contrat est régi par le droit suisse, le for étant celui prévu par nos conditions générales. En cas de contradiction entre le présent Contrat et nos conditions générales sur une question de protection des données, le présent Contrat prévaut.

Annexe 1 : détails du traitement

Catégories de personnes concernées

• Vos employés et autres membres d'équipe que vous invitez, y compris, le cas échéant, des apprentis et d'autres mineurs.
• Vos managers et administrateurs.
• Toute personne dont vous choisissez de saisir les informations dans un shift, une note ou un message.

Catégories de données personnelles

Le Service n'est pas conçu pour des catégories particulières de données personnelles. Les informations de santé relatives à une absence, par exemple un certificat médical, ne doivent pas y être saisies ; n'enregistrez que le fait de l'absence.

Nature et finalité du traitement

Conservation, organisation, consultation, modification, transmission aux employés concernés et suppression, aux fins de la planification et de la publication des horaires, de la messagerie d'équipe, de l'enregistrement du temps de travail, de la gestion des absences et des disponibilités, de l'analyse des coûts de personnel et de l'envoi des notifications correspondantes par push et par e-mail.

Annexe 2 : sous-traitants ultérieurs approuvés

Les sous-traitants ultérieurs suivants peuvent traiter des Données client. Les prestataires que nous utilisons uniquement sur notre site web public, comme PostHog et Meta, ne figurent pas ici car ils ne reçoivent jamais de Données client ; ils sont décrits dans notre politique de confidentialité et notre politique relative aux cookies.

Annexe 3 : mesures techniques et organisationnelles

• Chiffrement: tout le trafic est chiffré en transit via TLS ; les données sont chiffrées au repos par notre fournisseur d'infrastructure ; les mots de passe ne sont stockés que sous forme de hachages salés par notre prestataire d'authentification et ne nous sont jamais visibles.
• Cloisonnement des clients: chaque table contenant des Données client applique des règles de sécurité au niveau des lignes directement dans la base de données, de sorte que les données d'un client ne peuvent pas être lues depuis la session d'un autre, même si un contrôle applicatif venait à manquer.
• Contrôle des accès: les rôles au sein du Service (propriétaire, administrateur, manager, employé) déterminent ce que chacun peut voir ; l'accès administratif aux systèmes de production est réservé aux exploitants et protégé par une authentification à plusieurs facteurs.
• Protection contre les abus et les robots: les formulaires de connexion et d'inscription sont protégés contre les attaques automatisées ; des limites côté serveur s'appliquent aux opérations coûteuses.
• Surveillance: les erreurs applicatives et les échecs des tâches de facturation et de notification sont signalés à un service de surveillance des erreurs et nous alertent, afin que les incidents soient remarqués plutôt que de s'accumuler silencieusement.
• Résilience et restauration: les données font l'objet de sauvegardes glissantes par notre fournisseur d'infrastructure et peuvent être restaurées à un instant donné.
• Minimisation des données: les données envoyées à l'assistant IA sont limitées au nécessaire et ne sont pas liées au nom de votre entreprise ; les outils d'analyse et de publicité sont totalement exclus de l'application.
• Suppression: la suppression du compte et de l'espace de travail est disponible dans l'application et retire les Données client des systèmes actifs, sous réserve de la conservation légale décrite ci-dessus.
• Gestion des fournisseurs: chaque sous-traitant ultérieur est lié par un contrat écrit de traitement des données et, pour les transferts hors de Suisse et de l'EEE, par un mécanisme de transfert approuvé.

Nous sommes une petite équipe et ne disposons pas de certification ISO 27001 ou SOC 2. Nous décrivons ici ce que nous faisons réellement plutôt que ce qu'exigerait une norme d'audit.

Contact

Questions sur le présent Contrat, ou demandes concernant les données de vos employés : privacy@shifta.ch.