CaregestAccord de sous-traitance des données
Article 28 du RGPD · version du 29 octobre 2026
Cet accord fait partie des conditions générales. Il s'applique aux données personnelles que le Client (la structure, responsable du traitement) saisit dans Caregest, et que Martin Mantoulan (l'Éditeur, sous-traitant) traite pour son compte.
1. Description du traitement
| Objet et nature | Hébergement, stockage, consultation, modification, export et suppression des données, pour fournir les fonctions du logiciel. |
|---|---|
| Finalités | Gestion du stock de matériel, des équipes, des congés et échéances, préparation des éléments variables de paie, suivi des prestataires et contrats. |
| Durée | Durée du contrat, puis période de réversibilité (voir l'article 4). |
| Personnes concernées | Utilisateurs du logiciel ; salariés et collaborateurs du Client ; contacts de ses prestataires et fournisseurs. |
| Données | Identité, coordonnées professionnelles, poste, type de contrat, horaires, congés et absences (sans motif médical), matricule de paie, éléments variables de paie, documents déposés par le Client, journal des accès et des actions. |
| Données exclues | Données de santé, données de patients, numéro de sécurité sociale, coordonnées bancaires, et plus généralement les données sensibles au sens de l'article 9 du RGPD : le Client s'engage à ne pas les saisir. |
2. Engagements de l'Éditeur
- Traiter les données uniquement pour fournir le service, sur les instructions documentées du Client que constituent ces conditions et l'usage du logiciel. L'Éditeur informe le Client s'il estime qu'une instruction est contraire au RGPD.
- Garantir la confidentialité : seules les personnes autorisées par l'Éditeur, tenues au secret, accèdent aux données, et uniquement pour l'assistance, la maintenance ou la sécurité.
- Mettre en oeuvre les mesures de sécurité décrites en annexe 1 (article 32 du RGPD).
- Ne recourir qu'aux sous-traitants ultérieurs listés en annexe 2, soumis aux mêmes obligations. Tout changement est annoncé au moins 30 jours à l'avance ; le Client peut s'y opposer en résiliant.
- Aider le Client à répondre aux demandes des personnes concernées (accès, rectification, effacement, etc.), notamment grâce aux fonctions de consultation, de modification et d'export du logiciel.
- Notifier au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, avec les informations utiles à sa propre notification.
- Aider le Client, dans la mesure du raisonnable, pour ses analyses d'impact et ses obligations de sécurité.
- Tenir un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD).
- Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations, et permettre un audit sur demande raisonnable (au plus une fois par an, avec un préavis de 30 jours, aux frais du Client, sans accès aux données des autres clients).
- Ne transférer aucune donnée du Client hors de l'Union européenne.
3. Engagements du Client
- Disposer d'une base légale pour chaque traitement et informer les personnes concernées, notamment ses salariés.
- Ne saisir aucune des données exclues ci-dessus, et paramétrer les droits d'accès de ses utilisateurs (par module, par personne).
- Signaler sans délai à l'Éditeur tout incident ou accès non autorisé dont il a connaissance.
4. Fin du contrat
À la fin du contrat, le Client peut exporter ses données pendant la période de lecture seule. Les données sont ensuite supprimées sur sa demande, et au plus tard 12 mois après la fin du contrat ; les copies de sauvegarde sont effacées au fil de leur renouvellement (14 jours pour les sauvegardes de l'Éditeur, selon la politique de l'hébergeur pour les siennes).
Annexe 1 : mesures de sécurité
- Connexion chiffrée (HTTPS forcé) et en-têtes de sécurité du navigateur.
- Mots de passe stockés sous forme hachée, limitation des tentatives de connexion, double authentification disponible et exigible par l'administrateur.
- Séparation stricte des données entre clients, droits d'accès par module et par personne, journal des consultations et des actions sensibles.
- Documents déposés et sauvegardes stockés hors de l'espace public du site, accessibles seulement après contrôle des droits.
- Sauvegarde quotidienne de la base, conservée 14 jours, en plus des sauvegardes de l'hébergeur.
- Aucune ressource ni script provenant de services tiers dans le logiciel.
Annexe 2 : sous-traitants ultérieurs
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVH SAS | Hébergement du logiciel, de la base de données et des sauvegardes ; envoi des e-mails | France |
Le prestataire de paiement (Stripe) ne traite que les données de facturation du Client, pour le compte de l'Éditeur : il n'a pas accès aux données saisies dans le logiciel.
Contact
martinmantoulan@gmail.com