Accord de traitement (DPA)

Cet accord s'applique entre le client (l'employeur, en tant que responsable du traitement) et Klox, [bedrijfsnaam BV] dont le numéro d'entreprise est [KBO-nummer] (en tant que sous-traitant). Le client détermine la finalité et les moyens du traitement ; Klox ne traite les données à caractère personnel que sur instruction du client.

Klox traite des données à caractère personnel afin de pouvoir fournir l'enregistrement du temps de travail : l'enregistrement des pointages d'entrée et de sortie, la constitution du registre journalier, la traçabilité des corrections et l'exportation du dossier d'inspection. Le traitement dure pendant toute la durée de l'accord, augmentée du délai légal de conservation.

Personnes concernées : les employés et éventuels autres collaborateurs du client qui utilisent le service. Données : données d'identification (nom, numéro de personnel, lieu de travail), heures d'entrée et de sortie, corrections avec motif et auteur, et données du badge NFC le cas échéant. Aucune catégorie particulière de données à caractère personnel n'est traitée.

Klox ne traite les données que sur instruction documentée du client, sauf obligation légale contraire. Toute personne chez Klox ayant accès aux données est tenue à la confidentialité.

Klox prend des mesures techniques et organisationnelles appropriées (article 32 du RGPD), notamment :

• le chiffrement des données lors du transport ;
• un contrôle d'accès strict et une séparation des rôles ;
• une isolation des tenants au niveau de la base de données (Row-Level Security) comme filet de sécurité ;
• un stockage append-only des enregistrements bruts, afin qu'ils ne puissent pas être écrasés silencieusement ;
• une piste d'audit qui enregistre qui a fait quoi et quand ;
• un hébergement au sein de l'Union européenne.

Klox ne fait appel qu'aux sous-traitants nécessaires à la fourniture du service et leur impose les mêmes obligations. Le client donne une autorisation générale et est informé en cas de modification, afin de pouvoir s'y opposer. Sous-traitants actuels :

• [hostingprovider] (UE) pour l'hébergement de l'application et de la base de données ;
• [fournisseur e-mail] (UE) pour l'envoi des e-mails transactionnels, comme les invitations et les notifications ;
• [prestataire réseau/sécurité] pour la sécurité et la disponibilité du site web ; il traite uniquement le trafic réseau et ne conserve aucune donnée à caractère personnel ;
• [prestataire de paiement] (UE) pour le traitement des paiements, le cas échéant.

Klox aide raisonnablement le client à répondre aux demandes des personnes concernées et à respecter ses propres obligations en matière de sécurité et d'analyses d'impact. En cas de violation de données à caractère personnel, Klox informe le client sans retard injustifié, en lui fournissant les informations dont il a besoin pour respecter son obligation de notification.

Toutes les données sont stockées et traitées au sein de l'Espace économique européen, concrètement dans un centre de données en Allemagne. La seule exception est le prestataire qui sécurise et accélère le trafic réseau du site web : il dispose de serveurs en dehors de l'EEE, mais ne conserve pas les données à caractère personnel. Aucun autre transfert hors de l'EEE n'a lieu.

Les enregistrements sont conservés au moins 5 ans et restent exportables pour l'employé et l'inspection. À la fin de la convention, Klox restitue les données ou les supprime, au choix du client et sous réserve des obligations légales de conservation. À l'expiration du délai de conservation, les données à caractère personnel sont anonymisées plutôt que supprimées, afin que les enregistrements conservent leur valeur probante légale sans plus pouvoir être rattachés à une personne.privacy@klox.be.