Sous-traitance des données

1. Ce que cet accord règle, et ce qu’il ne règle pas

Il régit le traitement des données personnelles de votre équipe que nous effectuons pour votre compte lorsque vous utilisez FloorRun. Il décrit l’objet, la durée, la nature et la finalité de ce traitement, le type de données, les catégories de personnes concernées, et les obligations de chacun — les sept mentions que l’article 28 §3 exige.

Il ne règle ni le prix, ni la durée de votre abonnement, ni la responsabilité contractuelle : cela vit dans les conditions d’utilisation et les conditions de vente. Le document sur les données personnelles décrit les mêmes traitements en langage courant, pour être lu sans juriste. Sur le traitement des données de votre équipe, c’est le présent accord qui fait foi.

2. Qui est responsable, qui est sous-traitant

La réponse n’est pas décorative : elle détermine qui répond de quoi devant la CNIL et devant vos salariés.

Vous êtes le responsable du traitement. Vous êtes l’employeur : vous décidez pourquoi les plannings existent, qui y figure, quelles règles s’appliquent et combien de temps vous gardez ce qui en sort. C’est la définition de l’article 4 §7.

Nous sommes votre sous-traitant. Nous hébergeons et traitons ces données pour votre compte, sur vos instructions, au sens de l’article 4 §8 et de l’article 28. Un éditeur de logiciel qui n’a pas accès aux données n’est pas sous-traitant ; un service en ligne qui les héberge effectivement l’est, et c’est notre cas.

Nous restons responsable du traitement pour ce que nous faisons pour notre propre compte : la gestion de nos clients, la facturation, les comptes des personnes qui ouvrent l’outil. Ces traitements-là ne relèvent pas de cet accord ; ils sont décrits dans le document sur les données personnelles.

Si nous déterminions nous-mêmes les finalités et les moyens d’un traitement portant sur vos données, nous en deviendrions responsable pour ce traitement (art. 28 §10). C’est une des raisons pour lesquelles l’outil ne décide rien seul : il propose, vous validez.

L’article 22 en donne la seconde. Une personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé qui l’affecte de manière significative. Un planning publié sans revue humaine en serait une : c’est votre validation qui l’en empêche.

3. Objet, durée, nature et finalité du traitement

Objet. La fourniture d’un service de planification multi-sites : boutiques, personnes, habilitations, shifts, absences, règles, récapitulatifs d’heures, tâches par site et inventaires par site.

Finalité. Organiser le travail de votre équipe sur vos sites, suivre les heures et vous les restituer sous une forme exportable. Rien d’autre. Le service ne calcule aucune rémunération, n’édite aucun bulletin, n’enregistre aucun pointage, ne publie aucun planning et n’envoie rien à personne : l’outil propose, un humain valide et un humain transmet.

Nature des opérations. Collecte des données que vous saisissez ou importez, enregistrement, organisation, conservation, consultation, modification, mise à disposition sous forme d’export, désactivation d’une personne ou d’une boutique qui quitte l’activité, suppression automatique des absences au terme de la durée que vous réglez, et effacement dans les conditions de la section 12.

Durée. Le traitement dure aussi longtemps que votre contrat. Il se prolonge des seuls délais de lecture seule, de restitution et de suppression fixés à la section 12.

4. Catégories de personnes concernées et de données

Personnes concernées : les membres de votre équipe que vous planifiez, qu’ils aient ou non un compte, et les personnes de votre entreprise qui utilisent l’outil.

Catégories de données :

• Identité — prénom et initiale du nom, toujours présents. Le nom complet, l’adresse de courrier électronique et le numéro de téléphone sont facultatifs : aucun import ne les remplit, ils ne se saisissent qu’à la main.
• Vie professionnelle — type de contrat (temps plein, temps partiel, étudiant), heures contractuelles hebdomadaires si vous les renseignez, date d’embauche, boutiques de rattachement et habilitations par boutique.
• Planning et temps — shifts (date, boutique, début, fin, type), absences (date et motif, conservées pendant la durée que vous réglez, de 1 à 120 mois, puis supprimées automatiquement), règles de contrainte avec les shifts qui les appuient, récapitulatifs d’heures et heures saisies par le manager.
• Exploitation des sites — tâches faites et comptages d’inventaire, avec la personne qui les a enregistrés.
• Compte — identifiant de compte, adresse de courrier électronique de connexion et rôle, pour les seules personnes qui se connectent.

Un point à regarder de près : le motif d’absence. La liste comprend « maladie ». Ce motif renseigne sur l’état de santé d’une personne. L’outil ne demande aucun détail médical et n’a aucun champ pour en recevoir : le motif se choisit dans une liste courte, sans texte libre, et les absences ne sont visibles que du manager et de la personne concernée. Un motif qui révèle un état de santé relève de l’article 9 §1. Son traitement suppose que vous vous appuyiez sur l’article 9 §2 b), qui vise les obligations tirées du droit du travail et de la protection sociale. Il pèse aussi sur votre analyse d’impact, à la section 10.

Le service ne comporte aucun champ pour une date de naissance, un numéro de sécurité sociale, des coordonnées bancaires, une pièce d’identité ou une donnée biométrique. Il n’y a ni pointeuse, ni géolocalisation, ni mesure de l’activité d’un salarié.

5. Nous ne traitons vos données que sur vos instructions

Article 28 §3 a) et article 29. C’est la clause qui tient toutes les autres.

Vos instructions documentées, ce sont : le présent accord, les conditions d’utilisation, et ce que vous faites et paramétrez dans l’outil. Nous ne traitons vos données à aucune autre fin, y compris pour un transfert hors de l’Union européenne.

Si une instruction nous paraît contraire au règlement, nous vous en informons immédiatement (art. 28 §3, dernier alinéa), et nous ne l’exécutons pas tant que le point n’est pas tranché avec vous. Si vous mainteniez l’instruction après cet avertissement, nous pourrions résilier la partie du service concernée.

Si une obligation du droit de l’Union ou du droit français nous impose un traitement, nous vous en informons avant de l’effectuer, sauf si ce droit interdit une telle information pour un motif d’intérêt public important.

Nous ne réutilisons pas vos données pour notre propre compte : pas de statistique entre clients, pas d’entraînement de modèle, pas de prospection. Une réutilisation de ce genre exigerait votre autorisation écrite, demandée au cas par cas : la CNIL écarte une autorisation générale donnée d’avance. L’examen de sa compatibilité avec la finalité d’origine vous revient (art. 6 §4), l’information de votre équipe aussi, et nous deviendrions responsable de ce traitement (art. 28 §10). L’inférence de règles depuis votre historique, elle, est un traitement effectué pour votre compte : elle ne sort pas de vos données et ne sert qu’à vous proposer des règles que vous confirmez ou rejetez.

6. Confidentialité des personnes autorisées

L’article 28 §3 b) demande que les personnes autorisées à traiter vos données soient tenues à la confidentialité. L’éditeur exerce en entreprise individuelle et n’a pas de salarié : la personne autorisée, c’est Monirath Pontiac.

Tout intervenant ponctuel — support, prestataire technique — est engagé par écrit à la même confidentialité avant tout accès, et n’accède qu’à ce que son intervention demande. Un accès aux données d’un client ne se fait que pour l’exploitation du service ou pour répondre à une demande de ce client, jamais pour en prendre connaissance sans raison.

7. Les mesures de sécurité

Article 28 §3 c) et article 32. Ce qui suit décrit ce qui est en place. Ce qui n’y figure pas n’est pas en place.

• Isolation par client, appliquée par la base. Chaque ligne porte l’identifiant de son client, et des politiques de sécurité au niveau des lignes filtrent lectures et écritures dans PostgreSQL. Le filtrage ne vit pas seulement dans l’interface : une vérification qui ne tient que dans le client n’est pas une vérification.
• Sous un rôle applicatif dédié. Ces politiques ne s’appliquent ni au propriétaire des tables ni à un rôle superutilisateur. L’application se connecte donc sous un rôle créé pour cela, sans ces privilèges et sans droit de modifier le schéma. C’est ce qui rend l’isolation opposable, et c’est un défaut qui a été mesuré puis corrigé, pas une précaution théorique.
• Chiffrement en transit. Le site et l’application ne s’atteignent qu’en HTTPS, et la connexion applicative à la base est chiffrée.
• Sauvegardes. La base est sauvegardée par l’hébergeur, Railway Corporation, dans la région europe-west4 (Pays-Bas).
• Journaux techniques. Les journaux de la plateforme servent au diagnostic d’incident. Ils sont conservés 30 jours, puis effacés.
• Séparation des environnements. Les écrans de démonstration publics tournent sur un jeu de données fictif et n’enregistrent rien.

Ce que nous ne prétendons pas. Aucun organisme extérieur n’a contrôlé ces mesures : nous n’avons ni label, ni rapport d’audit d’un tiers à vous remettre. L’article 28 §5 admet qu’un code de conduite approuvé ou un mécanisme de certification serve à démontrer que ces mesures suffisent ; nous n’avons ni l’un ni l’autre. Le jour où nous en aurons un, il sera nommé ici. Ces mesures peuvent évoluer, à condition de ne pas diminuer le niveau de protection.

9. Assistance à l’exercice des droits des personnes

Article 28 §3 e). Les droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité s’exercent auprès de vous : c’est vous le responsable. Nous vous aidons à y répondre.

Notre part du travail, concrètement :

• L’export, personne par personne, de ce que le service détient sur elle : shifts, absences, habilitations, règles qui la concernent, récapitulatifs d’heures. Il sort au format CSV ou JSON, forme électronique d’usage courant que l’article 15 §3 demande quand la personne écrit par voie électronique.
• La correction ou l’effacement d’une donnée sur votre demande, quand l’interface ne vous le permet pas directement.
• La transmission sans délai, et sans réponse de notre part sur le fond, de toute demande qu’un membre de votre équipe nous adresserait directement.

Nous répondons dans un délai qui vous laisse tenir le vôtre. Si une demande exige un travail hors de l’ordinaire, nous vous le disons avant de l’engager.

10. Nous vous aidons sur la sécurité, les notifications et l’analyse d’impact

Article 28 §3 f), pour les articles 32 à 36, compte tenu de la nature du traitement et des informations dont nous disposons.

Nous vous fournissons la description des traitements, des mesures de sécurité, des sous-traitants ultérieurs et des transferts dont vous avez besoin pour documenter votre propre dossier — c’est la matière de la section 7, de la section 8 et de la section 14.

Sur l’analyse d’impact, nous ne décidons pas à votre place. Deux listes de la CNIL se croisent ici. L’une dispense d’analyse d’impact les traitements mis en œuvre aux seules fins de gestion du personnel dans les organismes de moins de 250 personnes, à l’exception du recours au profilage. Elle vise le contrôle du temps de travail sans dispositif biométrique, sans donnée sensible ni à caractère hautement personnel. L’autre y soumet les traitements qui établissent des profils de personnes à des fins de gestion des ressources humaines. FloorRun propose des règles déduites de l’historique d’une personne, et vous les confirmez ou les rejetez : c’est le premier point à examiner avec votre conseil. Un motif d’absence qui révèle un état de santé est le second. Nous vous donnons les éléments ; l’arbitrage vous revient. En cas de doute, la CNIL recommande de conduire l’analyse.

11. Violation de données : vous êtes informé sous 48 heures

Article 33 §2. Une violation, c’est une atteinte à la sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée de données, ou l’accès non autorisé à celles-ci (art. 4 §12).

Nous vous informons dans les meilleurs délais et au plus tard 48 heures après avoir eu connaissance d’une violation touchant vos données. Le règlement ne chiffre pas ce délai ; c’est au contrat de le faire. Nous le chiffrons court parce que l’article 33 §1 ne vous laisse, à vous, que 72 heures pour notifier la CNIL.

Notre information vous donne, dans la mesure où nous en disposons :

• la nature de la violation et la façon dont elle a été découverte ;
• les catégories et le nombre approximatif de personnes concernées et d’enregistrements en cause ;
• le point de contact auprès duquel obtenir des informations complémentaires ;
• les conséquences probables ;
• les mesures prises ou proposées pour y remédier et en limiter les effets.

Si tout n’est pas connu tout de suite, nous vous informons par étapes plutôt que d’attendre d’avoir tout. C’est vous qui notifiez la CNIL, vous qui informez les personnes concernées si le risque est élevé (art. 34), et vous qui documentez toute violation, y compris celle que vous ne notifiez pas (art. 33 §5) ; nous vous fournissons ce qu’il faut pour le faire. Notre point de contact pour ces échanges : floorrun@showdownlab.com.

12. À la fin du contrat : restitution, puis suppression

Article 28 §3 g). Le choix vous appartient : restitution, transmission au prestataire que vous désignez, ou suppression.

• Pendant le contrat, ce que vous emportez vous-même. Le récapitulatif d’heures et son détail horodaté s’exportent en CSV à tout moment, sans nous le demander. La configuration de votre chaîne s’emporte de la même façon, depuis l’écran des réglages — précisément celle-ci, et rien d’autre : vos sites et leurs horaires déclarés, les fiches de votre équipe, les habilitations par site, vos règles, vos repères de vigilance et la durée de conservation de vos absences quand vous l’avez réglée, en un dossier de quatre fichiers — un fichier JSON complet, qui se relit et se modifie à la main, et trois tableaux. Le dossier descend sur votre appareil, et nous n’en envoyons aucune copie à personne. Cet export porte la configuration, pas l’historique.
• Et ce qui se restitue sur demande. Le reste n’a pas d’export en libre-service : l’historique des créneaux, les tâches faites, les comptages d’inventaire, les accès et les invitations. Nous vous le restituons sur demande, au format CSV ou JSON, sous 30 jours.
• Pour mettre fin au contrat, le propriétaire de la chaîne la supprime depuis les paramètres. Elle passe en lecture seule pendant 30 jours : la consultation et l’export des heures restent possibles, rien ne se modifie, et seul le propriétaire de la chaîne peut annuler la suppression pendant ce délai.
• Sur demande pendant ce délai, nous vous restituons l’ensemble de vos données, ou nous les transmettons au prestataire que vous désignez. C’est le cas d’une migration : vos données vont là où vous allez, et la suppression suit chez nous.
• À l’issue du délai, toutes les données de la chaîne sont supprimées de la base active : boutiques, équipe, plannings, heures, absences, règles, tâches, inventaires, accès et invitations. Les sauvegardes de l’hébergeur suivent leur propre cycle de rotation et s’effacent avec lui, sans être rouvertes, au plus tard 90 jours après la fin du contrat.
• Une trace de la suppression est conservée : identifiant de la chaîne, date de la demande, compte qui l’a faite, date de suppression. Elle ne contient aucune donnée de votre équipe.
• Nous vous en justifions par écrit si vous le demandez.

Nous ne conservons au-delà que ce qu’une obligation du droit de l’Union ou du droit français nous impose de conserver. Dans ce cas, nous vous disons laquelle et pour combien de temps.

Nous ne gardons rien pour le compte de la paie. Vos obligations d’employeur ne suspendent pas la suppression : téléchargez vos exports pendant les 30 jours de lecture seule.

Ce qui doit être gardé plus longtemps l’est chez vous, parce que c’est vous que l’inspection du travail interroge. Les durées à tenir de votre côté et les pièces à sortir un jour de contrôle sont rassemblées dans les repères employeur.

13. Documentation et audit

Article 28 §3 h). Vous devez pouvoir démontrer que le traitement respecte l’article 28. Nous vous en donnons les moyens, dans cet ordre.

D’abord la documentation. Le présent accord, la liste à jour des sous-traitants ultérieurs, la description des mesures de la section 7, la localisation des données et les mécanismes d’encadrement des transferts, ainsi que la partie du registre de la section 14 qui vous concerne. Nous répondons par écrit à vos questions sur ces points.

Puis l’audit, si la documentation ne suffit pas. Une fois par an, sur préavis écrit de 30 jours, par vous ou par un auditeur indépendant que vous mandatez et qui n’est pas un concurrent, pendant les heures ouvrées, à vos frais. L’audit ne peut ni porter atteinte aux données d’un autre client, ni emporter d’élément couvert par le secret d’un tiers. Un audit supplémentaire est possible après une violation qui vous a été notifiée.

Nous n’avons pas de rapport d’audit d’un tiers à substituer à cette procédure. Nous contribuons à l’audit, y compris à une inspection sur pièces, dans les limites qui précèdent.

14. Le registre des activités de traitement

Nous tenons le registre que l’article 30 §2 impose au sous-traitant : les coordonnées de chaque responsable du traitement pour le compte duquel nous agissons et celles de nos sous-traitants ultérieurs, les catégories de traitements effectués pour chaque client, les transferts hors de l’Union européenne avec le pays de destination et leur encadrement, et une description générale des mesures de sécurité.

L’exemption prévue pour les organismes de moins de 250 personnes ne s’applique pas : elle suppose un traitement occasionnel, et traiter les plannings de ses clients en continu ne l’est pas (art. 30 §5). Ce registre existe donc, quelle que soit la taille de l’éditeur.

De votre côté, vous tenez le vôtre, celui de l’article 30 §1, et nous y figurons comme destinataire.

15. Ce qui reste à votre charge

Ces obligations sont les vôtres, pas les nôtres. Elles sont ici parce qu’un accord de sous-traitance qui les tairait vous laisserait croire qu’elles sont couvertes.

• Informer chaque personne au moment de la collecte (art. 13) : qui est responsable, pourquoi, sur quelle base juridique, qui sont les destinataires — nous en faisons partie —, les transferts hors de l’Union européenne, les durées de conservation, leurs droits et la possibilité de réclamer auprès de la CNIL.
• Annoncer l’outil à votre équipe avant de l’utiliser. Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance (art. L1222-4 du Code du travail).
• Informer le comité social et économique avant l’introduction d’un traitement automatisé de gestion du personnel, et le consulter sur les moyens permettant un contrôle de l’activité des salariés (art. L2312-38 du Code du travail).
• Encadrer les accès de vos propres équipes. L’article 29 vise toute personne agissant sous votre autorité comme sous la nôtre : vos managers ne traitent ces données que sur vos instructions. L’article 32 §4 en fait une mesure de sécurité et non une consigne — les habilitations par boutique sont là pour cela.
• Fixer vos durées de conservation et documenter vos instructions. Vous êtes seul à savoir ce que votre activité et vos éventuels contentieux imposent de garder.
• Vérifier que nos mesures répondent à votre besoin. L’article 28 §1 vous demande de ne recourir qu’à des sous-traitants dont les mesures techniques et organisationnelles sont suffisantes. La section 7 et la section 13 existent pour que vous puissiez le vérifier plutôt que nous croire.

16. Version, modification, relecture

Cet accord porte la date du 16 septembre 2026. Toute modification qui touche vos droits ou nos obligations vous est annoncée par écrit 30 jours avant son entrée en vigueur ; les corrections de forme, elles, prennent effet à leur publication et se lisent à la date de la version.

Ce document a été rédigé avec soin et sur des textes cités article par article. Il ne remplace pas la relecture d’un professionnel du droit, et nous vous la recommandons avant de vous engager — c’est aussi ce que l’article 28 §1 attend de vous.

Pour toute question sur cet accord, écrivez à floorrun@showdownlab.com.