Contrat de sous-traitance des données

Le responsable de traitement : l’entreprise cliente, titulaire du compte. Le sous-traitant : l’éditeur d’Avant la date, joignable à contact@avantladate.fr. Ses autres coordonnées figurent dans les mentions légales.

Objet : conserver les dates de vos salariés et vous prévenir par mail avant qu’elles expirent. Lire automatiquement les fichiers que vous déposez (tableau, export, attestations) pour créer vos salariés et leurs dates, et saisir à la main un fichier qui ne se lit pas, y compris le tableau que vous nous envoyez par mail avant d’avoir un compte : nous le traitons alors pour vous, selon ce contrat, dès sa réception. Nous n’en gardons que les noms, postes, types de dates et dates ; toute colonne d’aptitude, de réserves ou de commentaire est retirée à la lecture sans être enregistrée. Le fichier est effacé au plus tard 30 jours après sa réception ; l’espace préparé et jamais ouvert, 30 jours après sa préparation. Les photos, les pages scannées et les attestations sont lues par notre sous-traitant Mistral AI (France).

Données : prénom, nom, poste et, si vous les renseignez, matricule, équipe, dates d’entrée et de sortie, adresse électronique, téléphone et notes ; pour chaque date, son type, ses dates, l’organisme, le numéro du document, le justificatif que vous joignez et, pour une date importée incertaine, le texte d’origine. Personnes concernées : vos salariés. Savoir qu’une visite médicale est due renseigne sur un suivi médical : ces données sont traitées avec le soin des données de santé.

Durée : celle de votre abonnement, puis 30 jours après la résiliation pour vous laisser le temps de récupérer vos données, puis effacement complet. Un salarié sorti de vos effectifs est effacé 3 ans après son archivage.

Nous ne traitons vos données que sur vos instructions : celles que vous donnez en utilisant le service. Nous ne les vendons pas, ne les partageons pas, ne les utilisons pour rien d’autre.

Les personnes qui y accèdent chez nous sont tenues à la confidentialité. Aujourd’hui, une seule : l’éditeur, qui n’intervient dans un compte que pour saisir à la main un fichier illisible que vous avez déposé, ou en lecture seule pour répondre à votre question, et chaque consultation est inscrite dans un journal qui ne s’efface pas. Pour le tableau envoyé par mail, il voit les noms et les dates lus pour préparer votre espace.

Sécurité : base hébergée à Paris, chaque entreprise séparée des autres au niveau de la base de données, connexion chiffrée, justificatifs dans un espace privé consultable seulement par un lien valable dix minutes, aucune donnée de salarié dans les journaux techniques, copie de la base chiffrée chaque semaine. Le détail : la page sécurité.

Vos salariés exercent leurs droits auprès de vous. Nous vous aidons à y répondre : export complet de vos données en un clic, effacement d’une fiche ou du compte en libre-service, et réponse à toute demande écrite à contact@avantladate.fr.

En cas de violation de données touchant votre compte, nous vous prévenons par mail dans les 48 heures après l’avoir découverte, avec ce que nous savons, ce que nous avons fait, et ce qui reste à faire.

À la fin du contrat, nous vous laissons 30 jours pour exporter vos données, puis nous les effaçons toutes, copies comprises dans un délai de 90 jours pour la copie chiffrée hebdomadaire.

Nous mettons à votre disposition, sur simple demande, toutes les informations utiles pour vérifier que ces engagements sont tenus, et nous acceptons les vérifications menées par vous ou par un tiers que vous mandatez, prévenues un mois à l’avance.

Vous nous autorisez à faire appel aux prestataires ci-dessous, chacun pour une tâche précise et lié par les mêmes obligations. Nous vous prévenons par mail au moins 30 jours avant d’en ajouter ou d’en remplacer un ; vous pouvez alors vous y opposer en résiliant, sans frais.

• Supabase : La base de données, les comptes de connexion et les fichiers joints. Paris (région eu-west-3). Données : tout ce que vous saisissez, y compris les justificatifs.
• Vercel : L’hébergement du site et de l’application. Le code s’exécute à Paris (région cdg1). Données : les requêtes du site (adresse réseau, page demandée) et la mesure d’audience sans cookie.
• Resend : L’envoi des courriers de rappel et des messages du compte. Région européenne (Irlande) de l’envoi. Données : l’adresse du destinataire et le texte du message, dont le nom du salarié concerné.
• Brevo : Un second prestataire d’envoi, utilisé seulement si le premier refuse un message. France. Données : les mêmes données que Resend, et seulement en cas de panne de celui-ci.
• IONOS : La boîte contact@avantladate.fr : les messages et les tableaux que vous nous envoyez par mail. Groupe IONOS, établi en Allemagne. Données : le contenu des mails reçus et envoyés, dont les tableaux joints et les noms de salariés qu’ils contiennent.
• Stripe : Le paiement de l’abonnement et la facturation. Stripe Payments Europe (Irlande). Données : votre adresse électronique, le nom de l’entreprise et le paiement, jamais une donnée de salarié.
• GitHub : La copie de sauvegarde de la base, chaque semaine, gardée 90 jours, et la lecture des mails reçus (le tableau joint est déposé dans l’espace privé, rien n’est gardé chez GitHub). États-Unis, copie de la base chiffrée avant de quitter nos serveurs. Données : une copie chiffrée de toute la base, illisible sans une clé que GitHub n’a pas, et, le temps de leur lecture, les mails reçus et leurs pièces jointes.
• Mistral AI : La lecture automatique des attestations, des photos et des PDF scannés que vous déposez, et l’aide du site public. France. Données : la page à lire (jamais un tableur entier : seul l’intitulé d’une colonne inconnue), ou la question posée à l’aide du site.

Certains de ces prestataires sont des sociétés américaines ou ont une maison mère hors de l’Union européenne : les transferts éventuels sont encadrés par les clauses contractuelles types de la Commission européenne. Le détail figure dans la politique de confidentialité.

Vous informez vos salariés que leurs dates sont suivies avec Avant la date, et vous ne saisissez que ce qui est utile à ce suivi : jamais de diagnostic, de pathologie ou de détail médical, seulement la date de la visite et celle de la suivante.