Accord de traitement des données

Brigado — Accord de sous-traitance au sens de l'article 28 du RGPD

Dernière mise à jour : 7 septembre 2026

1. Objet du présent Accord

Le présent Accord de Traitement des Données à caractère personnel (ci-après l'« Accord » ou le « DPA ») constitue une annexe et fait partie intégrante des Conditions Générales applicables aux services Brigado (les « CGU » ou « Conditions Contractuelles »).

Il encadre les traitements de données à caractère personnel effectués par CK Digital, exploitant le service Brigado, pour le compte du client professionnel utilisant les services Brigado (ci-après le « Client »), lorsque CK Digital agit en qualité de sous-traitant au sens de l'article 4, paragraphe 8, et de l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données (le « RGPD »).

Le présent Accord s'applique notamment aux données relatives aux membres du personnel du Client que celui-ci saisit, importe ou génère dans Brigado dans le cadre de la planification des équipes, du suivi des horaires et du fonctionnement des autres fonctionnalités proposées par la Plateforme.

Le Client demeure responsable du traitement des données de son personnel lorsqu'il détermine les finalités et les moyens du traitement.

CK Digital traite ces données pour le compte du Client et conformément à ses instructions documentées, dans les limites définies par le présent Accord et les Conditions Contractuelles.

En cas de contradiction entre le présent Accord et les Conditions Contractuelles concernant spécifiquement le traitement des données à caractère personnel effectué pour le compte du Client, le présent Accord prévaut.

2. Définitions

Pour les besoins du présent Accord, les termes suivants ont la signification indiquée ci-dessous.

« Données à caractère personnel »

Toute information se rapportant à une personne physique identifiée ou identifiable au sens de l'article 4 du RGPD.

« Données du Personnel »

Les données à caractère personnel concernant les membres du personnel du Client traitées dans Brigado pour les besoins des Services, notamment les données d'identification, de planning, de pointage et les informations relatives aux demandes de congés ou échanges de shifts.

« Client »

La personne physique ou morale ayant souscrit aux Services Brigado dans le cadre de son activité professionnelle et agissant, pour les traitements concernés par le présent Accord, en qualité de responsable du traitement.

« Sous-traitant »

CK Digital, exploitant le service Brigado, lorsqu'il traite des Données du Personnel pour le compte du Client.

« Sous-traitant ultérieur »

Tout prestataire ou sous-traitant engagé par CK Digital pour traiter des Données du Personnel pour le compte du Client dans le cadre de la fourniture des Services.

« Personne concernée »

Toute personne physique dont les données à caractère personnel sont traitées dans le cadre des Services, notamment les salariés, extras, saisonniers et autres membres du personnel du Client.

« Services »

Les fonctionnalités Brigado souscrites par le Client, notamment la planification des équipes, le pointage des horaires, la gestion des congés, les échanges de shifts, les exports de données et les fonctionnalités associées.

3. Rôles respectifs des Parties

3.1. Client — Responsable du traitement

Le Client détermine les finalités et les moyens des traitements réalisés au moyen de Brigado concernant son personnel.

À ce titre, le Client est notamment responsable :

• de déterminer les finalités pour lesquelles les données de son personnel sont collectées et utilisées ;
• de disposer d'une base légale appropriée pour les traitements qu'il met en œuvre ;
• d'informer les personnes concernées conformément aux exigences du RGPD et du droit applicable ;
• de déterminer quelles données doivent être saisies dans Brigado ;
• de s'assurer que les données transmises à Brigado sont pertinentes, adéquates et limitées à ce qui est nécessaire ;
• de répondre aux demandes des personnes concernées, sauf lorsqu'il a expressément demandé à CK Digital de fournir une assistance particulière ;
• de respecter les obligations qui lui incombent en matière de conservation, de droit du travail et de protection des données.

3.2. CK Digital — Sous-traitant

CK Digital traite les Données du Personnel uniquement pour le compte du Client et conformément :

1. aux instructions documentées du Client ;
2. au présent Accord ;
3. aux Conditions Contractuelles ;
4. aux fonctionnalités effectivement proposées par Brigado ;
5. aux exigences applicables du RGPD.

CK Digital ne détermine pas, pour le compte du Client, les finalités des traitements relatifs aux salariés du Client.

4. Instructions du Client

Les instructions du Client sont notamment constituées par :

• la souscription et la configuration du compte Brigado ;
• les paramètres choisis par le Client ;
• les données saisies ou importées par le Client ;
• l'utilisation des fonctionnalités disponibles dans Brigado ;
• les demandes adressées par le Client à CK Digital concernant le traitement de ses données ;
• toute instruction écrite complémentaire communiquée par le Client.

CK Digital n'est pas tenu d'exécuter une instruction qui serait manifestement contraire au RGPD ou à une autre disposition applicable en matière de protection des données.

Lorsqu'une instruction du Client lui paraît contraire à la réglementation applicable, CK Digital en informe le Client dans les conditions prévues par l'article 28 du RGPD.

CK Digital peut refuser ou suspendre l'exécution d'une instruction manifestement illicite, sans que ce refus constitue un manquement à ses obligations contractuelles.

5. Objet, nature et finalités des traitements

Les traitements effectués par CK Digital ont pour objet de permettre la fourniture, la sécurisation, la maintenance et l'amélioration technique des Services souscrits par le Client.

Les principales opérations de traitement peuvent notamment comprendre :

• collecte et enregistrement ;
• hébergement ;
• stockage ;
• organisation ;
• consultation technique ;
• modification ;
• synchronisation ;
• récupération ;
• export ;
• sauvegarde ;
• suppression ;
• transmission à des sous-traitants ultérieurs nécessaires à la fourniture des Services ;
• opérations de maintenance, de sécurité et de prévention des incidents.

Les finalités comprennent notamment :

• la création et la gestion des plannings ;
• le suivi des horaires et des pointages ;
• la gestion des demandes de congés ;
• la gestion des échanges de shifts ;
• la préparation et l'export de données nécessaires à la paie ;
• la mise à disposition des fonctionnalités de la Plateforme ;
• la sécurisation des comptes et des données ;
• la maintenance et le fonctionnement technique de Brigado.

CK Digital ne réutilise pas les Données du Personnel pour ses propres campagnes publicitaires ou commerciales.

CK Digital ne vend pas les Données du Personnel à des tiers.

Les Données du Personnel ne sont pas utilisées pour établir des profils commerciaux des salariés.

Toute nouvelle finalité substantiellement différente de celles prévues au présent Accord fera l'objet d'une information et, lorsque cela est nécessaire, d'une instruction ou d'un accord approprié du Client.

6. Catégories de personnes concernées

Les personnes concernées peuvent notamment être :

• salariés du Client ;
• employés à temps plein ou à temps partiel ;
• extras ;
• saisonniers ;
• apprentis ou autres personnels autorisés par le Client ;
• responsables ou managers utilisant Brigado pour gérer les équipes ;
• utilisateurs autorisés par le Client.

7. Catégories de données traitées

Selon les fonctionnalités utilisées par le Client, les Données du Personnel peuvent notamment comprendre :

Données d'identification

• nom ;
• prénom ;
• identifiant utilisateur ;
• adresse électronique, lorsqu'elle est renseignée ;
• identifiant technique du compte.

Données professionnelles

• établissement ou site de rattachement ;
• fonction ou poste ;
• rôle dans Brigado ;
• informations relatives à l'organisation du travail.

Données de planning

• jours travaillés ;
• horaires prévus ;
• shifts attribués ;
• postes ;
• modifications de planning ;
• échanges de shifts.

Données de temps de travail

• date et heure de pointage d'arrivée ;
• date et heure de pointage de départ ;
• corrections de pointage ;
• écarts entre planning et pointage ;
• informations relatives aux modifications effectuées dans le système ;
• historique et éléments techniques nécessaires à la traçabilité des modifications.

Données relatives aux absences et congés

• demandes de congés ;
• absences renseignées par le Client ;
• échanges ou modifications liés aux shifts.

Données techniques

Lorsque cela est nécessaire au fonctionnement et à la sécurité du Service :

• identifiants techniques ;
• journaux techniques ;
• informations relatives à la connexion ;
• données nécessaires à la sécurité et à la prévention des abus.

Le Client s'engage à ne pas utiliser Brigado pour saisir des données sensibles ou des catégories particulières de données au sens de l'article 9 du RGPD, sauf si une fonctionnalité Brigado prévoit expressément leur traitement et que le cadre contractuel et technique applicable a été adapté en conséquence.

En particulier, le Client ne doit pas saisir dans des champs libres des informations médicales, diagnostics, informations relatives à la santé ou autres données sensibles qui ne seraient pas nécessaires au fonctionnement du Service.

8. Durée du traitement

Les traitements sont réalisés pendant toute la durée pendant laquelle le Client dispose d'un compte ou d'un abonnement Brigado nécessitant le traitement des Données du Personnel.

À l'expiration ou à la résiliation du contrat, les règles relatives à la conservation, à la restitution et à la suppression des données sont celles prévues à l'article 15 du présent Accord.

Les obligations du présent Accord qui, par leur nature, doivent survivre à la fin du contrat continuent de s'appliquer aussi longtemps que nécessaire.

9. Confidentialité

CK Digital garantit la confidentialité des Données du Personnel auxquelles elle peut avoir accès dans le cadre de la fourniture des Services.

L'accès aux Données du Personnel est limité aux personnes autorisées qui en ont besoin pour :

• fournir les Services ;
• assurer leur maintenance ;
• assurer la sécurité ;
• résoudre un incident ;
• fournir une assistance au Client lorsque cela est nécessaire.

Les personnes autorisées à accéder aux Données du Personnel sont soumises à une obligation de confidentialité appropriée.

CK Digital ne communique pas les Données du Personnel à des tiers autres que les sous-traitants ultérieurs autorisés ou les destinataires dont la communication est nécessaire pour fournir les Services ou imposée par la loi.

Lorsque CK Digital est légalement tenue de communiquer des données à une autorité publique, elle en informe le Client lorsque la réglementation applicable l'autorise et lorsque cette information est raisonnablement possible.

10. Mesures de sécurité

CK Digital met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques présentés par les traitements, conformément à l'article 32 du RGPD.

Ces mesures comprennent notamment, selon les services et technologies concernés :

• chiffrement des communications utilisant des protocoles sécurisés tels que HTTPS/TLS ;
• mécanismes d'authentification et de contrôle d'accès ;
• limitation des accès aux personnes autorisées ;
• séparation logique des données entre les différents comptes ou établissements ;
• mesures de sauvegarde et de restauration ;
• mesures destinées à assurer la disponibilité et la résilience des Services ;
• surveillance et mesures de protection contre les accès non autorisés ;
• journalisation ou traçabilité de certaines opérations lorsque cela est nécessaire ;
• mesures de protection des environnements techniques ;
• procédures de gestion des incidents de sécurité ;
• mesures destinées à restaurer l'accès aux données dans des délais appropriés après un incident.

Les mesures de sécurité peuvent évoluer dans le temps afin de tenir compte de l'évolution des technologies, des risques et des Services.

CK Digital ne garantit toutefois pas qu'un Service connecté à Internet puisse être exempt de toute vulnérabilité ou de tout incident de sécurité.

11. Sous-traitants ultérieurs

Le Client autorise CK Digital à recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture des Services.

CK Digital demeure responsable, conformément au RGPD et au présent Accord, du respect par ses sous-traitants ultérieurs des obligations applicables en matière de protection des données dans le cadre des traitements qui leur sont confiés.

Les sous-traitants ultérieurs sont soumis à des obligations de protection des données appropriées et compatibles avec celles prévues par le présent Accord.

CK Digital informe le Client de tout ajout ou remplacement substantiel d'un sous-traitant ultérieur impliqué dans le traitement des Données du Personnel.

Le Client peut s'opposer à un tel ajout ou remplacement pour des motifs légitimes liés à la protection des données.

En cas d'objection légitime ne pouvant être raisonnablement résolue, les Parties recherchent de bonne foi une solution permettant d'assurer la continuité des Services tout en maintenant un niveau de protection approprié.

12. Liste des sous-traitants ultérieurs

À la date de mise à jour du présent Accord, les catégories de prestataires susceptibles d'intervenir comprennent notamment les prestataires nécessaires à :

La liste exacte des prestataires, leurs entités juridiques et les mécanismes de transfert applicables peuvent évoluer.

CK Digital maintient une liste à jour des sous-traitants utilisés pour les traitements concernés et informe les Clients des changements conformément au présent article.

Les prestataires disposent de leurs propres conditions contractuelles et documents de protection des données applicables à leurs services.

Lorsque des transferts de données à caractère personnel vers un pays situé en dehors de l'Espace économique européen sont nécessaires, CK Digital veille à ce qu'un mécanisme de transfert reconnu par le RGPD soit applicable, lorsque celui-ci est requis.

Remarque importante : la présente clause ne constitue pas une garantie que toutes les données restent physiquement dans l'Union européenne. La localisation effective peut dépendre de la configuration du service, des fonctionnalités utilisées et des infrastructures des prestataires concernés.

13. Transferts internationaux

Lorsque les Données du Personnel sont transférées vers un pays situé en dehors de l'Espace économique européen, CK Digital met en œuvre un mécanisme de transfert conforme aux exigences applicables du RGPD.

Selon le contexte, ce mécanisme peut notamment être fondé sur :

• une décision d'adéquation de la Commission européenne ;
• des clauses contractuelles types adoptées par la Commission européenne ;
• un autre mécanisme de transfert reconnu par le RGPD.

CK Digital prend également en compte les mesures supplémentaires qui peuvent être nécessaires en fonction de la nature du transfert et du droit applicable.

Le Client reconnaît que certains prestataires technologiques internationaux utilisés pour fournir les Services peuvent traiter certaines données dans plusieurs juridictions conformément à leurs propres engagements contractuels et mécanismes de transfert.

14. Assistance du Sous-traitant

Compte tenu de la nature du traitement et des informations dont CK Digital dispose, CK Digital apporte au Client une assistance raisonnable afin de lui permettre de respecter ses obligations au titre du RGPD.

Cette assistance peut notamment concerner :

• les demandes d'exercice des droits des personnes concernées ;
• les mesures de sécurité ;
• la notification des violations de données ;
• les analyses d'impact relatives à la protection des données ;
• les consultations préalables de l'autorité de contrôle lorsqu'elles sont nécessaires.

L'assistance est fournie dans la mesure raisonnablement nécessaire au regard des Services et des informations disponibles auprès de CK Digital.

Lorsque la demande nécessite une intervention technique, juridique ou administrative exceptionnelle et substantielle qui ne relève pas du fonctionnement normal du Service, CK Digital peut facturer les coûts raisonnables correspondants après information préalable du Client.

15. Exercice des droits des personnes concernées

Le Client demeure responsable de la réponse aux demandes exercées par les personnes concernées en qualité de responsable du traitement.

Lorsqu'une personne concernée adresse directement à CK Digital une demande concernant les Données du Personnel du Client, CK Digital :

1. ne répond pas au fond à la demande sauf instruction contraire du Client ;
2. transmet la demande au Client dans les meilleurs délais raisonnables ;
3. fournit, dans la mesure raisonnable, l'assistance technique nécessaire au Client pour permettre le traitement de la demande.

Selon les fonctionnalités disponibles, CK Digital peut permettre au Client d'accéder directement aux données concernées, de les corriger, de les exporter ou de les supprimer.

16. Violations de données à caractère personnel

En cas de violation de données à caractère personnel affectant les Données du Personnel traitées pour le compte du Client, CK Digital informe le Client dans les meilleurs délais après en avoir pris connaissance.

Lorsque cela est raisonnablement possible, cette notification intervient dans un délai maximal de 48 heures après que CK Digital a confirmé l'existence d'une violation affectant les Données du Personnel.

Cette notification contient, dans la mesure des informations alors disponibles :

• la nature de la violation ;
• les catégories de données concernées ;
• les catégories et, lorsque cela est possible, le nombre approximatif de personnes concernées ;
• les catégories et, lorsque cela est possible, le nombre approximatif d'enregistrements concernés ;
• les conséquences probables de la violation ;
• les mesures prises ou envisagées pour remédier à la violation ;
• les mesures envisagées pour limiter les conséquences négatives ;
• les coordonnées d'un point de contact permettant d'obtenir des informations complémentaires.

Lorsque toutes les informations ne sont pas immédiatement disponibles, CK Digital peut les communiquer progressivement sans retard indu.

Le Client demeure responsable de déterminer, conformément au RGPD, si une notification à la CNIL ou une information des personnes concernées est nécessaire.

Le délai de 48 heures prévu au présent article constitue une obligation contractuelle d'information du Client. Il ne modifie pas le délai légal applicable au Client pour notifier une violation à l'autorité de contrôle.

Conformément à l'article 33 du RGPD, lorsque la notification à l'autorité de contrôle est requise, le responsable du traitement doit en principe agir dans les meilleurs délais et, si possible, dans les 72 heures après avoir pris connaissance de la violation.

17. Registre et documentation

CK Digital conserve, lorsque cela est applicable, les informations et documents nécessaires permettant de démontrer le respect de ses obligations relatives au traitement des données à caractère personnel.

CK Digital coopère raisonnablement avec le Client afin de permettre à celui-ci de démontrer le respect de ses propres obligations lorsque cette coopération est nécessaire et proportionnée.

18. Audits et contrôles

Le Client peut demander à CK Digital les informations raisonnablement nécessaires pour démontrer le respect des obligations prévues par l'article 28 du RGPD.

Lorsque les informations disponibles ne permettent pas de répondre raisonnablement à la demande, le Client peut demander la réalisation d'un audit.

Tout audit doit :

• être justifié par un besoin raisonnable de vérification ;
• faire l'objet d'un préavis écrit raisonnable ;
• être effectué pendant les heures ouvrées normales ;
• limiter autant que possible les perturbations de l'activité de CK Digital ;
• respecter les obligations de confidentialité ;
• ne pas permettre l'accès aux données d'autres clients ;
• ne pas compromettre la sécurité des systèmes de CK Digital ou de ses autres clients.

Sauf obligation légale contraire ou incident de sécurité grave, les audits sur site ne peuvent être effectués plus d'une fois par période de douze mois.

Les coûts raisonnables d'un audit exceptionnel peuvent être supportés par le Client lorsque celui-ci est demandé sans qu'un manquement ou un incident de sécurité justifie raisonnablement l'audit.

Les rapports d'audit, certifications ou documents de conformité disponibles auprès des sous-traitants de CK Digital peuvent, lorsque cela est pertinent, être utilisés pour satisfaire aux demandes d'information du Client.

19. Conservation et fin du contrat

Pendant la durée du contrat, les Données du Personnel sont conservées conformément aux fonctionnalités et paramètres du Service.

À l'expiration ou à la résiliation du contrat, le Client dispose d'une période de 30 jours pour récupérer les données disponibles via les mécanismes d'export proposés par Brigado.

Pendant cette période, CK Digital conserve les Données du Personnel conformément au présent Accord afin de permettre leur récupération.

À l'issue de cette période, les Données du Personnel sont supprimées des systèmes de production de CK Digital, sous réserve :

• des obligations légales de conservation applicables ;
• des données qui doivent être conservées pour établir, exercer ou défendre des droits en justice ;
• des copies de sauvegarde techniques qui peuvent subsister temporairement conformément aux cycles normaux de sauvegarde et d'effacement.

Les copies de sauvegarde résiduelles ne sont pas utilisées pour des finalités opérationnelles autres que la restauration des systèmes et sont supprimées ou rendues définitivement inaccessibles conformément aux cycles techniques applicables.

Lorsque CK Digital est légalement tenue de conserver certaines données au-delà de la période normale de suppression, ces données restent soumises aux obligations de confidentialité et ne sont traitées que pour la finalité imposée par la loi.

Le Client est responsable de déterminer et de respecter les durées de conservation qui lui sont applicables en qualité de responsable du traitement, notamment au regard du droit du travail, des obligations comptables, sociales ou probatoires.

20. Données nécessaires à la preuve et aux obligations légales

Le Client reconnaît que certaines données traitées dans Brigado, notamment les données relatives aux horaires et aux pointages, peuvent être utilisées par le Client dans le cadre de ses obligations professionnelles, sociales ou probatoires.

CK Digital fournit les fonctionnalités d'export et de conservation prévues par les Services.

Toutefois, CK Digital ne détermine pas les durées légales de conservation applicables au Client et ne garantit pas que la durée de conservation standard du Service corresponde à toutes les obligations légales particulières du Client.

Le Client demeure responsable de récupérer les données dont il doit assurer la conservation au-delà de la durée contractuelle de conservation de Brigado.

21. Sous-traitants et responsabilité

CK Digital demeure responsable envers le Client du respect de ses obligations en qualité de sous-traitant, dans les limites prévues par le RGPD et les Conditions Contractuelles.

CK Digital veille à ce que les sous-traitants ultérieurs auxquels elle confie le traitement de Données du Personnel soient liés par des obligations de protection des données appropriées.

Le Client demeure responsable des traitements qu'il détermine en tant que responsable du traitement, notamment :

• la licéité de la collecte ;
• la base légale ;
• l'information des salariés ;
• les finalités ;
• la pertinence des données saisies ;
• les durées de conservation qu'il détermine ;
• les décisions prises concernant les salariés sur la base des informations disponibles.

Aucune disposition du présent Accord n'a pour effet d'exonérer une Partie de sa responsabilité lorsque cette exonération serait interdite par le droit applicable.

Les limitations et exclusions de responsabilité prévues par les Conditions Contractuelles s'appliquent également au présent Accord, sous réserve des dispositions impératives du RGPD et du droit applicable.

22. Coopération avec les autorités

CK Digital coopère avec les autorités de contrôle compétentes dans les conditions prévues par le RGPD et la réglementation applicable.

Lorsque CK Digital reçoit une demande officielle d'une autorité concernant des Données du Personnel, elle peut répondre directement lorsque la loi l'exige ou l'autorise.

Lorsque cela est légalement possible et raisonnablement approprié, CK Digital informe le Client de la demande.

23. Modifications du présent Accord

CK Digital peut mettre à jour le présent Accord lorsqu'une telle mise à jour est nécessaire notamment :

• en raison d'une évolution législative ou réglementaire ;
• en raison d'une décision ou recommandation d'une autorité de contrôle ;
• en raison de l'évolution des Services ;
• en raison de l'évolution des sous-traitants ou de l'infrastructure technique ;
• afin d'améliorer ou de préciser les mesures de protection des données.

Lorsqu'une modification est substantielle et affecte les droits ou obligations du Client, CK Digital en informe le Client dans un délai raisonnable lorsque cela est possible.

La version applicable est celle en vigueur à la date du traitement concerné, sous réserve des dispositions contractuelles applicables aux modifications des Conditions Contractuelles.

24. Durée et survie

Le présent Accord prend effet à compter de l'acceptation des Conditions Contractuelles ou de l'utilisation des Services lorsque cette utilisation vaut acceptation contractuelle.

Il reste applicable pendant toute la durée du traitement des Données du Personnel par CK Digital.

Les obligations relatives à la confidentialité, à la sécurité, à la conservation, à la suppression et à la responsabilité continuent de produire leurs effets après la fin du contrat dans la mesure nécessaire à leur mise en œuvre.

25. Droit applicable

Le présent Accord est soumis au droit français, sous réserve des dispositions impératives du droit de l'Union européenne et de toute autre disposition impérative applicable.

Les règles de compétence juridictionnelle sont celles prévues par les Conditions Contractuelles, sous réserve des dispositions impératives applicables.

26. Contact relatif aux données personnelles

Pour toute question concernant le traitement des données personnelles dans le cadre de Brigado, le Client peut contacter CK Digital :

CK Digital — Brigado
53 Guillaume Dulac
13600 La Ciotat
France

E-mail : info@brigado.solutions

ANNEXE 1 — DESCRIPTION DU TRAITEMENT

A. Objet du traitement

Fourniture des fonctionnalités Brigado de gestion des équipes et du temps de travail pour les établissements professionnels, notamment dans le secteur HCR.

B. Durée

Pendant la durée du contrat, augmentée de la période de conservation post-contractuelle prévue à l'article 19.

C. Nature des opérations

Les opérations peuvent comprendre la collecte, l'enregistrement, l'organisation, le stockage, la consultation technique, la modification, la récupération, l'export, la sauvegarde et la suppression des données.

D. Finalités

• gestion des plannings ;
• gestion des horaires ;
• pointage des salariés ;
• gestion des congés ;
• échanges de shifts ;
• exports ;
• fonctionnement du compte ;
• sécurité ;
• maintenance ;
• support technique.

E. Catégories de personnes concernées

• salariés ;
• extras ;
• saisonniers ;
• apprentis ;
• managers ;
• autres utilisateurs autorisés par le Client.

F. Catégories de données

• identité ;
• coordonnées lorsque renseignées ;
• informations professionnelles ;
• rôle et poste ;
• planning ;
• horaires ;
• pointages ;
• corrections de pointage ;
• demandes de congés ;
• échanges de shifts ;
• données techniques nécessaires au fonctionnement et à la sécurité.

G. Catégories particulières de données

Le traitement de catégories particulières de données au sens de l'article 9 du RGPD n'est pas nécessaire au fonctionnement standard de Brigado.

Le Client ne doit pas introduire de telles données dans la Plateforme sauf si une fonctionnalité spécifique et un cadre contractuel approprié permettent expressément leur traitement.

H. Sous-traitants ultérieurs

Les sous-traitants utilisés par CK Digital peuvent notamment intervenir dans les domaines suivants :

• infrastructure et hébergement ;
• base de données ;
• authentification ;
• services cloud ;
• paiements ;
• communication électronique ;
• sécurité et maintenance.

CK Digital tient à jour la liste applicable des sous-traitants conformément à l'article 11.

ANNEXE 2 — MESURES TECHNIQUES ET ORGANISATIONNELLES

Les principales mesures mises en œuvre par CK Digital comprennent, selon les composants concernés :

Contrôle des accès

• accès réservé aux utilisateurs autorisés ;
• authentification ;
• gestion des droits ;
• limitation des accès administratifs.

Sécurité des communications

• communications sécurisées via HTTPS/TLS ;
• protection des échanges entre les composants du Service.

Séparation des données

• isolation logique des données entre comptes et établissements ;
• contrôles d'accès empêchant l'accès normal aux données d'un autre Client.

Sauvegardes

• sauvegardes techniques selon l'architecture et les services utilisés ;
• mécanismes de restauration adaptés à l'infrastructure.

Sécurité applicative

• contrôle des autorisations ;
• validation des entrées ;
• mesures de prévention contre les accès non autorisés ;
• journalisation de certaines opérations nécessaires à la sécurité et à la traçabilité.

Gestion des incidents

• détection et analyse des incidents ;
• mesures de confinement ;
• mesures correctives ;
• information du Client conformément à l'article 16 lorsqu'une violation de données personnelles est concernée.

Confidentialité

• accès aux données limité aux personnes autorisées ;
• obligation de confidentialité ;
• recours à des prestataires contractuellement encadrés.

Les mesures techniques et organisationnelles sont susceptibles d'évoluer afin de maintenir un niveau de sécurité adapté aux risques et à l'évolution technologique.

ANNEXE 3 — HIÉRARCHIE CONTRACTUELLE

Le présent DPA complète les Conditions Contractuelles de Brigado.

En cas de contradiction :

1. les dispositions impératives du RGPD et du droit applicable prévalent ;
2. pour les questions relatives spécifiquement au traitement des Données du Personnel pour le compte du Client, le présent DPA prévaut sur les Conditions Contractuelles ;
3. pour les autres questions contractuelles, les Conditions Contractuelles continuent de s'appliquer.