Accord de traitement des données

Brigado — Accord de sous-traitance au sens de l'article 28 du RGPD

Dernière mise à jour : 27 septembre 2026

1. Objet du présent Accord

Le présent Accord de Traitement des Données à caractère personnel (ci-après l'« Accord » ou le « DPA ») constitue une annexe et fait partie intégrante des Conditions Générales applicables aux services Brigado (les « CGU » ou « Conditions Contractuelles »).

Il encadre les traitements de données à caractère personnel effectués par CK Digital, exploitant le service Brigado, pour le compte du client professionnel utilisant les services Brigado (ci-après le « Client »), lorsque CK Digital agit en qualité de sous-traitant au sens de l'article 4, paragraphe 8, et de l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données (le « RGPD »).

Le présent Accord s'applique notamment aux données relatives aux membres du personnel du Client que celui-ci saisit, importe ou génère dans Brigado dans le cadre de la planification des équipes, du suivi des horaires et du fonctionnement des autres fonctionnalités proposées par la Plateforme.

Le Client demeure responsable du traitement des données de son personnel lorsqu'il détermine les finalités et les moyens du traitement.

CK Digital traite ces données pour le compte du Client et conformément à ses instructions documentées, dans les limites définies par le présent Accord et les Conditions Contractuelles.

En cas de contradiction entre le présent Accord et les Conditions Contractuelles concernant spécifiquement le traitement des données à caractère personnel effectué pour le compte du Client, le présent Accord prévaut.

2. Définitions

Pour les besoins du présent Accord, les termes suivants ont la signification indiquée ci-dessous.

« Données à caractère personnel »

Toute information se rapportant à une personne physique identifiée ou identifiable au sens de l'article 4 du RGPD.

« Données du Personnel »

Les données à caractère personnel concernant les membres du personnel du Client traitées dans Brigado pour les besoins des Services, notamment les données d'identification, de planning, de pointage et les informations relatives aux demandes de congés ou échanges de shifts.

« Client »

La personne physique ou morale ayant souscrit aux Services Brigado dans le cadre de son activité professionnelle et agissant, pour les traitements concernés par le présent Accord, en qualité de responsable du traitement.

« Sous-traitant »

CK Digital, exploitant le service Brigado, lorsqu'il traite des Données du Personnel pour le compte du Client.

« Sous-traitant ultérieur »

Tout prestataire ou sous-traitant engagé par CK Digital pour traiter des Données du Personnel pour le compte du Client dans le cadre de la fourniture des Services.

« Personne concernée »

Toute personne physique dont les données à caractère personnel sont traitées dans le cadre des Services, notamment les salariés, extras, saisonniers et autres membres du personnel du Client.

« Services »

Les fonctionnalités Brigado souscrites par le Client, notamment la planification des équipes, le pointage des horaires, la gestion des congés, les échanges de shifts, les exports de données et les fonctionnalités associées.

3. Rôles respectifs des Parties

3.1. Client — Responsable du traitement

Le Client détermine les finalités et les moyens des traitements réalisés au moyen de Brigado concernant son personnel.

À ce titre, le Client est notamment responsable :

• de déterminer les finalités pour lesquelles les données de son personnel sont collectées et utilisées ;
• de disposer d'une base légale appropriée pour les traitements qu'il met en œuvre ;
• d'informer les personnes concernées conformément aux exigences du RGPD et du droit applicable ;
• de déterminer quelles données doivent être saisies dans Brigado ;
• de s'assurer que les données transmises à Brigado sont pertinentes, adéquates et limitées à ce qui est nécessaire ;
• de répondre aux demandes des personnes concernées, sauf lorsqu'il a expressément demandé à CK Digital de fournir une assistance particulière ;
• de respecter les obligations qui lui incombent en matière de conservation, de droit du travail et de protection des données.

3.2. CK Digital — Sous-traitant

CK Digital traite les Données du Personnel uniquement pour le compte du Client et conformément :

1. aux instructions documentées du Client ;
2. au présent Accord ;
3. aux Conditions Contractuelles ;
4. aux fonctionnalités effectivement proposées par Brigado ;
5. aux exigences applicables du RGPD.

CK Digital ne détermine pas, pour le compte du Client, les finalités des traitements relatifs aux salariés du Client.

4. Instructions du Client

Les instructions du Client sont notamment constituées par :

• la souscription et la configuration du compte Brigado ;
• les paramètres choisis par le Client ;
• les données saisies ou importées par le Client ;
• l'utilisation des fonctionnalités disponibles dans Brigado ;
• les demandes adressées par le Client à CK Digital concernant le traitement de ses données ;
• toute instruction écrite complémentaire communiquée par le Client.

CK Digital n'est pas tenu d'exécuter une instruction qui serait manifestement contraire au RGPD ou à une autre disposition applicable en matière de protection des données.

Lorsqu'une instruction du Client lui paraît contraire à la réglementation applicable, CK Digital en informe le Client dans les conditions prévues par l'article 28 du RGPD.

CK Digital peut refuser ou suspendre l'exécution d'une instruction manifestement illicite, sans que ce refus constitue un manquement à ses obligations contractuelles.

5. Objet, nature et finalités des traitements

Les traitements effectués par CK Digital ont pour objet de permettre la fourniture, la sécurisation, la maintenance et l'amélioration technique des Services souscrits par le Client.

Les principales opérations de traitement peuvent notamment comprendre :

• collecte et enregistrement ;
• hébergement ;
• stockage ;
• organisation ;
• consultation technique ;
• modification ;
• synchronisation ;
• récupération ;
• export ;
• sauvegarde ;
• suppression ;
• transmission à des sous-traitants ultérieurs nécessaires à la fourniture des Services ;
• opérations de maintenance, de sécurité et de prévention des incidents.

Les finalités comprennent notamment :

• la création et la gestion des plannings ;
• le suivi des horaires et des pointages ;
• la gestion des demandes de congés ;
• la gestion des échanges de shifts ;
• la préparation et l'export de données nécessaires à la paie ;
• la mise à disposition des fonctionnalités de la Plateforme ;
• la sécurisation des comptes et des données ;
• la maintenance et le fonctionnement technique de Brigado.

CK Digital ne réutilise pas les Données du Personnel pour ses propres campagnes publicitaires ou commerciales.

CK Digital ne vend pas les Données du Personnel à des tiers.

Les Données du Personnel ne sont pas utilisées pour établir des profils commerciaux des salariés.

Toute nouvelle finalité substantiellement différente de celles prévues au présent Accord fera l'objet d'une information et, lorsque cela est nécessaire, d'une instruction ou d'un accord approprié du Client.

6. Catégories de personnes concernées

Les personnes concernées peuvent notamment être :

• salariés du Client ;
• employés à temps plein ou à temps partiel ;
• extras ;
• saisonniers ;
• apprentis ou autres personnels autorisés par le Client ;
• responsables ou managers utilisant Brigado pour gérer les équipes ;
• utilisateurs autorisés par le Client.

7. Catégories de données traitées

Selon les fonctionnalités utilisées par le Client, les Données du Personnel peuvent notamment comprendre :

Données d'identification

• nom ;
• prénom ;
• identifiant utilisateur ;
• adresse électronique, lorsqu'elle est renseignée ;
• identifiant technique du compte.

Données professionnelles

• établissement ou site de rattachement ;
• fonction ou poste ;
• rôle dans Brigado ;
• informations relatives à l'organisation du travail.

Données de planning

• jours travaillés ;
• horaires prévus ;
• shifts attribués ;
• postes ;
• modifications de planning ;
• échanges de shifts.

Données de temps de travail

• date et heure de pointage d'arrivée ;
• date et heure de pointage de départ ;
• corrections de pointage ;
• écarts entre planning et pointage ;
• informations relatives aux modifications effectuées dans le système ;
• historique et éléments techniques nécessaires à la traçabilité des modifications.

Données relatives aux absences et congés

• demandes de congés ;
• absences renseignées par le Client ;
• échanges ou modifications liés aux shifts.

Données techniques

Lorsque cela est nécessaire au fonctionnement et à la sécurité du Service :

• identifiants techniques ;
• journaux techniques ;
• informations relatives à la connexion ;
• données nécessaires à la sécurité et à la prévention des abus.

Le Client s'engage à ne pas utiliser Brigado pour saisir des données sensibles ou des catégories particulières de données au sens de l'article 9 du RGPD, sauf si une fonctionnalité Brigado prévoit expressément leur traitement et que le cadre contractuel et technique applicable a été adapté en conséquence.

En particulier, le Client ne doit pas saisir dans des champs libres des informations médicales, diagnostics, informations relatives à la santé ou autres données sensibles qui ne seraient pas nécessaires au fonctionnement du Service.

8. Durée du traitement

Les traitements de Données du Personnel sont réalisés pendant toute la durée pendant laquelle le Client dispose d'un compte Brigado ou utilise des Services nécessitant le traitement de ces données.

En cas de résiliation ou de cessation des Services, le compte du Client est désactivé conformément aux Conditions Contractuelles. À compter de cette désactivation, les Données du Personnel sont conservées pendant une période maximale de 30 jours, afin de permettre, le cas échéant, la récupération ou l'exportation des données par le Client et de gérer la fin des Services.

À l'issue de cette période de 30 jours, CK Digital procède à la suppression des Données du Personnel des environnements de production concernés, selon les procédures automatisées ou techniques applicables aux Services.

Cette suppression est effectuée sous réserve :

• des données qui doivent être conservées en application d'une obligation légale ou réglementaire ;
• des données conservées dans les systèmes de sauvegarde pendant leur durée normale de conservation ;
• des données nécessaires à la sécurité des Services, à la prévention ou à la détection des fraudes ;
• des données nécessaires à la constatation, à l'exercice ou à la défense de droits en justice.

Les modalités détaillées de restitution, de suppression et de conservation résiduelle des données sont précisées à l'article 19 du présent Accord.

Les obligations du présent Accord qui, par leur nature, sont destinées à produire leurs effets après la fin du contrat, notamment les obligations de confidentialité et certaines obligations relatives à la sécurité et à la protection des données, continuent de s'appliquer pendant la durée nécessaire à leur exécution.

9. Confidentialité

CK Digital garantit la confidentialité des Données du Personnel auxquelles elle peut avoir accès dans le cadre de la fourniture des Services.

L'accès aux Données du Personnel est limité aux personnes autorisées qui en ont besoin pour :

• fournir les Services ;
• assurer leur maintenance ;
• assurer la sécurité ;
• résoudre un incident ;
• fournir une assistance au Client lorsque cela est nécessaire.

Les personnes autorisées à accéder aux Données du Personnel sont soumises à une obligation de confidentialité appropriée.

CK Digital ne communique pas les Données du Personnel à des tiers autres que les sous-traitants ultérieurs autorisés ou les destinataires dont la communication est nécessaire pour fournir les Services ou imposée par la loi.

Lorsque CK Digital est légalement tenue de communiquer des données à une autorité publique, elle en informe le Client lorsque la réglementation applicable l'autorise et lorsque cette information est raisonnablement possible.

10. Mesures de sécurité

CK Digital met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques présentés par les traitements, conformément à l'article 32 du RGPD.

Ces mesures comprennent notamment, selon les services et technologies concernés :

• chiffrement des communications utilisant des protocoles sécurisés tels que HTTPS/TLS ;
• mécanismes d'authentification et de contrôle d'accès ;
• limitation des accès aux personnes autorisées ;
• séparation logique des données entre les différents comptes ou établissements ;
• mesures de sauvegarde et de restauration ;
• mesures destinées à assurer la disponibilité et la résilience des Services ;
• surveillance et mesures de protection contre les accès non autorisés ;
• journalisation ou traçabilité de certaines opérations lorsque cela est nécessaire ;
• mesures de protection des environnements techniques ;
• procédures de gestion des incidents de sécurité ;
• mesures destinées à restaurer l'accès aux données dans des délais appropriés après un incident.

Les mesures de sécurité peuvent évoluer dans le temps afin de tenir compte de l'évolution des technologies, des risques et des Services.

CK Digital ne garantit toutefois pas qu'un Service connecté à Internet puisse être exempt de toute vulnérabilité ou de tout incident de sécurité.

11. Sous-traitants ultérieurs

Le Client autorise CK Digital à recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture des Services.

CK Digital demeure responsable, conformément au RGPD et au présent Accord, du respect par ses sous-traitants ultérieurs des obligations applicables en matière de protection des données dans le cadre des traitements qui leur sont confiés.

Les sous-traitants ultérieurs sont soumis à des obligations de protection des données appropriées et compatibles avec celles prévues par le présent Accord.

CK Digital informe le Client de tout ajout ou remplacement substantiel d'un sous-traitant ultérieur impliqué dans le traitement des Données du Personnel.

Le Client peut s'opposer à un tel ajout ou remplacement pour des motifs légitimes liés à la protection des données.

En cas d'objection légitime ne pouvant être raisonnablement résolue, les Parties recherchent de bonne foi une solution permettant d'assurer la continuité des Services tout en maintenant un niveau de protection approprié.

12. Liste des sous-traitants ultérieurs

À la date de mise à jour du présent Accord, les catégories de sous-traitants ultérieurs et prestataires susceptibles d'intervenir dans le traitement des Données du Personnel comprennent notamment :

CK Digital maintient une liste à jour des sous-traitants ultérieurs effectivement utilisés pour les traitements concernés.

La liste des sous-traitants ultérieurs peut évoluer en fonction des besoins techniques, de sécurité ou opérationnels des Services.

CK Digital informe le Client, selon les modalités prévues au présent Accord, de tout ajout ou remplacement d'un sous-traitant ultérieur impliqué dans le traitement des Données du Personnel.

Le Client peut s'opposer à un tel ajout ou remplacement pour des motifs légitimes liés à la protection des données.

CK Digital veille à ce que les sous-traitants ultérieurs auxquels elle confie le traitement de Données du Personnel soient liés par un contrat ou un autre acte juridique approprié imposant des obligations de protection des données conformes aux exigences applicables du RGPD.

CK Digital demeure responsable, à l'égard du Client, du respect par ses sous-traitants ultérieurs des obligations de protection des données qui leur sont applicables dans le cadre des traitements qui leur sont confiés, conformément à l'article 28 du RGPD.

Les sous-traitants ultérieurs peuvent être établis dans différents pays et peuvent traiter certaines données depuis ou dans plusieurs juridictions, conformément aux services qu'ils fournissent et aux mécanismes de transfert applicables.

La présente liste décrit les principales catégories de prestataires susceptibles d'intervenir. Elle ne constitue pas une garantie que chaque prestataire traitera effectivement toutes les catégories de données indiquées dans tous les cas, le traitement dépendant notamment des fonctionnalités utilisées par le Client.

13. Transferts internationaux

Lorsque les Données du Personnel sont transférées vers un pays situé en dehors de l'Espace économique européen, CK Digital veille à ce qu'un mécanisme de transfert conforme aux exigences du RGPD soit applicable lorsque celui-ci est requis.

Selon le pays concerné, la nature du transfert et le cadre juridique applicable, le transfert peut notamment être fondé sur :

• une décision d'adéquation adoptée par la Commission européenne ;
• les clauses contractuelles types adoptées par la Commission européenne ;
• un autre mécanisme de transfert reconnu par le RGPD.

Lorsque les conditions applicables l'exigent, CK Digital met en œuvre ou exige de ses sous-traitants ultérieurs les mesures supplémentaires appropriées afin de garantir un niveau de protection des données conforme aux exigences du RGPD.

CK Digital tient compte, dans la mesure applicable, des circonstances du transfert, de la nature des données concernées et des garanties offertes par le destinataire.

Le Client reconnaît que certains prestataires technologiques utilisés pour fournir les Services peuvent être des entreprises internationales ou utiliser des infrastructures réparties dans plusieurs juridictions. En conséquence, certaines Données du Personnel peuvent, selon les Services et fonctionnalités utilisés, faire l'objet d'un traitement ou d'un accès depuis un pays situé en dehors de l'Espace économique européen.

CK Digital ne garantit pas que les Données du Personnel seront exclusivement stockées ou traitées au sein de l'Union européenne ou de l'Espace économique européen.

Lorsque cela est requis par le RGPD, CK Digital s'assure qu'un fondement juridique approprié au transfert est en place et prend en compte les garanties et mesures supplémentaires nécessaires au regard du transfert concerné.

Les informations relatives aux principaux sous-traitants ultérieurs et aux mécanismes de transfert applicables peuvent être communiquées ou mises à jour par CK Digital conformément aux modalités d'information prévues au présent Accord.

14. Assistance du Sous-traitant

Compte tenu de la nature du traitement et des informations dont CK Digital dispose, CK Digital apporte au Client une assistance raisonnable afin de lui permettre de respecter ses obligations au titre du RGPD.

Cette assistance peut notamment concerner :

• les demandes d'exercice des droits des personnes concernées ;
• les mesures de sécurité ;
• la notification des violations de données ;
• les analyses d'impact relatives à la protection des données ;
• les consultations préalables de l'autorité de contrôle lorsqu'elles sont nécessaires.

L'assistance est fournie dans la mesure raisonnablement nécessaire au regard des Services et des informations disponibles auprès de CK Digital.

Lorsque la demande nécessite une intervention technique, juridique ou administrative exceptionnelle et substantielle qui ne relève pas du fonctionnement normal du Service, CK Digital peut facturer les coûts raisonnables correspondants après information préalable du Client.

15. Exercice des droits des personnes concernées

Le Client demeure responsable de la réponse aux demandes exercées par les personnes concernées en qualité de responsable du traitement.

Lorsqu'une personne concernée adresse directement à CK Digital une demande concernant les Données du Personnel du Client, CK Digital :

1. ne répond pas au fond à la demande sauf instruction contraire du Client ;
2. transmet la demande au Client dans les meilleurs délais raisonnables ;
3. fournit, dans la mesure raisonnable, l'assistance technique nécessaire au Client pour permettre le traitement de la demande.

Selon les fonctionnalités disponibles, CK Digital peut permettre au Client d'accéder directement aux données concernées, de les corriger, de les exporter ou de les supprimer.

16. Violations de données à caractère personnel

En cas de violation de données à caractère personnel affectant les Données du Personnel traitées pour le compte du Client, CK Digital informe le Client dans les meilleurs délais après en avoir pris connaissance.

Lorsque cela est raisonnablement possible, cette notification intervient dans un délai maximal de 48 heures après que CK Digital a confirmé l'existence d'une violation affectant les Données du Personnel.

Cette notification contient, dans la mesure des informations alors disponibles :

• la nature de la violation ;
• les catégories de données concernées ;
• les catégories et, lorsque cela est possible, le nombre approximatif de personnes concernées ;
• les catégories et, lorsque cela est possible, le nombre approximatif d'enregistrements concernés ;
• les conséquences probables de la violation ;
• les mesures prises ou envisagées pour remédier à la violation ;
• les mesures envisagées pour limiter les conséquences négatives ;
• les coordonnées d'un point de contact permettant d'obtenir des informations complémentaires.

Lorsque toutes les informations ne sont pas immédiatement disponibles, CK Digital peut les communiquer progressivement sans retard indu.

Le Client demeure responsable de déterminer, conformément au RGPD, si une notification à la CNIL ou une information des personnes concernées est nécessaire.

Le délai de 48 heures prévu au présent article constitue une obligation contractuelle d'information du Client. Il ne modifie pas le délai légal applicable au Client pour notifier une violation à l'autorité de contrôle.

Conformément à l'article 33 du RGPD, lorsque la notification à l'autorité de contrôle est requise, le responsable du traitement doit en principe agir dans les meilleurs délais et, si possible, dans les 72 heures après avoir pris connaissance de la violation.

17. Registre et documentation

CK Digital conserve, lorsque cela est applicable, les informations et documents nécessaires permettant de démontrer le respect de ses obligations relatives au traitement des données à caractère personnel.

CK Digital coopère raisonnablement avec le Client afin de permettre à celui-ci de démontrer le respect de ses propres obligations lorsque cette coopération est nécessaire et proportionnée.

18. Audits et contrôles

Le Client peut demander à CK Digital les informations raisonnablement nécessaires pour démontrer le respect des obligations prévues par l'article 28 du RGPD.

Lorsque les informations disponibles ne permettent pas de répondre raisonnablement à la demande, le Client peut demander la réalisation d'un audit.

Tout audit doit :

• être justifié par un besoin raisonnable de vérification ;
• faire l'objet d'un préavis écrit raisonnable ;
• être effectué pendant les heures ouvrées normales ;
• limiter autant que possible les perturbations de l'activité de CK Digital ;
• respecter les obligations de confidentialité ;
• ne pas permettre l'accès aux données d'autres clients ;
• ne pas compromettre la sécurité des systèmes de CK Digital ou de ses autres clients.

Sauf obligation légale contraire ou incident de sécurité grave, les audits sur site ne peuvent être effectués plus d'une fois par période de douze mois.

Les coûts raisonnables d'un audit exceptionnel peuvent être supportés par le Client lorsque celui-ci est demandé sans qu'un manquement ou un incident de sécurité justifie raisonnablement l'audit.

Les rapports d'audit, certifications ou documents de conformité disponibles auprès des sous-traitants de CK Digital peuvent, lorsque cela est pertinent, être utilisés pour satisfaire aux demandes d'information du Client.

19. Restitution, suppression et conservation des données à la fin des Services

19.1. Restitution et exportation

À compter de la résiliation ou de la cessation des Services, le Client peut, pendant la période de désactivation prévue à l'article 8, récupérer ou exporter les Données du Personnel au moyen des fonctionnalités d'export disponibles dans Brigado ou, lorsque cela est raisonnablement nécessaire, demander une assistance technique à CK Digital.

Le Client demeure responsable de récupérer les données dont il souhaite conserver une copie avant leur suppression.

19.2. Suppression des données de production

À l'expiration de la période de 30 jours suivant la désactivation du compte, CK Digital procède à la suppression des Données du Personnel des environnements de production concernés.

Cette suppression peut notamment comprendre, selon les données et services concernés :

• les données stockées dans les bases de données de production ;
• les fichiers ou documents associés au compte ;
• les comptes d'authentification créés pour les utilisateurs du Client lorsque ceux-ci sont exclusivement liés au compte concerné ;
• les données de contact utilisées exclusivement pour le fonctionnement des Services pour le compte du Client.

La suppression est effectuée au moyen des procédures techniques mises en œuvre par CK Digital, notamment les processus automatisés prévus à cet effet.

19.3. Sauvegardes

La suppression des données des environnements de production n'entraîne pas nécessairement leur suppression instantanée de toutes les copies de sauvegarde.

Certaines Données du Personnel peuvent subsister temporairement dans des sauvegardes techniques, notamment les sauvegardes de bases de données et les mécanismes de restauration destinés à assurer la continuité et la résilience des Services.

Ces copies de sauvegarde sont conservées uniquement pendant la durée prévue par les procédures de sauvegarde applicables, puis sont supprimées ou écrasées dans le cadre du cycle normal de rotation des sauvegardes.

Pendant cette période, les données présentes dans les sauvegardes ne sont pas utilisées pour fournir les Services au Client ni pour de nouvelles finalités et restent soumises aux mesures de sécurité applicables.

19.4. Données techniques et journaux

Certaines informations techniques susceptibles de contenir des identifiants, adresses électroniques, identifiants techniques ou autres informations liées à l'utilisation du Service peuvent subsister temporairement dans les journaux techniques et systèmes de surveillance.

Ces données sont conservées pendant la durée nécessaire au fonctionnement, à la sécurité, à la détection des incidents et à la maintenance des Services, conformément aux politiques techniques applicables.

19.5. Données relatives aux paiements et à la facturation

La suppression du compte Brigado n'entraîne pas nécessairement la suppression immédiate des données relatives à la facturation, aux factures, aux transactions ou aux obligations comptables.

Certaines données peuvent être conservées pendant la durée imposée par les lois et réglementations applicables, notamment en matière comptable, fiscale ou de lutte contre la fraude.

Les données conservées pour ces motifs ne sont traitées que pour les finalités justifiant leur conservation.

19.6. Prestataires d'envoi d'e-mails

Les données relatives à l'envoi d'e-mails transactionnels peuvent être conservées par le prestataire d'envoi pendant la durée prévue par ses propres politiques et conditions applicables, notamment à des fins de journalisation, de sécurité, de délivrabilité et de prévention des abus.

Lorsque CK Digital contrôle directement les données de contact utilisées par ces prestataires pour le fonctionnement de Brigado, elle met en œuvre des mesures raisonnables afin que les données qui ne sont plus nécessaires au fonctionnement des Services soient supprimées ou désactivées conformément aux procédures applicables.

19.7. Exceptions légales et contentieuses

Nonobstant les dispositions précédentes, CK Digital peut conserver certaines données lorsqu'une telle conservation est nécessaire :

• au respect d'une obligation légale ou réglementaire ;
• à la constatation, à l'exercice ou à la défense de droits en justice ;
• à la sécurité des Services ;
• à la prévention ou à la détection des fraudes ou abus ;
• à la conservation d'éléments nécessaires à la preuve d'une opération ou d'un événement.

Dans ces situations, les données sont conservées uniquement pendant la durée nécessaire à la finalité justifiant leur conservation et ne sont pas utilisées à d'autres fins incompatibles avec cette finalité.

19.8. Données conservées par le Client

La suppression des Données du Personnel par CK Digital ou ses sous-traitants n'affecte pas les copies que le Client aurait préalablement exportées, téléchargées ou conservées de son côté.

Le Client demeure responsable de ces données ainsi que de leur conservation, sécurité et suppression conformément à ses propres obligations légales.

20. Données nécessaires à la preuve et aux obligations légales

Le Client reconnaît que certaines données traitées dans Brigado, notamment les données relatives aux horaires et aux pointages, peuvent être utilisées par le Client dans le cadre de ses obligations professionnelles, sociales ou probatoires.

CK Digital fournit les fonctionnalités d'export et de conservation prévues par les Services.

Toutefois, CK Digital ne détermine pas les durées légales de conservation applicables au Client et ne garantit pas que la durée de conservation standard du Service corresponde à toutes les obligations légales particulières du Client.

Le Client demeure responsable de récupérer les données dont il doit assurer la conservation au-delà de la durée contractuelle de conservation de Brigado.

21. Sous-traitants et responsabilité

CK Digital demeure responsable envers le Client du respect de ses obligations en qualité de sous-traitant, dans les limites prévues par le RGPD et les Conditions Contractuelles.

CK Digital veille à ce que les sous-traitants ultérieurs auxquels elle confie le traitement de Données du Personnel soient liés par des obligations de protection des données appropriées.

Le Client demeure responsable des traitements qu'il détermine en tant que responsable du traitement, notamment :

• la licéité de la collecte ;
• la base légale ;
• l'information des salariés ;
• les finalités ;
• la pertinence des données saisies ;
• les durées de conservation qu'il détermine ;
• les décisions prises concernant les salariés sur la base des informations disponibles.

Aucune disposition du présent Accord n'a pour effet d'exonérer une Partie de sa responsabilité lorsque cette exonération serait interdite par le droit applicable.

Les limitations et exclusions de responsabilité prévues par les Conditions Contractuelles s'appliquent également au présent Accord, sous réserve des dispositions impératives du RGPD et du droit applicable.

22. Coopération avec les autorités

CK Digital coopère avec les autorités de contrôle compétentes dans les conditions prévues par le RGPD et la réglementation applicable.

Lorsque CK Digital reçoit une demande officielle d'une autorité concernant des Données du Personnel, elle peut répondre directement lorsque la loi l'exige ou l'autorise.

Lorsque cela est légalement possible et raisonnablement approprié, CK Digital informe le Client de la demande.

23. Modifications du présent Accord

CK Digital peut mettre à jour le présent Accord lorsqu'une telle mise à jour est nécessaire notamment :

• en raison d'une évolution législative ou réglementaire ;
• en raison d'une décision ou recommandation d'une autorité de contrôle ;
• en raison de l'évolution des Services ;
• en raison de l'évolution des sous-traitants ou de l'infrastructure technique ;
• afin d'améliorer ou de préciser les mesures de protection des données.

Lorsqu'une modification est substantielle et affecte les droits ou obligations du Client, CK Digital en informe le Client dans un délai raisonnable lorsque cela est possible.

La version applicable est celle en vigueur à la date du traitement concerné, sous réserve des dispositions contractuelles applicables aux modifications des Conditions Contractuelles.

24. Durée et survie

Le présent Accord prend effet à compter de l'acceptation des Conditions Contractuelles ou de l'utilisation des Services lorsque cette utilisation vaut acceptation contractuelle.

Il reste applicable pendant toute la durée du traitement des Données du Personnel par CK Digital.

Les obligations relatives à la confidentialité, à la sécurité, à la conservation, à la suppression et à la responsabilité continuent de produire leurs effets après la fin du contrat dans la mesure nécessaire à leur mise en œuvre.

25. Droit applicable

Le présent Accord est soumis au droit français, sous réserve des dispositions impératives du droit de l'Union européenne et de toute autre disposition impérative applicable.

Les règles de compétence juridictionnelle sont celles prévues par les Conditions Contractuelles, sous réserve des dispositions impératives applicables.

26. Contact relatif aux données personnelles

Pour toute question concernant le traitement des données personnelles dans le cadre de Brigado, le Client peut contacter CK Digital :

CK Digital — Brigado
53 Guillaume Dulac
13600 La Ciotat
France

E-mail : info@brigado.solutions

ANNEXE 1 — DESCRIPTION DU TRAITEMENT

A. Objet du traitement

Fourniture des fonctionnalités Brigado de gestion des équipes et du temps de travail pour les établissements professionnels, notamment dans le secteur HCR.

B. Durée

Pendant la durée du contrat, augmentée de la période de conservation post-contractuelle prévue à l'article 19.

C. Nature des opérations

Les opérations peuvent comprendre la collecte, l'enregistrement, l'organisation, le stockage, la consultation technique, la modification, la récupération, l'export, la sauvegarde et la suppression des données.

D. Finalités

• gestion des plannings ;
• gestion des horaires ;
• pointage des salariés ;
• gestion des congés ;
• échanges de shifts ;
• exports ;
• fonctionnement du compte ;
• sécurité ;
• maintenance ;
• support technique.

E. Catégories de personnes concernées

• salariés ;
• extras ;
• saisonniers ;
• apprentis ;
• managers ;
• autres utilisateurs autorisés par le Client.

F. Catégories de données

• identité ;
• coordonnées lorsque renseignées ;
• informations professionnelles ;
• rôle et poste ;
• planning ;
• horaires ;
• pointages ;
• corrections de pointage ;
• demandes de congés ;
• échanges de shifts ;
• données techniques nécessaires au fonctionnement et à la sécurité.

G. Catégories particulières de données

Le traitement de catégories particulières de données au sens de l'article 9 du RGPD n'est pas nécessaire au fonctionnement standard de Brigado.

Le Client ne doit pas introduire de telles données dans la Plateforme sauf si une fonctionnalité spécifique et un cadre contractuel approprié permettent expressément leur traitement.

H. Sous-traitants ultérieurs

Les sous-traitants utilisés par CK Digital peuvent notamment intervenir dans les domaines suivants :

• infrastructure et hébergement ;
• base de données ;
• authentification ;
• services cloud ;
• paiements ;
• communication électronique ;
• sécurité et maintenance.

CK Digital tient à jour la liste applicable des sous-traitants conformément à l'article 11.

ANNEXE 2 — MESURES TECHNIQUES ET ORGANISATIONNELLES

Les principales mesures mises en œuvre par CK Digital comprennent, selon les composants concernés :

Contrôle des accès

• accès réservé aux utilisateurs autorisés ;
• authentification ;
• gestion des droits ;
• limitation des accès administratifs.

Sécurité des communications

• communications sécurisées via HTTPS/TLS ;
• protection des échanges entre les composants du Service.

Séparation des données

• isolation logique des données entre comptes et établissements ;
• contrôles d'accès empêchant l'accès normal aux données d'un autre Client.

Sauvegardes

• sauvegardes techniques selon l'architecture et les services utilisés ;
• mécanismes de restauration adaptés à l'infrastructure.

Sécurité applicative

• contrôle des autorisations ;
• validation des entrées ;
• mesures de prévention contre les accès non autorisés ;
• journalisation de certaines opérations nécessaires à la sécurité et à la traçabilité.

Gestion des incidents

• détection et analyse des incidents ;
• mesures de confinement ;
• mesures correctives ;
• information du Client conformément à l'article 16 lorsqu'une violation de données personnelles est concernée.

Confidentialité

• accès aux données limité aux personnes autorisées ;
• obligation de confidentialité ;
• recours à des prestataires contractuellement encadrés.

Les mesures techniques et organisationnelles sont susceptibles d'évoluer afin de maintenir un niveau de sécurité adapté aux risques et à l'évolution technologique.

ANNEXE 3 — HIÉRARCHIE CONTRACTUELLE

Le présent DPA complète les Conditions Contractuelles de Brigado.

En cas de contradiction :

1. les dispositions impératives du RGPD et du droit applicable prévalent ;
2. pour les questions relatives spécifiquement au traitement des Données du Personnel pour le compte du Client, le présent DPA prévaut sur les Conditions Contractuelles ;
3. pour les autres questions contractuelles, les Conditions Contractuelles continuent de s'appliquer.