Accord de traitement des données

Le client est l'entreprise qui utilise TimeRecap pour son équipe, et il est le responsable du traitement des données à caractère personnel. Nous sommes le sous-traitant : eMindBrowser BV, Schoolstraat 24 8530 Harelbeke, Belgium, numéro d'entreprise 1006742907.

Pour les données dont nous avons besoin pour gérer notre propre activité, comme les coordonnées et les données de facturation de la personne qui commande, nous sommes nous-mêmes responsables du traitement. La Politique de confidentialité couvre ces données.

Objet : nous hébergeons l'application et le service cloud TimeRecap pour le client. Nature : nous recevons les entrées de temps des appareils et de l'application du client, nous les stockons et les affichons, et nous les envoyons vers les intégrations que le client active. Finalité : permettre au client et à son équipe de suivre leur temps par activité, client et projet. Durée : aussi longtemps que le client utilise TimeRecap.

Données à caractère personnel : noms, adresses e-mail et identifiants de connexion des membres de l'équipe ; identifiants et paramètres des appareils ; entrées de temps avec heures de début et de fin, activité, client, projet et notes ; et jetons d'accès pour les intégrations que le client connecte.

Personnes concernées : les employés et autres membres de l'équipe du client qui utilisent TimeRecap. Les noms de clients et les notes peuvent aussi se rapporter aux propres clients du client.

TimeRecap n'est pas conçu pour des catégories particulières de données à caractère personnel, comme des données de santé. Le client ne doit pas en saisir dans les notes ou les noms.

Nous ne traitons les données à caractère personnel que sur instruction documentée du client. Cet accord, les Conditions d'utilisation du logiciel et les paramètres que le client choisit dans l'application constituent ces instructions. Le client peut donner des instructions supplémentaires par écrit.

Si nous estimons qu'une instruction enfreint la réglementation en matière de protection des données, nous en informons immédiatement le client. Si le droit de l'UE ou le droit belge nous oblige à traiter les données d'une autre manière, nous en informons d'abord le client, sauf si ce droit l'interdit.

Toute personne ayant accès aux données à caractère personnel, dans notre entreprise ou chez nos sous-traitants ultérieurs, est tenue à la confidentialité par contrat ou par la loi. Seules les personnes qui en ont besoin pour faire fonctionner et assister le service y ont accès.

Nous protégeons les données à caractère personnel par des mesures techniques et organisationnelles adaptées au risque, notamment : • le chiffrement en transit (TLS) et au repos • une base de données dans un réseau privé, inaccessible depuis Internet • un accès réservé aux personnes autorisées, avec authentification à deux facteurs pour l'accès administrateur • des appareils qui doivent être enregistrés avant que le cloud n'accepte leurs données, avec chiffrement de la mémoire flash et démarrage sécurisé sur l'appareil • la surveillance et la journalisation de nos serveurs

Nous réexaminons ces mesures régulièrement et les mettons à jour si nécessaire.

Nous faisons appel aux sous-traitants ultérieurs suivants : • Amazon Web Services EMEA SARL (Luxembourg) : hébergement, base de données et sauvegardes, dans la région AWS de Paris (France) • Auth0, filiale d'Okta Inc. : connexion et authentification, dans la région UE d'Auth0

Le client donne une autorisation générale pour ces sous-traitants ultérieurs. Chacun d'eux est soumis aux mêmes obligations en matière de protection des données que dans cet accord, et nous restons responsables d'eux.

Nous annonçons tout nouveau sous-traitant ultérieur, ou tout remplacement, par e-mail au moins 30 jours à l'avance. Le client peut s'y opposer pour des motifs raisonnables pendant ce délai. Si nous ne pouvons pas résoudre l'objection, le client peut cesser d'utiliser le service, et nous remboursons les montants payés d'avance pour la période restante.

Les intégrations que le client active, comme Clockify, Toggl ou Zapier, ne sont pas nos sous-traitants ultérieurs. Le client les choisit, et nous leur envoyons des données sur instruction du client.

Nous stockons les données à caractère personnel dans l'Union européenne. AWS et Auth0 appartiennent à des entreprises américaines, qui peuvent accéder aux données dans des cas limités, par exemple pour l'assistance ou la sécurité. Ces transferts sont couverts par le cadre de protection des données UE-États-Unis (Data Privacy Framework) et les clauses contractuelles types de la Commission européenne.

Les intégrations que le client active peuvent stocker des données en dehors de l'UE. Leurs propres conditions s'appliquent.

Dans TimeRecap, le client peut consulter, corriger, exporter et supprimer les données des membres de son équipe. Si le client a besoin de plus d'aide pour répondre à une demande d'une personne concernée, nous l'aidons.

Nous aidons aussi le client pour les analyses d'impact relatives à la protection des données, les consultations préalables et les questions des autorités de protection des données, dans la mesure où elles concernent notre traitement. Si un membre de l'équipe ou une autorité nous contacte directement, nous transmettons la demande au client au lieu d'y répondre nous-mêmes, sauf si la loi en dispose autrement.

Si nous avons connaissance d'une violation de données à caractère personnel qui affecte les données du client, nous la notifions au client dans les meilleurs délais, et au plus tard dans les 48 heures.

Nous communiquons ce que nous savons : ce qui s'est passé, les données et le nombre de personnes concernées, les conséquences probables, et les mesures que nous avons prises ou proposons. Nous complétons ces informations au fur et à mesure, et aidons le client à notifier l'autorité et les personnes concernées si nécessaire.

Lorsque le client supprime son compte, toutes les données à caractère personnel que nous traitons pour lui sont supprimées immédiatement : le client doit donc d'abord exporter ses données. Les copies dans nos sauvegardes sont supprimées automatiquement dans les 7 jours, sauf si la loi nous oblige à les conserver.

Sur demande, nous confirmons la suppression par écrit.