Contrat de sous-traitance des données (DPA)

1. Objet, nature et finalité du traitement

• -Le Sous-traitant fournit la plateforme Novteam, un logiciel de suivi RH interne (évaluations, entretiens, formations, baromètre social, tâches, reconnaissance, répertoire).
• -Nature des opérations : collecte, enregistrement, organisation, structuration, conservation, consultation, utilisation, communication restreinte aux personnes autorisées, effacement.
• -Finalité : permettre au client d'organiser son suivi RH interne. Le Sous-traitant ne traite les données que pour fournir, sécuriser et améliorer le service, jamais pour son propre compte.
• -Durée : pendant toute la durée d'utilisation du service par le client, jusqu'à la clôture de l'espace et l'expiration du délai de suppression (section 8).

2. Catégories de personnes et de données

• -Personnes concernées : collaborateurs, responsables et administrateurs du client ; le cas échéant, contacts professionnels saisis dans le répertoire.
• -Données d'identification : nom, prénom, adresse e-mail professionnelle, poste, équipe, date d'entrée, date de naissance (facultative), photo de profil (facultative).
• -Données RH : évaluations et réponses, commentaires, entretiens, formations suivies et validations, quiz, tâches, missions, badges de reconnaissance, objectifs, notes internes, attestations.
• -Planning et temps de travail : horaires et shifts planifiés, échanges de shifts, pointages (heures d'entrée et de sortie, pauses), feuilles d'heures et validations mensuelles.
• -Absences : demandes de congé et absences, y compris pour raison médicale ou accident et leur motif éventuel — susceptibles de constituer des données de santé (catégorie particulière, art. 9 RGPD / art. 5 al. 2 LPD).
• -Pièces d'identité et documents RH : lorsque l'entreprise active cette fonction, pièces d'identité, permis de travail et documents d'onboarding (images et métadonnées), pouvant révéler la nationalité ou le statut de séjour.
• -Géolocalisation des pointages : uniquement si l'entreprise l'active (désactivée par défaut) — position au moment du badge, ou simple indicateur « sur site / hors site » en mode geofence.
• -Baromètre social : réponses et humeurs, y compris commentaires en texte libre.
• -Données de fonctionnement : journaux de connexion et d'audit, préférences de notification, acceptations (confidentialité, CGU).
• -Aucune donnée bancaire n'est traitée par le Sous-traitant : les paiements sont traités directement par Stripe.
• -Le service peut ainsi traiter, pour le compte et sur instruction du client responsable, des données de catégories particulières (données de santé liées aux absences) et des pièces d'identité, aux seules fins de gestion RH. Le client s'assure de disposer d'une base légale (droit du travail / sécurité sociale, art. 9 §2 b) RGPD) et informe les personnes concernées ; il s'engage à ne pas saisir d'autres données sensibles non nécessaires dans les champs libres.

3. Instructions du client

• -Le Sous-traitant traite les données uniquement sur instruction documentée du client, matérialisée par la configuration de l'espace, l'utilisation des fonctionnalités et le présent DPA.
• -Si le Sous-traitant estime qu'une instruction viole la LPD ou le RGPD, il en informe le client sans délai.
• -Le Sous-traitant informe le client si le droit applicable lui impose un traitement particulier, sauf interdiction légale.

4. Confidentialité

• -Les personnes autorisées à traiter les données (éditeur et éventuels intervenants) sont tenues à une obligation de confidentialité contractuelle.
• -Les accès internes sont limités au strict nécessaire (principe du moindre privilège) et les actions sensibles sont journalisées.
• -Assistance (« support ») : à la demande du client ou pour résoudre un incident, un intervenant habilité de l'éditeur peut accéder temporairement à l'espace du client, par défaut en lecture seule ; chaque accès est journalisé et borné dans le temps, et les gestes sensibles (facturation, suppression de compte, export) en restent exclus.

5. Sécurité (mesures techniques et organisationnelles)

• -Chiffrement en transit (TLS) sur l'ensemble du service ; chiffrement au repos des bases de données.
• -Authentification : code personnel haché (bcrypt), verrouillage progressif des tentatives, connexion biométrique WebAuthn/passkeys en option.
• -Cloisonnement strict par entreprise : chaque donnée est rattachée à l'identifiant de l'organisation et chaque requête est filtrée par ce rattachement, côté serveur.
• -Droits d'accès applicatifs par poste et par équipe, configurés par l'administrateur du client.
• -Journaux d'audit des actions sensibles, conservés 1 an.
• -Purge automatique planifiée des données techniques expirées (journaux de connexion, abonnements push inactifs).
• -Sauvegardes gérées par l'hébergeur de base de données (restauration à un instant donné), chiffrées.
• -Développement : revues de sécurité du code, isolation des environnements de test et de production.

6. Sous-traitants ultérieurs

• -Le client autorise de manière générale le recours aux sous-traitants ultérieurs listés en Annexe A.
• -Le Sous-traitant informe le client de tout ajout ou remplacement (mise à jour de la présente page et de la politique de confidentialité) ; le client peut s'y opposer pour motif légitime dans un délai de 30 jours, la résiliation restant son recours en cas de désaccord persistant.
• -Chaque sous-traitant ultérieur est lié par des obligations équivalentes à celles du présent DPA (contrats de traitement des données des prestataires concernés).

7. Assistance et violations de données

• -Le Sous-traitant assiste le client, dans la mesure du raisonnable, pour répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, portabilité, opposition).
• -En cas de violation de données personnelles, le Sous-traitant notifie le client dans les meilleurs délais après en avoir pris connaissance, au plus tard sous 72 heures, avec les informations disponibles (nature, catégories et volumes concernés, mesures prises).
• -Le Sous-traitant assiste le client pour ses obligations de notification aux autorités et aux personnes concernées, ainsi que pour les analyses d'impact le cas échéant.

8. Sort des données en fin de contrat

• -L'administrateur peut exporter l'ensemble des données de son entreprise à tout moment depuis les paramètres de l'application (format structuré, lisible par machine).
• -À la clôture de l'espace, les données du client sont supprimées dans un délai de 30 jours, sauf obligation légale de conservation (notamment pièces comptables liées à la facturation).
• -Les copies de sauvegarde expirent ensuite selon le cycle de rétention de l'hébergeur de base de données.

9. Audit et démonstration de conformité

• -Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent DPA (documentation, liste des sous-traitants, mesures de sécurité, certifications des hébergeurs).
• -Le client peut, au maximum une fois par an et à ses frais, demander un audit documentaire complémentaire, avec un préavis raisonnable de 30 jours et sans perturber le service.

10. Durée, droit applicable et for

• -Le présent DPA prend effet à la création de l'espace et reste en vigueur tant que le Sous-traitant traite des données pour le compte du client.
• -Il est soumis au droit suisse ; sous réserve de dispositions impératives, le for est à Neuchâtel (Suisse).
• -Version du document : 2026-07-02-v2. Toute question : contact@novteam.com.

Annexe A — Sous-traitants ultérieurs autorisés

Annexe B — Durées de conservation

• -Données RH (évaluations, entretiens, notes de terrain, formations, tâches…) : par défaut, pendant toute la durée du contrat ; l'entreprise cliente peut définir une durée de conservation par catégorie (1 à 10 ans — notes, évaluations, entretiens, tâches archivées) dans ses paramètres, avec purge automatique hebdomadaire.
• -À la clôture de l'espace : suppression de l'ensemble des données dans les 30 jours (sauf demande d'export préalable).
• -Historique des échanges de shifts résolus : 1 an.
• -Offres de « shift à prendre » traitées : 90 jours.
• -Notes de service : 90 jours.
• -Réponses au baromètre social (humeurs, commentaires) : 2 ans.
• -Journaux de connexion (tentatives) : 180 jours.
• -Abonnements aux notifications push inactifs : 365 jours.
• -Journaux d'audit (traçabilité des actions sensibles) : 1 an.
• -Données de facturation : 10 ans (obligation comptable suisse, art. 958f CO).