Accord relatif au traitement des données (DPA)

1. Objet, rôles et droit applicable

Le présent DPA s'applique chaque fois que Super44 traite des données personnelles pour le compte du Responsable du traitement afin de fournir Super44 ou Superstaff. Le Responsable du traitement détermine les finalités et les moyens essentiels ; Super44 ne traite les données que conformément à l'Accord et aux instructions licites et documentées du Responsable du traitement.

Pour les traitements dans l'EEE, les références au RGPD désignent le règlement (UE) 2016/679. Pour les traitements au Royaume-Uni, elles désignent le UK GDPR et le Data Protection Act 2018. Les mêmes conditions applicables aux sous-traitants au titre de l'article 28 s'appliquent dans les deux régimes.

2. Détails du traitement

L’objet du traitement est l’hébergement et l’exploitation des services souscrits d’assistance aux entreprises, de gestion des dépenses et de gestion du personnel. Le traitement dure pendant toute la durée de l’Accord, augmentée des périodes de suppression et de sauvegarde décrites ci-dessous. Sa nature comprend la collecte, l’enregistrement, l’organisation, la conservation, la consultation, l’analyse, la transmission sur instruction du Responsable du traitement, la limitation, l’exportation et la suppression des données. Il a pour finalité de fournir, sécuriser, assister et maintenir les services choisis par le Responsable du traitement.

• Personnes concernées : les propriétaires et utilisateurs autorisés du Responsable du traitement ; les travailleurs, y compris les jeunes travailleurs lorsque leur emploi est licite ; les salariés, prestataires, candidats ou anciens membres du personnel enregistrés dans Superstaff ; et les contacts de clients figurant dans les données professionnelles connectées.
• Catégories de données : identifiants et coordonnées ; date de naissance ; fonctions, classifications professionnelles et statut juridique ; date de début d’emploi ; rémunérations convenues et durée hebdomadaire de travail ; méthode de calcul des congés payés, début de la période de référence et droits à congés ; justificatifs du droit au travail et de conformité de l’intégration ; disponibilités ; plannings ; dossiers de congés, d’absences et d’échanges de postes ; données de pointage, de borne, de feuilles de temps et d’exportation de paie ; instructions données dans le chat ; données de caisse, de reçus et de services connectés ; télémétrie des appareils, de sécurité et d’assistance.
• Les données relevant de catégories particulières ne sont pas requises. Le Responsable du traitement ne doit pas en fournir, sauf si cela est nécessaire, licite et expressément pris en charge par le service. Le statut d’un congé maladie peut révéler des données de santé ; le Responsable du traitement doit limiter les détails au strict nécessaire et appliquer la base juridique et les garanties appropriées.

3. Obligations et instructions du Responsable du traitement

Le Responsable du traitement est responsable de la licéité, de la loyauté, de la transparence et de l'exactitude des données personnelles et des instructions ; de la fourniture des informations requises et de la gestion des bases juridiques, de la consultation des employés et des droits ; ainsi que de veiller à ce que les utilisateurs autorisés ne saisissent que des données qu'ils sont habilités à traiter. L'Accord, la configuration du produit, les demandes d'assistance documentées et l'utilisation licite des commandes du produit constituent des instructions documentées.

Si Super44 estime qu'une instruction enfreint le droit applicable à la protection des données, Super44 en informera promptement le Responsable du traitement et suspendra l'instruction jusqu'à clarification.

4. Obligations du Sous-traitant

• Traiter les données personnelles uniquement sur instructions documentées, y compris pour les transferts internationaux, sauf si le droit de l'Union, d'un État membre ou du Royaume-Uni exige un autre traitement ; lorsque la loi le permet, en informer préalablement le Responsable du traitement.
• S'assurer que les personnes autorisées à traiter les données personnelles sont soumises à une obligation de confidentialité.
• Mettre en œuvre et maintenir des mesures techniques et organisationnelles appropriées conformément à l'article 32 du RGPD.
• Respecter les conditions relatives aux sous-traitants ultérieurs énoncées à la section 6.
• Compte tenu de la nature du traitement, aider le Responsable du traitement à répondre aux demandes d'exercice des droits des personnes concernées.
• Aider le Responsable du traitement à respecter les obligations des articles 32 à 36, notamment en matière de sécurité, de réponse aux violations, d'analyses d'impact et de consultation des autorités de contrôle, compte tenu de la nature du traitement et des informations dont dispose Super44.
• Au choix du Responsable du traitement, supprimer ou renvoyer les données personnelles à la fin du contrat, sous réserve des obligations légales de conservation.
• Fournir les informations nécessaires pour démontrer la conformité et permettre la réalisation d'audits.

5. Sécurité et incidents

Super44 applique des mesures adaptées aux risques, notamment des accès selon le principe du moindre privilège, le chiffrement en transit et au repos lorsqu’il est pris en charge, l’hébergement principal de l’application dans une région de l’UE, des autorisations limitées à chaque client, la journalisation et la surveillance, des procédures sécurisées de développement et de gestion des changements, des sauvegardes, des procédures de reprise, la gestion des vulnérabilités et la réponse aux incidents. L’inférence des modèles Bedrock peut utiliser le traitement interrégional protégé décrit à la section 7. Ces mesures peuvent évoluer à condition que le niveau global de protection ne diminue pas de manière substantielle.

Super44 informera le Responsable du traitement sans retard injustifié après avoir pris connaissance d’une violation de données personnelles affectant les données du Responsable du traitement. La notification comprendra les informations disponibles nécessaires au respect des obligations du Responsable du traitement et sera complétée à mesure que les faits seront établis. Super44 prendra des mesures raisonnables pour contenir l’incident, l’examiner et y remédier.

6. Sous-traitants ultérieurs

Le Responsable du traitement donne une autorisation écrite générale pour les sous-traitants ultérieurs ci-dessous. Super44 leur imposera des obligations de protection des données substantiellement équivalentes et restera responsable de leur exécution. Super44 notifiera raisonnablement à l’avance tout nouveau sous-traitant ultérieur ou remplacement qui traite des données personnelles du Responsable du traitement. Celui-ci peut s’y opposer pour des motifs raisonnables liés à la protection des données ; les parties rechercheront de bonne foi une solution de remplacement commercialement raisonnable et chacune pourra résilier le service concerné si aucune solution n’est disponible.

• Amazon Web Services EMEA SARL / entités affiliées AWS concernées — infrastructure principale dans l’UE, bases de données, stockage d’objets et services de distribution ; le traitement du modèle Anthropic Claude par Amazon Bedrock utilise des profils d’inférence interrégionaux européens et mondiaux configurés et peut impliquer un traitement protégé en dehors de l’EEE ou du Royaume-Uni ; région principale de l’application : eu-central-1 (Francfort).
• Clerk — authentification et gestion des comptes utilisateurs.
• Upstash — stockage vectoriel hébergé dans l'UE et récupération pour les contenus de conversation.
• Langfuse — observabilité filtrée des requêtes d'IA, réponses et traces.
• Vercel — hébergement d'applications web, livraison et journaux de requêtes.
• Expo — mises à jour d'applications mobiles et livraison de notifications push.
• Sentry — diagnostic des erreurs d'application et des performances.
• PostHog EU Cloud — analyse produit et télémétrie opérationnelle dans l'UE.
• Better Stack — journaux, disponibilité et observabilité opérationnelle.
• Slack — assistance limitée et notifications opérationnelles, notamment pour l’activation de fonctionnalités et les migrations assistées de sources de données de personnel.
• Twilio et Meta Platforms Ireland — transport facultatif des messages WhatsApp, webhooks et traitement de leur remise.
• Google — uniquement pour les intégrations Google OAuth, Business Profile ou Gmail activées par le Responsable du traitement.

7. Transferts internationaux

Les données principales du service sont principalement traitées dans l’EEE. Pour les transferts de données soumises aux restrictions britanniques vers l’EEE, les parties s’appuient sur la réglementation britannique d’adéquation de l’EEE actuellement en vigueur, tant qu’elle reste applicable.

L’inférence interrégionale mondiale configurée d’Amazon Bedrock, ainsi que tout transfert futur effectué par Super44 ou un sous-traitant ultérieur, peuvent impliquer un traitement en dehors de l’EEE ou du Royaume-Uni. Lorsqu’un transfert n’est pas couvert par une décision ou réglementation d’adéquation applicable, les parties utiliseront les clauses contractuelles types de l’UE concernées, l’International Data Transfer Agreement ou l’Addendum britannique, ou un autre mécanisme de transfert licite, assorti de mesures supplémentaires lorsque cela est requis. Le présent DPA intègre ces garanties dans la mesure nécessaire au transfert.

8. Demandes de droits et assistance

Super44 transmettra rapidement toute demande reçue directement d’une personne concernée lorsqu’elle peut identifier le Responsable du traitement, et n’y répondra sur le fond que sur instruction de celui-ci ou lorsque la loi l’exige. Les commandes du produit et une assistance raisonnable aideront le Responsable du traitement à consulter, rectifier, exporter, limiter ou supprimer les données. Super44 peut facturer les coûts raisonnables convenus pour une assistance exceptionnelle dépassant les fonctionnalités standard du service.

9. Informations et audits

Super44 mettra à disposition les informations raisonnablement nécessaires pour démontrer sa conformité. Le Responsable du traitement doit d’abord utiliser la documentation de sécurité, les certifications et les réponses écrites à jour. Si elles sont insuffisantes, il peut effectuer un audit par an, ainsi que des audits supplémentaires après une violation pertinente ou à la demande d’une autorité, moyennant un préavis raisonnable, pendant les heures ouvrables et sous réserve de la confidentialité et de garanties protégeant les autres clients. Le Responsable du traitement supporte les coûts de l’audit, sauf si celui-ci révèle un manquement substantiel de Super44.

10. Restitution, suppression et conservation

Pendant la durée du service, le Responsable du traitement peut utiliser les fonctions disponibles d’exportation et de suppression. À la résiliation ou sur instruction valable, Super44 supprimera ou restituera les données personnelles du Responsable du traitement dans les délais indiqués dans la Politique de confidentialité, à l’exception des données dont la conservation est imposée par la loi applicable. Les données personnelles contenues dans les sauvegardes sont isolées de l’utilisation normale et expirent selon le cycle de sauvegarde indiqué. Les documents légaux conservés par le Responsable du traitement restent sous sa responsabilité.

11. Priorité, responsabilité et modifications

Si le présent DPA entre en conflit avec les Conditions d’utilisation concernant le traitement de données personnelles pour le compte du Responsable du traitement, le présent DPA prévaut. Les dispositions des Conditions relatives à la responsabilité s’appliquent au présent DPA dans la mesure permise par le droit applicable à la protection des données. Les modifications du présent DPA suivent les Conditions, sauf lorsqu’une modification nécessaire au maintien de la conformité juridique peut prendre effet sur notification. Toute réduction substantielle de la protection nécessite l’accord du Responsable du traitement ou un mécanisme de remplacement licite.

12. Contact

Les questions relatives à la protection des données, les demandes d'assistance concernant les droits, les demandes d'audit et les contacts liés aux incidents doivent être adressés à hello@super44.ai. L'adresse postale de Super44 GmbH est Rheinwerkallee 6, 53227 Bonn, Allemagne.