Sous-traitance des données
Contrat de sous-traitance.
Traiter des données du personnel dans le logiciel d'un tiers suppose un contrat. Cette page en est la version en clair. Elle s'applique entre l'entreprise cliente, responsable du traitement, et Rewalz, sous-traitante, en complément des conditions générales.
Objet et durée
Rewalz traite les données personnelles uniquement pour fournir les prestations convenues. Le mandat commence à l'ouverture du compte client et prend fin avec le contrat. Le chiffre 10 s'applique ensuite.
Nature et finalité du traitement
Le traitement comprend la conservation, l'organisation, l'analyse et la suppression des données saisies par l'entreprise cliente ou par ses collaborateurs. Il n'existe aucune autre finalité que l'exploitation du logiciel. Les données personnelles ne sont ni vendues, ni utilisées à des fins publicitaires, ni employées pour entraîner des modèles de langage.
Personnes concernées et catégories de données
Sont concernés les collaborateurs, les candidates et candidats ainsi que les personnes de contact de l'entreprise cliente. Les catégories vont des données de base aux données contractuelles et salariales, jusqu'aux absences, aux temps de travail, aux documents et aux dossiers de candidature. Cela inclut des données sensibles, notamment les numéros AVS, les informations de santé liées aux absences et les données salariales.
Instructions
Rewalz ne traite les données que sur instruction documentée de l'entreprise cliente. Le contrat, les réglages du compte client et les instructions écrites explicites valent instruction. Si Rewalz estime une instruction illicite, elle le signale et peut en suspendre l'exécution.
Confidentialité
Toute personne ayant accès aux données de l'entreprise cliente est tenue à la confidentialité. Cette obligation subsiste après la fin de son activité.
Mesures techniques et organisationnelles
L'accès est appliqué dans la base de données elle-même et pas seulement dans l'application. Chaque requête est liée au compte client de la personne et à son rôle. La transmission et le stockage sont chiffrés, les connexions et les modifications de droits sont journalisées. Le détail figure sur la page Sécurité.
Sous-traitants ultérieurs
Rewalz recourt à des sous-traitants pour l'exploitation et l'envoi, aujourd'hui Supabase pour la base de données, Vercel pour l'exécution de l'application et Resend pour l'envoi des courriels. Les trois sont contractuellement tenus au même niveau de protection. Tout changement est annoncé à l'avance et peut être refusé dans les trente jours.
Droits des personnes concernées
Si une personne concernée s'adresse directement à Rewalz, elle est renvoyée vers l'entreprise cliente. Le logiciel fournit les fonctions nécessaires à l'accès, à la rectification, à l'effacement et à la portabilité, afin que l'entreprise cliente tienne ses délais sans détour.
Violation de la sécurité des données
Rewalz signale sans délai toute violation de la sécurité des données, au plus tard dans les vingt-quatre heures suivant sa connaissance, avec toutes les indications connues sur la nature, l'ampleur et les mesures prises. L'annonce à l'autorité de surveillance et aux personnes concernées reste du ressort de l'entreprise cliente.
Effacement et restitution
À la fin du contrat, les données sont restituées sur demande dans un format courant, puis effacées. Sauf instruction contraire, l'effacement intervient nonante jours après la fin du contrat, à l'exception des données soumises à une obligation légale de conservation.
Preuve et contrôle
Rewalz démontre sur demande le respect de ces obligations. L'entreprise cliente peut contrôler le traitement elle-même ou le faire contrôler, moyennant préavis et sans perturber l'exploitation des autres comptes clients.
Lieu du traitement
Les données sont hébergées en Suisse, dans le centre de calcul de la région de Zurich. Aucune communication à l'étranger n'a lieu. Si cela devenait nécessaire, elle ne se ferait que sur une base prévue à cet effet par la nLPD et le RGPD.
Demander la version signée
Le même texte existe en PDF signé pour le dossier de votre délégué à la protection des données. Une ligne suffit.