accord de traitement des données

Version 2, 1er novembre 2026. Ajoute l'enregistrement sur site (visiteurs, prestataires et livraisons), la synchronisation d'annuaire et les passes de site.

Le présent accord de traitement des données (« DPA ») fait partie du contrat entre Timeclock.Kiwi Limited, 151 Belford Street, Waverley, Dunedin 9013, Nouvelle-Zélande (« nous », « le sous-traitant ») et l'entreprise qui utilise Timeclock.Kiwi (« vous », « le responsable du traitement »). Il s'applique lorsque nous traitons pour vous des données personnelles couvertes par le Règlement général sur la protection des données de l'UE (RGPD), le RGPD britannique ou une loi similaire, et satisfait à l'article 28 du RGPD.

Un administrateur accepte ce DPA pour son entreprise en le cochant dans la liste de contrôle RGPD des Paramètres. Nous enregistrons qui l'a accepté et quand. En cas de divergence entre ce DPA et nos autres conditions concernant les données personnelles, ce DPA prévaut.

1. Ce que nous traitons

Objet et finalité	Vous fournir Timeclock.Kiwi : enregistrer le temps de travail, les plannings, les chantiers, les congés et les pointages de sécurité, enregistrer l'arrivée et le départ des visiteurs sur vos sites, et produire des rapports et exports de paie.
Durée	Tant que vous utilisez Timeclock.Kiwi, puis jusqu'à la suppression des données conformément à la section 9.
Personnes concernées	Vos salariés, prestataires et autres travailleurs, ainsi que vos administrateurs et managers. Si vous utilisez l'enregistrement sur site : les visiteurs, prestataires et livreurs qui s'enregistrent sur vos sites, les personnes que vous invitez ou ajoutez à votre liste de surveillance, et le personnel de tout annuaire que vous connectez pour que les visiteurs choisissent la personne qu'ils viennent voir.
Types de données personnelles	Noms, adresses e-mail, codes PIN ; heures d'arrivée, de départ et de pause ; chantiers, tâches, notes et matériaux ; borne utilisée, adresse IP et position GPS lors du pointage avec l'application mobile ; plannings, disponibilités, demandes de congé et d'échange ; compétences ; pointages de sécurité, alertes et leurs positions ; notifications envoyées.
Données d'enregistrement sur site	Pour les visiteurs : nom, entreprise, mobile, e-mail, immatriculation, type de visiteur, personne visitée, heures d'arrivée et de départ, la liste de sécurité et les vidéos d'accueil acceptées, leur signature, une photo, les documents de prestataire (type, numéro, émetteur et date d'expiration, sans image), la réponse de l'hôte et, pour les enregistrements depuis leur propre téléphone, leur distance par rapport au site. Pour la liste de surveillance : nom, mobile, e-mail, sites concernés et votre motif. Pour le personnel de l'annuaire : nom, e-mail, mobile, poste et bureau.
Catégories particulières de données	Non prévues. Timeclock.Kiwi n'utilise pas la biométrie : les photos des visiteurs sont uniquement montrées à des personnes, pour que le personnel reconnaisse qui est sur site, et ne servent jamais à la reconnaissance faciale. N'indiquez pas de données de santé ou d'autres catégories particulières dans les notes, motifs de congé ou motifs de surveillance sans base légale.

2. Vos instructions

Nous ne traitons les données personnelles que sur vos instructions documentées, à savoir ce DPA, nos conditions et la façon dont vous configurez et utilisez Timeclock.Kiwi, sauf obligation légale contraire (auquel cas nous vous en informons au préalable, sauf si la loi l'interdit). Nous vous prévenons si nous estimons qu'une instruction enfreint la législation sur la protection des données.

3. Confidentialité

Toute personne de Timeclock.Kiwi pouvant accéder à vos données est tenue à la confidentialité et n'y accède que lorsque cela est nécessaire au fonctionnement ou à l'assistance du service.

4. Sécurité

Nous prenons des mesures techniques et organisationnelles appropriées au titre de l'article 32, notamment :

• Chiffrement des données en transit (HTTPS) et mots de passe hachés.
• Les données de chaque entreprise sont cloisonnées et chaque requête est vérifiée par rapport à l'entreprise et aux autorisations de la personne connectée.
• Les managers sont limités aux personnes des groupes qu'ils gèrent et aux visiteurs des sites qu'ils gèrent.
• Les motifs de la liste de surveillance ne sont visibles que par les administrateurs et les managers, jamais sur la borne. Les liens des e-mails envoyés aux hôtes sont signés et ne fonctionnent que pour cette visite.
• Les connexions d'annuaire ne font que lire les informations du personnel. Leurs clés sont stockées sur nos serveurs et jamais envoyées aux bornes.
• Journaux d'activité des modifications apportées aux relevés d'heures.
• Sauvegardes régulières et accès aux serveurs limité aux personnes qui les administrent.

5. Sous-traitants ultérieurs

Vous nous autorisez à recourir aux sous-traitants ultérieurs ci-dessous. Nous imposons à chacun des conditions de protection des données au moins aussi protectrices que ce DPA et restons responsables d'eux. Nous mettrons à jour cette liste au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur ; si vous vous y opposez pour des motifs raisonnables liés à la protection des données, vous pouvez cesser d'utiliser Timeclock.Kiwi et nous vous rembourserons la période prépayée non utilisée.

Sous-traitant ultérieur	Pour quoi faire	Données	Site
Postmark (ActiveCampaign, LLC)	Envoi d'e-mails comme les invitations, réinitialisations de mot de passe, plannings et liens d'export de données	Nom, adresse e-mail, contenu de l'e-mail	États-Unis
Google Firebase Cloud Messaging (Google LLC)	Notifications push vers l'application mobile	Jeton de l'appareil, texte de la notification	États-Unis
OpenStreetMap Foundation (Nominatim)	Conversion de la position GPS d'un pointage de sécurité en adresse	Coordonnées GPS uniquement, sans nom	Royaume-Uni
Stripe, Inc.	Facturation de votre entreprise	Nom et e-mail de l'administrateur, informations de facturation (aucune donnée de salarié)	États-Unis

Les applications de paie et de comptabilité que vous connectez (comme Xero ou QuickBooks) ne sont pas nos sous-traitants ultérieurs : vous choisissez de leur envoyer des données dans le cadre de votre propre contrat avec elles.

Il en va de même pour l'annuaire que vous connectez pour l'enregistrement sur site (Microsoft Entra ID, Google Workspace ou un autre service utilisant SCIM) : nous y lisons uniquement votre liste du personnel, selon vos instructions. Les vidéos d'accueil sont récupérées là où vous les hébergez, sans envoi de données personnelles. Les vidéos YouTube sont lues dans le lecteur de YouTube sur la borne : YouTube voit donc l'adresse internet de la borne, mais pas qui regarde.

6. Où sont conservées les données

Vos données sont stockées en Nouvelle-Zélande. La Commission européenne a décidé que la Nouvelle-Zélande offre une protection adéquate (décision 2013/65/UE), tout comme le Royaume-Uni. Lorsqu'un sous-traitant ultérieur situé hors de Nouvelle-Zélande, de l'UE ou du Royaume-Uni reçoit des données personnelles, nous nous appuyons sur une décision d'adéquation ou sur les clauses contractuelles types de la Commission européenne.

7. Vous aider à respecter les droits des personnes

Timeclock.Kiwi vous permet de répondre vous-même aux demandes : les salariés peuvent consulter et télécharger leurs données et signaler des heures erronées dans l'application, et les administrateurs peuvent exporter les données de toute personne et corriger ou supprimer des relevés. Administrateurs et managers peuvent retrouver et exporter les visites d'un visiteur sur la page Visiteurs, et les administrateurs peuvent supprimer une visite ou tout ce qui concerne un visiteur. Si un salarié ou un visiteur nous contacte directement, nous vous transmettons la demande sans y répondre nous-mêmes, sauf si vous nous le demandez.

Nous vous aidons également, dans la mesure du raisonnable, pour la sécurité, la notification des violations, les analyses d'impact et la consultation de votre autorité de contrôle (articles 32 à 36).

8. Violations de données

Si nous avons connaissance d'une violation de données personnelles affectant vos données, nous vous en informons dans les meilleurs délais, avec ce que nous savons des faits, des données et personnes concernées, des conséquences probables et de nos actions, afin que vous puissiez respecter votre propre obligation de notification sous 72 heures.

9. Suppression des données

• Tant que vous utilisez Timeclock.Kiwi, vous choisissez la durée de conservation des relevés d'heures avec le réglage de conservation des données, et les relevés plus anciens sont supprimés automatiquement.
• Les visites, invitations et documents de prestataires suivent le même réglage de conservation. Les photos des visiteurs sont supprimées 30 jours après la visite, quel que soit le réglage.
• Les entrées de la liste de surveillance sont conservées jusqu'à ce qu'un administrateur les retire, puis supprimées. Le personnel de l'annuaire est mis à jour à chaque synchronisation, retiré lorsqu'il quitte l'annuaire et entièrement supprimé lorsque vous déconnectez l'annuaire.
• Un administrateur peut fermer votre compte dans les Paramètres. La facturation et les bornes s'arrêtent et seuls les administrateurs peuvent encore se connecter. Tout est définitivement supprimé 90 jours plus tard, et chaque administrateur reçoit un e-mail à la fermeture du compte puis 14 jours avant la suppression. D'ici là, vous pouvez exporter vos relevés ou rouvrir le compte.
• Nous conservons nos propres documents de facturation (factures et paiements) aussi longtemps que l'exige la loi fiscale. Ils ne contiennent aucune donnée de vos salariés.
• Les données supprimées disparaissent de nos sauvegardes à mesure que celles-ci sont remplacées.

10. Audits

Nous mettons à votre disposition les informations raisonnablement nécessaires pour démontrer le respect de l'article 28 et répondons aux questions écrites raisonnables. Si cela ne suffit pas, vous pouvez nous auditer (ou faire appel à un auditeur indépendant) une fois par an à vos frais, avec un préavis de 30 jours, sans exposer les données d'autres clients.

11. Contact

Questions sur ce DPA ou vos données : [email protected].