Accord de traitement des données personnelles

Dernière mise à jour : 30 octobre 2026

Le présent accord, conclu en application de l'article 28 du règlement (UE) 2016/679 (RGPD), fait partie intégrante des conditions générales de SafeSkills. Il s'applique dès la création d'un espace et pendant toute la durée de l'abonnement.

1. Parties et rôles

Responsable de traitement : l'entreprise cliente (le « Client »), qui détermine pourquoi et comment les données de ses salariés sont traitées.

Sous-traitant : Mathys Calero, éditeur de SafeSkills (le « Sous-traitant »), qui traite ces données pour le compte du Client et uniquement sur ses instructions.

2. Description du traitement

• Finalité : suivi des habilitations, formations obligatoires et échéances de visite médicale ; alertes avant expiration ; production de documents de conformité (dossiers, passeports sécurité, exports, fichier du passeport de prévention) ; signature électronique de documents à la demande du Client.
• Personnes concernées : salariés, intérimaires et sous-traitants du Client dont il assure le suivi ; utilisateurs de l'espace du Client ; personnes que le Client invite à signer un document (signataires).
• Données : nom, prénom, matricule, poste, service, site, e-mail et téléphone professionnels, e-mail du manager, date d'entrée, statut ; habilitations (intitulé, catégories, organisme, dates d'obtention et d'expiration) et attestations jointes ; photo (facultative) ; date d'échéance de la visite médicale ; pour les signataires : nom, adresse e-mail, qualité, signature tracée, date et heure, adresse IP et navigateur au moment de la consultation et de la signature, documents soumis à signature.
• Données exclues : aucune donnée de santé (seule la date d'échéance de la visite est enregistrée, jamais son contenu) ; le numéro de sécurité sociale saisi pour l'export du passeport de prévention reste dans le navigateur et n'est jamais transmis ni conservé par SafeSkills.
• Opérations : collecte par saisie ou import, enregistrement, consultation, mise à jour, envoi d'alertes par e-mail, export, suppression.
• Durée : celle de l'abonnement, puis 90 jours pour permettre l'export, avant suppression définitive.

3. Obligations du Sous-traitant

• Traiter les données uniquement pour la finalité ci-dessus et sur instruction documentée du Client (les Conditions, le paramétrage de son espace, ses demandes écrites) ; l'informer si une instruction lui paraît contraire au RGPD.
• Garantir la confidentialité des données : seules les personnes habilitées y accèdent, et elles sont tenues au secret.
• Ne pas utiliser les données à d'autres fins, ne pas les vendre ni les céder, et ne pas les utiliser pour entraîner des modèles d'intelligence artificielle.
• Aider le Client à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, portabilité) : la plupart sont réalisables directement depuis l'espace (modification, suppression, export complet).
• Aider le Client, sur demande, pour ses analyses d'impact et la tenue de son registre.
• Mettre à disposition les informations nécessaires pour démontrer le respect du présent accord, et permettre des audits raisonnables, sur demande écrite et avec un préavis de 30 jours, à la charge du Client.

4. Sécurité

• Connexions chiffrées (HTTPS) ; données hébergées dans l'Union européenne (Paris).
• Cloisonnement de chaque entreprise au niveau de la base de données (règles de sécurité par ligne) et droits par rôle (administrateur, gestionnaire, manager limité à son périmètre, auditeur en lecture seule).
• Attestations, photos et logos dans des espaces de stockage privés, accessibles uniquement par liens temporaires.
• Connexion sans mot de passe (code à usage unique) ou Google, double authentification disponible.
• Journal d'activité des modifications et des exports.
• Signature électronique : lien personnel dont seule l'empreinte est conservée, code à usage unique envoyé par e-mail (limité en nombre d'essais), document d'origine et document signé identifiés par leur empreinte SHA-256, journal de preuve non modifiable depuis l'application.
• Page de vérification par QR code sans donnée personnelle sensible (prénom, initiale du nom, poste, état des habilitations).

5. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants ultérieurs suivants, liés au Sous-traitant par des obligations équivalentes :

• Supabase : Base de données, comptes et fichiers (attestations) (Union européenne (Paris))
• Vercel : Hébergement de l'application web (Union européenne / États-Unis (clauses contractuelles types))
• Stripe : Paiement et facturation des abonnements (Union européenne / États-Unis (clauses contractuelles types))
• Resend : Envoi des e-mails (codes de connexion, alertes) (Union européenne / États-Unis (clauses contractuelles types))
• Anthropic : Assistant Bob IA (questions posées dans la bulle d'aide, sans accès aux données des salariés) (États-Unis (clauses contractuelles types))

Le Sous-traitant informe le Client par e-mail de tout ajout ou remplacement au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais.

6. Transferts hors de l'Union européenne

Les données des salariés sont stockées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur peut y accéder depuis un pays tiers, le transfert est encadré par les clauses contractuelles types de la Commission européenne ou par une décision d'adéquation.

7. Violation de données

Le Sous-traitant notifie au Client toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, données et personnes concernées, mesures prises), afin de lui permettre de notifier la CNIL dans les 72 heures si nécessaire.

8. Fin du traitement

À la fin de l'abonnement, le Client peut exporter l'ensemble de ses données pendant 90 jours. Passé ce délai, le Sous-traitant supprime les données et leurs copies, sauf obligation légale de conservation, et le confirme par écrit sur demande.

9. Obligations du Client

Le Client fournit des instructions licites, informe les personnes concernées du traitement, ne saisit que des données nécessaires au suivi des habilitations, et veille à l'exactitude des données ainsi qu'à la gestion des accès de ses utilisateurs.

10. Contact

Pour toute question relative aux données personnelles : safe.skills.pro@gmail.com.