Accord de sous-traitance (RGPD)

Le présent accord de traitement des données (ci-après l'« Accord ») encadre le traitement des données à caractère personnel réalisé par DigitHSE (ci-après le « Sous-traitant ») pour le compte de l'entreprise abonnée (ci-après le « Responsable de traitement » ou le « Client »), dans le cadre de l'utilisation de la plateforme. Il est conclu en application de l'article 28 du Règlement général sur la protection des données (RGPD, règlement UE 2016/679) et fait partie intégrante des conditions générales de vente.

En cas de contradiction entre le présent Accord et les CGV sur la protection des données personnelles, le présent Accord prévaut.

Le Client détermine les finalités et les moyens du traitement des données qu'il saisit ou importe dans la plateforme : il agit en qualité de responsable de traitement. DigitHSE traite ces données uniquement pour fournir le service : il agit en qualité de sous-traitant. Chaque partie répond du respect des obligations qui lui incombent au titre du RGPD.

• Nature et finalité : hébergement et exploitation d'un service de suivi des échéances HSE et de signalements terrain (alertes, rapports, gestion des actions correctives), pour le compte du Client.
• Durée : le traitement dure le temps de l'abonnement ; à son terme, les données sont supprimées ou restituées selon l'article 9.
• Catégories de personnes concernées : les collaborateurs, intérimaires et prestataires du Client, ses visiteurs, les utilisateurs du compte, ainsi que les personnes qui déposent un signalement par QR code et celles qui y sont citées. Lorsque le Client est un établissement scolaire, ces personnes peuvent être des élèves mineurs.
• Catégories de données : identité et coordonnées professionnelles, poste, formations, habilitations, vérifications et échéances, véhicules et équipements, signalements et photos associées, journaux de connexion.

Aucun champ de la plateforme n'est destiné aux données de santé ni aux autres données sensibles au sens de l'article 9 du RGPD. Certaines catégories de signalement proposées par défaut portent toutefois sur des situations qui peuvent en révéler, comme « Mal-être / détresse d'un élève » pour un établissement scolaire.

Les signalements sont rédigés librement et peuvent contenir, malgré les consignes affichées, des informations sensibles (santé, vie privée, harcèlement). Le Client en reste responsable : il réserve les QR codes sensibles aux seules personnes habilitées grâce à la lecture restreinte, et décide de la durée de conservation des signalements. La plateforme ne permet pas encore de supprimer un signalement depuis l'espace du Client : il en demande la suppression à DigitHSE, qui y procède.

Conformément à l'article 28.3 du RGPD, DigitHSE s'engage à :

• traiter les données uniquement sur instruction documentée du Client ; l'utilisation des fonctionnalités de la plateforme et les CGV constituent ces instructions ; le Sous-traitant informe le Client si une instruction lui paraît constituer une violation du RGPD ;
• veiller à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité et soient soumises à une obligation légale appropriée de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD (article 8 du présent Accord) ;
• respecter les conditions de recours à un autre sous-traitant prévues à l'article 5 ;
• aider le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition) ;
• aider le Client à garantir le respect de ses obligations de sécurité, de notification des violations de données et d'analyse d'impact (articles 32 à 36 du RGPD) ;
• à la fin de la prestation, supprimer ou restituer les données selon le choix du Client (article 9) ;
• mettre à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d'audits (article 10).

Liste à jour au 26 septembre 2026. Le Client autorise DigitHSE à recourir aux sous-traitants ultérieurs suivants pour l'exécution du service :

• Supabase : hébergement de la base de données, des fichiers et des comptes, dans l'Union européenne (région de Francfort, Allemagne).
• Vercel Inc. (États-Unis) : hébergement et diffusion de l'application. Les traitements serveur s'exécutent dans l'Union européenne (région de Francfort), sauf l'aiguillage des requêtes, qui lit la session de connexion dans la région Vercel la plus proche de l'utilisateur : pour un utilisateur connecté depuis l'outre-mer, par exemple, cette région peut se trouver hors de l'Union.
• GitHub, Inc. (États-Unis) : réalisation et conservation d'une sauvegarde quotidienne de la base de données ; la copie est produite sur ses serveurs, chiffrée avant d'être conservée, et gardée 30 jours.
• Stripe : traitement sécurisé des paiements par carte et émission des factures d'abonnement.
• Resend : acheminement des courriels transactionnels.
• Cloudflare Turnstile : protection anti-robots des formulaires publics, sans cookie publicitaire ; l'adresse IP de la personne qui remplit le formulaire lui est transmise le temps du contrôle.
• Services de notification des navigateurs (Google, Mozilla, Apple, Microsoft selon le navigateur utilisé) : acheminement des notifications sur l'appareil des utilisateurs qui les ont activées ; le contenu leur parvient chiffré.
• Google : connexion avec un compte Google, pour les seuls utilisateurs qui choisissent ce mode de connexion.
• Sentry : supervision technique des erreurs de l'application. Données conservées dans l'Union européenne (Allemagne).

DigitHSE impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données que celles du présent Accord. En cas de changement (ajout ou remplacement), DigitHSE en informe le Client par une mise à jour de cette page ; le Client dispose alors d'un délai raisonnable pour s'y opposer pour un motif légitime, la résiliation de l'abonnement étant la conséquence d'une opposition qui empêcherait la fourniture du service.

Les données sont hébergées dans l'Union européenne. Certains sous-traitants listés à l'article 5 sont établis aux États-Unis ou peuvent y traiter des données (diffusion de l'application et aiguillage des requêtes, sauvegarde, paiement, acheminement des courriels et des notifications, protection anti-robots, connexion avec un compte Google, supervision des erreurs). Ces transferts sont encadrés par le cadre de protection des données UE-États-Unis (Data Privacy Framework) pour les prestataires qui y sont certifiés, et à défaut par les clauses contractuelles types de la Commission européenne (articles 44 et suivants du RGPD).

En cas de violation de données à caractère personnel, DigitHSE en informe le Client dans les meilleurs délais après en avoir pris connaissance, et lui communique les informations utiles pour lui permettre, le cas échéant, de notifier l'autorité de contrôle et les personnes concernées dans les délais prévus aux articles 33 et 34 du RGPD.

DigitHSE met en œuvre les mesures techniques et organisationnelles appropriées suivantes, au sens de l'article 32 du RGPD :

• cloisonnement strict des données par entreprise, appliqué au niveau de la base de données (isolation logique) ;
• chiffrement des échanges (HTTPS) et hachage des mots de passe, illisibles y compris par l'éditeur ;
• fichiers privés accessibles uniquement par des liens temporaires signés ;
• journalisation des tentatives d'accès anormales et contrôle des accès selon le rôle ;
• hébergement sur des infrastructures sécurisées, avec une sauvegarde quotidienne de la base de données, chiffrée avant d'être conservée, et gardée 30 jours ; les fichiers déposés ne font pas partie de cette sauvegarde.

À la clôture du compte, le Client dispose de 90 jours pour demander par écrit une copie complète de ses données, y compris les fichiers déposés ; elle lui est remise sous 30 jours. Passé ce délai, ou plus tôt sur sa demande écrite, DigitHSE supprime les données à caractère personnel traitées pour son compte, sauf obligation légale de conservation (notamment les données de facturation). Les copies présentes dans les sauvegardes disparaissent avec elles, au plus tard 30 jours après. Les échéances, le registre des collaborateurs et les signalements sont par ailleurs exportables à tout moment au format CSV depuis l'application.

DigitHSE met à la disposition du Client, sur demande, les informations nécessaires pour démontrer le respect des obligations du présent Accord. Le Client peut réaliser un audit, y compris par un tiers mandaté qu'il aura désigné, dans des conditions n'affectant pas la sécurité des données des autres clients, moyennant un préavis raisonnable.

• s'assurer de la licéité des données saisies et du respect des droits des personnes concernées, qu'il informe du traitement ;
• ne transmettre que des instructions licites au Sous-traitant ;
• limiter les champs libres aux informations nécessaires, et encadrer les signalements qui peuvent contenir des données sensibles au sens de l'article 9 du RGPD, dans les conditions de l'article 3 ;
• sécuriser ses propres identifiants d'accès et gérer les habilitations de ses utilisateurs.

L'adresse du flux d'agenda de l'entreprise est secrète ; elle contient les libellés des échéances, le nom des collaborateurs concernés et, le cas échéant, l'immatriculation des véhicules. En l'abonnant à un service d'agenda tiers, le Client y transmet ces données sous sa responsabilité. Il peut la renouveler ou la désactiver à tout moment dans ses paramètres.

Lorsque le Client est un établissement scolaire, il agit en qualité de responsable de traitement pour les signalements déposés par les élèves, dans le cadre de sa mission d'intérêt public (article 6.1.e du RGPD). Il lui appartient d'informer les élèves et leurs représentants légaux du dispositif, dans des termes adaptés à leur âge, et de réaliser l'analyse d'impact prévue à l'article 35 du RGPD. DigitHSE met à sa disposition les informations nécessaires à cette analyse.

Pour toute question relative au présent Accord ou à la protection des données, écrivez à l'adresse ci-dessus. La politique de confidentialité complète ce document pour les personnes concernées.