Accord de traitement des données (DPA)

Dernière mise à jour: 2026-10-15

Le présent accord de traitement des données (« DPA ») fait partie intégrante du Contrat conclu entre Cleaniro (le « Sous-traitant ») et le Client (le « Responsable du traitement »). Il régit le traitement de données à caractère personnel pour le compte du Responsable du traitement dans le cadre des Services.

1. Objet et durée

Le présent DPA s’applique pendant toute la durée du Contrat et couvre le traitement des données à caractère personnel des Utilisateurs Finaux du Responsable du traitement (agents de nettoyage, managers, admins) au sein de la plateforme Cleaniro.

2. Nature et finalité du traitement

Le Sous-traitant traite les données à caractère personnel uniquement pour fournir les Services décrits dans le Contrat : planification, enregistrement du temps, contrôle qualité, reporting et fonctions connexes de gestion opérationnelle.

3. Catégories de personnes concernées et de données à caractère personnel

Personnes concernées :

• Agents de nettoyage (salariés ou prestataires du Responsable du traitement)
• Managers, team leaders, admins (personnel du Responsable du traitement)
• Le cas échéant : clients finaux du Responsable du traitement (personnes de contact sur site)

Catégories de données à caractère personnel :

• Identité : nom, coordonnées, fonction
• Emploi : planning, heures travaillées, sites
• Enregistrement du temps : pointage d’entrée et de sortie, pauses
• Localisation : coordonnées GPS lors du pointage (si activé)
• Qualité : résultats d’inspection, rapports d’incident, photos
• Authentification : mots de passe hachés

Catégories particulières : aucune n’est traitée par Cleaniro par défaut. Le Responsable du traitement s’engage à ne pas saisir de catégories particulières de données (santé, convictions, etc.), sauf accord écrit.

4. Obligations du Sous-traitant

Le Sous-traitant s’engage à :

1. Ne traiter les données à caractère personnel que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts internationaux, sauf obligation légale contraire.
2. Veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité.
3. Mettre en œuvre des mesures techniques et organisationnelles appropriées (voir Annexe 1).
4. Ne faire appel à des sous-traitants ultérieurs que dans les conditions prévues à l’article 7.
5. Aider le Responsable du traitement à respecter ses obligations relatives aux droits des personnes concernées, à la sécurité, à la notification des violations de données, aux analyses d’impact et à la consultation des autorités de contrôle.
6. Notifier au Responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais (dans les 72 heures).
7. Au choix du Responsable du traitement, supprimer ou restituer toutes les données à caractère personnel à la fin des Services, et supprimer les copies existantes, sauf obligation légale de conservation.
8. Mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d’audits.

5. Obligations du Responsable du traitement

Le Responsable du traitement s’engage à :

1. Disposer d’une base légale pour le traitement des données à caractère personnel.
2. Informer les Utilisateurs Finaux (agents de nettoyage, managers) du traitement, y compris de l’utilisation du GPS le cas échéant.
3. Respecter le droit du travail en matière d’enregistrement du temps et de suivi de la localisation des travailleurs.
4. Ne fournir que les données à caractère personnel nécessaires aux Services.
5. Ne pas saisir de catégories particulières de données sans accord écrit.

6. Droits des personnes concernées

Le Sous-traitant aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées. Le Sous-traitant transmet dans les meilleurs délais au Responsable du traitement toute demande de ce type qu’il reçoit directement.

7. Sous-traitants ultérieurs

Le Responsable du traitement autorise le Sous-traitant à faire appel aux sous-traitants ultérieurs mentionnés sur cleaniro.com/subprocessors.

Le Sous-traitant s’engage à :

• Tenir à jour une liste accessible au public
• Informer le Responsable du traitement de tout ajout ou remplacement envisagé au moins 30 jours à l’avance
• Imposer aux sous-traitants ultérieurs des obligations de protection des données équivalentes à celles du présent DPA
• Rester pleinement responsable de l’exécution par les sous-traitants ultérieurs

Le Responsable du traitement peut s’opposer aux modifications dans un délai de 30 jours ; si l’objection ne peut être résolue, le Responsable du traitement peut résilier le Service concerné.

8. Transferts internationaux

Le traitement principal a lieu au sein de l’Espace économique européen. Lorsque des sous-traitants ultérieurs traitent des données en dehors de l’EEE, le Sous-traitant s’appuie sur :

• Les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne
• Le EU-US Data Privacy Framework, le cas échéant
• Des mesures techniques et organisationnelles complémentaires, si nécessaire

9. Mesures de sécurité

Voir Annexe 1.

10. Audits

Le Responsable du traitement peut, à ses frais et moyennant un préavis écrit d’au moins 30 jours, auditer le respect du présent DPA par le Sous-traitant, au maximum une fois par année civile, sauf à la suite d’une violation de données à caractère personnel. Les audits doivent respecter la confidentialité et la continuité opérationnelle du Sous-traitant. Des rapports d’audit de tiers (par ex. ISO 27001, SOC 2 une fois obtenus) peuvent remplacer les audits sur site, à la discrétion du Sous-traitant.

11. Responsabilité

La responsabilité est régie par le Contrat. Le plafond de responsabilité s’applique de manière cumulative au Contrat et au présent DPA.

12. Durée et résiliation

Le présent DPA prend fin automatiquement à la résiliation du Contrat. L’article 4, point 7 (suppression/restitution) survit à la résiliation.

13. Droit applicable

Le présent DPA est régi par le droit belge. Les litiges relèvent de la compétence des tribunaux de l’arrondissement d’Anvers.

Annexe 1 — Mesures techniques et organisationnelles

Chiffrement

• TLS (connexion chiffrée) en transit
• AES-256 au repos (géré par Supabase)

Contrôle d’accès

• Données de chaque entreprise séparées au niveau de la base de données (row-level security par entreprise)
• Contrôle d’accès basé sur les rôles (RBAC) au sein d’une entreprise
• Principe du moindre privilège
• Journal des modifications (notamment heures, accès et rôles, données de l’entreprise) que les utilisateurs ne peuvent ni modifier ni supprimer depuis l’application

Infrastructure

• Base de données et traitement principal : Supabase UE (Francfort)
• Hébergement du site web et de l’application : Vercel (région UE Francfort, lorsque disponible)
• Sauvegardes automatiques quotidiennes (par Supabase)

Opérations

• Surveillance et correction des vulnérabilités
• Procédure de réponse aux incidents
• Obligations de confidentialité pour l’ensemble du personnel et des sous-traitants ultérieurs
• Revue annuelle des mesures

Cycle de vie des données

• Ségrégation des données par tenant (Client)
• Fenêtre d’export de 30 jours après la résiliation
• Suppression complète dans les 90 jours (sous réserve des obligations légales de conservation)

Annexe 2 — Liste des sous-traitants ultérieurs

Voir la liste actuelle sur cleaniro.com/subprocessors (également reproduite ci-dessous à la date de signature) :