Accord de sous-traitance des données (DPA)

Dernière mise à jour : 1er octobre 2026.

Le présent accord encadre le traitement des données à caractère personnel réalisé par MEDKEY (le sous-traitant) pour le compte de l'établissement client (le responsable de traitement), conformément à l'article 28 du Règlement général sur la protection des données. Il s'applique dès la souscription et complète les conditions générales, dont il fait partie intégrante.

1. Objet et durée

MEDKEY traite les données pour fournir Staff : gestion des plannings, du pointage, des absences et des congés, mise à disposition des documents du salarié, messagerie interne et préparation des éléments de paie. Le traitement dure le temps de la relation contractuelle, augmenté des délais de restitution prévus à l'article 7.

2. Description du traitement

Nature et finalité : héberger, stocker et mettre à disposition les données saisies par le client pour organiser le travail de son équipe et décompter le temps de travail.
Personnes concernées : les salariés, vacataires et membres de la coordination de l'établissement.
Catégories de données : identité et contact, rôle, planning et horaires, heures pointées, congés et disponibilités, motif d'absence, documents déposés par l'employeur (contrat, bulletins de paie, mutuelle, prévoyance), messages internes, et deux champs de texte libre facultatifs que le salarié remplit lui-même (la raison d'un empêchement sur un shift, le motif d'une demande de congé).

Données relevant de l'article 9 : à lire avant de signer

Staff enregistre un motif d'absence choisi dans une liste fermée qui comprend l'absence pour maladie. Cette seule information révèle un état de santé et relève donc de l'article 9 du RGPD. Nous le disons plutôt que de l'écrire nulle part.

Cette liste est contrôlée par le serveur, qui refuse tout ce qui n'en fait pas partie : arrêt maladie, congé payé, RTT, événement familial, formation, congé sans solde, absence justifiée ou injustifiée. Aucun champ n'y accueille un diagnostic ni un autre détail médical, et le motif ne peut pas être détaillé. Il est posé par la coordination au moment où elle valide la journée, il reste fermé aux autres salariés par une règle appliquée dans la base de données, et il n'est traité que pour l'organisation du travail et le décompte des heures, jamais à d'autres fins.

Deux autres champs sont, eux, du texte libre : la raison d'un empêchement sur un shift (300 caractères) et le motif d'une demande de congé. Ils sont facultatifs et remplis par le salarié lui-même. Staff n'y demande aucune information de santé et le rappelle à l'endroit de la saisie, mais rien n'empêche techniquement un salarié d'y écrire un motif médical. Autant l'annoncer plutôt que de laisser croire à un verrou qui n'existe pas. Ces textes ne sont pas destinés aux collègues : la raison d'un empêchement est réservée à la coordination par une règle de la base de données, et une demande de congé n'est lisible que par son auteur et par la coordination.

Il appartient au client, en qualité de responsable de traitement, de vérifier qu'il dispose d'une base légale au titre de l'article 9.2.b (obligations en matière de droit du travail), d'informer ses salariés et de leur rappeler qu'aucun détail médical n'est attendu dans ces deux champs.

Ce que Staff ne traite pas, contrairement à ce qu'on pourrait croire

Aucune donnée biométrique. Lorsque le pointage est protégé par Face ID ou Touch ID, la reconnaissance est effectuée par l'appareil du salarié. Staff ne reçoit qu'une clé publique et un identifiant de clé : aucune empreinte, aucun gabarit facial ne transite ni n'est conservé. Le traitement ne relève donc pas de l'article 9 à ce titre.

Aucune position GPS conservée. Lorsque le pointage dans une zone est activé, la position est lue à l'instant du pointage et transmise de façon éphémère au serveur, qui la compare au lieu de travail puis l'écarte immédiatement. Staff n'enregistre que le résultat : à l'intérieur ou non de la zone, et la distance arrondie en mètres. Les coordonnées du salarié ne sont jamais stockées et il n'existe aucun historique de déplacement.

3. Obligations de MEDKEY

Ne traiter les données que sur instruction documentée du client, et l'informer si une instruction paraît contraire au RGPD.
Garantir la confidentialité et veiller à ce que les personnes autorisées à traiter les données y soient tenues.
Mettre en œuvre des mesures techniques et organisationnelles appropriées : chiffrement en transit et au repos, accès filtrés par rôle appliqués au niveau de la base de données, mots de passe stockés sous forme de condensat, sauvegardes.
Cloisonner les clients. Par défaut, plusieurs établissements clients sont hébergés sur la même base de données. Le cloisonnement n'est donc pas assuré par une machine séparée mais par la base elle-même : chaque ligne porte son client et son site, et des règles de sécurité appliquées au niveau des lignes filtrent toute lecture et toute écriture, y compris celles de l'application. Une clé volée ou un défaut d'écran ne suffit pas à sortir du périmètre, parce que le refus est posé dans la base et non dans le code de l'interface. Ce cloisonnement est vérifié à chaque livraison par une suite de tests jouée contre une vraie base avec de vrais comptes, et par des gardes qui refusent la livraison si une table échappe à la règle. Une instance dédiée, avec une base de données séparée, reste disponible en option facturée pour le client qui la souhaite.
Tracer les actes de la coordination sur les plannings. Un journal consigne la création, la modification, le déplacement, la suppression, la validation, la publication et le remplacement d'un shift, avec son auteur et sa date. Il est écrit par le serveur, aucun compte ne peut le modifier depuis l'application, et seule la coordination le lit. Ailleurs, Staff conserve l'auteur de l'acte (qui a validé un pointage, déposé un document, tranché ou corrigé une demande de congé) sans journal séparé. Les consultations et les téléchargements ne sont pas journalisés : nous ne l'annonçons donc pas.
Aider le client à répondre aux demandes d'exercice des droits, à respecter ses obligations de sécurité, à notifier les violations et à mener une analyse d'impact si elle est nécessaire.
Tenir un registre des catégories de traitements réalisés pour le compte du client et le mettre à disposition sur demande.

4. Sous-traitants ultérieurs

Le client autorise MEDKEY à recourir aux sous-traitants ultérieurs suivants. Les données saisies dans l'application sont stockées en France : la base, les fichiers et l'exécution de l'application sont en région Paris. Deux canaux sortent de ce périmètre le temps d'un envoi, l'e-mail et la notification push. Ce qu'ils transportent, et ce qu'ils ne transportent pas, est décrit ici.

Supabase, Inc. : base de données, authentification et stockage des fichiers. Données localisées dans la région Paris.
Vercel Inc. : hébergement et exécution de l'application. Fonctions exécutées dans la région Paris.
Stripe : encaissement de l'abonnement. Société américaine. Ne reçoit que les données de facturation du client, aucune donnée de son équipe.
Resend : acheminement des e-mails que Staff envoie (invitation d'un salarié, réinitialisation de mot de passe, proposition de vacation, mise à disposition d'un rapport pour le comptable). Société américaine, qui conserve une copie des messages qu'elle expédie. C'est pourquoi nos e-mails ne portent ni pièce jointe ni tableau de données : un rapport de paie, par exemple, reste déposé dans le stockage Supabase en région Paris et le message ne transporte qu'un lien signé qui expire au bout de sept jours. Ce qui sort par ce canal se limite à l'adresse du destinataire, au nom de l'établissement, à la période concernée et au lien.
Anthropic PBC : lecture automatique des documents que le client dépose lui-même pendant sa mise en route (contrats de travail, bulletins de paie) pour en pré-remplir les fiches, et répartition des bulletins d'un lot entre les salariés. Société américaine. Le document est transmis en entier à son interface de programmation, le temps de la lecture, et la réponse revient dans l'application. Anthropic déclare ne pas entraîner ses modèles sur les données reçues par cette interface. C'est le seul canal par lequel un document du client sort de la région Paris, et il ne s'ouvre que lorsque le client clique « Remplir depuis les documents » ou « Répartir les bulletins » : rien ne part tant que personne ne le demande, l'écran le dit avant le clic, et un espace dont la lecture automatique n'est pas active n'envoie rien du tout.
Apple, Google et Mozilla : acheminement des notifications push vers l'appareil, lorsque le salarié les a activées. Le contenu de la notification est chiffré avant l'envoi avec des clés propres à cet appareil, comme le prévoit le protocole Web Push : ces services relaient un message qu'ils ne peuvent pas lire, seul le navigateur du destinataire le déchiffre. Ils connaissent en revanche l'appareil destinataire et le moment de l'envoi.

MEDKEY informe le client de tout changement de sous-traitant ultérieur avec un préavis raisonnable et lui laisse la possibilité de s'y opposer pour un motif légitime.

4 bis. Transferts hors de l'Union européenne

Les données saisies dans l'application ne quittent pas la France. Une exception, et une seule : les documents que le client dépose lui-même et dont il demande la lecture automatique sont transmis en entier à Anthropic, aux États-Unis, le temps de cette lecture. Quatre sous-traitants sont des sociétés de droit américain, et cette page ne serait pas honnête si elle s'arrêtait à la région d'hébergement sans dire par quel mécanisme juridique ces prestataires sont encadrés.

Supabase, Inc. et Vercel Inc. sont américaines, mais la base, les fichiers et l'exécution de l'application restent en région Paris. Le transfert éventuel se limite à l'accès de leur support technique, encadré par les clauses contractuelles types de la Commission européenne.
Stripe traite les données de facturation du client aux États-Unis. Les transferts reposent sur les clauses contractuelles types de la décision (UE) 2021/914 et sur l'auto-certification de Stripe au cadre de protection des données UE et États-Unis. Aucune donnée de l'équipe du client ne lui est transmise.
Resend achemine les e-mails depuis les États-Unis. Les transferts reposent sur les mêmes clauses contractuelles types et sur l'adhésion de Resend au cadre de protection des données UE et États-Unis. C'est la raison pour laquelle nos e-mails ne portent ni pièce jointe ni tableau de données.
Anthropic PBC lit les documents déposés depuis les États-Unis. Les transferts reposent sur les clauses contractuelles types de la décision (UE) 2021/914, intégrées à ses conditions commerciales. C'est le transfert le plus large de cette liste, puisqu'il porte sur le contenu entier d'un contrat ou d'un bulletin : il n'a lieu que sur un geste explicite du client, document par document, et le client peut s'en passer entièrement en saisissant les fiches à la main. MEDKEY coupe la lecture automatique sur demande, pour tout l'espace.

Aucune décision d'adéquation ne couvre à elle seule ces transferts : le fondement est contractuel, et le client peut en demander copie.

5. Sécurité et violation de données

En cas de violation de données à caractère personnel, MEDKEY notifie le client dans les meilleurs délais après en avoir pris connaissance et lui communique les informations nécessaires pour lui permettre de respecter son obligation de notification à la CNIL dans les soixante-douze heures et, le cas échéant, d'informer les personnes concernées.

6. Droits des personnes concernées

MEDKEY met à disposition du client les fonctionnalités lui permettant d'accéder aux données, de les rectifier, de les exporter et de les supprimer, afin qu'il puisse répondre aux demandes de ses salariés. Si une personne concernée s'adresse directement à MEDKEY, sa demande est transmise au client sans délai.

7. Sort des données en fin de contrat

À la fin de l'abonnement, le client dispose de trente jours pour exporter ses données. Passé ce délai, et selon son choix, MEDKEY supprime ou restitue les données et détruit les copies existantes, sauf obligation légale de conservation.

8. Audit

MEDKEY met à disposition du client les informations nécessaires pour démontrer le respect du présent accord et permet la réalisation d'audits, dans des conditions et à une fréquence raisonnables convenues entre les parties.

9. Obligations du client (responsable de traitement)

Le client garantit disposer d'une base légale pour les traitements qu'il met en œuvre via Staff, informe ses salariés et, le cas échéant, consulte les représentants du personnel. Lorsqu'il active le pointage dans une zone, il lui appartient de vérifier que ce dispositif est proportionné à la finalité poursuivie et d'en informer les personnes concernées, conformément à la doctrine de la CNIL sur le contrôle du temps de travail. Il n'adresse à MEDKEY que des instructions licites.

Contact

Pour toute question relative à cet accord, pour demander le registre des traitements ou pour organiser un audit, utilisez le formulaire de la page Contact.