Accord de sous-traitance des données (DPA)

Dernière mise à jour : 12 août 2026.

Le présent accord encadre le traitement des données à caractère personnel réalisé par MEDKEY (le sous-traitant) pour le compte de l'établissement client (le responsable de traitement), conformément à l'article 28 du Règlement général sur la protection des données. Il s'applique dès la souscription et complète les conditions générales, dont il fait partie intégrante.

1. Objet et durée

MEDKEY traite les données pour fournir Staff : gestion des plannings, du pointage, des absences et des congés, mise à disposition des documents du salarié, messagerie interne et préparation des éléments de paie. Le traitement dure le temps de la relation contractuelle, augmenté des délais de restitution prévus à l'article 7.

2. Description du traitement

Nature et finalité : héberger, stocker et mettre à disposition les données saisies par le client pour organiser le travail de son équipe et décompter le temps de travail.
Personnes concernées : les salariés, vacataires et membres de la coordination de l'établissement.
Catégories de données : identité et contact, rôle, planning et horaires, heures pointées, congés et disponibilités, motif d'absence, documents déposés par l'employeur (contrat, bulletins de paie, mutuelle, prévoyance), messages internes, et deux champs de texte libre facultatifs que le salarié remplit lui-même (la raison d'un empêchement sur un shift, le motif d'une demande de congé).

Données relevant de l'article 9 : à lire avant de signer

Staff enregistre un motif d'absence choisi dans une liste fermée qui comprend l'absence pour maladie. Cette seule information révèle un état de santé et relève donc de l'article 9 du RGPD. Nous le disons plutôt que de l'écrire nulle part.

Cette liste est contrôlée par le serveur, qui refuse tout ce qui n'en fait pas partie : arrêt maladie, congé payé, RTT, événement familial, formation, congé sans solde, absence justifiée ou injustifiée. Aucun champ n'y accueille un diagnostic ni un autre détail médical, et le motif ne peut pas être détaillé. Il est posé par la coordination au moment où elle valide la journée, il reste fermé aux autres salariés par une règle appliquée dans la base de données, et il n'est traité que pour l'organisation du travail et le décompte des heures, jamais à d'autres fins.

Deux autres champs sont, eux, du texte libre : la raison d'un empêchement sur un shift (300 caractères) et le motif d'une demande de congé. Ils sont facultatifs et remplis par le salarié lui-même. Staff n'y demande aucune information de santé et le rappelle à l'endroit de la saisie, mais rien n'empêche techniquement un salarié d'y écrire un motif médical. Autant l'annoncer plutôt que de laisser croire à un verrou qui n'existe pas. Ces textes ne sont pas destinés aux collègues : la raison d'un empêchement est réservée à la coordination par une règle de la base de données, et une demande de congé n'est lisible que par son auteur et par la coordination.

Il appartient au client, en qualité de responsable de traitement, de vérifier qu'il dispose d'une base légale au titre de l'article 9.2.b (obligations en matière de droit du travail), d'informer ses salariés et de leur rappeler qu'aucun détail médical n'est attendu dans ces deux champs.

Ce que Staff ne traite pas, contrairement à ce qu'on pourrait croire

Aucune donnée biométrique. Lorsque le pointage est protégé par Face ID ou Touch ID, la reconnaissance est effectuée par l'appareil du salarié. Staff ne reçoit qu'une clé publique et un identifiant de clé : aucune empreinte, aucun gabarit facial ne transite ni n'est conservé. Le traitement ne relève donc pas de l'article 9 à ce titre.

Aucune position GPS conservée. Lorsque le pointage dans une zone est activé, la position est lue à l'instant du pointage et transmise de façon éphémère au serveur, qui la compare au lieu de travail puis l'écarte immédiatement. Staff n'enregistre que le résultat : à l'intérieur ou non de la zone, et la distance arrondie en mètres. Les coordonnées du salarié ne sont jamais stockées et il n'existe aucun historique de déplacement.

3. Obligations de MEDKEY

Ne traiter les données que sur instruction documentée du client, et l'informer si une instruction paraît contraire au RGPD.
Garantir la confidentialité et veiller à ce que les personnes autorisées à traiter les données y soient tenues.
Mettre en œuvre des mesures techniques et organisationnelles appropriées : chiffrement en transit et au repos, cloisonnement par établissement assuré par une instance dédiée (base de données séparée), accès filtrés par rôle appliqués au niveau de la base de données, mots de passe stockés sous forme de condensat, sauvegardes.
Tracer les actes de la coordination sur les plannings. Un journal consigne la création, la modification, le déplacement, la suppression, la validation, la publication et le remplacement d'un shift, avec son auteur et sa date. Il est écrit par le serveur, aucun compte ne peut le modifier depuis l'application, et seule la coordination le lit. Ailleurs, Staff conserve l'auteur de l'acte (qui a validé un pointage, déposé un document, tranché ou corrigé une demande de congé) sans journal séparé. Les consultations et les téléchargements ne sont pas journalisés : nous ne l'annonçons donc pas.
Aider le client à répondre aux demandes d'exercice des droits, à respecter ses obligations de sécurité, à notifier les violations et à mener une analyse d'impact si elle est nécessaire.
Tenir un registre des catégories de traitements réalisés pour le compte du client et le mettre à disposition sur demande.

4. Sous-traitants ultérieurs

Le client autorise MEDKEY à recourir aux sous-traitants ultérieurs suivants. Les données saisies dans l'application sont stockées en France : la base, les fichiers et l'exécution de l'application sont en région Paris. Deux canaux sortent de ce périmètre le temps d'un envoi, l'e-mail et la notification push. Ce qu'ils transportent, et ce qu'ils ne transportent pas, est décrit ici.

Supabase, Inc. : base de données, authentification et stockage des fichiers. Données localisées dans la région Paris.
Vercel Inc. : hébergement et exécution de l'application. Fonctions exécutées dans la région Paris.
Stripe : encaissement de l'abonnement. Société américaine. Ne reçoit que les données de facturation du client, aucune donnée de son équipe.
Resend : acheminement des e-mails que Staff envoie (invitation d'un salarié, réinitialisation de mot de passe, proposition de vacation, mise à disposition d'un rapport pour le comptable). Société américaine, qui conserve une copie des messages qu'elle expédie. C'est pourquoi nos e-mails ne portent ni pièce jointe ni tableau de données : un rapport de paie, par exemple, reste déposé dans le stockage Supabase en région Paris et le message ne transporte qu'un lien signé qui expire au bout de sept jours. Ce qui sort par ce canal se limite à l'adresse du destinataire, au nom de l'établissement, à la période concernée et au lien.
Apple, Google et Mozilla : acheminement des notifications push vers l'appareil, lorsque le salarié les a activées. Le contenu de la notification est chiffré avant l'envoi avec des clés propres à cet appareil, comme le prévoit le protocole Web Push : ces services relaient un message qu'ils ne peuvent pas lire, seul le navigateur du destinataire le déchiffre. Ils connaissent en revanche l'appareil destinataire et le moment de l'envoi.

MEDKEY informe le client de tout changement de sous-traitant ultérieur avec un préavis raisonnable et lui laisse la possibilité de s'y opposer pour un motif légitime.

5. Sécurité et violation de données

En cas de violation de données à caractère personnel, MEDKEY notifie le client dans les meilleurs délais après en avoir pris connaissance et lui communique les informations nécessaires pour lui permettre de respecter son obligation de notification à la CNIL dans les soixante-douze heures et, le cas échéant, d'informer les personnes concernées.

6. Droits des personnes concernées

MEDKEY met à disposition du client les fonctionnalités lui permettant d'accéder aux données, de les rectifier, de les exporter et de les supprimer, afin qu'il puisse répondre aux demandes de ses salariés. Si une personne concernée s'adresse directement à MEDKEY, sa demande est transmise au client sans délai.

7. Sort des données en fin de contrat

À la fin de l'abonnement, le client dispose de trente jours pour exporter ses données. Passé ce délai, et selon son choix, MEDKEY supprime ou restitue les données et détruit les copies existantes, sauf obligation légale de conservation.

8. Audit

MEDKEY met à disposition du client les informations nécessaires pour démontrer le respect du présent accord et permet la réalisation d'audits, dans des conditions et à une fréquence raisonnables convenues entre les parties.

9. Obligations du client (responsable de traitement)

Le client garantit disposer d'une base légale pour les traitements qu'il met en œuvre via Staff, informe ses salariés et, le cas échéant, consulte les représentants du personnel. Lorsqu'il active le pointage dans une zone, il lui appartient de vérifier que ce dispositif est proportionné à la finalité poursuivie et d'en informer les personnes concernées, conformément à la doctrine de la CNIL sur le contrôle du temps de travail. Il n'adresse à MEDKEY que des instructions licites.

Contact

Pour toute question relative à cet accord, pour demander le registre des traitements ou pour organiser un audit, utilisez le formulaire de la page Contact.