Lisez, signez, et on ouvre votre établissement.

Article 1 : Objet du contrat

Le présent contrat définit les conditions dans lesquelles MEDKEY met le logiciel Staff à la disposition de l'Établissement, ainsi que les droits et les obligations de chacune des Parties.

Il forme un ensemble indivisible avec trois documents publiés sur staffapp.fr, que l'Établissement reconnaît avoir lus et dont une copie lui est remise à la signature :

• les conditions générales de vente et d'utilisation, dans leur version du 14 août 2026 ;
• l'accord de sous-traitance des données, dans sa version du 17 septembre 2026 ;
• la politique de confidentialité, dans sa version du 10 septembre 2026.

En cas de contradiction, l'ordre de préséance est le suivant : le présent contrat, puis l'accord de sous-traitance pour tout ce qui touche aux données personnelles, puis les conditions générales. Ce point n'est pas une formalité : les conditions générales sont acceptées une seconde fois au moment du paiement, et sans ordre écrit deux consentements concurrents coexisteraient sur le même objet.

Une modification ultérieure de ces documents suit l'article 21 et ne s'impose pas rétroactivement à l'Établissement.

Article 2 : Description du service

Staff est une application web que l'Établissement utilise depuis un navigateur, sur ordinateur comme sur téléphone. Elle s'installe sur l'écran d'accueil d'un téléphone sans passer par une boutique d'applications.

A. Ce que Staff fait

• monter et publier le planning de l'équipe, poste par poste et jour par jour ;
• recueillir le pointage des arrivées et des départs, et le rapprocher du planning ;
• décompter les heures réellement faites, les écarts au contrat et les heures supplémentaires ;
• tenir les absences, les congés payés et leurs compteurs ;
• mettre à disposition de chaque salarié ses documents déposés par l'employeur, et porter une messagerie interne ;
• préparer les éléments de paie de la période et les mettre à disposition sous forme de rapport exportable.

B. Ce que Staff ne fait pas

Cette liste est aussi importante que la précédente, et l'Établissement déclare l'avoir lue.

• Staff n'est pas un agenda de rendez-vous et ne gère ni les patients, ni les clients, ni les dossiers médicaux de l'Établissement. Aucune donnée de patient n'a vocation à y être saisie.
• Staff n'est pas un logiciel de paie. Il n'établit aucun bulletin, ne procède à aucune déclaration sociale et ne télétransmet rien.
• Staff ne se substitue ni à un expert-comptable, ni à un conseil juridique, ni au respect par l'employeur de ses obligations en matière de durée du travail.
• Staff ne prend aucune décision à la place de l'Établissement. Il constate, il calcule et il signale ; la coordination tranche.

C. Accès et rôles

L'accès se fait par compte nominatif. Staff distingue le gérant, la coordination, le salarié et le vacataire, et n'ouvre à chacun que ce que son rôle justifie. Ce filtrage est appliqué par la base de données elle-même, et non seulement par l'affichage.

Article 3 : Ouverture du compte et mise en route

MEDKEY ouvre l'espace de l'Établissement sous vingt-quatre heures ouvrées à compter de la demande, y crée le premier compte gérant et accompagne le paramétrage initial.

Le paramétrage comprend notamment les horaires d'ouverture, les postes, les contrats et les disponibilités des salariés, l'unité de décompte des congés retenue par l'Établissement, et, si l'Établissement le décide, la zone de pointage.

L'Établissement vérifie l'exactitude des données reprises d'un système antérieur avant de s'en servir, notamment les compteurs de congés et les durées contractuelles. Une reprise de données volumineuse peut faire l'objet d'un devis distinct.

L'Établissement invite ses salariés depuis l'application. Chaque salarié dispose de son propre compte et de son propre mot de passe, qu'il ne partage pas.

Article 4 : Durée du contrat, essai et reconduction

Le présent contrat prend effet à sa signature par l'Établissement.

Il débute par une période d'essai gratuite, qui ne demande aucune carte bancaire et ne déclenche aucun prélèvement. Sa durée nominale est de quatorze jours. Pendant la phase bêta décrite à l'article 20, elle est portée à trois mois pour une inscription au cours du mois de septembre 2026, à deux mois en octobre 2026 et à un mois en novembre 2026 ; à compter du 1er décembre 2026, elle revient à quatorze jours. La durée applicable est celle affichée au jour de l'inscription, et un établissement déjà en essai conserve l'échéance qui lui a été fixée.

Au terme de l'essai, sans souscription, la création de shifts et le pointage sont suspendus et les documents déjà déposés restent consultables. Le seul fait de laisser l'essai expirer ne déclenche aucun prélèvement.

À la souscription, le contrat est conclu sans durée minimale d'engagement. Il se reconduit automatiquement à chaque échéance mensuelle, jusqu'à résiliation dans les conditions de l'article 6.

Article 5 : Tarifs et conditions de règlement

Tous les montants mentionnés au présent contrat s'entendent hors taxes. La taxe sur la valeur ajoutée au taux en vigueur de 20 % s'y ajoute au moment du paiement.

A. Formules

L'abonnement est facturé par établissement, et non par salarié.

• Démarrage : 29 € hors taxes par mois, jusqu'à 5 salariés ;
• Pro : 59 € hors taxes par mois, jusqu'à 15 salariés ;
• Business : 89 € hors taxes par mois, sans limite d'effectif.

La formule applicable dépend de deux choses : l'effectif de l'établissement, et les fonctions utilisées. La préparation de la paie, le coffre des documents du salarié et la gestion des vacataires demandent au moins la formule Pro. La gestion des stocks, la lecture automatique des contrats et des bulletins et les modèles de contrat sur mesure demandent la formule Business. La formule retenue est la plus élevée de ces deux exigences.

Rien ne se facture automatiquement. Lorsque l'effectif atteint le plafond de la formule souscrite, l'application refuse l'ajout d'un salarié supplémentaire et invite à passer à la formule supérieure. Le nouveau tarif s'applique alors à l'échéance suivante, et le passage à une formule inférieure suit la même règle lorsque l'effectif diminue. Les tarifs applicables sont ceux affichés sur la page Tarifs au jour de la souscription. L'abonnement est mensuel ; aucune formule annuelle n'est proposée à ce jour.

B. Options facturées

Une instance dédiée, c'est-à-dire une base de données séparée réservée au seul Établissement, une reprise de données volumineuse ou un développement spécifique font l'objet d'un devis accepté par écrit avant toute exécution.

C. Règlement

Le paiement est traité par Stripe. MEDKEY n'a jamais accès au numéro de carte de l'Établissement. Chaque échéance donne lieu à une facture, adressée par courrier électronique et disponible depuis l'espace Abonnement.

Les factures sont payables comptant à leur date d'émission. Conformément aux articles L. 441-10 et D. 441-5 du Code de commerce, tout retard de paiement entraîne de plein droit, sans qu'un rappel soit nécessaire, des pénalités de retard au taux de trois fois le taux d'intérêt légal ainsi qu'une indemnité forfaitaire pour frais de recouvrement de quarante euros par facture, complétée sur justificatifs si les frais réellement engagés sont supérieurs. Aucun escompte n'est accordé pour paiement anticipé, conformément à l'article L. 441-9 du même code.

Article 6 : Résiliation

L'Établissement peut résilier à tout moment depuis l'application, sans motif et sans indemnité. L'application le conduit au portail de son prestataire de paiement ; lorsque le paiement en ligne n'est pas encore branché, la demande ouvre un ticket auprès de MEDKEY, qui confirme l'échéance sous vingt-quatre heures ouvrées. La résiliation prend effet à la fin de la période déjà réglée, qui n'est pas remboursée. Aucune période commencée n'est due au-delà de celle-ci.

MEDKEY peut résilier moyennant un préavis de deux mois notifié par courrier électronique, afin de laisser à l'Établissement le temps d'organiser sa sortie et d'exporter ses données.

Chaque Partie peut résilier de plein droit, sans préavis, en cas de manquement grave de l'autre demeuré sans remède quinze jours après une mise en demeure notifiée par courrier électronique ou par lettre recommandée avec accusé de réception.

La résiliation entraîne la fermeture de l'accès à la date d'effet. Les données restent récupérables dans les conditions de l'article 15.

Article 7 : Obligations de MEDKEY

MEDKEY s'engage, au titre d'une obligation de moyens, à maintenir Staff en état de fonctionnement, à corriger les anomalies qui lui sont signalées et à faire évoluer le service.

Assistance

L'assistance se demande depuis l'application, par le centre d'aide qui ouvre un ticket, ou par courrier électronique à l'adresse de contact indiquée sur staffapp.fr. MEDKEY ne tient pas de ligne téléphonique et ne le promet pas.

MEDKEY s'engage à une première réponse sous un jour ouvré, le jour ouvré s'entendant du lundi au vendredi hors jours fériés français. Ce délai porte sur la première réponse, non sur la résolution.

Une anomalie bloquante, c'est-à-dire qui empêche de publier un planning, de pointer ou d'exporter les éléments de paie, est prise en charge le jour ouvré de son signalement. MEDKEY met en œuvre les moyens raisonnables pour la corriger et tient l'Établissement informé de son avancement.

MEDKEY informe l'Établissement des interruptions programmées et, sans délai, de tout incident de sécurité l'affectant.

MEDKEY ne garantit pas que le service sera exempt d'anomalie, ni qu'il répondra à un besoin particulier non exprimé au présent contrat.

Article 8 : Obligations de l'Établissement

• fournir des informations exactes sur l'Établissement et les tenir à jour ;
• conserver ses identifiants confidentiels, ne pas les partager, et retirer sans délai l'accès d'une personne qui quitte l'Établissement ;
• désigner au moins une personne chargée de la coordination et lui donner les moyens d'exercer ce rôle ;
• n'utiliser Staff que conformément à sa destination et au droit applicable ;
• vérifier les éléments calculés par Staff avant de s'en servir pour établir une paie, conformément à l'article 9 ;
• informer ses salariés de l'usage de Staff, et disposer d'une base légale pour les traitements qu'il met en œuvre ;
• consulter les instances représentatives du personnel lorsqu'elles existent, avant de mettre en place le pointage et, le cas échéant, la vérification du lieu de pointage ;
• s'abstenir de saisir dans Staff toute donnée relative à ses patients ou à ses clients, ainsi que toute donnée de santé autre que celles décrites à l'article 11.

L'Établissement demeure seul responsable de l'usage qu'il fait du service, des décisions qu'il prend au vu des informations qu'il y trouve, et du contenu qu'il y dépose.

Article 9 : Décompte des heures et préparation de la paie

Cet article décrit le cœur de ce qui est vendu, et la limite exacte de ce que MEDKEY garantit.

A. Ce que Staff calcule

Staff décompte le temps de travail à partir de trois sources : le planning publié par la coordination, les pointages saisis par les salariés, et le paramétrage des contrats et des disponibilités renseigné par l'Établissement. Il en tire les heures faites, les écarts au contrat, les heures supplémentaires, les absences et les compteurs de congés.

Une journée vaut ce qu'elle vaut dans les disponibilités du salarié : Staff pondère chaque jour d'absence par les heures réellement prévues ce jour-là, et non par un cinquième de la durée hebdomadaire, qui fausse le compte d'un salarié dont les journées sont inégales.

Cette règle suppose que les disponibilités du salarié soient renseignées. À défaut, Staff ne peut pas connaître la valeur d'une journée : il retombe alors sur un cinquième de la durée hebdomadaire par jour d'absence et, si la durée hebdomadaire est elle-même absente de la fiche, sur trente-cinq heures. Ces valeurs de repli sont des approximations, MEDKEY les annonce plutôt que de les laisser découvrir sur un bulletin, et elles disparaissent dès que la fiche du salarié est complétée. C'est la raison pour laquelle le paragraphe B fait du paramétrage une obligation de l'Établissement et non un simple confort.

B. Ce dont l'exactitude dépend

L'exactitude du décompte dépend directement de l'exactitude du paramétrage fourni par l'Établissement : périodes de contrat, durées contractuelles, disponibilités, jours à fréquence mensuelle, convention collective applicable et unité de décompte des congés. Un paramétrage inexact produit un décompte inexact.

C. Engagement de MEDKEY sur le calcul

MEDKEY s'engage à corriger toute erreur de calcul qui lui est signalée et qu'elle parvient à reproduire, et à en informer l'Établissement ainsi que les autres clients concernés lorsque l'erreur les touche également. Chaque correction est accompagnée d'un test qui l'empêche de revenir.

D. Ce qui reste à la charge de l'employeur

Staff prépare des éléments de paie ; il n'établit pas la paie. L'Établissement demeure seul responsable du respect des durées maximales de travail et des temps de repos, de la rémunération des heures supplémentaires et de leurs majorations, du décompte des congés payés, de l'exactitude des bulletins de paie et des déclarations sociales.

L'Établissement vérifie le rapport produit par Staff avant de le transmettre à son service de paie ou à son expert-comptable. Cette vérification est une obligation contractuelle de l'Établissement, et non une simple recommandation.

E. Transmission du rapport à l'expert-comptable

Staff peut adresser le rapport de paie à l'expert-comptable de l'Établissement. L'envoi est réservé au compte gérant et demande la confirmation de l'adresse du destinataire.

Le rapport ne voyage pas en pièce jointe. Il est déposé dans un espace de stockage privé en région Paris, et le courrier électronique ne transporte qu'un lien signé valable sept jours, après quoi le dépôt est effacé. C'est ce qui évite qu'un tableau nominatif portant des arrêts maladie reste indéfiniment dans les serveurs d'un acheminement de courrier situé hors d'Europe.

Article 10 : Pointage et vérification du lieu de pointage

A. Activation

Le pointage n'est pas activé par défaut. Il est mis en place par l'Établissement, qui en définit les modalités et en informe ses salariés au préalable.

B. Ce qui est enregistré lorsque la vérification du lieu est activée

Lorsque l'Établissement active la vérification du lieu de pointage, la position de l'appareil est lue à l'instant du pointage, transmise de façon éphémère au serveur, comparée au lieu de travail, puis écartée immédiatement.

Staff n'enregistre que le résultat de cette comparaison : à l'intérieur ou non de la zone, et la distance arrondie en mètres. Les coordonnées du salarié ne sont jamais conservées et il n'existe aucun historique de déplacement. Aucun suivi en dehors des instants de pointage n'est possible, ni techniquement, ni contractuellement.

C. Constater, pas bloquer

Un pointage hors de la zone n'est jamais refusé. Il est enregistré, signalé à la coordination au moment de la validation de la journée, et c'est la coordination qui tranche. Le silence vaut bonne nouvelle.

D. Absence de données biométriques

Lorsque le pointage est protégé par une reconnaissance faciale ou digitale, celle-ci est effectuée par l'appareil du salarié. Staff ne reçoit qu'une clé publique et un identifiant de clé. Aucune empreinte et aucun gabarit facial ne transitent ni ne sont conservés.

E. Ce qui incombe à l'Établissement

La vérification du lieu de pointage est un traitement encadré. L'Établissement s'assure qu'elle est proportionnée au but poursuivi, en informe individuellement ses salariés avant sa mise en place, consulte les instances représentatives du personnel lorsqu'elles existent, et inscrit ce traitement à son registre. MEDKEY fournit sur demande les éléments techniques nécessaires à cette information.

Article 11 : Données personnelles

Dans le cadre du présent contrat, l'Établissement agit en qualité de responsable de traitement au sens de l'article 4 du Règlement (UE) 2016/679, et MEDKEY en qualité de sous-traitant au sens de l'article 28 du même règlement.

Les conditions de ce traitement sont fixées par l'accord de sous-traitance publié sur staffapp.fr, qui fait partie intégrante du présent contrat, et dont l'annexe 1 reprend l'essentiel.

A. Donnée de santé

Staff enregistre un motif d'absence choisi dans une liste fermée qui comprend l'absence pour maladie. Cette seule information révèle un état de santé et relève de l'article 9 du Règlement. MEDKEY le dit expressément plutôt que de le passer sous silence. Aucun champ n'accueille de diagnostic et le motif ne peut pas être détaillé.

Deux champs de texte libre existent, facultatifs et remplis par le salarié lui-même : la raison d'un empêchement sur un shift et le motif d'une demande de congé. Staff n'y demande aucune information de santé et le rappelle à l'endroit de la saisie, mais rien n'empêche techniquement un salarié d'y écrire un motif médical. Il appartient à l'Établissement de le rappeler à son équipe.

B. Base légale et information

Il appartient à l'Établissement de vérifier qu'il dispose d'une base légale, notamment au titre de l'article 9.2.b du Règlement pour les obligations découlant du droit du travail, d'informer ses salariés et de répondre aux demandes d'exercice de leurs droits. MEDKEY l'assiste dans cette réponse. L'annexe 2 propose un texte d'information prêt à être remis aux salariés.

C. Localisation

Les données saisies dans l'application sont stockées en France, en région Paris, chez Supabase pour la base de données et les fichiers, et chez Vercel pour l'exécution de l'application. Deux canaux sortent de ce périmètre le temps d'un envoi, le courrier électronique et la notification poussée ; l'annexe 1 décrit ce qu'ils transportent et ce qu'ils ne transportent pas. Le mécanisme juridique qui encadre ces deux canaux, ainsi que l'accès du support technique des hébergeurs, est décrit à l'annexe 1 : il repose sur les clauses contractuelles types de la Commission européenne et, pour Stripe et Resend, sur leur adhésion au cadre de protection des données UE et États-Unis.

Article 12 : Confidentialité et accès de MEDKEY à l'espace de l'Établissement

A. Confidentialité

Chaque Partie s'engage à tenir confidentielles les informations de toute nature communiquées par l'autre à l'occasion du présent contrat, pendant toute sa durée et pendant trois ans après son expiration. MEDKEY étend cet engagement à ses collaborateurs et à ses sous-traitants.

Cette obligation ne s'applique pas aux informations publiques, à celles déjà régulièrement connues du destinataire, ni à celles dont la communication est imposée par la loi ou par une décision de justice.

B. Accès de MEDKEY, dit plutôt que tu

MEDKEY dispose des moyens techniques d'entrer dans l'espace de l'Établissement. Elle l'écrit ici parce qu'un client a le droit de le savoir, et parce qu'un éditeur qui le tait le fera découvrir au plus mauvais moment.

Cet accès sert exclusivement à ouvrir le compte, accompagner la mise en route, répondre à une demande d'assistance et corriger une anomalie. Il ne sert jamais à consulter les données de l'Établissement à d'autres fins, ni à en tirer des statistiques hors de l'Établissement.

Lorsque MEDKEY entre dans l'espace de l'Établissement, elle le fait sous un compte nominatif qui apparaît dans l'équipe de l'Établissement, visible de sa coordination. Rien ne se fait sous un compte invisible.

L'Établissement peut à tout moment retirer ce compte depuis son équipe. MEDKEY l'en informe alors si une demande d'assistance en cours ne peut plus être traitée.

C. Ce qui est tracé, et ce qui ne l'est pas

Les actes de la coordination sur les plannings sont consignés dans un journal écrit par le serveur, que personne ne peut modifier depuis l'application : création, modification, déplacement, suppression, validation, publication et remplacement d'un shift, avec leur auteur et leur date. Ailleurs, Staff conserve l'auteur de l'acte sans journal séparé.

En revanche, les simples consultations et les téléchargements ne sont pas journalisés. MEDKEY l'indique plutôt que de laisser croire à une traçabilité complète qui n'existe pas.

Article 13 : Sécurité et cloisonnement des clients

A. Mesures de sécurité

MEDKEY met en œuvre le chiffrement des données en transit et au repos, des accès filtrés par rôle appliqués au niveau de la base de données, des mots de passe stockés sous forme de condensat, et une sauvegarde quotidienne de la base conservée sept jours par son hébergeur. Une sauvegarde supplémentaire est prise avant chaque mise à jour du schéma de la base.

MEDKEY énonce cette durée de sept jours plutôt que d'écrire « sauvegardes régulières » : un Établissement qui a besoin d'une profondeur de restauration supérieure doit le demander, et cela relève de l'option d'instance dédiée prévue à l'article 5.B.

B. Cloisonnement

Par défaut, plusieurs établissements clients sont hébergés sur la même base de données. Le cloisonnement n'est donc pas assuré par une machine séparée, mais par la base elle-même : chaque ligne porte son client et son site, et des règles de sécurité appliquées au niveau des lignes filtrent toute lecture et toute écriture, y compris celles de l'application.

MEDKEY énonce ce point plutôt que de le taire, parce qu'un client a le droit de savoir comment ses données sont séparées de celles d'un autre. Ce cloisonnement est vérifié à chaque livraison par une suite de tests jouée contre une vraie base avec de vrais comptes, et par des contrôles automatiques qui refusent la livraison si une table échappe à la règle.

Une instance dédiée, avec une base de données séparée réservée au seul Établissement, est disponible en option facturée dans les conditions de l'article 5.B.

C. Violation de données

MEDKEY notifie à l'Établissement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance, avec les éléments permettant à l'Établissement de remplir ses propres obligations de notification.

Article 14 : Disponibilité du service

MEDKEY met en œuvre les moyens raisonnables pour assurer la disponibilité de Staff, sans garantir l'absence totale d'interruption. Une interruption peut résulter d'une maintenance, d'un incident chez un hébergeur ou d'un cas de force majeure.

L'Établissement est informé que, après une période d'inactivité, le premier affichage peut demander quelques secondes supplémentaires le temps que le service se réveille. Ce comportement n'est pas une indisponibilité.

La disponibilité est mesurée par une sonde indépendante qui interroge le service toutes les quinze minutes. MEDKEY ne publie pas de taux de disponibilité contractuel, parce qu'elle ne dispose pas aujourd'hui d'un historique suffisant pour s'engager sur un chiffre, et qu'elle préfère ne pas en annoncer un qu'elle ne saurait ni tenir ni vérifier.

En revanche, en cas d'indisponibilité totale du service constatée par cette sonde et excédant vingt-quatre heures consécutives, ou trois jours cumulés sur un même mois civil, l'Établissement peut demander un avoir calculé au prorata des journées concernées sur la base de l'abonnement mensuel en vigueur. La demande est adressée dans les trente jours suivant l'incident, et MEDKEY communique à son appui le relevé de la sonde sur la période.

Les interruptions programmées sont annoncées à l'avance et placées, autant que possible, en dehors des heures d'ouverture des établissements clients.

Article 15 : Réversibilité et restitution des données

A. Propriété

Les données saisies dans l'application appartiennent à l'Établissement. MEDKEY ne les utilise à aucune autre fin que l'exécution du présent contrat. Elle ne les cède pas, ne les revend pas et ne les exploite à aucune fin commerciale ou statistique hors de l'Établissement.

B. Ce que l'Établissement exporte lui-même

Depuis l'application, l'Établissement produit à tout moment cinq classeurs au format Excel :

• la préparation de la paie du mois ;
• les éléments variables de paie ;
• le rapport de paie, sur la période de son choix, y compris l'historique complet ;
• le registre unique du personnel ;
• le relevé des émargements, par salarié et par jour, avec les heures planifiées, pointées et validées.

Les trois premiers relèvent de la fonction paie, ouverte à partir de la formule Pro. Le rapport de paie et le registre du personnel sont réservés au compte gérant ; les autres sont ouverts au gérant et à la coordination, sauf si le gérant a fermé l'accès de la coordination à la paie.

Chaque pièce déposée dans le coffre d'un salarié se retélécharge depuis l'application, document par document. Il n'existe pas de téléchargement groupé, et MEDKEY ne le présente pas comme tel.

Chaque salarié peut suivre son propre planning dans son agenda personnel au moyen d'un lien iCalendar qu'il active depuis ses préférences.

Un export sort complet ou il échoue : Staff ne rend jamais un fichier tronqué en silence. En revanche, l'exhaustivité du registre du personnel dépend des mentions renseignées par l'Établissement, que Staff ne complète pas à sa place.

C. Ce que MEDKEY produit sur demande

Certaines données n'ont pas d'export dans l'application : la messagerie interne, les tâches, les disponibilités, les compétences, les notes de journée, les stocks, l'historique des modifications de planning et le détail des demandes de congés. MEDKEY le dit plutôt que d'écrire « toutes vos données » sans le tenir.

Sur demande écrite de l'Établissement, MEDKEY produit une extraction complète de ses données et la remet par un moyen sécurisé convenu entre les Parties, dans un délai de quinze jours ouvrés. Cette extraction est gratuite une fois par année civile, ainsi qu'à la fin du contrat.

D. Fin du contrat

À la fin du contrat, quelle qu'en soit la cause, l'Établissement dispose de trente jours pour récupérer ses données. Passé ce délai, elles sont supprimées, sauf obligation légale de conservation.

La suspension pour défaut de paiement prévue à l'article 16 ne ferme que les écritures. La consultation et le téléchargement des documents restent ouverts, et le droit de récupération s'exerce pleinement.

Article 16 : Défaut de paiement et suspension du service

En cas de défaut de paiement à l'échéance, MEDKEY adresse à l'Établissement une notification de retard par courrier électronique à l'adresse renseignée lors de l'inscription.

L'Établissement bénéficie d'un délai de grâce de quatorze jours à compter de la fin de la période payée, pendant lequel le service reste entièrement ouvert, le temps des relances bancaires.

Au-delà de ce délai, et à défaut de régularisation dans les sept jours calendaires suivant la notification de retard, MEDKEY peut fermer les écritures, c'est-à-dire la création de shifts et le pointage d'arrivée. La consultation et le téléchargement des documents restent ouverts. Cette suspension n'est pas une résiliation : les obligations de chacune des Parties demeurent.

Si l'impayé persiste au-delà de trente jours calendaires suivant l'échéance initiale, MEDKEY peut résilier le contrat et engager le recouvrement. Les données restent récupérables dans les conditions de l'article 15.

Article 17 : Responsabilité

MEDKEY répond des dommages directs causés à l'Établissement par un manquement à ses obligations.

Sa responsabilité, toutes causes confondues et par année contractuelle, est limitée au montant des sommes hors taxes versées par l'Établissement au titre des douze mois précédant le fait générateur du dommage, sans pouvoir être inférieure à trois mille euros.

Ce plancher n'est pas une formule de style. Un plafond assis sur les seules sommes versées vaudrait zéro pendant la période d'essai gratuite, où aucune somme n'a été versée, et une limitation qui vide de sa substance l'obligation essentielle du débiteur est réputée non écrite au sens de l'article 1170 du Code civil. MEDKEY préfère une limite crédible qui tienne devant un juge à une limite illusoire qui tomberait tout entière.

MEDKEY ne répond pas des dommages indirects, notamment de la perte d'exploitation, du manque à gagner, de la perte de clientèle ou de l'atteinte à la réputation.

Ces limitations ne s'appliquent pas en cas de faute lourde ou dolosive, ni en cas de dommage corporel, ni dans les cas où la loi les écarte. Elles ne sauraient priver de sa substance l'obligation essentielle de MEDKEY, qui est de fournir un service de décompte du temps de travail conforme au présent contrat.

Garanties réciproques

L'Établissement garantit MEDKEY contre les conséquences financières d'une réclamation de tiers résultant d'un manquement qui lui est propre : paramétrage inexact, défaut d'information de ses salariés, absence de base légale, défaut de consultation des instances représentatives du personnel, ou saisie dans Staff de données qu'il s'est engagé à ne pas y porter.

Réciproquement, MEDKEY garantit l'Établissement contre les conséquences financières d'une réclamation de tiers résultant d'un manquement qui lui est propre, notamment un défaut de sécurité qui lui serait imputable ou une atteinte aux droits de propriété intellectuelle d'un tiers du fait du logiciel.

Dans les deux cas, la Partie mise en cause en informe l'autre sans délai, lui laisse la conduite de sa défense si elle le demande, et ne transige pas sans son accord.

Article 18 : Force majeure

Aucune des Parties n'est responsable d'un manquement résultant d'un cas de force majeure au sens de l'article 1218 du Code civil.

La défaillance d'un prestataire technique auquel MEDKEY a recours ne constitue pas un cas de force majeure. MEDKEY a choisi ses hébergeurs et répond de ceux qu'elle s'est substitués : écrire l'inverse serait se dégager de l'essentiel de son obligation, et une telle clause ne tiendrait pas.

Une cyberattaque ou une intrusion visant les infrastructures de MEDKEY ou de ses hébergeurs constitue un cas de force majeure aux seules conditions de l'article 1218 du Code civil, c'est-à-dire si l'événement était imprévisible et irrésistible malgré les mesures de sécurité prévues à l'article 13, dont MEDKEY apporte la preuve de la mise en œuvre.

Si l'événement se prolonge au-delà de trente jours, chaque Partie peut résilier le contrat par notification écrite, sans indemnité, les sommes correspondant à la période non servie étant remboursées.

Article 19 : Propriété intellectuelle

Staff, son code, ses interfaces, ses algorithmes de calcul et sa charte graphique sont la propriété exclusive de MEDKEY. Le présent contrat ne confère à l'Établissement qu'un droit d'usage personnel, non exclusif et non cessible, limité à sa durée.

L'Établissement conserve l'intégralité des droits sur les données qu'il saisit et sur les documents qu'il dépose.

L'Établissement s'interdit de reproduire, de décompiler ou de dériver le logiciel, en dehors des cas prévus par l'article L. 122-6-1 du Code de la propriété intellectuelle.

MEDKEY peut citer le nom de l'Établissement comme référence commerciale avec son accord écrit préalable, révocable à tout moment.

Article 20 : Phase bêta

Staff est proposé en phase bêta depuis le 14 août 2026. Le service fonctionne et il est utilisé en conditions réelles, mais des fonctionnalités peuvent être modifiées, ajoutées ou retirées, et l'Établissement peut rencontrer des imperfections.

En contrepartie, les établissements inscrits pendant cette phase bénéficient d'un essai gratuit de trois mois au lieu de quatorze jours, et acceptent de faire part de leurs retours d'usage à MEDKEY.

La phase bêta ne réduit en rien les engagements de MEDKEY en matière de propriété, de conservation, de sécurité et de confidentialité des données. Sa fin est annoncée aux clients concernés, et les essais en cours vont à leur terme dans les conditions convenues.

Article 21 : Évolution du service et des conditions

MEDKEY fait évoluer Staff. Une évolution qui retirerait une fonctionnalité utilisée par l'Établissement lui est annoncée au moins trente jours avant son entrée en vigueur.

MEDKEY peut modifier les présentes conditions ou ses tarifs. Toute modification substantielle, notamment une hausse tarifaire, est notifiée au moins deux mois avant son entrée en vigueur. L'Établissement qui ne l'accepte pas peut résilier sans frais jusqu'à cette date, et les sommes correspondant à la période non servie lui sont remboursées.

Article 22 : Signature électronique et preuve

Les Parties conviennent que le présent contrat peut être signé par voie électronique, et arrêtent ci-après leur convention de preuve au sens de l'article 1356 du Code civil.

Conformément à l'article 1366 du Code civil, l'écrit électronique a la même force probante que l'écrit sur papier, sous réserve que le signataire puisse être dûment identifié et que l'écrit soit établi et conservé dans des conditions de nature à en garantir l'intégrité. Les Parties conviennent que le procédé décrit ci-dessous remplit ces conditions et renoncent à en contester la validité au seul motif de sa forme électronique.

MEDKEY conserve, pour chaque signature, un dossier de preuve qui comprend : l'identité du signataire telle qu'elle a été déclarée et sa qualité, son adresse électronique confirmée par un code à usage unique, la date et l'heure de la signature, l'adresse de connexion et le navigateur employé, le texte intégral du document signé, son empreinte, l'image de la signature manuscrite et son empreinte, la version de chacun des documents acceptés, et un scellé qui lie tous ces éléments entre eux.

Le scellé est un condensat unique calculé sur l'ensemble de ces éléments. Modifier l'un d'eux après coup, fût-ce d'un seul caractère, le rend faux. Les éléments du dossier de preuve sont par ailleurs gelés dans la base de données elle-même : une règle y refuse toute modification et toute suppression, y compris de la part de MEDKEY.

Ce dossier est conservé pendant toute la durée du contrat et cinq ans après son terme. Une signature restée sans suite, parce que l'Établissement n'a jamais été ouvert, est effacée au bout de douze mois.

Les Parties conviennent que le procédé décrit ici est une signature électronique simple au sens du règlement (UE) n° 910/2014. MEDKEY ne revendique ni signature avancée, ni signature qualifiée, ni la présomption de fiabilité que l'article 1367 du Code civil réserve à cette dernière. Ce qui est affirmé est ce qui est tenu : un écrit identifié et intègre au sens de l'article 1366.

Au moment de la signature, une copie est adressée à l'Établissement par courrier électronique, sous la forme d'un lien personnel qui rouvre le document signé pendant quatre-vingt-dix jours. Elle n'est pas jointe au message : un contrat porte le numéro SIRET et l'adresse du signataire, et l'acheminement du courrier électronique passe par un prestataire établi hors d'Europe qui conserve les messages qu'il expédie.

Au-delà de ce délai, l'Établissement demande une nouvelle copie à MEDKEY, qui la lui adresse sans frais.

Le signataire déclare disposer du pouvoir d'engager l'Établissement. L'acceptation des conditions générales recueillie et horodatée par le prestataire de paiement au moment de la souscription complète ce dossier sans s'y substituer.

Les Parties conviennent que les échanges par courrier électronique entre les adresses déclarées au présent contrat constituent des écrits valables pour les notifications qu'il prévoit, à l'exception de la mise en demeure prévue à l'article 6, qui peut également être adressée par lettre recommandée.

Article 23 : Loyauté

Chaque Partie s'abstient, pendant la durée du contrat, de diffuser sur l'autre des affirmations qu'elle sait inexactes.

Cette obligation ne fait obstacle ni à l'expression d'une appréciation sincère sur le service, y compris publique et y compris défavorable, ni au témoignage devant une autorité administrative ou judiciaire, ni à l'exercice de tout recours.

MEDKEY précise le périmètre de cette clause plutôt que d'imposer un silence général : un éditeur qui interdit à ses clients de dire du mal de lui n'a pas de clients contents, il a des clients muets.

Article 24 : Cession du contrat

Le présent contrat est conclu en considération de la personne de chacune des Parties. Il ne peut être cédé sans l'accord écrit préalable de l'autre.

Par exception, MEDKEY peut le céder dans le cadre d'une opération de fusion, d'apport ou de cession de son activité, à charge d'en informer l'Établissement au moins trente jours à l'avance. L'Établissement qui n'accepte pas le cessionnaire peut résilier sans frais dans ce délai.

Article 25 : Litiges et tribunal compétent

Le présent contrat est soumis au droit français.

Avant toute action au fond, la Partie la plus diligente expose son grief à l'autre par écrit, les Parties disposant de trente jours pour rechercher de bonne foi un accord.

Cette démarche préalable ne fait obstacle ni à une mesure d'urgence, ni à une mesure conservatoire ou provisoire, ni à une procédure de recouvrement d'une facture impayée. Cette réserve est expresse : une clause de conciliation rédigée sans elle constitue une fin de non-recevoir qui ne se régularise pas en cours d'instance, et elle interdirait à chacune des Parties de saisir le juge des référés.

Tout litige relève de la compétence des tribunaux de Paris.

Article 26 : Élection de domicile

Pour l'exécution du présent contrat, les Parties font élection de domicile aux adresses mentionnées en tête des présentes.

En cas de changement, la Partie concernée en informe l'autre sans délai.

Annexe 1 : Traitement des données personnelles

Finalités du traitement

• organiser le travail de l'équipe : planning, postes, remplacements et vacations ;
• décompter le temps de travail à partir des pointages ;
• tenir les absences, les congés payés et leurs compteurs ;
• mettre à disposition du salarié les documents déposés par son employeur ;
• faire circuler les messages internes et les notifications de service ;
• préparer les éléments de paie de la période.

Catégories de données traitées

• identité et coordonnées du salarié ;
• rôle, poste et éléments du contrat de travail utiles au décompte ;
• planning, horaires prévus et heures pointées ;
• résultat de la vérification du lieu de pointage : dans la zone ou non, et distance arrondie en mètres ;
• absences et leur motif, choisi dans une liste fermée qui comprend l'absence pour maladie ;
• congés, disponibilités et compteurs associés ;
• documents déposés par l'employeur : contrat, bulletins de paie, mutuelle, prévoyance ;
• messages internes et deux champs de texte libre facultatifs remplis par le salarié ;
• données techniques nécessaires au fonctionnement et à la sécurité du service.

Ce qui n'est pas traité

• aucune coordonnée de position du salarié, et aucun historique de déplacement ;
• aucune donnée biométrique : la reconnaissance faciale ou digitale reste dans l'appareil du salarié ;
• aucune donnée de patient ni de client de l'Établissement ;
• aucun diagnostic ni détail médical dans le motif d'absence.

Personnes concernées

Les salariés, les vacataires et les membres de la coordination de l'Établissement.

Sous-traitants ultérieurs

• Supabase, Inc. : base de données, authentification et stockage des fichiers. Données localisées en région Paris.
• Vercel Inc. : hébergement et exécution de l'application. Fonctions exécutées en région Paris.
• Stripe : encaissement de l'abonnement. Société américaine, qui ne reçoit que les données de facturation de l'Établissement et aucune donnée de son équipe.
• Resend : acheminement des courriers électroniques envoyés par Staff. Société américaine, qui conserve une copie des messages qu'elle expédie. C'est pourquoi ces messages ne portent ni pièce jointe ni tableau de données, mais un lien signé vers un contenu resté en région Paris.
• Services de notification poussée d'Apple, de Google et de Mozilla : ils relaient un message chiffré par l'appareil destinataire, illisible pour eux.

Transferts hors de l'Union européenne

Les données saisies dans l'application ne quittent pas la France. Trois sous-traitants sont néanmoins des sociétés de droit américain, et le mécanisme qui encadre ces transferts est nommé ici plutôt que passé sous silence.

• Supabase, Inc. et Vercel Inc. : la base, les fichiers et l'exécution restent en région Paris. Le transfert éventuel se limite à l'accès de leur support technique, encadré par les clauses contractuelles types de la Commission européenne ;
• Stripe : traitement des données de facturation aux États-Unis, sur le fondement des clauses contractuelles types de la décision (UE) 2021/914 et de son auto-certification au cadre de protection des données UE et États-Unis ;
• Resend : acheminement des courriers électroniques depuis les États-Unis, sur le même fondement contractuel et sur son adhésion au même cadre.

Aucune décision d'adéquation ne couvre à elle seule ces transferts : le fondement est contractuel, et l'Établissement peut en demander copie.

Durée de conservation

Les données sont conservées pendant la durée du contrat, puis trente jours au titre de la restitution prévue à l'article 15. L'Établissement demeure responsable des durées que lui imposent ses propres obligations, notamment la conservation des documents de décompte du temps de travail.

Mesures de sécurité

Chiffrement en transit et au repos, cloisonnement des clients appliqué dans la base de données et vérifié à chaque livraison, accès filtrés par rôle appliqués au niveau de la base, mots de passe stockés sous forme de condensat, sauvegardes quotidiennes conservées par l'hébergeur, sauvegarde supplémentaire avant chaque mise à jour du schéma, journal des actes de la coordination sur les plannings.

Violation de données

Notification à l'Établissement dans les meilleurs délais et au plus tard quarante-huit heures après la prise de connaissance.

Annexe 2 : Ce que l'Établissement doit dire à ses salariés

Cette annexe n'est pas une obligation contractuelle supplémentaire : c'est un outil. L'Établissement reste seul responsable de l'information de son équipe. Le texte ci-dessous peut être remis tel quel, complété des mentions propres à l'Établissement.

Modèle de note d'information

« Notre établissement utilise Staff pour monter le planning, recueillir les pointages et décompter les heures de travail. Les données traitées sont votre identité, vos coordonnées, votre planning, vos heures pointées, vos absences et leur motif, vos congés, et les documents que l'employeur met à votre disposition. Le responsable de ce traitement est [nom de l'établissement]. La base légale est l'exécution du contrat de travail et le respect de nos obligations légales en matière de durée du travail.

Si le pointage vérifie le lieu, votre position est lue au seul instant du pointage pour être comparée au lieu de travail, puis écartée. Ni vos coordonnées ni aucun historique de déplacement ne sont conservés : seuls sont enregistrés le fait que vous étiez ou non dans la zone et la distance arrondie. Aucun suivi n'a lieu en dehors de ces instants.

Vos données sont hébergées en France. Elles sont conservées pendant la durée de votre contrat, puis selon les durées que la loi nous impose. Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition, que vous pouvez exercer auprès de [contact de l'établissement]. Vous pouvez également saisir la Commission nationale de l'informatique et des libertés. »

Avant d'activer la vérification du lieu de pointage

• vérifier que la mesure est proportionnée au but poursuivi ;
• informer chaque salarié individuellement et par écrit, avant la mise en place ;
• consulter le comité social et économique lorsqu'il existe ;
• inscrire le traitement au registre des activités de traitement de l'Établissement.