Contrat de sous-traitance des données personnelles

Article 28 du RGPD — version du 2 novembre 2026

Quand un établissement saisit dans Oplaa les données de ses salariés, il en reste responsable ; Oplaa les traite pour son compte. Ce contrat fixe les engagements de chacun. Il s'applique automatiquement à tout établissement utilisant Oplaa avec un compte et complète les CGU/CGV.

1. Objet

Le présent contrat (« DPA ») encadre les traitements de données personnelles qu'Oplaa réalise pour le compte de l'Établissement dans le cadre de la fourniture de l'application Oplaa (le « Service »), conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD ») et à la loi Informatique et Libertés.

Il ne couvre pas les données pour lesquelles Oplaa est lui-même responsable de traitement (comptes utilisateurs, connexion, support), décrites dans la politique de confidentialité.

2. Description du traitement

La description détaillée (nature, finalités, données, personnes concernées, durée) figure en Annexe 1. En résumé : Oplaa héberge, synchronise, affiche et exporte les données d'équipe et de planning saisies par l'Établissement, pour que celui-ci organise le travail de ses salariés et prépare sa paie.

3. Durée

Le DPA s'applique à compter de la création de l'espace Établissement et jusqu'à la suppression de cet espace ou la fin du Service, puis le temps nécessaire à l'effacement prévu à l'article 11.

4. Obligations de l'Établissement (responsable de traitement)

L'Établissement s'engage à :

• disposer d'une base légale pour chaque traitement (en pratique : exécution du contrat de travail et obligations légales de l'employeur) ;
• informer ses salariés, par exemple via une note d'information ou le règlement intérieur, du traitement de leurs données dans Oplaa et de l'identité du sous-traitant ;
• ne saisir que des données exactes, pertinentes et limitées au nécessaire ; ne pas enregistrer de motif médical ou de données sensibles au sens de l'article 9 du RGPD ;
• gérer les accès (codes d'invitation, rôles Admin/Manager/Employé) et les retirer lors d'un départ ;
• tenir son registre des traitements et répondre aux demandes d'exercice de droits de ses salariés ;
• donner à Oplaa des instructions conformes au droit applicable.

5. Obligations d'Oplaa (sous-traitant)

5.1 Instructions

Oplaa traite les données uniquement sur instruction documentée de l'Établissement. Les instructions sont constituées par le présent DPA, les CGU/CGV et l'utilisation des fonctionnalités du Service par les utilisateurs autorisés de l'Établissement. Oplaa n'utilise pas les données de l'Établissement à ses propres fins, ne les revend pas, ne les exploite pas à des fins publicitaires ou d'entraînement de modèles. Si Oplaa estime qu'une instruction viole le RGPD, il en informe l'Établissement sans délai.

5.2 Confidentialité

Les personnes autorisées à traiter les données (l'équipe d'Oplaa) sont soumises à une obligation de confidentialité. Oplaa n'accède au contenu d'un Établissement qu'en cas de nécessité technique (incident, support à la demande de l'Établissement) et dans la mesure strictement nécessaire.

5.3 Sécurité

Oplaa met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, adaptées au risque, et les fait évoluer avec l'état de l'art.

5.4 Sous-traitants ultérieurs

L'Établissement autorise de manière générale Oplaa à recourir aux sous-traitants ultérieurs listés en Annexe 3. Oplaa impose à chacun des obligations équivalentes à celles du présent DPA et demeure pleinement responsable de leur exécution. Tout ajout ou remplacement est annoncé au moins 30 jours à l'avance par mise à jour de l'Annexe 3 et notification dans l'application ou par e-mail ; l'Établissement peut s'y opposer par écrit pendant ce délai et, à défaut de solution, résilier le Service sans frais, avec restitution de ses données.

5.5 Transferts hors de l'Union européenne

Les données du Service sont hébergées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur est établi hors de l'Union (voir Annexe 3), le transfert est encadré par une décision d'adéquation ou par les clauses contractuelles types de la Commission européenne, assorties des mesures complémentaires nécessaires.

5.6 Assistance pour les droits des personnes

Le Service permet à l'Établissement de répondre lui-même à la plupart des demandes (consultation, rectification, suppression d'un employé, export). Si une demande parvient directement à Oplaa, celui-ci la transmet à l'Établissement sans y répondre lui-même, sauf obligation légale, et lui apporte une assistance raisonnable, dans la limite des fonctionnalités du Service.

5.7 Assistance pour la conformité

Oplaa assiste l'Établissement, compte tenu des informations dont il dispose, pour ses obligations de sécurité, de notification de violations, et pour toute analyse d'impact ou consultation préalable de la CNIL que l'Établissement jugerait nécessaire.

5.8 Notification des violations de données

Oplaa notifie à l'Établissement toute violation de données personnelles le concernant sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance, par e-mail aux Admins de l'Établissement, en précisant dans la mesure du possible la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Il appartient à l'Établissement de notifier la CNIL et, le cas échéant, les personnes concernées.

5.9 Documentation et audit

Oplaa met à disposition les informations nécessaires pour démontrer le respect du présent DPA (le présent document et ses annexes, la documentation de sécurité des sous-traitants ultérieurs, des réponses écrites aux questionnaires raisonnables). L'Établissement peut, au plus une fois par an et avec un préavis de 30 jours, ou sans délai après une violation avérée, faire réaliser un audit, à ses frais, par un auditeur indépendant soumis à confidentialité, pendant les heures ouvrées et sans perturber le Service ni accéder aux données d'autres établissements.

6. Durée de conservation

Oplaa conserve les données tant que l'espace Établissement existe. L'Établissement est responsable de la purge des données devenues inutiles (par exemple la suppression de la fiche d'un ancien salarié à l'issue des délais de conservation qui s'imposent à lui en matière de droit du travail et de paie, généralement 5 ans pour les éléments de temps de travail).

7. Responsabilité

Chaque partie est responsable des dommages causés par un traitement effectué en violation du RGPD qui lui est imputable, dans les conditions de l'article 82 du RGPD. Entre les parties, la responsabilité d'Oplaa est soumise aux limitations prévues dans les CGU/CGV, sans préjudice des droits des personnes concernées.

8. Point de contact

Pour toute question relative au présent DPA, aux données ou pour signaler un incident : l'adresse e-mail indiquée dans les mentions légales, objet « RGPD ». Oplaa accuse réception sous 5 jours ouvrés.

9. Hiérarchie et modifications

En cas de contradiction entre le présent DPA et les CGU/CGV, le DPA prévaut pour tout ce qui concerne les données personnelles. Oplaa peut mettre à jour le DPA pour suivre l'évolution du droit ou du Service ; toute modification réduisant les garanties est annoncée 30 jours à l'avance, dans les mêmes conditions qu'à l'article 5.4.

10. Droit applicable

Le présent DPA est soumis au droit français. L'autorité de contrôle compétente est la CNIL (cnil.fr).

11. Fin du contrat et sort des données

• Pendant le Service, l'Établissement peut à tout moment exporter ses données (exports CSV / Excel, impression) et supprimer un employé, une absence ou tout autre contenu.
• À la fin du Service (suppression de l'espace Établissement par son dernier Admin, résiliation ou arrêt du Service), Oplaa supprime l'ensemble des données de l'Établissement de la base de production. Les copies de sauvegarde sont écrasées par rotation dans un délai maximal de 30 jours.
• Oplaa peut conserver les seules données dont la loi impose la conservation (par exemple des journaux techniques ou des éléments de facturation), pour la durée légale, de manière isolée.
• Sur demande écrite avant la suppression, Oplaa fournit un export complet des données de l'Établissement dans un format courant (CSV / Excel / JSON).