Avenant relatif au traitement des données

1. Rôles et périmètre

Client = responsable de traitement ; svdy = sous-traitant. Périmètre des données personnelles : collaborateurs, pointages, congés, formulaires de processus et journaux d'audit.

2. Sous-traitants

Autorisation des 5 sous-traitants listés sur /trust/sub-processors. Préavis de 30 jours et mécanisme d'objection en cas de changement.

3. Sécurité

AWS multi-AZ + AES-256 au repos + TLS 1.2+ en transit + contrôle d'accès basé sur les rôles + journaux d'audit. Test d'intrusion annuel à partir du lancement du programme SOC 2 (Q1 2027).

4. Droits des personnes concernées

Le client (responsable de traitement) traite les demandes (DSAR) en premier via l'interface d'administration (export / effacement / rectification). svdy assiste sur les demandes non couvertes par l'auto-service sous 5 jours ouvrés.

5. Notification de violation

Sous 72 heures après en avoir eu connaissance, avec le périmètre, les données concernées et les mesures correctives. Notification par e-mail au contact DPO désigné.

6. Transferts internationaux

Transferts UE → États-Unis couverts par les CCT de l'UE (version 2021). Transferts vers le Royaume-Uni couverts par l'UK Addendum aux CCT.

7. Fin du contrat

À la fin du contrat, le client peut exporter ses données via l'interface d'administration pendant 30 jours ; svdy procède ensuite à une suppression définitive sous 60 jours, sauf obligation de conservation légale.