Conformité RGPD & CNIL

Bases légales du traitement

L'enregistrement du temps de travail est un traitement de données à caractère personnel au sens du RGPD. Bases légales :

• Article 6 § 1 c) RGPD — obligation légale (Article L. 3171-2 du Code du travail)
• Article 6 § 1 b) RGPD — exécution du contrat de travail
• Pour la biométrie : Article 9 § 2 a) RGPD — consentement explicite, ou autorisation préalable de la CNIL

Recommandations CNIL applicables

• Délibération CNIL du 26 janvier 2006 — dispositifs de contrôle de l'activité des salariés
• Délibération CNIL du 10 janvier 2019 — règlement type biométrie
• Recommandations CNIL télétravail (juillet 2020)

Mesures de sécurité TimeClock 365

• Certification ISO 27001 — gestion certifiée de la sécurité de l'information
• Hébergement UE — données traitées dans l'Union européenne
• Chiffrement — TLS 1.3 en transit, AES-256 au repos
• Authentification forte — multi-facteurs disponible
• Journal d'audit — traçabilité de chaque action
• Sauvegardes — quotidiennes, géo-redondantes
• Tests d'intrusion — externes réguliers

Contrat de sous-traitance (Art. 28 RGPD)

TimeClock 365 est sous-traitant au sens de l'Article 28 du RGPD. Nous fournissons un contrat de sous-traitance complet : liste des sous-traitants ultérieurs, mesures techniques et organisationnelles (TOM), durées de conservation, modalités d'audit.

Droits des personnes concernées

• Article 15 — Droit d'accès : espace salarié avec vue de ses propres données
• Article 16 — Rectification : corrections avec journal d'audit
• Article 17 — Effacement : après expiration des durées légales
• Article 18 — Limitation : configurable
• Article 20 — Portabilité : export au format standard
• Article 21 — Opposition : pour les traitements optionnels (biométrie)

Durées de conservation

• Données actives : pendant la relation contractuelle
• Décompte du temps : minimum 1 an (Article D. 3171-16)
• Bulletins de paie / pièces : 5 ans (Article D. 3243-8) — recommandation CNIL
• Contentieux : durée de prescription (5 ans en règle)
• Suppression automatique à l'expiration

Analyse d'impact (AIPD)

L'Article 35 RGPD impose une AIPD pour les traitements à risque élevé (notamment biométriques). Nous fournissons un modèle d'AIPD préremplie pour TimeClock 365.

Délégué à la Protection des Données (DPO)

Le DPO de votre entreprise dispose d'un rôle dédié dans TimeClock 365 — accès en lecture aux journaux d'audit, configuration des durées de conservation, supervision de la conformité.