Accord de traitement des données

Le présent accord définit la manière dont nous traitons les données à caractère personnel que vous saisissez dans Salary.lu - avant tout les données des salariés dont vous gérez la paie. Il existe parce que l'article 28 du RGPD impose un contrat écrit dès lors qu'un organisme traite des données à caractère personnel pour le compte d'un autre, et il précise ce que ce contrat doit prévoir.

Il fait partie intégrante de nos conditions d'utilisation et s'applique dès que vous les acceptez. Vous n'avez rien à signer séparément, même si nous pouvons fournir un exemplaire signé sur demande. Lorsqu'il emploie un terme défini par le RGPD, ce terme conserve son sens au sens du RGPD.

La manière dont nous traitons les données dont nous déterminons nous-mêmes les finalités - vos propres coordonnées et informations de facturation - relève d'une autre logique et est couverte par notre politique de confidentialité et non par le présent accord.

Qui est responsable de quoi

Salary.lu est utilisé de deux manières, et celle qui vous concerne détermine les rôles.

Nos obligations au titre du présent accord sont les mêmes dans les deux cas. Dans tout le texte, « vous » désigne celui des deux cas qui vous concerne, et « le responsable du traitement » désigne l'employeur dont la paie est gérée.

Si vous agissez pour d'autres entreprises, il vous appartient de vous assurer que votre propre contrat avec chaque client vous autorise à recourir à un prestataire externe, et que ce client a été informé de notre intervention.

Ce que nous traitons, et pourquoi

Les mentions exigées par l'article 28, paragraphe 3, figurent à l'annexe 1 ci-dessous : l'objet et la durée du traitement, sa nature et sa finalité, les types de données à caractère personnel et les catégories de personnes concernées.

En résumé : nous hébergeons et exploitons la plateforme sur laquelle vous préparez la paie, et nous traitons les données des salariés uniquement pour que cette plateforme fonctionne pour vous. Nous ne les utilisons pas à nos propres fins, nous ne les vendons pas, et nous ne les utilisons ni pour entraîner des modèles ni pour développer des produits.

Nous agissons sur vos instructions

Nous ne traitons les données à caractère personnel que sur la base de vos instructions documentées. Vos instructions sont constituées du présent accord, des conditions d'utilisation et de ce que vous faites dans la plateforme elle-même - créer une fiche de salaire constitue une instruction de la calculer et de l'établir.

La seule exception concerne les cas où le droit de l'Union ou le droit luxembourgeois nous impose de traiter des données pour un autre motif. Dans une telle hypothèse, nous vous en informerons avant d'agir, sauf si la loi nous l'interdit.

Si nous estimons qu'une instruction que vous nous donnez enfreint la législation sur la protection des données, nous vous le signalerons.

Confidentialité

Seules les personnes qui ont besoin d'un accès pour accomplir leurs missions en disposent. Toute personne chez Salary.lu susceptible d'accéder à des données à caractère personnel est tenue à une obligation de confidentialité qui perdure après la fin de sa collaboration avec nous, et est formée à leur traitement.

Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel, compte tenu de l'état des connaissances, des coûts de mise en œuvre et du risque pour les personnes concernées. Ces mesures sont décrites à l'annexe 2.

Les données de paie sont sensibles par nature - elles révèlent la rémunération des personnes et souvent leurs absences pour maladie - c'est pourquoi nous traitons l'ensemble de la plateforme comme un environnement à risque élevé, plutôt que de renforcer les contrôles uniquement sur certains champs.

Données de santé et autres données sensibles

Gérer la paie au Luxembourg implique d'enregistrer les absences pour maladie, qui constituent des données de santé - une catégorie particulière au sens de l'article 9 du RGPD, exigeant une vigilance accrue.

La plateforme vous permet également de téléverser le certificat médical d'un salarié. Cette possibilité est facultative : rien dans le Service ne l'exige, et la paie peut être établie sans. Lorsque vous en téléversez un, il est conservé à titre de référence afin que vous et le salarié puissiez vous y reporter si une question relative à l'absence se pose ultérieurement. Nous le traitons uniquement pour le stocker et vous l'afficher - nous ne le lisons pas, ne l'analysons pas et ne l'utilisons dans aucun calcul.

Décider de téléverser ou non des certificats vous revient en tant que responsable du traitement, tout comme disposer d'une base légale pour les conserver - en principe vos obligations en droit du travail et de la sécurité sociale. Si vous n'en avez pas besoin, la voie la plus sûre est de ne pas les téléverser.

Comme la paie implique régulièrement des données relevant de catégories particulières, une analyse d'impact relative à la protection des données peut être requise de votre côté. Nous vous fournirons les éléments nécessaires pour la réaliser.

Sous-traitants ultérieurs

Nous recourons à un petit nombre d'autres prestataires pour fournir le Service - avant tout pour l'hébergement et les sauvegardes. Ils sont listés à l'annexe 3. Vous nous donnez une autorisation générale d'y recourir et d'en désigner d'autres si nécessaire.

Chaque sous-traitant ultérieur est lié par des obligations écrites au moins équivalentes à celles du présent accord, et nous restons pleinement responsables envers vous de leurs agissements.

Si nous prévoyons d'ajouter ou de remplacer un sous-traitant ultérieur, nous vous en informerons au moins 30 jours à l'avance, par e-mail et sur la page Actualités de la plateforme. Si vous avez une objection raisonnable pour des motifs de protection des données, faites-la-nous savoir dans ce délai de 30 jours et nous chercherons une alternative viable ; à défaut, vous pouvez mettre fin à votre abonnement sans pénalité pour la période restante que vous avez réglée.

Où les données sont stockées

Les données de paie restent dans l'Union européenne. La plateforme et sa base de données fonctionnent dans la région UE chez Heroku, les documents sont stockés dans AWS S3 à Paris, les e-mails sont envoyés via AWS SES à Francfort, et les déclarations parviennent au CCSS via un serveur dédié situé dans l'UE. L'annexe 3 liste chaque prestataire et son lieu d'exploitation.

Deux des outils que nous utilisons pour la supervision et le débogage - Sentry et Papertrail - sont établis aux États-Unis. Ils reçoivent des données techniques de diagnostic telles que des rapports d'erreur et des journaux applicatifs, et non des données de paie ; nous ne les utilisons pas pour transférer des informations relatives aux salariés hors de l'UE.

Lorsqu'un transfert hors de l'UE est nécessaire, nous ne l'effectuons que sur un fondement juridique autorisé au titre du chapitre V du RGPD - une décision d'adéquation, ou les clauses contractuelles types de la Commission européenne assorties de garanties complémentaires - et nous vous en informerons avant d'en introduire un nouveau.

Vous aider à répondre aux demandes des salariés

Les salariés disposent de droits sur leurs données : accès, rectification, effacement, limitation, portabilité et opposition. Ces demandes vous reviennent, car c'est vous et non nous qui êtes responsable du traitement.

Si un salarié nous contacte directement, nous ne répondrons pas à votre place. Nous vous transmettrons la demande sans délai et informerons la personne que nous l'avons fait.

Nous vous aiderons à répondre, compte tenu de la nature du traitement et des informations dont nous disposons. L'essentiel de ce dont vous avez besoin peut être exporté par vous-même depuis la plateforme ; lorsque ce n'est pas possible, demandez-le-nous.

En cas de problème

Si nous avons connaissance d'une violation de données à caractère personnel affectant vos données, nous vous en informerons dans les meilleurs délais et en tout état de cause dans les 48 heures suivant cette prise de connaissance.

Nous vous indiquerons ce qui s'est produit, quelles catégories de données et approximativement combien de personnes sont concernées, quelles en sont les conséquences probables et ce que nous mettons en œuvre. Si nous n'avons pas encore une vision complète, nous vous communiquerons ce dont nous disposons et compléterons par la suite plutôt que d'attendre.

Notifier la CNPD, et le cas échéant les salariés concernés, relève de votre décision et de votre responsabilité en tant que responsable du traitement. Vous disposez de 72 heures à compter du moment où vous avez connaissance d'une violation pour la notifier à la CNPD - c'est pourquoi nous nous engageons à vous joindre bien avant l'expiration de ce délai, afin que vous ayez le temps d'évaluer la situation et d'agir.

Analyses d'impact et consultation

Lorsque vous devez réaliser une analyse d'impact relative à la protection des données, ou consulter préalablement la CNPD, nous vous apporterons une assistance raisonnable et les informations nécessaires sur la manière dont nous traitons les données. L'annexe 2 constitue en général le point de départ.

Conservation, restitution et suppression des données

Nous conservons les données à caractère personnel tant que vous disposez d'un compte chez nous, puis selon les modalités exposées ici.

Votre compte et vos documents restent accessibles après la fin d'un abonnement, afin que vous puissiez consulter votre historique de paie lorsque vous en avez besoin. Considérez cette conservation continue comme votre instruction permanente de conserver les données - elle reflète le fait que le droit luxembourgeois vous impose de conserver les documents de paie et comptables pendant dix ans, et que cette responsabilité vous incombe et non à nous.

Vous pouvez à tout moment nous demander de supprimer vos données. La suppression étant définitive et irréversible, nous n'agissons que sur demande écrite adressée par e-mail depuis l'adresse figurant sur votre compte, et nous vous demanderons de confirmer avant de procéder. Nous supprimons des systèmes actifs dans les 30 jours suivant cette confirmation, et des sauvegardes au fur et à mesure de leur rotation. Lorsque la loi nous impose de conserver un élément plus longtemps, nous vous indiquerons lequel et pourquoi.

Le RGPD vous laisse également le choix de faire restituer vos données plutôt que de les supprimer. En pratique, vous n'avez pas besoin de nous le demander : vos documents et votre historique de paie restent exportables depuis votre compte, vous pouvez donc en prendre copie quand vous le souhaitez. Si vous avez besoin d'un élément que la plateforme ne peut pas exporter, demandez-le-nous et nous vous le fournirons.

Exportez ce dont vous avez besoin avant de demander la suppression. Une fois les données supprimées, nous ne pouvons plus les reproduire, ni pour vous ni en vue d'un contrôle.

Audits et information

Nous vous fournirons les informations dont vous avez raisonnablement besoin pour démontrer que nous respectons nos obligations au titre de l'article 28, et nous permettrons la réalisation d'audits par vous ou par un auditeur que vous désignez.

En pratique, nous vous invitons à commencer par la documentation que nous pouvons fournir, car elle répond à la plupart des questions sans visite sur place. Lorsqu'un audit reste nécessaire, prévenez-nous dans un délai raisonnable, limitez-le aux heures de bureau, respectez la confidentialité des données des autres clients et prenez-en les frais en charge, sauf si l'audit révèle un manquement significatif de notre part.

Options du Marketplace

Lorsque vous activez une option depuis notre Marketplace, le prestataire concerné peut recevoir certaines de vos données. Le fait qu'il agisse en tant que notre sous-traitant ultérieur ou en tant que responsable du traitement indépendant avec lequel vous contractez directement dépend de l'option, et nous vous indiquons ce qu'il en est avant l'activation.

Articulation avec nos conditions

Le présent accord fait partie intégrante de nos conditions d'utilisation. Les limitations de responsabilité qui y sont prévues s'appliquent également au présent accord, sauf dans la mesure où le RGPD ne le permet pas.

En cas de contradiction entre le présent accord et les conditions d'utilisation sur une question de protection des données, le présent accord prévaut.

Modification du présent accord

Nous pouvons mettre à jour le présent accord, par exemple lorsqu'un sous-traitant ultérieur change ou que la loi évolue. Nous vous informerons au moins 30 jours avant l'entrée en vigueur d'une modification substantielle, par e-mail et sur la page Actualités de la plateforme. La date figurant en haut de cette page indique depuis quand la version en vigueur s'applique.

Annexe 1 - Détails du traitement

Élément	Détail
Objet	Mise à disposition de la plateforme de paie Salary.lu
Durée	Tant que vous disposez d'un compte, plus la conservation décrite ci-dessus
Nature	Hébergement, stockage, calcul, génération de documents, transmission et suppression
Finalité	Préparation et gestion de la paie et des documents RH associés pour l'employeur
Responsable du traitement	L'employeur dont la paie est gérée

Catégories de personnes concernées

• Salariés et anciens salariés du responsable du traitement
• Dirigeants et mandataires figurant sur la paie

Types de données à caractère personnel

Catégorie	Exemples
Identification	Nom, date de naissance, numéro d'identification national (matricule)
Coordonnées	Adresse, adresse e-mail
Emploi	Intitulé de poste, type de contrat, dates de début et de fin, temps de travail, lieu de travail
Rémunération	Salaire, primes, avantages en nature, retenues, classe d'impôt, allocations
Bancaires	IBAN et titulaire du compte, pour le paiement des salaires
Fiscalité et sécurité sociale	Matricule CCSS, données de la fiche de retenue d'impôt, taux de cotisation
Absences	Congés, absences pour maladie et certificats médicaux lorsqu'ils sont téléversés (catégorie particulière de données)
Situation familiale	État civil, lorsqu'il influe sur le calcul

L'ensemble exact dépend de ce que vous saisissez. Nous n'exigeons pas de champs qui ne sont pas nécessaires au calcul.

Annexe 2 - Mesures de sécurité

Les mesures ci-dessous sont celles que nous appliquons au titre de l'article 32. Elles sont revues régulièrement et peuvent être renforcées avec le temps, mais jamais abaissées en deçà du niveau décrit ici.

Domaine	Mesure
Hébergement	La plateforme et sa base de données fonctionnent chez Heroku dans la région UE, sur des centres de données adossés à AWS. Les documents sont stockés dans AWS S3 (Paris) et les e-mails envoyés via AWS SES (Francfort). Heroku est certifié SOC 2 Type II et aligné sur la norme ISO 27001. Nous ne conservons aucun serveur dans nos propres locaux.
Chiffrement	Toutes les connexions utilisent TLS. La base de données, le stockage de fichiers et les sauvegardes sont chiffrés au repos.
Contrôle d'accès	Accès par rôles au sein de la plateforme, accès au moindre privilège pour nos collaborateurs, et authentification à deux facteurs disponible sur chaque compte.
Cloisonnement	Les données de chaque client sont logiquement séparées de celles de tous les autres.
Transmission au CCSS	Les déclarations sont transmises au CCSS via le canal SECUline, par un serveur dédié utilisé à cette seule fin.
Sauvegardes	Sauvegardes automatisées de la base de données, conservées et restaurables.
Supervision	Les erreurs sont surveillées via Sentry et les journaux applicatifs via Papertrail, limités aux données techniques de diagnostic.
Personnel	Engagements de confidentialité, formation à la protection des données et suppression des accès au départ.
Maintenance et incidents	Les dépendances sont surveillées et corrigées, les mises à jour de sécurité appliquées sans délai, et nous suivons une procédure documentée de détection, d'évaluation et de notification des violations.

Annexe 3 - Sous-traitants ultérieurs

Les prestataires ci-dessous traitent des données à caractère personnel pour notre compte afin de fournir le Service.

Notez que les outils mentionnés dans notre politique de confidentialité pour la mesure d'audience et la publicité - Google, LinkedIn et Facebook - concernent des données dont nous sommes responsable du traitement, comme votre utilisation de notre site. Ils ne sont pas sous-traitants ultérieurs de données de paie.

Nous contacter

Pour toute question relative au présent accord, écrivez-nous à info@salary.lu

Politiques associées

Conditions d’utilisation

Les règles d’utilisation de Salary.lu : abonnements, facturation, vos données, responsabilité et résiliation.

Politique de Confidentialité

Les données personnelles que nous collectons, pourquoi, et vos droits au titre du RGPD.

Politique de Cookies

Les cookies que nous déposons, à quoi ils servent et comment les contrôler.