Avenant de Workleap relatif au traitement des données

Publié le

May 15, 2024

Cette page contient

Le cas échéant, le présent Avenant relatif au traitement des données est intégré aux Conditions d’utilisation des produits Workleap (les « Conditions générales »), disponibles à l’adresse https://workleap.com/trust-center/terms, sauf si le Client a conclu avec Workleap un accord écrit qui les remplace, auquel cas le présent Avenant fait partie de cet accord. Sauf si le Client a conclu avec Workleap un accord écrit qui les remplace, Workleap peut modifier le présent Avenant relatif au traitement des données de temps à autre sur son Site Web, à mesure que ses activités évoluent. Toute modification prend effet à la date à laquelle Workleap la publie. Le Client peut consulter en tout temps la version la plus récente de l’Avenant relatif au traitement des données sur cette page. Si le Client utilise les Produits et/ou les Services après la date d’entrée en vigueur d’une modification, cette utilisation vaut acceptation de l’Avenant relatif au traitement des données modifié.

Dernière mise à jour : 2026/10/16

1. Définitions et interprétation

1.1 Les termes commençant par une majuscule qui ne sont pas définis aux présentes ont le sens qui leur est attribué dans les Conditions générales.

1.2 Les termes suivants commençant par une majuscule ont le sens qui leur est attribué ci-dessous :

« Renseignements sur le compte » désigne les Renseignements personnels se rapportant à la relation transactionnelle ou commerciale entre le Client et Workleap, notamment les Renseignements personnels relatifs au compte du Client, les renseignements de facturation ainsi que les demandes adressées aux équipes des ventes et du soutien;
« Responsable du traitement » a le sens prévu par les Lois sur la protection de la vie privée, dans la mesure où elles s’appliquent au présent Avenant relatif au traitement des données;
« Sous-traitant » a le sens prévu par les Lois sur la protection de la vie privée, dans la mesure où elles s’appliquent au présent Avenant relatif au traitement des données;
« Autorité de protection des données » désigne l’autorité de contrôle compétente à l’égard de l’une ou l’autre des parties et, le cas échéant, tout organisme qui lui succède;
« Personne concernée » a le sens prévu par les Lois sur la protection de la vie privée, dans la mesure où elles s’appliquent au présent Avenant relatif au traitement des données;
« Lois sur la protection de la vie privée » désigne l’ensemble des lois, règlements et lignes directrices applicables en matière de protection des données et de la vie privée qui régissent la protection des Renseignements personnels et des Renseignements personnels sensibles, notamment le règlement (UE) 2016/679 (le « Règlement général sur la protection des données » ou « RGPD »), le Data Protection Act 2018 et le RGPD tel qu’il a été maintenu dans le droit du Royaume-Uni en vertu de l’article 3 du European Union (Withdrawal) Act 2018 du Royaume-Uni (le « RGPD du Royaume-Uni »), le California Consumer Protection Act of 2018 (le « CCPA ») et le California Privacy Rights Act (le « CPRA »);
« Traiter », « Traitement » et « Traité » ont le sens prévu par les Lois sur la protection de la vie privée, dans la mesure où elles s’appliquent au présent Avenant relatif au traitement des données;
« Clauses contractuelles types de 2021 » désigne les clauses contractuelles types relatives au transfert de Renseignements personnels vers des pays tiers conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, approuvées par la décision d’exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021, ou toute décision de la Commission européenne modifiant ou remplaçant cette décision;
« Clauses contractuelles types » désigne, selon le cas, les Clauses contractuelles types de 2021 ou l’Avenant du Royaume-Uni relatif aux transferts internationaux de données; et
« Avenant du Royaume-Uni relatif aux transferts internationaux de données » désigne l’avenant relatif aux transferts internationaux de données complétant les Clauses contractuelles types de 2021, publié par l’Information Commissioner’s Office du Royaume-Uni.

1.3 Le terme « notamment » n’a pas de caractère limitatif et signifie « notamment, sans limitation ».

2. Protection des Renseignements personnels

2.1. Primauté. Le présent Avenant relatif au traitement des données prévaut sur toute disposition des Conditions générales incompatible avec celui-ci.

2.2. Responsable du traitement et Sous-traitant. Les Parties reconnaissent qu’en ce qui concerne le Traitement des Renseignements personnels du Client, le Client est le Responsable du traitement et Workleap est le Sous-traitant des Renseignements personnels du Client. Workleap traite les Renseignements personnels du Client conformément à l’Annexe 1 du présent Avenant relatif au traitement des données. En ce qui concerne les Renseignements sur le compte, le Client est un Responsable du traitement et Workleap est un Responsable du traitement indépendant (et non un Responsable conjoint du traitement avec le Client). Workleap traite les Renseignements sur le compte aux seules fins (i) de gérer la relation avec le Client, (ii) de mener ses activités commerciales principales, (iii) de mettre en œuvre des mesures de sécurité destinées à prévenir les accès non autorisés, la fraude ou l’utilisation abusive des Produits et/ou des Services, (iv) de respecter ses obligations légales et (v) de poursuivre toute autre fin licite autorisée par les Lois sur la protection de la vie privée, le présent Avenant relatif au traitement des données ou les Conditions générales.

2.3. Obligations du Client en qualité de Responsable du traitement. Le Client garantit que les Renseignements personnels du Client ont été obtenus de manière équitable et licite et, à tous égards, conformément aux Lois sur la protection de la vie privée.

2.4. Obligations de Workleap en qualité de Sous-traitant. Workleap doit :

2.4.1. traiter les Renseignements personnels du Client uniquement conformément à l’Annexe 1 du présent Avenant relatif au traitement des données et aux autres instructions documentées raisonnables que le Client transmet à Workleap de temps à autre (les « Instructions »), y compris en ce qui concerne les transferts des Renseignements personnels du Client vers un pays tiers, sauf lorsque :
- 2.4.1.1. ces Instructions sont illégales;
- 2.4.1.2. ces Instructions amèneraient Workleap à manquer à ses propres obligations découlant des Lois sur la protection de la vie privée, des Conditions générales ou de tout autre accord conclu avec un tiers;
- 2.4.1.3. ces Instructions priveraient les répondants aux sondages de leur droit de demeurer anonymes en vertu des Conditions spécifiques du produit Workleap Officevibe; ou
- 2.4.1.4. Workleap a l’obligation légale de traiter les Renseignements personnels du Client, auquel cas Workleap informe le Client de cette obligation légale, sauf dans la mesure où la loi le lui interdit.
2.4.2. informer le Client si, de l’opinion de Workleap, une Instruction reçue du Client enfreint les Lois sur la protection de la vie privée;
2.4.3. veiller à ce que tous les employés et membres du personnel de Workleap qui participent au Traitement des Renseignements personnels du Client se soient engagés à respecter la confidentialité ou soient soumis à une obligation légale de confidentialité;
2.4.4. ne donner à aucun nouveau tiers accès aux Renseignements personnels du Client et ne sous-traiter aucune de ses obligations prévues aux Conditions générales qui implique le Traitement des Renseignements personnels du Client sans donner au Client un préavis d’au moins trente (30) jours par courriel transmis aux adresses courriel du Client inscrites pour recevoir de tels avis au moyen du mécanisme offert sur la page mentionnée à l’Annexe 2. Le Client approuve par les présentes les tiers énumérés à l’Annexe 2 (les « Sous-traitants ultérieurs »), lesquels respectent les exigences des Lois sur la protection de la vie privée applicables au présent Avenant relatif au traitement des données en matière de transfert des Renseignements personnels du Client vers un pays tiers.
2.4.5. veiller à ce que tout contrat de sous-traitance conclu par Workleap (dans le cadre duquel un Sous-traitant ultérieur traite des Renseignements personnels du Client) contienne des dispositions conformes aux Lois sur la protection de la vie privée et, dans tous les cas, au moins aussi contraignantes que celles de l’article 2 du présent Avenant relatif au traitement des données. Si un Sous-traitant ultérieur manque à ses obligations en matière de protection des données prévues par les Lois sur la protection de la vie privée, Workleap demeure responsable envers le Client de l’exécution des obligations de ce Sous-traitant ultérieur;
2.4.6. mettre en œuvre et maintenir des mesures de sécurité techniques et organisationnelles appropriées pour protéger les Renseignements personnels du Client contre tout Traitement non autorisé ou illicite ainsi que contre leur perte, leur divulgation ou leur destruction accidentelle, ou les dommages qui pourraient leur être causés, compte tenu de l’état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du Traitement, comme il est décrit dans la Politique de confidentialité disponible à l’adresse https://workleap.com/trust-center/privacy, notamment :
- 2.4.6.1. l’anonymisation, la pseudonymisation et/ou le chiffrement des Renseignements personnels du Client;
- 2.4.6.2. la capacité de garantir la confidentialité, l’intégrité, la disponibilité et la résilience continues des systèmes et services de Traitement;
- 2.4.6.3. la capacité de rétablir la disponibilité des Renseignements personnels du Client et l’accès à ceux-ci dans un délai approprié en cas d’incident physique ou technique; et
- 2.4.6.4. une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles destinées à assurer la sécurité du Traitement.
2.4.7. compte tenu de la nature du Traitement, aider le Client, au moyen des mesures techniques et organisationnelles appropriées décrites plus en détail à l’Annexe 3, à respecter ses obligations prévues par les Lois sur la protection de la vie privée lorsqu’il répond aux demandes des Personnes concernées ou de l’Autorité de protection des données, dans la mesure du possible, étant entendu que Workleap préservera la confidentialité de l’anonymat des Renseignements personnels et ne les communiquera pas au Client;
2.4.8. aider le Client à respecter les obligations suivantes prévues par les Lois sur la protection de la vie privée, compte tenu de la nature du Traitement et des renseignements dont dispose Workleap, notamment :
- 2.4.8.1. la notification au Client et l’aide à lui apporter sans retard indu, conformément à l’article 12 de la Politique de confidentialité, ainsi que la notification à l’Autorité de protection des données et aux Personnes concernées d’un Incident relatif aux données, au sens de la Politique de confidentialité, touchant les Renseignements personnels du Client transmis, stockés ou autrement traités; et
- 2.4.8.2. les obligations du Client de réaliser des analyses d’impact relatives à la protection des données, ou toute évaluation similaire exigée par les Lois sur la protection de la vie privée, ainsi que toute consultation subséquente de l’Autorité de protection des données;
2.4.9. mettre à la disposition du Client ou d’un auditeur tiers indépendant mandaté par celui-ci (qui n’est pas un concurrent de Workleap), au plus une fois par année ou lorsqu’une atteinte aux Renseignements personnels du Client est raisonnablement soupçonnée, tous les renseignements raisonnables que Workleap juge nécessaires pour démontrer le respect des obligations qui lui incombent en vertu de l’article 2 du présent Avenant relatif au traitement des données, et permettre les audits, y compris les inspections, et y contribuer à la seule fin de démontrer ce respect;
2.4.10. à moins que la loi n’exige leur conservation, après la résiliation ou l’expiration des Conditions générales, quelle qu’en soit la raison, supprimer de façon sécurisée tous les Renseignements personnels du Client conformément à la politique de conservation de Workleap, ou sans délai à la demande du Client; et
2.4.11. respecter les dispositions pertinentes des Clauses contractuelles types de 2021 relatives aux transferts d’un Responsable du traitement à un Sous-traitant, lesquelles sont intégrées par renvoi au présent Avenant relatif au traitement des données et en font partie intégrante. À cette fin, les Parties conviennent de ce qui suit :
- 2.4.11.1. Le Client est l’exportateur de données et Workleap est l’importateur de données.
- 2.4.11.2. Le module deux des Clauses contractuelles types de 2021 s’applique lorsque le Client est un Responsable du traitement et Workleap, un Sous-traitant.
- 2.4.11.3. La clause 7 des Clauses contractuelles types de 2021 s’applique.
- 2.4.11.4. Aux fins de la clause 9, paragraphe a), des Clauses contractuelles types de 2021, l’option 2 s’applique, selon le délai indiqué à l’article 2.4.4 du présent Avenant.
- 2.4.11.5. Les Parties conviennent que, dans la mesure permise par les Lois sur la protection de la vie privée, toute réclamation directe présentée par une Partie en vertu des Clauses contractuelles types est assujettie à la limitation de responsabilité prévue dans les Conditions générales. Toutefois, aucune disposition du présent Avenant relatif au traitement des données ne limite ni n’exclut la responsabilité d’une Partie envers une Personne concernée en vertu des Clauses contractuelles types.
- 2.4.11.6. Aux fins de la clause 17 des Clauses contractuelles types de 2021, les Parties choisissent l’option 1 et le droit de la République d’Irlande.
- 2.4.11.7. Aux fins de la clause 18, paragraphe b), des Clauses contractuelles types de 2021, les Parties choisissent les tribunaux de la République d’Irlande.
- 2.4.11.8. L’appendice I des Clauses contractuelles types est réputé rempli au moyen des renseignements figurant à l’article 2 et à l’Annexe 1 du présent Avenant. L’appendice II est décrit à l’Annexe 3.
- 2.4.11.9. En cas de conflit entre les dispositions des Clauses contractuelles types et celles du présent Avenant relatif au traitement des données, les Clauses contractuelles types prévalent.
2.4.12. respecter l’Avenant du Royaume-Uni relatif aux transferts internationaux de données figurant à l’Annexe 4 du présent Avenant.
2.4.13. Dispositions supplémentaires applicables à la Californie. Dans la mesure où Workleap traite des Renseignements personnels de consommateurs assujettis au CCPA, au CPRA et aux règlements pris en application de ces lois, les Parties respectent toutes les dispositions applicables du CCPA, du CPRA et de ces règlements, dans leur version modifiée de temps à autre. Les Parties conviennent d’agir de bonne foi pour conclure un accord modifié afin de tenir compte de toute telle modification et d’assurer le respect continu des lois californiennes. Workleap ne doit pas (a) conserver, utiliser ou divulguer ces Renseignements personnels à des fins autres que celles expressément décrites dans les Conditions générales ou le présent Avenant relatif au traitement des données, ou autrement autorisées par le CCPA, le CPRA ou les règlements applicables; (b) conserver, utiliser ou divulguer ces Renseignements personnels à des fins commerciales autres que celles expressément décrites dans les Conditions générales ou le présent Avenant relatif au traitement des données; ni (c) « vendre » ou « partager » ces Renseignements personnels, les termes « vendre » et « partager » ayant le sens qui leur est attribué dans le CCPA, le CPRA ou les règlements applicables.

ANNEXE 1 : Description du Traitement des Renseignements personnels du Client

Workleap traite les Renseignements personnels du Client conformément à la description ci-dessous.

1) Catégories de Personnes concernées dont les Renseignements personnels sont traités

Tous les Utilisateurs, au sens des Conditions générales et des Conditions particulières applicables aux Produits, notamment les employés, propriétaires, investisseurs, fournisseurs, partenaires, consultants, clients, clients potentiels, mandataires, conseillers et autres contacts du Client.

2) Catégories de Renseignements personnels traités

Workleap traite plusieurs catégories de Renseignements personnels du Client, notamment :

Les identifiants des Utilisateurs (y compris l’adresse courriel et les empreintes de mots de passe);
Les données de profil des Utilisateurs (y compris le nom, les coordonnées comme l’adresse courriel ou le numéro de téléphone, le titre de poste, la photo de profil, le fuseau horaire et la langue de préférence);
Les réponses aux sondages, les commentaires et la rétroaction (qui peuvent contenir des Renseignements personnels selon la nature des questions et des invites utilisées pour les recueillir, comme les sentiments de l’Utilisateur à l’égard de son milieu de travail, les renseignements sur sa mobilisation et ses préférences dans le contexte de son expérience employé, etc.);
Les propriétés des Utilisateurs (qui peuvent contenir des Renseignements personnels sociodémographiques, comme l’âge, le genre et le salaire, que l’administrateur du compte du Client peut personnaliser et que le Client recueille à sa discrétion);
D’autres catégories de Renseignements personnels propres à la nature des Produits de Workleap (qui peuvent comprendre les antécédents professionnels d’un candidat, l’horaire de travail d’un Utilisateur, ses compétences, son inscription à des cours et sa progression, son rendement, y compris la rétroaction de ses pairs, les évaluations de ses gestionnaires et ses cotes de rendement, les données relatives à sa vie professionnelle ou personnelle, sa rémunération et ses responsabilités, etc.).

3) Renseignements personnels sensibles traités

Workleap ne traite pas intentionnellement de Renseignements personnels sensibles au moyen des Produits et/ou des Services. Il incombe au Client de veiller à ne pas recueillir de Renseignements personnels sensibles, notamment en créant des propriétés d’Utilisateur dans le but de recueillir des catégories de Renseignements personnels sensibles. Toute collecte de Renseignements personnels sensibles par Workleap au moyen de champs de texte libre ou d’autres données saisies par les Utilisateurs est accessoire et indépendante de la volonté de Workleap.

4) Fréquence du Traitement et du transfert

Le Traitement et le transfert des Renseignements personnels du Client sont continus.

5) Nature du Traitement

Workleap traite les Renseignements personnels du Client dans le cadre de la fourniture des Produits et/ou des Services, conformément aux Conditions générales et aux documents complémentaires décrivant plus en détail la nature et les fonctionnalités de ces Produits et/ou Services. Sans limiter la portée de ce qui précède, le Traitement peut comprendre la manipulation, la consultation, la visualisation, le stockage, la transmission et toute autre mise à disposition des Renseignements personnels du Client, notamment par des moyens automatisés.

6) Finalités du Traitement et du Traitement ultérieur

Workleap traite les Renseignements personnels du Client conformément aux instructions licites documentées de celui-ci, lesquelles sont réputées comprendre toute activité de Traitement nécessaire pour :

fournir, maintenir et améliorer les Produits et/ou les Services conformément aux Conditions générales;
prévenir et résoudre les problèmes de service, de sécurité, de soutien ou les problèmes techniques liés aux Produits et/ou aux Services;
assurer, le cas échéant, l’intégration et la synchronisation des Produits avec les systèmes externes du Client, comme les systèmes d’information sur les ressources humaines et les systèmes de collaboration d’équipe.

Workleap traite également les Renseignements personnels du Client pour respecter ses obligations légales.

7) Durée de conservation

Les Renseignements personnels du Client ne sont conservés et traités que pendant la durée nécessaire aux finalités décrites au paragraphe 6 ci-dessus, conformément à l’article 10 de la Politique de confidentialité de Workleap, disponible à l’adresse https://workleap.com/trust-center/privacy/.

8) Transferts aux Sous-traitants ultérieurs

Workleap peut transférer les Renseignements personnels du Client à ses Sous-traitants ultérieurs (énumérés à l’Annexe 2) conformément à l’article 2.4 (Obligations de Workleap en qualité de Sous-traitant) ou autrement selon ce qui est permis par les Conditions générales.

ANNEXE 2 : Sous-traitants ultérieurs de Workleap

Une liste à jour des Sous-traitants ultérieurs de Workleap, ainsi que le mécanisme permettant de s’inscrire pour recevoir les avis relatifs aux nouveaux Sous-traitants ultérieurs, sont disponibles à l’adresse : https://workleap.com/trust-center/workleap-sub-processors/.

ANNEXE 3 : Description générale des mesures de sécurité techniques et organisationnelles en place

Les termes commençant par une majuscule qui ne sont pas définis aux présentes ont le sens qui leur est attribué dans les Conditions générales.

Workleap a mis en œuvre et maintient les mesures de sécurité techniques et organisationnelles suivantes :

1. Mesures de pseudonymisation et de chiffrement des données personnelles

Workleap a pour politique de pseudonymiser les Renseignements personnels du Client dans la mesure du possible.

Dans certains cas, Workleap ne peut toutefois pas pseudonymiser certaines catégories de Renseignements personnels du Client. Par exemple, les données relatives aux « attributs des Utilisateurs » dans notre base de données ne peuvent pas être pseudonymisées, car cela empêcherait les administrateurs de consulter, d’ajouter ou de modifier les attributs des Utilisateurs qui leur sont associés.

Les données sont chiffrées en transit au moyen du protocole HTTP sur TLS. Les certificats sont de 2 048 bits et les clés privées sont conservées dans un coffre-fort numérique réservé à cette fin. Les algorithmes de chiffrement faibles sont désactivés.

Les données sont également chiffrées au repos par Workleap et les Sous-traitants ultérieurs.

Les clés de chiffrement sont gérées par un nombre limité d’employés et sécurisées dans un coffre-fort numérique, avec rotation régulière.

2. Mesures visant à assurer la confidentialité, l’intégrité, la disponibilité et la résilience continues des systèmes et services de Traitement

Confidentialité

Workleap a mis en place des mesures visant à empêcher toute personne d’accéder aux Renseignements personnels du Client sans autorisation. Ces mesures comprennent notamment :

Workleap gère les accès aux Renseignements personnels du Client selon un modèle de contrôle d’accès fondé sur les rôles (RBAC), suivant les principes de nécessité d’accès et du moindre privilège.
Workleap dispose d’un processus d’authentification sécurisé.
Tous les employés de Workleap font l’objet d’une vérification des antécédents judiciaires afin de vérifier qu’ils n’ont pas été reconnus coupables d’une infraction liée à leur emploi.
La base de données interne de Workleap est hébergée dans un centre de données Microsoft Azure. Microsoft Inc. se conforme à des normes de sécurité mondiales comme ISO 27001, FedRAMP, SOC 1 et SOC 2.
Workleap a mis en place des mesures de sécurité physique dans ses bureaux (notamment un agent de sécurité à l’entrée de l’immeuble, un système d’alarme et l’enregistrement des visiteurs).
Tous les employés de Workleap et les Sous-traitants ultérieurs ont signé un accord de confidentialité.
Les données sont chiffrées en transit au moyen du protocole HTTP sur SSL. Les certificats sont de 2 048 bits et les clés privées sont conservées dans un coffre-fort numérique réservé à cette fin. Les algorithmes de chiffrement faibles sont désactivés. Les données sont également chiffrées au repos. Les clés de chiffrement sont gérées par un nombre limité d’employés et sécurisées dans un coffre-fort numérique, avec rotation régulière.
Des informations sur les cyberattaques en cours sont envoyées régulièrement aux employés de Workleap afin de les sensibiliser.

Workleap dispose d’une documentation relative à la continuité des activités et à la reprise après sinistre. Des exercices de simulation sont réalisés au moins une fois par année.

Intégrité

Workleap a mis en place des mesures visant à préserver l’intégrité des données. Ces mesures comprennent notamment :

Le droit de modifier ou de supprimer les données des clients (y compris les Renseignements personnels du Client) est réservé à un groupe restreint de personnes selon leurs besoins.
- Les employés des équipes de réussite client et de soutien technique sont autorisés à modifier et à supprimer les données des clients dans la base de données de Workleap. Toute modification ou suppression effectuée par ces employés est consignée dans un journal d’audit. Workleap réexamine les accès tous les deux mois et chaque fois qu’une équipe change.
- Un groupe de quatre employés clés dispose d’un accès illimité à la base de données de Workleap.
- Une politique limitant les modifications et les suppressions possibles dans la base de données de Workleap est en place.

Workleap conserve des copies de sauvegarde de sa base de données conformément à sa politique de conservation. Les copies de sauvegarde sont vérifiées quotidiennement et des tests sont effectués tous les trois mois pour atteindre ses objectifs de point de reprise (RPO) et de temps de reprise (RTO).

Disponibilité

Workleap a mis en place des mesures visant à assurer la disponibilité des Renseignements personnels du Client et leur utilisation adéquate dans le cadre du Traitement prévu. Ces mesures comprennent notamment :

Workleap conserve des copies de sauvegarde de sa base de données conformément à sa politique de conservation. Les copies de sauvegarde sont vérifiées quotidiennement et des tests sont effectués tous les trois mois pour atteindre ses objectifs de point de reprise (RPO) et de temps de reprise (RTO).
L’infrastructure et le schéma de la base de données de Workleap sont conçus à partir de scripts conservés dans son système de gestion du code source. Workleap peut donc déployer dynamiquement l’ensemble de l’infrastructure en quelques heures.
Workleap a mis en œuvre Azure Security Center pour prévenir les logiciels malveillants dans l’environnement d’hébergement ainsi qu’une solution centralisée de protection contre les logiciels malveillants dans ses bureaux, assortie d’analyses complètes périodiques et intégrée au pare-feu.
Workleap est en train d’adopter et de mettre en œuvre un plan de reprise après sinistre. Workleap vise à rendre ce plan pleinement opérationnel dès que possible.

Résilience

Workleap a mis en place des mesures visant à assurer la résilience des Produits. Ces mesures comprennent :

L’infrastructure de Workleap peut s’adapter automatiquement à la charge.
L’infrastructure de Workleap est redondante dans un même centre de données.
Le serveur de base de données de Workleap est redondant dans un même centre de données.

3. Mesures visant à rétablir en temps opportun la disponibilité des données personnelles et l’accès à celles-ci en cas d’incident physique ou technique

Lorsque les causes d’une interruption de service relèvent de Workleap, son objectif de temps de reprise (RTO) est d’environ 8 heures ou moins.

Voir les mesures décrites à la section 2 ci-dessus sous « Disponibilité ».

4. Procédures visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles destinées à assurer la sécurité du Traitement

Contrôle des accès : Workleap réexamine régulièrement les accès et chaque fois qu’une équipe change.

Évaluation des vulnérabilités : Des tests externes sont réalisés en continu dans le cadre d’un programme privé de primes à la découverte de failles.

Évaluation de la sécurité : Workleap utilise plusieurs tableaux de bord pour évaluer sa sécurité.

Centralisation des journaux : Workleap utilise un système de gestion des informations et des événements de sécurité (SIEM) pour regrouper ses journaux.

5. Mesures d’identification et d’autorisation des Utilisateurs

Workleap gère les accès aux Renseignements personnels du Client selon un modèle de contrôle d’accès fondé sur les rôles (RBAC), suivant les principes de nécessité d’accès et du moindre privilège.

Workleap dispose d’un processus d’authentification sécurisé.

6. Mesures de protection des données pendant leur transmission

Voir la section 2 ci-dessus sous « Confidentialité ».

7. Mesures de protection des données pendant leur stockage

Voir la section 2 ci-dessus sous « Confidentialité ».

8. Mesures visant à assurer la sécurité physique des lieux où les données personnelles sont traitées

Voir la section 2 ci-dessus sous « Confidentialité ».

9. Mesures de journalisation des événements

Voir la section 2 ci-dessus sous « Intégrité », ainsi que la section 4.

10. Mesures de configuration des systèmes, y compris la configuration par défaut

Une procédure officielle de gestion des changements régit les modifications apportées à l’application, aux données et à l’infrastructure sous-jacente. Les changements sont gérés selon leur incidence et suivent la méthode du cycle de vie du développement logiciel (SDLC) ou une procédure accélérée.

Workleap s’appuie également sur sa Politique de gestion des accès et sa Politique de gestion des changements.

11. Mesures de gouvernance et de gestion internes des technologies de l’information et de leur sécurité

Workleap s’appuie sur un vaste Programme de sécurité comprenant notamment :
- Une Politique de sécurité de l’information;
- Une Politique de gestion des accès;
- Une Politique de gestion des incidents de sécurité;
- Une Politique de protection des Renseignements personnels;
- Une Politique de sécurité opérationnelle; et
- Une Politique de gestion des changements.

12. Mesures de certification et d’assurance des processus et des produits

Les processus de sécurité de Workleap font l’objet d’un audit annuel selon le référentiel SOC 2.

13. Mesures visant à réduire au minimum les données recueillies

L’utilisation et la collecte des données sont régies par la Politique de confidentialité et la Politique d’utilisation des données de Workleap.

L’accès aux données n’est possible que conformément au principe du « moindre privilège ».

La politique de conservation des données ainsi que les processus d’anonymisation et de pseudonymisation de Workleap font en sorte que les données ne soient conservées que pendant la durée nécessaire à la fourniture des services sous-jacents.

14. Mesures visant à assurer la qualité des données

Voir la section 2 ci-dessus.

15. Mesures visant à limiter la durée de conservation des données

Voir la section 13 ci-dessus.

16. Mesures visant à assurer la responsabilisation

Les politiques de sécurité de Workleap relèvent de son directeur de la sécurité et de son délégué à la protection des données.

Le Programme de sécurité de Workleap attribue clairement les rôles et les responsabilités au sein de l’organisation, lesquels font régulièrement l’objet d’audits selon le référentiel SOC 2.

17. Mesures permettant la portabilité et l’effacement des données

Conformément à sa Politique de confidentialité, Workleap a mis en place un processus permettant aux Personnes concernées d’exercer leurs droits relatifs à la protection de la vie privée, notamment de demander à Workleap d’effacer ou de modifier leurs données personnelles. Workleap dispose de processus permettant de fournir aux Personnes concernées une copie de leurs données personnelles sur demande.

Les Renseignements personnels sont stockés conformément à la Politique de protection des Renseignements personnels et aux processus de conservation des données de Workleap. Les copies archivées de données personnelles sont supprimées de façon sécurisée conformément aux calendriers de conservation applicables.

ANNEXE 4 : Avenant du Royaume-Uni relatif aux transferts internationaux de données

Objet. La présente Annexe complète l’Avenant relatif au traitement des données intégré par renvoi aux Conditions générales afin de régir les transferts internationaux de Renseignements personnels hors du Royaume-Uni. En signant les Conditions générales, les Parties acceptent les modalités de la présente Annexe.

PARTIE 1 : Tableaux

Le tableau 1 est rempli à l’aide des renseignements sur les Parties figurant dans les Conditions générales.

TABLEAU 2 - Clauses contractuelles types sélectionnées
Clauses contractuelles types de l’UE auxquelles l’Avenant s’ajoute	Les Clauses contractuelles types de 2021, y compris les renseignements des appendices indiqués à l’article 2.4.11 de l’Avenant relatif au traitement des données.

‍

TABLEAU 3 - Renseignements des appendices

Les « Renseignements des appendices » désignent les renseignements qui doivent être fournis pour les modules sélectionnés conformément à l’appendice des Clauses contractuelles types de 2021 (à l’exclusion des Parties) et qui, pour le présent Avenant, figurent dans :

Annexe IA	Liste des Parties : Comme il est indiqué à l’article 2.2 de l’Avenant relatif au traitement des données.
Annexe IB	Description du transfert : Comme il est indiqué à l’Annexe 1 de l’Avenant relatif au traitement des données.
Annexe II	Mesures techniques et organisationnelles, y compris celles visant à assurer la sécurité des données : Comme il est indiqué à l’Annexe 3 de l’Avenant relatif au traitement des données.
Annexe III	Liste des Sous-traitants ultérieurs : Comme il est indiqué à l’Annexe 2 de l’Avenant relatif au traitement des données.

‍

TABLEAU 4 - Fin du présent Avenant
Fin du présent Avenant lorsque l’Avenant approuvé change	Parties pouvant mettre fin au présent Avenant : L’Exportateur et l’Importateur

PARTIE 2 : Clauses obligatoires

Clauses obligatoires intégrées par le présent renvoi exprès : https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf

Les Clauses obligatoires de l’Avenant approuvé sont intégrées par renvoi. Il s’agit du modèle d’avenant B.1.0 publié par l’ICO, présenté au Parlement conformément à l’article 119A du Data Protection Act 2018 le 2 février 2022 et approuvé le 21 mars 2022, tel qu’il peut être modifié de temps à autre conformément à l’article 18 de ces Clauses obligatoires.

‍