# Annexe RGPD aux Conditions générales de Kroneo Traitement de données personnelles pour le compte du Client — article 28 du règlement (UE) 2016/679 (RGPD) — version du 3 octobre 2026 (dpa-2026-10-03) ## 1. Parties et objet La présente annexe fait partie intégrante des Conditions générales applicables au service Kroneo entre l'entreprise cliente (le « Responsable de traitement ») et Kroneo Studio, éditeur du service, identifié dans les mentions légales de kroneo.fr (le « Sous-traitant »). Elle ne constitue ni un abonnement ni un contrat commercial supplémentaire. Elle fixe les conditions dans lesquelles le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement dans le cadre du service Kroneo. ## 2. Description du traitement - Nature et finalités : fourniture du service Kroneo — planification des équipes, suivi des heures, des absences et du pointage, gestion du personnel, facturation, recrutement (CVthèque), assistant d'intelligence artificielle et notifications. - Personnes concernées : salariés, intérimaires et collaborateurs du Responsable de traitement, candidats, contacts de ses clients et fournisseurs, utilisateurs du service. - Données : identité et coordonnées professionnelles, données contractuelles (type de contrat, dates, coût horaire), plannings, horaires, pointages, absences et leur type, compétences et habilitations, données de candidature, journaux techniques. - Le Responsable de traitement ne saisit pas de données de santé détaillées : le type d'absence suffit, jamais le diagnostic. - Durée : celle de l'abonnement au service, puis la période de restitution prévue à l'article 10. ## 3. Instructions du Responsable de traitement Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement. Ces instructions sont constituées des Conditions générales, de la présente annexe et des réglages effectués dans le service, y compris l'activation ou non du mode souverain de l'assistant. Si une instruction lui paraît contraire au RGPD, le Sous-traitant en informe immédiatement le Responsable de traitement. ## 4. Confidentialité Les personnes autorisées à traiter les données s'engagent à la confidentialité ou sont soumises à une obligation légale de confidentialité. ## 5. Sécurité Le Sous-traitant met en œuvre les mesures prévues à l'article 32 du RGPD, notamment : chiffrement des échanges (HTTPS) ; chiffrement des données au repos par l'hébergeur ; authentification des utilisateurs ; cloisonnement des données de chaque entreprise par des règles d'accès testées ; droits d'accès par rôle ; journal d'audit des opérations ; exécution par défaut des fonctions d'intelligence artificielle dans le navigateur de l'utilisateur. ## 6. Sous-traitants ultérieurs Le Responsable de traitement autorise de manière générale le Sous-traitant à recourir aux sous-traitants ultérieurs suivants : - Google (Google Cloud, Firebase) : hébergement, base de données, authentification et services de calcul de Kroneo. Données stockées dans l'Union européenne (base de données : multi-région Europe ; services : région Paris). - Resend : envoi des e-mails transactionnels (invitations, notifications). Traitement aux États-Unis. Le fournisseur d'intelligence artificielle que le Responsable de traitement connecte lui-même au service avec sa propre clé API (par exemple Anthropic pour le repli cloud de l'assistant, ou le fournisseur choisi pour la CVthèque) n'est pas un sous-traitant ultérieur : le Responsable de traitement contracte directement avec lui, et les données lui sont transmises sur son instruction et sous sa responsabilité. Pour l'assistant, sont transmis, directement depuis le navigateur de l'utilisateur, le texte de la demande et, lorsque la réponse l'exige, les données du service strictement nécessaires pour y répondre, dans la limite des droits de l'utilisateur (par exemple les horaires d'une semaine, les absences en attente ou les factures impayées). Le mode souverain interdit à l'assistant d'utiliser cette clé : tout traitement reste alors dans le navigateur. Le Responsable de traitement peut aussi brancher le service, comme connecteur, sur l'assistant d'intelligence artificielle de son choix utilisé sous son propre abonnement (par exemple Claude). Chaque utilisateur autorise lui-même cet accès depuis le service et peut le révoquer à tout moment ; l'assistant n'accède qu'aux données que les droits de cet utilisateur lui ouvrent, et toute écriture est soumise à l'accord explicite de l'utilisateur. Les données consultées sont alors transmises par le Sous-traitant à ce fournisseur, à la demande de l'utilisateur ; ce fournisseur n'est pas un sous-traitant ultérieur du Sous-traitant, le Responsable de traitement contractant directement avec lui. Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement de sous-traitant ultérieur au moins quinze jours à l'avance, par une notification dans le service et par e-mail. Le Responsable de traitement peut s'y opposer ; à défaut d'accord, il peut résilier son abonnement. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord et reste responsable envers le Responsable de traitement de leur exécution. ## 7. Transferts hors de l'Union européenne Les transferts vers les États-Unis sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914), intégrées aux conditions des prestataires concernés. ## 8. Droits des personnes concernées Le Sous-traitant aide le Responsable de traitement à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition : les données sont consultables, modifiables, exportables et supprimables depuis le service. Une demande reçue directement par le Sous-traitant est transmise sans délai au Responsable de traitement. Il l'aide également, compte tenu de la nature du traitement et des informations dont il dispose, à respecter ses obligations de sécurité, de notification des violations, d'analyse d'impact et de consultation préalable (articles 32 à 36 du RGPD). ## 9. Violation de données Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou envisagées. ## 10. Fin du contrat À la résiliation d'un abonnement payant, le Responsable de traitement dispose de 30 jours pour exporter ses données depuis le service, y compris lorsque l'accès est suspendu faute d'abonnement. Le Sous-traitant supprime ensuite les données personnelles et leurs copies, sauf obligation légale de conservation ; un rappel est envoyé par e-mail au moins 7 jours avant la suppression. Une nouvelle souscription avant cette date l'annule. À l'expiration d'une période d'essai sans souscription, les données sont conservées pour permettre une souscription ultérieure. Le Responsable de traitement peut en demander la suppression à tout moment à support@kroneo.fr. ## 11. Documentation et audit Le Sous-traitant met à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations, et permet la réalisation d'audits, y compris d'inspections, par le Responsable de traitement ou un auditeur qu'il mandate, moyennant un préavis raisonnable. ## 12. Intégration contractuelle et acceptation La présente annexe est acceptée avec les Conditions générales ou validée depuis le service par une personne habilitée à engager le Responsable de traitement. Cette validation ne forme pas un contrat autonome : elle atteste l'acceptation de l'annexe aux Conditions générales. Elle est horodatée et conservée avec la version et l'empreinte du texte accepté. Contact : support@kroneo.fr.