PulseDesk
Mentions juridiques et politiques

Accord de traitement des données

Dernière mise à jour: 24 octobre 2026

Cette traduction vous est fournie pour plus de commodité. En cas de divergence, la version anglaise prévaut. English

Le présent accord de traitement des données (l’« Accord ») fait partie intégrante des Conditions d’utilisation conclues entre le client qui utilise PulseDesk (le « Client », responsable du traitement) et Londonist Yazılım ve Teknolojileri A.Ş. (« PulseDesk », sous-traitant). Il s’applique chaque fois que PulseDesk traite des données personnelles pour le compte du Client par le biais du service PulseDesk. Il prend effet lorsque le Client accepte les Conditions et ne nécessite aucune signature distincte ; un exemplaire contresigné est disponible sur demande.

1. Définitions

  • Les Lois sur la protection des données désignent l’ensemble des lois relatives aux données personnelles applicables au traitement, notamment le règlement général sur la protection des données de l’UE 2016/679 (« RGPD »), le UK GDPR et le Data Protection Act 2018 du Royaume-Uni, la loi turque n° 6698 sur la protection des données personnelles (« KVKK »), le Digital Personal Data Protection Act 2023 indien et les autres lois nationales.
  • Les Données personnelles du Client désignent les données personnelles traitées par PulseDesk pour le compte du Client dans le cadre de la fourniture du service.
  • Un Sous-traitant ultérieur désigne un tiers auquel PulseDesk fait appel pour traiter des Données personnelles du Client.
  • Une Violation de données personnelles désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données personnelles du Client, ou l’accès non autorisé à celles-ci.
  • Les termes tels que « responsable du traitement », « sous-traitant », « personne concernée » et « traitement » ont le sens qui leur est donné dans le RGPD (et les termes équivalents dans les autres Lois sur la protection des données, tels que « data controller » et « data processor » dans la KVKK).

2. Rôles et champ d’application

  • Le Client est le responsable du traitement et PulseDesk est le sous-traitant des Données personnelles du Client. Lorsque le Client agit lui-même en tant que sous-traitant pour le compte d’un autre responsable du traitement, PulseDesk est son sous-traitant ultérieur et le Client demeure responsable envers ce responsable du traitement.
  • L’objet, la nature, la finalité et la durée du traitement, les types de données personnelles et les catégories de personnes concernées sont décrits à l’Annexe 1.

3. Instructions du Client

  • PulseDesk ne traite les Données personnelles du Client que sur instruction documentée du Client. Les Conditions, le présent Accord ainsi que la configuration et l’utilisation du service par le Client (par exemple les fonctionnalités qu’il active, ses paramètres de conservation et les autorisations qu’il accorde) constituent l’intégralité des instructions du Client.
  • PulseDesk informera le Client si, selon elle, une instruction constitue une violation des Lois sur la protection des données, et pourra suspendre l’exécution de cette instruction jusqu’à ce qu’elle soit confirmée ou modifiée.
  • Si la loi impose à PulseDesk de traiter les Données personnelles du Client d’une autre manière, PulseDesk en informera préalablement le Client, sauf si la loi l’interdit.

4. Obligations du Client

Le Client est responsable de la licéité du traitement qu’il ordonne. En particulier, le Client garantit :

  • qu’il dispose d’une base légale valable pour surveiller ses salariés et autres utilisateurs et traiter leurs données, et qu’il a réalisé toute analyse d’impact relative à la protection des données requise ;
  • qu’il a informé les personnes concernées de manière claire et préalable – dans sa propre politique de confidentialité – des données collectées au moyen de PulseDesk, des finalités, des durées de conservation et des personnes y ayant accès, et qu’il a obtenu tout consentement ou toute approbation des représentants du personnel nécessaire ;
  • qu’il n’utilise le service que sur des appareils dont il est propriétaire ou qu’il est en droit de gérer, et ne l’utilise pas à des fins de surveillance dissimulée, conformément à la politique d’utilisation acceptable ;
  • qu’il configure le service de manière proportionnée (par exemple pour les captures d’écran, la localisation et les enregistrements de réunions) et maintient des paramètres d’autorisation appropriés ;
  • qu’il procède à son enregistrement auprès des autorités de contrôle ou à leur notification lorsque sa législation locale l’exige (par exemple l’enregistrement au VERBİS en vertu de la KVKK).

5. Obligations de PulseDesk

PulseDesk s’engage à :

  • ne traiter les Données personnelles du Client qu’aux fins énoncées à l’Annexe 1, et jamais pour ses propres activités de marketing, de publicité ou de profilage, et à ne pas les vendre ;
  • veiller à ce que les membres de son personnel ayant accès aux Données personnelles du Client soient tenus à une obligation de confidentialité et n’y accèdent que lorsque cela est nécessaire pour fournir ou assister le service ;
  • mettre en œuvre et maintenir les mesures techniques et organisationnelles décrites à l’Annexe 2, qui peuvent être mises à jour à condition que le niveau global de protection ne soit pas réduit ;
  • aider le Client, compte tenu de la nature du traitement, en ce qui concerne les demandes des personnes concernées, la sécurité, les notifications de violations, les analyses d’impact relatives à la protection des données et les consultations préalables des autorités de contrôle.

6. Demandes des personnes concernées

Le service permet au Client de consulter, d’exporter et de supprimer les données de ses utilisateurs. Si PulseDesk reçoit directement d’une personne concernée une demande relative aux Données personnelles du Client, elle la transmettra au Client dans les meilleurs délais et n’y répondra pas elle-même, si ce n’est pour confirmer que la demande a été transmise, sauf autorisation contraire du Client.

7. Sous-traitants ultérieurs

  • Le Client accorde à PulseDesk une autorisation générale de faire appel à des Sous-traitants ultérieurs. La liste actuelle est publiée sur notre page Sous-traitants ultérieurs.
  • PulseDesk imposera à chaque Sous-traitant ultérieur des obligations en matière de protection des données offrant un niveau de protection au moins équivalent à celui du présent Accord, et demeure responsable de leur exécution.
  • PulseDesk informera le Client de tout nouveau Sous-traitant ultérieur au moins 30 jours à l’avance, en mettant à jour la liste et en avertissant les propriétaires d’organisation. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données dans un délai de 15 jours à compter de cette notification. Les parties examineront l’objection de bonne foi ; si elle ne peut être résolue, le Client peut résilier la partie concernée du service sans pénalité et obtenir le remboursement des frais payés d’avance pour la période restante.

8. Transferts internationaux

Les Données personnelles du Client sont hébergées au Royaume-Uni. PulseDesk et ses Sous-traitants ultérieurs peuvent les traiter dans d’autres pays mentionnés sur la page Sous-traitants ultérieurs. Pour tout transfert nécessitant des garanties en vertu des Lois sur la protection des données, PulseDesk mettra en place un mécanisme de transfert approprié, tel que les clauses contractuelles types de l’UE (module deux ou trois selon le cas), l’avenant britannique relatif aux transferts internationaux de données (UK International Data Transfer Addendum) et, pour les transferts soumis à la KVKK, les contrats types et la notification exigés par l’article 9 de la KVKK, accompagnés de mesures supplémentaires si nécessaire.

9. Violations de données personnelles

PulseDesk notifiera au Client dans les meilleurs délais et en tout état de cause dans les 48 heures après en avoir pris connaissance toute Violation de données personnelles affectant les Données personnelles du Client. La notification décrira, dans la mesure où ces éléments sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Les informations peuvent être communiquées de manière échelonnée. PulseDesk prendra des mesures raisonnables pour contenir la violation et y remédier. Il incombe au Client de notifier les autorités de contrôle et les personnes concernées lorsque cela est requis (par exemple dans les 72 heures en vertu du RGPD et de la KVKK). Une notification ne vaut pas reconnaissance de responsabilité.

10. Audits

PulseDesk mettra à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect du présent Accord, y compris les réponses aux questionnaires de sécurité. Si cela n’est pas suffisant, ou si une autorité de contrôle l’exige, le Client peut auditer la conformité de PulseDesk une fois par période de 12 mois, moyennant un préavis écrit d’au moins 30 jours, pendant les heures ouvrées habituelles, à ses frais et sous réserve d’une confidentialité appropriée, soit lui-même, soit par l’intermédiaire d’un auditeur indépendant qui n’est pas un concurrent de PulseDesk. Les audits ne doivent pas compromettre la sécurité des données des autres clients.

11. Restitution et suppression

Pendant la durée de l’abonnement, le Client peut exporter et supprimer les Données personnelles du Client au moyen du service. Après la fin du contrat, le Client dispose de 30 jours pour exporter ses données. PulseDesk supprimera ensuite les Données personnelles du Client de ses systèmes de production dans un délai supplémentaire de 30 jours et de ses sauvegardes dans un délai de 90 jours, sauf si la loi impose leur conservation, auquel cas PulseDesk en préservera la confidentialité et ne les traitera qu’à cette seule fin.

12. Responsabilité et durée

Les limitations de responsabilité prévues dans les Conditions s’appliquent au présent Accord, sauf lorsque les Lois sur la protection des données ne le permettent pas. Le présent Accord demeure en vigueur aussi longtemps que PulseDesk traite des Données personnelles du Client. En cas de contradiction entre le présent Accord et les Conditions, le présent Accord prévaut pour les questions relatives à la protection des données. Il est régi par le même droit et relève de la même juridiction que les Conditions, sauf lorsque les Lois sur la protection des données ou les clauses de transfert en disposent autrement.

Annexe 1 – Description du traitement

Finalité : fourniture du service PulseDesk au Client : suivi automatique du temps et de l’activité, analyses de productivité et de présence, captures d’écran (si activées), temps hors ligne, projets, horaires de travail et planning, gestion des congés et absences, jours fériés, messagerie, appels et réunions (y compris enregistrements, transcriptions et comptes rendus par IA s’ils sont utilisés), documents et Drive, annonces, rapports, notifications, l’assistante IA Lucy, assistance et sécurité.

Nature du traitement : collecte au moyen de l’application de bureau et du tableau de bord, conservation, organisation, analyse, affichage aux utilisateurs autorisés, transmission, export et suppression.

Durée : pendant la durée de l’abonnement et jusqu’à la suppression conformément à l’article 11.

Personnes concernées : les salariés, prestataires, responsables et administrateurs du Client qui utilisent PulseDesk ; les invités aux réunions conviés par les utilisateurs ; les personnes mentionnées dans les contenus que le Client téléverse.

Catégories de données personnelles :

  • Données d’identité et de contact : nom, e-mail professionnel, téléphone, intitulé de poste, service, responsable, photo de profil, langue et fuseau horaire ;
  • Données de compte : empreinte du mot de passe, rôles et autorisations, informations de connexion et d’appareil, version de l’application de bureau ;
  • Données d’activité professionnelle : heures de travail, arrivée et départ, applications actives et titres de fenêtres, adresses de sites web, temps d’inactivité, d’absence et temps privé, saisies de temps hors ligne, classifications de productivité ;
  • Captures d’écran, si le Client les active ;
  • Localisation approximative (basée sur l’adresse IP ou localisation de l’appareil), si le Client l’active ;
  • Données de planification : horaires de travail, planning, demandes et soldes de congés, jours fériés et motifs d’absence ;
  • Données du personnel que le Client choisit d’enregistrer, telles que la date d’entrée, la date de naissance, le pays de travail, le taux horaire et des documents ;
  • Données de communication : messages et fichiers de la messagerie, historique des appels et réunions, enregistrements, transcriptions et comptes rendus, annonces ;
  • Données de l’assistante : questions posées à Lucy et réponses produites ;
  • Données techniques : adresses IP, journaux et événements d’altération de l’application de bureau.

Catégories particulières : PulseDesk n’est pas conçu pour traiter des catégories particulières de données personnelles. Toutefois, les motifs d’absence, les documents du personnel ou les messages saisis par le Client peuvent contenir de telles données (par exemple des informations de santé liées à un arrêt maladie). Le Client décide s’il enregistre de telles données et est responsable de disposer d’une base légale.

Annexe 2 – Mesures techniques et organisationnelles

  • Chiffrement en transit : toutes les connexions au tableau de bord, à l’API et à l’application de bureau utilisent HTTPS/TLS.
  • Contrôle d’accès : autorisations fondées sur les rôles, appliquées côté serveur pour chaque requête ; cloisonnement strict des données de chaque client ; vues sensibles (captures d’écran, dossiers du personnel, localisation) réservées aux rôles autorisés.
  • Authentification : mots de passe stockés au moyen d’un algorithme de hachage irréversible robuste ; jetons de session signés à durée limitée ; codes de transfert à usage unique pour l’application de bureau.
  • Fichiers protégés : les captures d’écran et autres fichiers sensibles ne sont pas accessibles publiquement et sont servis via des liens signés de courte durée ; les captures d’écran sont supprimées selon le paramètre de conservation du Client.
  • Infrastructure : hébergement dans un centre de données professionnel à Londres, au Royaume-Uni ; accès à la base de données limité à des comptes de service authentifiés ; accès administratif réservé au personnel autorisé.
  • Sauvegardes : sauvegardes régulières de la base de données stockées séparément afin de permettre la restauration.
  • Personnel : obligations de confidentialité ; accès selon le principe du besoin d’en connaître ; moindre privilège pour l’accès administratif.
  • Intégrité de l’application de bureau : mises à jour automatiques ; détection et journalisation des tentatives de fermeture ou de désinstallation de l’application, signalées aux administrateurs du Client.
  • Fonctionnalités d’IA : seules les données auxquelles l’utilisateur à l’origine de la demande peut accéder sont envoyées au fournisseur d’IA ; le fournisseur ne les utilise pas pour l’entraînement ; l’utilisation est journalisée sans que le contenu des conversations soit conservé sur nos serveurs.
  • Gestion des incidents : procédures de détection, d’analyse, d’endiguement et de notification des Violations de données personnelles.

Annexe 3 – Sous-traitants ultérieurs

Les Sous-traitants ultérieurs autorisés sont listés sur notre page Sous-traitants ultérieurs.