Version dpa-remuflow-v1-2026-10-29 · texte à rattacher aux CGV cgv-b2b-v3-2026-10-29 (art. 10.1).
0. Quand cet accord s’applique
Remuflow Paie est installé chez le Client, qui reste responsable de traitement de ses données de paie. Muscalis Lab n’y a pas accès dans le fonctionnement normal. Cet accord ne s’applique que si, à la demande du Client, Muscalis Lab accède à des données personnelles du Client (prise en main à distance, réception d’une sauvegarde, d’un export ou d’une base pour diagnostic). Dans ce cas Muscalis Lab agit comme sous-traitant (art. 28 RGPD) et le Client comme responsable de traitement. Sans accès, aucun traitement pour compte n’a lieu et cet accord reste sans objet. Pour les données de compte (art. 10.2 des CGV), Muscalis Lab est responsable de traitement.
1. Description du traitement
| Élément | Contenu |
|---|---|
| Objet et finalité | Diagnostic et correction d’une anomalie signalée par le Client |
| Nature | Consultation, copie temporaire, analyse ; aucune réutilisation à des fins propres |
| Données | Données de paie et d’identification des salariés visibles dans la base ou l’export transmis (identité, NIR, coordonnées bancaires, rémunération, absences) ; le Client minimise : il transmet des données anonymisées ou limitées dès que possible |
| Personnes concernées | Salariés et dirigeants du Client |
| Durée | Durée de l’intervention ; suppression de toute copie au plus tard trente (30) jours après la clôture du ticket, sauf instruction contraire écrite du Client |
2. Obligations de Muscalis Lab
- Traiter les données uniquement sur instruction documentée du Client (la demande de support vaut instruction pour cet objet), et informer le Client si une instruction lui paraît contraire au RGPD.
- Garantir la confidentialité : les personnes autorisées sont tenues à la confidentialité.
- Mesures de sécurité (art. 32) : accès nominatif et limité à l’intervention, transmission chiffrée, stockage temporaire sur poste chiffré, aucune copie sur un service tiers non listé, suppression à la fin de l’intervention. Les sauvegardes du Logiciel sont chiffrées (AES-256-GCM) ; Muscalis Lab n’a pas la clé, sauf si le Client la lui communique pour l’intervention.
- Sous-traitants ultérieurs : aucun n’est utilisé pour ces données. Tout recours futur est notifié au Client, qui peut s’y opposer.
- Assistance : aider le Client à répondre aux demandes d’exercice de droits et à ses obligations des articles 32 à 36.
- Violation de données : notification au Client sans retard injustifié après en avoir pris connaissance, avec les éléments connus.
- Fin de l’intervention : suppression des données, avec confirmation écrite sur demande.
- Audit : mise à disposition des informations nécessaires pour démontrer le respect de l’accord ; audit sur demande raisonnable, préavis de quinze (15) jours, aux frais du Client, sans accès aux données d’autres clients.
- Transferts hors Espace économique européen : aucun pour ces données.
3. Obligations du Client
Minimiser les données transmises, disposer d’une base légale, informer ses salariés, ne transmettre aucune donnée sans nécessité, conserver la clé de chiffrement de ses sauvegardes et ne la communiquer que si l’intervention l’exige.
4. Responsabilité
Les règles de responsabilité des CGV s’appliquent entre les parties, dans les limites de leur article 9.4 : aucune limitation ne s’oppose aux droits des personnes concernées (art. 82 RGPD) ni à l’autorité de contrôle.
5. Points non vérifiés
Le texte des articles 28, 32 et 33 du RGPD n’a pas pu être relu sur la source officielle (EUR-Lex inaccessible lors de la session) ; le contenu ci-dessus suit leur structure connue et reste à confronter au texte officiel.