Politique de confidentialité

Deux acteurs interviennent, et la distinction commande tout le reste.

Votre employeur est le responsable de traitement. C'est lui qui décide de gérer votre paie, qui détermine les données nécessaires et qui répond de leur usage. C'est à lui, ou au cabinet d'expertise comptable qui l'accompagne, que vous adressez vos demandes.

L'éditeur est sous-traitant au sens de l'article 28 du RGPD : l'éditeur fournit le portail et n'agit que sur instruction de l'employeur ou de son cabinet. Il n'utilise vos données pour aucune finalité propre : ni prospection, ni revente, ni entraînement de modèle, ni statistique commerciale.

Elles proviennent pour l'essentiel du logiciel de paie du cabinet, qui reste la source de référence, et pour le reste de ce que vous ou votre service RH saisissez dans le portail.

• Identité : nom, prénom, nom de naissance, civilité, date, lieu et pays de naissance, nationalité, photographie si elle a été déposée.
• Coordonnées : adresse postale, code postal, ville, pays, téléphone, adresse e-mail.
• Situation personnelle : situation familiale, nombre d'enfants, personne à prévenir en cas d'urgence.
• Identifiants légaux : numéro de sécurité sociale (NIR), nécessaire à l'établissement de la paie et aux déclarations sociales.
• Coordonnées bancaires : IBAN, BIC, établissement bancaire, pour le versement du salaire.
• Contrat et emploi : matricule, nature et numéro de contrat, emploi, classification, convention collective, temps de travail, dates d'entrée, d'ancienneté et de sortie, rémunération.
• Absences et congés : nature, dates, nombre de jours, statut de la demande. Certaines natures — arrêt maladie, accident du travail, congé maternité — révèlent une information de santé : leur motif n'est visible que du service RH, jamais des collègues, et le planning collectif n'affiche que des indisponibilités sans motif.
• Bulletins de paie : période, montants brut et net, coût employeur, date de paiement. Les fichiers PDF ne sont pas copiés par le portail : ils restent chez le fournisseur de paie et sont récupérés à la demande, à l'instant où vous les ouvrez.
• Pièces du dossier : contrats, avenants, attestations, courriers et autres documents déposés par votre service RH.
• Compte d'accès : adresse e-mail, empreinte du mot de passe (jamais le mot de passe lui-même), rôle, date de dernière connexion.
• Traces d'accès : chaque consultation ou téléchargement sensible est journalisé — qui, quoi, quand, depuis quelle adresse IP. Cette trace protège autant qu'elle surveille : elle permet de savoir qui a ouvert votre dossier.

Le portail ne poursuit qu'une finalité générale : permettre à votre employeur d'exécuter le contrat de travail et ses obligations sociales. Elle se décline ainsi :

Aucune décision automatisée n'est prise à votre sujet : le portail affiche, il ne décide pas. Aucun profilage n'est effectué.

Dossier du personnel : 5 ans après la date de sortie. Passé ce délai, le portail vide automatiquement la fiche de tout ce qui vous identifie — nom, adresse, NIR, coordonnées bancaires, naissance, situation familiale, contacts d'urgence — et ferme le compte d'accès.

Ce qui subsiste ne désigne plus personne : un matricule, des dates de contrat, des montants, et les bulletins eux-mêmes, que le Code du travail impose de conserver. C'est la raison pour laquelle une fiche n'est pas supprimée mais anonymisée : effacer la ligne détruirait des pièces comptables obligatoires.

Journal des accès : 1 an. Assez pour instruire un litige naissant ou remonter la piste d'un accès suspect, pas au-delà. Passé ce délai, une tâche planifiée quotidienne efface les entrées échues ; c'est la seule voie par laquelle une entrée du journal peut disparaître.

Ces durées sont réglables par l'employeur ou son cabinet, et doivent être confirmées au regard de la convention collective applicable et des contentieux en cours. Durée retenue pour cette installation : [À COMPLÉTER : durée validée par le juriste du cabinet, si elle diffère de 5 ans]

À l'intérieur du portail, l'accès dépend strictement du rôle :

• Vous : votre fiche, vos bulletins, vos absences, vos documents. Rien de ce qui concerne vos collègues.
• La direction et le service RH de votre entreprise : les dossiers de leur entreprise, et d'aucune autre.
• Le cabinet d'expertise comptable : les entreprises de son portefeuille, et d'aucun autre cabinet.
• L'administrateur de la plateforme : pour l'exploitation technique et le support, sur le dossier qu'il a explicitement ouvert. Ses actions sont journalisées comme les autres.

En dehors du portail, les services suivants interviennent comme sous-traitants ultérieurs :

• OpenPaye — logiciel de paie du cabinet, source des fiches salariés et des bulletins.
• Hébergeur de l'application et de la base de données — [À COMPLÉTER : nom de l'hébergeur et région d'hébergement]
• Stockage des fichiers (contrats, attestations), sur un service compatible S3 — [À COMPLÉTER : fournisseur et juridiction du stockage]
• Envoi des e-mails (invitation, réinitialisation de mot de passe) — [À COMPLÉTER : fournisseur SMTP ou Resend, selon la configuration retenue]
• Supervision des erreurs (Sentry), si elle est activée. Les corps de requête, en-têtes et cookies sont retirés avant tout envoi : un rapport d'erreur ne doit pas devenir une fuite de données.

Aucune donnée n'est transférée hors de l'Union européenne, sous réserve de la configuration effective ci-dessus, qu'il appartient à l'éditeur de confirmer : [À COMPLÉTER : confirmation des régions d'hébergement, et encadrement contractuel de tout transfert hors UE]

• Cloisonnement par entreprise et par cabinet : chaque requête à la base est réécrite pour ne jamais sortir du périmètre du compte, indépendamment du code qui l'appelle. Un oubli de filtre dans une page n'ouvre donc pas le dossier d'un autre client.
• Mots de passe : jamais stockés, seulement leur empreinte calculée par Argon2. Politique de complexité imposée, plafond d'essais de connexion partagé entre les serveurs.
• Chiffrement des secrets : les clés d'accès au logiciel de paie sont chiffrées en base (AES-256-GCM).
• Transport chiffré : l'ensemble des échanges passe par HTTPS, et la connexion à la base est établie en TLS.
• Journal d'audit : les accès aux bulletins, aux documents et aux fiches sont tracés, sans possibilité de modifier une entrée après coup. Ces traces sont conservées 1 an, puis effacées.
• Cookies : le portail ne dépose qu'un cookie de session, nécessaire à votre connexion. Aucun cookie publicitaire, aucune mesure d'audience, aucun traceur tiers.

Vous disposez, sur les données vous concernant, des droits suivants :

• Accès et portabilité (art. 15 et 20) : obtenir une copie de vos données. Le portail la produit lui-même, en fichier JSON, depuis votre espace personnel — rubrique « Mon compte », bouton « Exporter mes données ».
• Rectification (art. 16) : faire corriger une donnée inexacte. Les données de paie venant du logiciel du cabinet, la correction se fait auprès de votre service RH, qui la répercute.
• Effacement (art. 17) : demander la suppression de vos données. Il s'exerce dans les limites des obligations légales de conservation : les bulletins de paie et les mentions qui les rendent exploitables ne peuvent pas être détruits avant l'échéance légale. Le portail répond par l'anonymisation, décrite au point 04.
• Limitation et opposition (art. 18 et 21) : demander la suspension d'un traitement, ou vous y opposer pour un motif tenant à votre situation particulière.
• Réclamation : saisir la CNIL (3 place de Fontenoy, 75007 Paris — cnil.fr) si vous estimez vos droits méconnus.

Les demandes s'adressent à votre employeur, responsable de traitement, ou au contact indiqué au point 01. Une réponse doit vous parvenir dans un délai d'un mois.

Contact pour l'exercice des droits, tel qu'il doit figurer au contrat de sous-traitance : [À COMPLÉTER : adresse e-mail et adresse postale de réception des demandes]

Toute modification substantielle de cette page — nouvelle finalité, nouveau destinataire, nouvelle durée — est portée à la connaissance des personnes concernées par l'employeur. La date de mise à jour figure en tête de page.