Politique de confidentialité

Deux acteurs interviennent, et la distinction commande tout le reste.

Votre employeur est le responsable de traitement. C'est lui qui décide de gérer votre paie, qui détermine les données nécessaires et qui répond de leur usage. C'est à lui que vous adressez vos demandes.

L'éditeur est sous-traitant au sens de l'article 28 du RGPD : l'éditeur fournit le portail et n'agit que sur instruction de l'employeur. Il n'utilise vos données pour aucune finalité propre : ni prospection, ni revente, ni entraînement de modèle, ni statistique commerciale.

Elles proviennent de ce que votre employeur ou son service RH saisit dans le portail, de ce que vous y déposez vous-même, et des bulletins que le professionnel qui tient la paie y dépose.

• Identité : nom, prénom, nom de naissance, civilité, date, lieu et pays de naissance, nationalité, photographie si elle a été déposée.
• Coordonnées : adresse postale, code postal, ville, pays, téléphone, adresse e-mail.
• Situation personnelle : situation familiale, nombre d'enfants, personne à prévenir en cas d'urgence.
• Identifiants légaux : numéro de sécurité sociale (NIR), nécessaire à l'établissement de la paie et aux déclarations sociales.
• Coordonnées bancaires : IBAN, BIC, établissement bancaire, pour le versement du salaire.
• Contrat et emploi : matricule, nature et numéro de contrat, emploi, classification, convention collective, temps de travail, dates d'entrée, d'ancienneté et de sortie, rémunération.
• Absences et congés : nature, dates, nombre de jours, statut de la demande. Certaines natures — arrêt maladie, accident du travail, congé maternité — révèlent une information de santé : leur motif n'est visible que du service RH, jamais des collègues, et le planning collectif n'affiche que des indisponibilités sans motif.
• Bulletins de paie : période, montants brut et net, coût employeur, date de paiement, et le fichier PDF déposé par votre employeur ou par son logiciel de paie, conservé sur le stockage de fichiers décrit au point 05.
• Pièces du dossier : contrats, avenants, attestations, courriers et autres documents déposés par votre service RH.
• Compte d'accès : adresse e-mail, empreinte du mot de passe (jamais le mot de passe lui-même), rôle, date de dernière connexion.
• Traces d'accès : chaque consultation ou téléchargement sensible est journalisé — qui, quoi, quand, depuis quelle adresse IP. Cette trace protège autant qu'elle surveille : elle permet de savoir qui a ouvert votre dossier.

Le portail ne poursuit qu'une finalité générale : permettre à votre employeur d'exécuter le contrat de travail et ses obligations sociales. Elle se décline ainsi :

Aucune décision automatisée n'est prise à votre sujet : le portail affiche, il ne décide pas. Aucun profilage n'est effectué.

Dossier du personnel : 5 ans après la date de sortie. Passé ce délai, le portail vide automatiquement la fiche de tout ce qui vous identifie — nom, adresse, NIR, coordonnées bancaires, naissance, situation familiale, contacts d'urgence — et ferme le compte d'accès.

Ce qui subsiste ne désigne plus personne : un matricule, des dates de contrat, des montants, et les bulletins eux-mêmes, que le Code du travail impose de conserver. C'est la raison pour laquelle une fiche n'est pas supprimée mais anonymisée : effacer la ligne détruirait des pièces comptables obligatoires.

Journal des accès : 1 an. Assez pour instruire un litige naissant ou remonter la piste d'un accès suspect, pas au-delà. Passé ce délai, une tâche planifiée quotidienne efface les entrées échues ; c'est la seule voie par laquelle une entrée du journal peut disparaître.

Cinq ans est la durée retenue pour cette installation, appuyée sur l'article L3243-4 du Code du travail. Elle peut être allongée par l'employeur au regard de sa convention collective ou d'un contentieux en cours, jamais raccourcie en deçà de ce que la loi impose.

À l'intérieur du portail, l'accès dépend strictement du rôle :

• Vous : votre fiche, vos bulletins, vos absences, vos documents. Rien de ce qui concerne vos collègues.
• La direction et le service RH de votre entreprise : les dossiers de leur entreprise, et d'aucune autre.
• L'administrateur de la plateforme : pour l'exploitation technique et le support, sur le dossier qu'il a explicitement ouvert. Ses actions sont journalisées comme les autres.

En dehors du portail, les services suivants interviennent comme sous-traitants ultérieurs :

• Hébergeur de l'application — Vercel Inc., exécution en région Europe (Francfort).
• Base de données — Neon Inc., PostgreSQL hébergé sur AWS en région eu-central-1 (Francfort).
• Stockage des fichiers (contrats, attestations, bulletins PDF) — Supabase Inc., service compatible S3, sur un bucket dont la région se fixe à la création du projet.
• Envoi des e-mails (invitation, réinitialisation de mot de passe, récapitulatif mensuel au comptable) — Brevo (Sendinblue SAS, Paris), par relais SMTP.
• Supervision des erreurs (Sentry), si elle est activée. Les corps de requête, en-têtes et cookies sont retirés avant tout envoi : un rapport d'erreur ne doit pas devenir une fuite de données.

Les données sont hébergées dans l'Union européenne. Vercel et Neon sont des sociétés américaines qui opèrent ici des centres de données européens ; leur accès de maintenance éventuel est encadré par les clauses contractuelles types de la Commission européenne, intégrées à leur contrat de sous-traitance. Aucun transfert de données vers un pays tiers n'est organisé par le portail.

• Cloisonnement par entreprise : chaque requête à la base est réécrite pour ne jamais sortir du périmètre du compte, indépendamment du code qui l'appelle. Un oubli de filtre dans une page n'ouvre donc pas le dossier d'un autre client.
• Mots de passe : jamais stockés, seulement leur empreinte calculée par Argon2. Politique de complexité imposée, plafond d'essais de connexion partagé entre les serveurs.
• Chiffrement en base : le numéro de sécurité sociale, les coordonnées bancaires et les secrets de double authentification sont chiffrés avant d'être écrits (AES-256-GCM).
• Double authentification : chaque compte peut exiger, en plus du mot de passe, un code à usage unique lu sur son téléphone.
• Transport chiffré : l'ensemble des échanges passe par HTTPS, et la connexion à la base est établie en TLS.
• Journal d'audit : les accès aux bulletins, aux documents et aux fiches sont tracés, sans possibilité de modifier une entrée après coup. Ces traces sont conservées 1 an, puis effacées.
• Cookies : le portail ne dépose qu'un cookie de session, nécessaire à votre connexion. Aucun cookie publicitaire, aucune mesure d'audience, aucun traceur tiers.

Vous disposez, sur les données vous concernant, des droits suivants :

• Accès et portabilité (art. 15 et 20) : obtenir une copie de vos données. Le portail la produit lui-même, en fichier JSON, depuis votre espace personnel — rubrique « Mon compte », bouton « Exporter mes données ».
• Rectification (art. 16) : faire corriger une donnée inexacte. Les montants d'un bulletin étant calculés hors du portail, leur correction se fait auprès de votre service RH, qui la répercute.
• Effacement (art. 17) : demander la suppression de vos données. Il s'exerce dans les limites des obligations légales de conservation : les bulletins de paie et les mentions qui les rendent exploitables ne peuvent pas être détruits avant l'échéance légale. Le portail répond par l'anonymisation, décrite au point 04.
• Limitation et opposition (art. 18 et 21) : demander la suspension d'un traitement, ou vous y opposer pour un motif tenant à votre situation particulière.
• Réclamation : saisir la CNIL (3 place de Fontenoy, 75007 Paris — cnil.fr) si vous estimez vos droits méconnus.

Les demandes s'adressent à votre employeur, responsable de traitement, ou au contact indiqué au point 01. Une réponse doit vous parvenir dans un délai d'un mois.

Contact pour l'exercice des droits, tel qu'il figure au contrat de sous-traitance : contact@rhelio.fr, ou par courrier à Rhelio, Paris, France.

Toute modification substantielle de cette page — nouvelle finalité, nouveau destinataire, nouvelle durée — est portée à la connaissance des personnes concernées par l'employeur. La date de mise à jour figure en tête de page.