Politique de confidentialité

Le service ISOmase est édité par [à compléter : raison sociale] (« nous »).

Contact vie privée : [à compléter : email dédié, ex. privacy@…] - c’est l’adresse à utiliser pour exercer vos droits (section 7). Nous n’avons pas désigné de délégué à la protection des données (sa désignation n’étant pas obligatoire pour notre activité) ; ce contact en tient lieu.

• Responsable de traitement : pour votre compte, la navigation, la facturation, les emails que nous vous envoyons, le forum public et la sécurité du service. C’est l’objet de cette politique.
• Sous-traitant : pour les données que votre entreprise (ou celle qui vous a invité) saisit dans son espace - plans d’action, remontées, documents, participation aux quizz d’animation (prénom saisi, réponses et scores, y compris pour un invité sans compte), et notamment les données RH (fiches salariés, formations, entretiens, accidents du travail, émargements). Pour ces données, le responsable de traitement est votre employeur / l’entreprise cliente : adressez-lui vos demandes en priorité. Le cadre est fixé par notre accord de sous-traitance (DPA), disponible sur demande. Si vous nous contactez directement, nous transmettons votre demande au responsable concerné.

Dictée vocale (comptes rendus d’entretien) : la reconnaissance vocale est effectuée par votre navigateur (Web Speech API) ; selon le navigateur, l’audio peut être traité par son éditeur. Nous ne recevons et ne stockons que le texte final, jamais l’audio.

Fonctionnalités d’IA (analyse d’événements, aide à la rédaction) : les données strictement nécessaires sont transmises à notre prestataire Anthropic (section 5) au moment où vous utilisez la fonctionnalité. Elles ne servent pas à entraîner ses modèles. Aucune décision produisant des effets juridiques à votre égard n’est prise de façon entièrement automatisée.

Nous ne collectons pas de données de mineurs (service strictement professionnel) et nous ne vendons aucune donnée.

Cookies strictement nécessaires (session d’authentification, sécurité, et le cookie qui garde votre choix ci-dessous) : exemptés de consentement. Aucun cookie publicitaire.

Mesure d’audience. Sur notre site public uniquement, nous comptons les visites avec Google Analytics pour savoir quelles pages servent et lesquelles se perdent. Dans l’application, il n’y a aucun traceur tiers : les données de vos salariés ne partent pas chez un prestataire de mesure.

Dans les deux cas, nous n’accordons jamais les autorisations publicitaires du service : ni ciblage, ni constitution d’audience publicitaire. Vous pouvez changer d’avis à tout moment avec le lien Cookies en bas de chaque page ; un retrait efface les cookies déjà déposés.

Notre site enregistre également, dans le stockage local de votre navigateur, quelques préférences d’affichage - par exemple la tranche d’effectif choisie sur la page Tarifs, ou le mode d’affichage d’une liste. Ces informations ne contiennent aucune donnée personnelle, ne permettent pas de vous identifier, ne sont jamais transmises à nos serveurs ni à un tiers, et restent effaçables à tout moment depuis les réglages de votre navigateur. À ce titre, elles sont exemptées de consentement.

Les données ne sont accessibles qu’à nous et aux prestataires suivants, qui les traitent pour notre compte et sous contrat (art. 28 RGPD) :

Pour les transferts hors Union européenne, nous nous appuyons sur une décision d’adéquation (EU-US Data Privacy Framework pour les prestataires certifiés) ou sur les clauses contractuelles types de la Commission européenne. La liste à jour est disponible sur demande au contact de la section 1. Vos données peuvent par ailleurs être communiquées si la loi l’exige.

• La demande de suppression est en libre-service dans l’application (Paramètres). Effets immédiats : sessions révoquées, disparition des espaces des organisations.
• L’effacement définitif intervient 30 jours après la demande. Un email de confirmation indique la date. Pendant ce délai, vous pouvez annuler vous-même en vous reconnectant.
• Si vous êtes seul propriétaire d’une organisation, elle est supprimée avec votre compte, fichiers inclus, dans la même fenêtre.

Ce qui est conservé après l’effacement, et pourquoi (art. 17.3 RGPD) :

• la preuve de votre émargement aux réunions sécurité (obligation de traçabilité de l’employeur) ;
• votre éventuelle fiche RH chez votre employeur, dont le lien avec votre compte est rompu (elle relève de l’employeur, responsable de traitement distinct) ;
• vos contributions au forum, anonymisées (pseudonyme et compte supprimés) ; vous pouvez les supprimer une par une avant votre demande ;
• un registre minimal de la suppression (identifiant, email, dates), preuve que l’effacement a bien été exécuté (art. 5.2 RGPD) ;
• les pièces comptables liées à la facturation (obligation légale).

Vous disposez des droits d’accès (art. 15), rectification (16), effacement (17), limitation (18), portabilité (20) et opposition (21), ainsi que du droit de définir des directives post mortem.

• Effacement : en libre-service dans l’application (section 6).
• Accès et portabilité : sur demande écrite à [à compléter : email vie privée] - réponse sous un mois maximum (art. 12.3 RGPD) avec une copie structurée de vos données. La rectification du profil est possible directement dans l’application.
• Pour les données saisies par votre employeur (RH), adressez-vous à lui (section 2) ; nous l’assistons conformément au DPA.

Nous pouvons demander un justificatif d’identité en cas de doute raisonnable. Si, après nous avoir contactés, vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (cnil.fr).

Mesures principales : isolation stricte des données de chaque entreprise au niveau de la base de données (Row Level Security sur 100 % des tables), chiffrement en transit (TLS) et au repos, mots de passe hachés, secrets accessibles uniquement côté serveur, limitation de débit sur les actions sensibles, journalisation des erreurs, sauvegardes quotidiennes, principe de moindre privilège. En cas de violation de données susceptible d’engendrer un risque pour vos droits, nous notifions la CNIL sous 72 h (art. 33 RGPD) et vous informons si le risque est élevé (art. 34).

Toute modification substantielle est datée, versionnée et annoncée (email ou bandeau dans l’application) avant sa prise d’effet. Les versions antérieures sont conservées et disponibles sur demande.