Le RGPD n'est pas une fonctionnalité. C'est notre fondation.

Hébergement des données

Les données de l’application RH sont stockées dans les centres de données Hetzner Cloud à Falkenstein et Nuremberg, en Allemagne, et traitées uniquement au sein de l’Union européenne. Le seul transfert ultérieur régulier hors UE est effectué vers Stripe Inc. (États-Unis) pour la facturation des abonnements, dans le cadre des Clauses contractuelles types de la Commission européenne ; Stripe ne voit que les données de facturation (nom du titulaire du compte, e-mail, adresse de facturation, numéro de TVA, jetons de paiement) et jamais les données RH des employés. La liste complète des sous-traitants, avec le rôle, l’emplacement, le mécanisme de transfert et le lien vers le DPA de chaque fournisseur, est publiée sur /legal/sub-processors.

Chiffrement

Toutes les données en transit sont chiffrées avec TLS 1.3. Les données sensibles des employés (salaires, informations de santé, identifiants personnels) sont chiffrées au repos avec AES-256. Les sauvegardes de bases de données sont chiffrées.

Contrôle d'accès

Contrôle d'accès basé sur les rôles avec quatre niveaux : Propriétaire, Admin RH, Manager, Employé. Une isolation stricte entre tenants garantit qu'aucune donnée ne peut passer d'un client à un autre. Chaque accès aux données est journalisé.

Traitement par IA

Nos fonctionnalités d'IA sont alimentées par Mistral AI, une société française avec une infrastructure d'inférence basée en UE. Aucune donnée d'employé n'est envoyée à OpenAI, Google, ou un prestataire d'IA américain. Les employés peuvent refuser le traitement par IA.

Journal d'audit

Chaque accès, modification et suppression de données est journalisé. Les durées de conservation varient selon l'abonnement : 30 jours (Gratuit), 1 an (Starter), 2 ans (Growth), illimité (Business).