SÉCURITÉ
Mesures techniques et organisationnelles
Annexe à l'Accord de traitement des données. Mesures de sécurité au titre de l'article 32 du RGPD appliquées à PersoHR.
La présente page constitue l'annexe relative aux mesures techniques et organisationnelles (« MTO ») mentionnée à la section 7 de l'Accord de traitement des données disponible à l'adresse /legal/dpa. Les mesures ci-dessous sont celles actuellement en vigueur ; elles peuvent être mises à jour ponctuellement, à condition qu'aucune mise à jour ne réduise de manière significative le niveau global de sécurité.
1. Hébergement et résidence des données dans l'UE
L'application RH principale utilise l'infrastructure de Hetzner pour la base de données et le stockage des fichiers. Des prestataires de services interviennent également pour les fonctionnalités d'IA, l'e-mail, les SMS de sécurité, la facturation et la mesure d'audience des pages publiques. La liste disponible à l'adresse /legal/sub-processors décrit le rôle de chaque prestataire et les modalités de traitement. Les intégrations activées par le client peuvent envoyer des informations au prestataire choisi par le client. L'hébergement des dossiers principaux dans l'UE ne doit pas être interprété comme une déclaration selon laquelle chaque service ou destinataire associé traite les données exclusivement au sein de l'UE.
2. Contrôle d'accès et authentification
L'authentification des clients repose sur des liens envoyés par e-mail, sans mot de passe. Les jetons de lien magique et de renouvellement sont stockés sous forme de hachages ; les liens magiques sont à usage unique et expirent. L'authentification à deux facteurs TOTP est obligatoire pour les rôles Propriétaire et Admin RH. Les mécanismes de récupération sont soumis à des contrôles de sécurité distincts. Les jetons d'accès ont une durée limitée et les jetons de renouvellement sont transmis au moyen de cookies HttpOnly dotés des attributs de sécurité de production. Les rôles de l'application sont Propriétaire, Admin RH, Manager et Employé ; des contrôles au niveau des services restreignent en outre l'accès aux dossiers pertinents. Ces contrôles ne valent pas affirmation concernant des clés matérielles ou des revues opérationnelles des accès à l'infrastructure de production.
3. Isolation des tenants
Les dossiers RH des entreprises sont rattachés à un tenant, l'espace de travail authentifié étant utilisé par les contrôles d'accès au niveau des référentiels de données et des services. Les identités utilisateur globales peuvent appartenir à plusieurs espaces de travail et sont gérées séparément des appartenances RH aux tenants. Les identifiants d'enregistrement ne donnent pas à eux seuls accès aux données ; l'autorisation dépend de l'utilisateur authentifié, de l'espace de travail, du rôle et des vérifications de relation applicables. Les filtres de tenant constituent un élément de ces contrôles et ne remplacent pas la vérification de chaque chemin d'accès.
4. Chiffrement
L'application utilise AES-256-GCM pour certaines valeurs sensibles, notamment les secrets TOTP et les identifiants bancaires, fiscaux et de sécurité sociale pris en charge pour la paie. Il s'agit d'une protection au niveau des champs, qui ne signifie pas que chaque champ relatif au salaire, aux documents ou à la santé bénéficie d'une couche distincte de chiffrement au niveau applicatif. Le trafic entre l'application et la base de données reste au sein du même serveur, et chaque connexion publique utilise TLS. Les sauvegardes sont stockées chiffrées, tandis que le volume de la base de données et le stockage des documents ne disposent pas d'un chiffrement au niveau du stockage. La présente annexe n'affirme pas l'utilisation d'un algorithme de chiffrement du stockage ou d'une version de TLS particulière pour chaque point de terminaison déployé en l'absence de l'enregistrement opérationnel correspondant.
5. Journalisation, surveillance et audit
Les enregistrements d'audit consignent les actions prises en charge, telles que les modifications, les exports et les demandes d'effacement, avec des informations sur l'auteur, l'action, la référence de l'enregistrement et l'horodatage. Ils sont soumis à des contrôles d'accès, à une conservation planifiée et à des règles spécifiques de conservation à des fins juridiques. Il ne s'agit pas d'un engagement à journaliser chaque consultation ni à conserver un historique immuable et illimité. Les journaux opérationnels et de sécurité servent aux enquêtes et au fonctionnement du service ; leur contenu, leur accès et leur conservation doivent être limités à cette finalité. Les identifiants d'utilisateurs et d'enregistrements peuvent eux-mêmes constituer des données à caractère personnel.
6. Sauvegardes et reprise après sinistre
Des mesures appropriées de disponibilité et de restauration font partie des obligations du Sous-traitant au titre de l'article 32 du RGPD. Les calendriers de sauvegarde de l'infrastructure, la conservation, le chiffrement et les tests de restauration des sauvegardes doivent être documentés et maintenus pour le service déployé. Contactez-nous pour obtenir les justificatifs opérationnels actuels et tout objectif de restauration convenu. Les exports de données de l'application ne remplacent pas les sauvegardes de l'infrastructure, et la présente annexe ne constitue pas une garantie de délai de restauration vérifiée de manière indépendante.
7. Réponse aux incidents
Les violations de données à caractère personnel affectant les données du responsable du traitement sont signalées à celui-ci dans les meilleurs délais après en avoir pris connaissance, comme décrit dans l'ATD. Les faits disponibles, les conséquences probables et les mesures de réponse sont communiqués et complétés au fur et à mesure de l'enquête. Le délai de notification à l'autorité de contrôle applicable au responsable du traitement est distinct de l'obligation du Sous-traitant de notifier ce dernier. L'enquête sur l'incident et les mesures correctives doivent protéger les données concernées et préserver les preuves nécessaires.
8. Gestion des vulnérabilités et développement sécurisé
Les dépôts de code comprennent des tests automatisés et des contrôles statiques de qualité pour aider à détecter les défauts. Les problèmes de sécurité identifiés doivent être évalués et traités en fonction de leur risque. Ces contrôles de développement n'établissent pas que chaque dépendance est analysée à chaque build, qu'un test d'intrusion externe a eu lieu ou que chaque fonctionnalité a fait l'objet d'une modélisation des menaces complète. Les justificatifs d'évaluation actuels peuvent nous être demandés.
9. Suppression, conservation et portabilité
Le service fournit des workflows d'export et d'effacement des données des utilisateurs et des employés, ainsi qu'un export administratif du tenant. Leur périmètre et leurs autorisations diffèrent. Les routines d'effacement suppriment ou anonymisent les enregistrements pris en charge. Elles ne fournissent pas de workflow général de conservation à des fins juridiques (legal hold) contrôlé par l'employeur. Il appartient au client d'évaluer la réponse licite à apporter à une demande individuelle. La suppression de l'espace de travail d'une entreprise est distincte de l'arrêt du renouvellement de l'abonnement et comporte un délai d'annulation de 30 jours après la demande effectuée dans l'application. L'effacement du compte personnel est immédiat et déclenche également l'effacement des appartenances aux espaces de travail associées, sans étape distincte d'approbation par l'employeur. Les enregistrements de temps de travail bloqués et conservés ne disposent actuellement d'aucun workflow de récupération dédié. L'ATD régit la restitution ou la suppression à la fin du traitement, y compris les copies de sauvegarde protégées et les enregistrements dont la conservation est requise.
10. Vérification préalable des sous-traitants ultérieurs
La liste des prestataires disponible à l'adresse /legal/sub-processors décrit les rôles, les lieux, les catégories de données et les contrats conclus avec les fournisseurs. Le Sous-traitant doit faire appel à des sous-traitants ultérieurs dans le cadre de conditions écrites satisfaisant aux exigences de l'article 28 du RGPD, demeure responsable des protections requises et doit suivre la procédure d'autorisation, de préavis et d'opposition prévue par l'ATD.
11. Personnel
Le personnel autorisé à traiter les données à caractère personnel des clients doit être soumis à des obligations de confidentialité et disposer d'un accès adapté à ses responsabilités. La gestion des accès, la sensibilisation à la sécurité et les procédures de traitement des données font partie des garanties organisationnelles du Sous-traitant. L'obligation de protéger les données à caractère personnel conservées perdure après la fin d'une mission ou d'un abonnement.