Politique de confidentialité

Le service ISOmase est édité par [à compléter : raison sociale] (« nous »).

Contact vie privée : [à compléter : email dédié, ex. privacy@…] — c’est l’adresse à utiliser pour exercer vos droits (section 7). Nous n’avons pas désigné de délégué à la protection des données (sa désignation n’étant pas obligatoire pour notre activité) ; ce contact en tient lieu.

• Responsable de traitement : pour votre compte, la navigation, la facturation, les emails que nous vous envoyons, le forum public et la sécurité du service. C’est l’objet de cette politique.
• Sous-traitant : pour les données que votre entreprise (ou celle qui vous a invité) saisit dans son espace — plans d’action, remontées, documents, et notamment les données RH (fiches salariés, formations, entretiens, accidents du travail, émargements). Pour ces données, le responsable de traitement est votre employeur / l’entreprise cliente : adressez-lui vos demandes en priorité. Le cadre est fixé par notre accord de sous-traitance (DPA), disponible sur demande. Si vous nous contactez directement, nous transmettons votre demande au responsable concerné.

Dictée vocale (comptes rendus d’entretien) : la reconnaissance vocale est effectuée par votre navigateur (Web Speech API) ; selon le navigateur, l’audio peut être traité par son éditeur. Nous ne recevons et ne stockons que le texte final, jamais l’audio.

Fonctionnalités d’IA (analyse d’événements, aide à la rédaction) : les données strictement nécessaires sont transmises à notre prestataire Anthropic (section 5) au moment où vous utilisez la fonctionnalité. Elles ne servent pas à entraîner ses modèles. Aucune décision produisant des effets juridiques à votre égard n’est prise de façon entièrement automatisée.

Nous ne collectons pas de données de mineurs (service strictement professionnel) et nous ne vendons aucune donnée.

Le service utilise uniquement des cookies strictement nécessaires (session d’authentification, sécurité) — exemptés de consentement. Aucun cookie publicitaire ni traceur tiers.

Les données ne sont accessibles qu’à nous et aux prestataires suivants, qui les traitent pour notre compte et sous contrat (art. 28 RGPD) :

Pour les transferts hors Union européenne, nous nous appuyons sur une décision d’adéquation (EU-US Data Privacy Framework pour les prestataires certifiés) ou sur les clauses contractuelles types de la Commission européenne. La liste à jour est disponible sur demande au contact de la section 1. Vos données peuvent par ailleurs être communiquées si la loi l’exige.

• La demande de suppression est en libre-service dans l’application (Paramètres). Effets immédiats : compte désactivé, sessions révoquées, disparition des espaces des organisations.
• L’effacement définitif intervient 30 jours après la demande (fenêtre permettant d’annuler une demande accidentelle, sur demande au support). Un email de confirmation indique la date.
• Si vous êtes seul propriétaire d’une organisation, elle est supprimée avec votre compte, fichiers inclus, dans la même fenêtre.

Ce qui est conservé après l’effacement, et pourquoi (art. 17.3 RGPD) :

• la preuve de votre émargement aux réunions sécurité (obligation de traçabilité de l’employeur) ;
• votre éventuelle fiche RH chez votre employeur, dont le lien avec votre compte est rompu (elle relève de l’employeur, responsable de traitement distinct) ;
• vos contributions au forum, anonymisées (pseudonyme et compte supprimés) ; vous pouvez les supprimer une par une avant votre demande ;
• un registre minimal de la suppression (identifiant, email, dates), preuve que l’effacement a bien été exécuté (art. 5.2 RGPD) ;
• les pièces comptables liées à la facturation (obligation légale).

Vous disposez des droits d’accès (art. 15), rectification (16), effacement (17), limitation (18), portabilité (20) et opposition (21), ainsi que du droit de définir des directives post mortem.

• Effacement : en libre-service dans l’application (section 6).
• Accès et portabilité : sur demande écrite à [à compléter : email vie privée] — réponse sous un mois maximum (art. 12.3 RGPD) avec une copie structurée de vos données. La rectification du profil est possible directement dans l’application.
• Pour les données saisies par votre employeur (RH), adressez-vous à lui (section 2) ; nous l’assistons conformément au DPA.

Nous pouvons demander un justificatif d’identité en cas de doute raisonnable. Si, après nous avoir contactés, vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (cnil.fr).

Mesures principales : isolation stricte des données de chaque entreprise au niveau de la base de données (Row Level Security sur 100 % des tables), chiffrement en transit (TLS) et au repos, mots de passe hachés, secrets accessibles uniquement côté serveur, limitation de débit sur les actions sensibles, journalisation des erreurs, sauvegardes quotidiennes, principe de moindre privilège. En cas de violation de données susceptible d’engendrer un risque pour vos droits, nous notifions la CNIL sous 72 h (art. 33 RGPD) et vous informons si le risque est élevé (art. 34).

Toute modification substantielle est datée, versionnée et annoncée (email ou bandeau dans l’application) avant sa prise d’effet. Les versions antérieures sont conservées et disponibles sur demande.