Confidentialité et RGPD
Comment PHOENIX GROUP traite les données, et ce que contient notre accord de traitement des données.
1. Deux rôles différents
Responsable du traitement : PHOENIX GROUP, pour les données de ses prospects et clients (visiteurs du site, contacts, administrateurs du compte, facturation).
Sous-traitant : PHOENIX GROUP, pour les données des salariés que le Client gère dans Workplan. Le Client (l'employeur) est alors responsable du traitement.
2. Données des clients et prospects
- Données
- Nom, e-mail, téléphone, société, numéros RCS et TVA, données de facturation et de paiement (les numéros de carte complets sont traités par Stripe, pas par Workplan).
- Finalités
- Répondre aux demandes, gérer l'essai et l'abonnement, facturer, assurer le support.
- Base légale
- Exécution du contrat et mesures précontractuelles ; obligations légales comptables ; intérêt légitime pour la sécurité du service.
- Conservation
- Durée de la relation commerciale, puis 10 ans pour les pièces comptables.
3. Résumé de l'accord de traitement des données (DPA)
L'accord complet est annexé aux CGV et accepté à l'ouverture du compte. En résumé, PHOENIX GROUP s'engage à :
- Objet : traiter les données des salariés du Client uniquement pour fournir Workplan (planning, pointage, absences, heures, documents, exports de paie), et uniquement sur instructions documentées du Client.
- Données concernées : identité et coordonnées, contrat et horaires, pointages (avec position au moment du pointage et photo si le Client l'active), absences et justificatifs, documents déposés par le Client. Certaines peuvent être des données de santé (certificats médicaux) : accès réservé à l'administrateur et aux personnes qu'il autorise.
- Confidentialité : seules les personnes habilitées de PHOENIX GROUP accèdent aux données, sous obligation de confidentialité, et uniquement pour le support ou la maintenance.
- Sécurité : chiffrement des échanges (HTTPS), PIN et mots de passe hachés, biométrie conservée sur l'appareil du salarié uniquement, cloisonnement des données par client, sauvegardes quotidiennes, journalisation des corrections.
- Sous-traitants ultérieurs : liste ci-dessous ; le Client est informé 30 jours avant tout changement et peut s'y opposer.
- Localisation : données du service hébergées dans l'Union européenne. Seule exception : l'assistant d'aide intégré, réservé aux administrateurs du Client, fait appel à xAI (États-Unis) ; ce transfert est encadré par les clauses contractuelles types de la Commission européenne et limité aux données utiles à la réponse (noms des salariés pseudonymisés, sans coordonnées).
- Assistance : aide au Client pour répondre aux demandes d'accès, de rectification ou d'effacement de ses salariés, et pour ses analyses d'impact.
- Violation de données : notification au Client sans retard injustifié et au plus tard dans les 48 heures après en avoir eu connaissance.
- Fin du contrat : export possible pendant 30 jours, puis suppression des données, sauf obligation légale.
- Audit : mise à disposition des informations nécessaires pour démontrer le respect de l'article 28 du RGPD.
4. Sous-traitants ultérieurs
| Prestataire | Rôle | Localisation |
|---|---|---|
| Hostinger International Ltd | Hébergement de l'application et des e-mails | UE |
| Stripe Payments Europe Ltd | Paiement par carte (données de facturation du Client seulement) | UE (Irlande) |
| Odoo SA | Facturation et comptabilité (données de facturation du Client seulement) | UE (Belgique) |
| X.AI LLC (xAI) | Assistant d'aide intégré à l'application, utilisé uniquement par les administrateurs du Client (question posée et données de planning, d'heures et d'absences utiles à la réponse ; noms pseudonymisés, sans coordonnées) | États-Unis (clauses contractuelles types) |
5. Vos droits
Accès, rectification, effacement, limitation, opposition et portabilité. Salariés d'un client : adressez-vous d'abord à votre employeur. Pour toute demande : support@workplan.lu. Vous pouvez aussi saisir la Commission nationale pour la protection des données (cnpd.public.lu).
6. Cookies
Pas de cookie publicitaire ni d'outil de mesure d'audience. L'application utilise un cookie de session strictement nécessaire.