1. Qui sommes-nous
HR Engine est un logiciel de gestion des ressources humaines édité par [raison sociale et forme juridique], dont le siège est situé [adresse du siège] (« HR Engine », « nous »). Cette politique explique quelles données personnelles nous traitons, pourquoi, combien de temps et avec qui, conformément à la loi malienne n° 2013-015 du 21 mai 2013 portant protection des données à caractère personnel.
Contact pour toute question sur vos données : [adresse e-mail du délégué / contact données personnelles].
2. Nos deux rôles
Pour les données des employés : sous-traitant
Les entreprises clientes (le « Client ») utilisent HR Engine pour gérer leur personnel. Pour ces données, le Client (l’employeur) est responsable du traitement : il décide quelles informations il enregistre et pourquoi. HR Engine agit comme sous-traitant : nous ne traitons ces données que sur instruction du Client, pour lui fournir le Service, et jamais pour notre propre compte.
Pour nos clients, nos prospects et le site : responsable du traitement
Nous sommes responsables du traitement des données des personnes qui nous contactent, s’abonnent à notre lettre d’information, visitent ce site ou gèrent l’abonnement d’un Client (comptes, facturation, support).
3. Données traitées
Sur le site public
- Formulaire de contact et de démonstration : nom, e-mail, téléphone, société, effectif et message.
- Lettre d’information : adresse e-mail, texte et date de votre consentement, enregistrés au moment où vous confirmez par le lien reçu.
- Mesure d’audience : uniquement des compteurs de pages vues et de visites par jour et par page. Aucun cookie et aucun identifiant ; l’adresse IP n’est jamais enregistrée avec les compteurs. Elle sert seulement, pendant une heure au plus, à limiter les abus (trop de demandes depuis une même adresse), puis elle est effacée.
Dans l’application
- Comptes des utilisateurs : nom, e-mail ou téléphone, rôle, empreinte du mot de passe ou du code, appareils et sessions de connexion, préférences.
- Données RH saisies par le Client : dossiers du personnel, contrats, documents, congés et absences, pointages (heure, position au regard de la géozone, photo si le Client l’a activée), plannings, heures supplémentaires, paie, notes de frais, recrutement, évaluations, compétences et formations.
- Abonnement et facturation : coordonnées de la société et de ses administrateurs, devis, factures, paiements.
- Journal d’audit : qui a fait quelle action sensible, et quand.
4. Pourquoi nous les traitons
- fournir le Service au Client et l’exécuter conformément au contrat (CGU et CGV) ;
- répondre aux demandes de contact et de démonstration, et les suivre ;
- envoyer la lettre d’information, uniquement avec votre consentement ;
- assurer la sécurité du Service : connexion, double vérification, limitation des tentatives, journal d’audit ;
- facturer et respecter nos obligations comptables et fiscales ;
- connaître la fréquentation du site, sans suivre les visiteurs.
Nous ne vendons aucune donnée et n’utilisons pas les données RH des Clients à des fins publicitaires.
5. Durées de conservation
- demandes de contact et de démonstration : 3 ans, puis suppression automatique ;
- lettre d’information : jusqu’à votre désinscription ; une demande d’inscription jamais confirmée est supprimée après 30 jours ; après une désinscription, l’adresse est gardée 90 jours (pour qu’aucun e-mail ne vous soit renvoyé) puis supprimée ;
- données RH : pendant la durée de l’abonnement du Client, puis selon ses instructions à la clôture de son espace, dans un délai de 90 jours (le temps d’exporter ses données) ;
- photos de pointage : pendant la durée choisie par le Client, puis effacées automatiquement ;
- factures et pièces comptables : pendant la durée légale de conservation (10 ans selon l’Acte uniforme OHADA relatif au droit comptable) ;
- traces d’envoi des bulletins et des messages WhatsApp : 12 mois ; liens d’accès à un bulletin : 90 jours après leur expiration ;
- codes de connexion et e-mails envoyés : 30 jours ; sessions d’appareil : 90 jours après leur fin ;
- journal d’audit : 2 ans ; journaux techniques et d’erreurs : 30 jours.
Les données ne sont jamais supprimées à cause d’un impayé : le Client peut toujours les consulter et les exporter.
6. Destinataires et sous-traitants
Dans l’application, les données RH ne sont visibles que des utilisateurs du Client autorisés par leur rôle. Nos équipes n’y accèdent que pour le support ou la sécurité. Nous faisons appel aux prestataires suivants :
- Vercel (États-Unis) : hébergement de l’application et stockage privé des fichiers (Vercel Blob) ;
- Neon (États-Unis) : base de données PostgreSQL ;
- Upstash : limitation du nombre de requêtes, contre les abus ;
- Resend : envoi des e-mails du service (codes, notifications, lettre d’information) ;
- Bictorys : traitement des paiements Mobile Money. HR Engine n’a jamais connaissance de votre code secret Mobile Money ;
- Microsoft Azure (Document Intelligence) : lecture automatique du montant et de la date sur la photo d’un reçu de note de frais, quand la société l’active. Seule la photo du reçu lui est transmise ;
- Sentry : suivi des erreurs techniques. Aucune donnée personnelle ne lui est transmise.
7. Transferts hors du Mali
Nos hébergeurs et prestataires sont situés hors du Mali, notamment aux États-Unis et en Europe. Ces transferts ont fait l’objet d’une déclaration ou d’une autorisation auprès de l’APDP : [numéro de récépissé APDP].
8. Sécurité
- chaque société est isolée des autres dans la base de données (sécurité au niveau des lignes) ;
- toutes les connexions sont chiffrées (HTTPS) ;
- les mots de passe et les codes sont stockés sous forme d’empreinte, jamais en clair ;
- les documents des employés sont conservés dans un stockage privé et ne sont servis qu’après contrôle des droits de la personne qui les demande ;
- les actions sensibles sont enregistrées dans un journal d’audit ;
- une double vérification par code envoyé par e-mail peut être activée par chacun ou imposée par la société.
9. Cookies et mesure d’audience
Le site et l’application n’utilisent aucun cookie publicitaire ni aucun cookie de mesure d’audience, et aucun traceur tiers. Seuls des cookies techniques, indispensables, sont posés dans l’application pour vous garder connecté (session) et protéger les formulaires (sécurité CSRF). C’est pourquoi aucun bandeau de consentement ne vous est présenté.
Notre mesure d’audience est interne : elle compte les pages vues et les visites par jour et par page, sans cookie et sans enregistrer d’adresse IP ni d’identifiant avec ces compteurs. Si votre navigateur envoie un signal Do Not Track ou Global Privacy Control, votre visite n’est pas comptée.
10. Lettre d’information
L’inscription demande votre consentement explicite, puis une confirmation par un lien envoyé à votre adresse e-mail (double confirmation). Chaque e-mail contient un lien de désinscription, valable immédiatement.
11. Vos droits
Conformément à la loi n° 2013-015, vous disposez des droits suivants sur vos données :
- droit d’accès : savoir quelles données nous détenons sur vous ;
- droit de rectification : faire corriger des données inexactes ;
- droit d’opposition : vous opposer à un traitement pour un motif légitime ;
- droit de suppression : faire effacer vos données lorsque la loi le permet.
Pour les exercer, écrivez à [adresse e-mail du délégué / contact données personnelles]. Si vous êtes employé d’une société cliente, adressez-vous d’abord à votre employeur, responsable de vos données RH : nous l’aiderons à vous répondre. Une partie de vos coordonnées peut aussi être modifiée directement depuis « Mon espace ».
Vous pouvez également adresser une réclamation à l’Autorité de Protection des Données à caractère Personnel (APDP), Bamako, apdp.ml.
12. Modifications
Nous pouvons mettre à jour cette politique ; la date en haut de page indique la dernière version. En cas de changement important, les administrateurs des Clients en sont informés. Voir aussi les conditions générales d’utilisation et les mentions légales.