Politique de confidentialité

Congéo traite deux catégories de données, avec deux rôles différents. Cette distinction est essentielle pour comprendre vos droits.

Si vous êtes salarié d'une entreprise utilisant Congéo, c'est votre employeur qui décide de l'usage fait de vos données et qui répond de vos demandes. Adressez-vous à lui en priorité : nous n'avons pas le droit d'agir sur vos données sans son instruction. Nous vous aiderons évidemment à le faire aboutir.

JFRG Consulting (Congéo), EURL, 3 avenue François Mitterrand, 59290 Wasquehal — SIRET 953 073 657 00017.
Contact : contact@congeo.app

En tant que responsable de traitement

En tant que sous-traitant

Pour le compte de ses clients employeurs, Congéo traite les données de leurs salariés : identité, email professionnel, équipe, date d'entrée, demandes d'absence, catégories d'absence, soldes et ajustements.

Données de santé. La catégorie d'absence peut révéler un arrêt maladie, une maternité ou une paternité. Il s'agit de données de santé au sens de l'article 9 du RGPD. Congéo n'enregistre jamais de diagnostic, de pathologie, ni de document médical, et interdit contractuellement leur saisie dans les champs libres. L'accès à ces informations est restreint aux personnes habilitées par l'employeur.

Les durées de conservation de ces données sont déterminées par l'employeur ; à défaut d'instruction, elles suivent la durée du contrat, augmentée de 90 jours.

Vos données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales.

Elles sont accessibles au personnel habilité de Congéo, dans la stricte mesure nécessaire, et aux prestataires suivants :

La liste à jour est publiée dans l'accord de sous-traitance. Toute modification est notifiée aux clients avec un préavis leur permettant de s'y opposer.

Les données peuvent également être communiquées aux autorités administratives ou judiciaires lorsque la loi l'exige.

Vos données sont stockées et traitées au sein de l'Union européenne, sur des serveurs situés à Stockholm, en Suède.

Notre hébergeur, Supabase, Inc., est une société de droit américain. Bien que le stockage soit européen, un accès à distance depuis les États-Unis, strictement limité aux opérations de maintenance et de support technique, ne peut être totalement exclu. Un tel accès est encadré par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914), complétées par les mesures suivantes :

• chiffrement des données en transit (TLS) et au repos ;
• cloisonnement strict par organisation au niveau de la base de données ;
• restriction et journalisation des accès administratifs ;
• minimisation des données sensibles : Congéo n'enregistre jamais de diagnostic, de pathologie ni de document médical, uniquement une catégorie d'absence.

Aucun transfert de données en dehors de l'Union européenne n'est réalisé à des fins de stockage.

Congéo met en œuvre des mesures techniques et organisationnelles appropriées :

• chiffrement des communications (HTTPS/TLS) et des données au repos ;
• mots de passe stockés sous forme hachée, jamais en clair ;
• cloisonnement strict par organisation au niveau de la base de données (row-level security) : une entreprise ne peut techniquement pas accéder aux données d'une autre ;
• gestion des accès par rôle (administrateur, manager, salarié) ;
• journalisation des actions sensibles ;
• sauvegardes régulières et chiffrées ;
• accès du personnel limité au strict nécessaire et soumis à confidentialité.

En cas de violation de données susceptible d'engendrer un risque, Congéo notifie la CNIL dans les 72 heures et informe les personnes concernées ou le client responsable de traitement lorsque le risque est élevé.

L'application n'utilise que des cookies strictement nécessaires à son fonctionnement : maintien de la session authentifiée, répartition de charge et sécurité (protection anti-robots de l'hébergeur). Ces cookies sont exemptés de consentement.

Les polices de caractères du site sont hébergées sur nos propres serveurs : aucune requête n'est adressée à Google Fonts ni à un autre service tiers lors de la consultation des pages publiques.

Le script de paiement Stripe, qui dépose des cookies techniques de détection de fraude, n'est chargé que sur l'écran de paiement de l'espace client. Il n'est jamais présent sur le site public.

Congéo n'utilise aucun cookie publicitaire et aucun outil de profilage.

Congéo mesure la fréquentation de ses pages publiques dans un but unique : comprendre quelles pages sont consultées afin d'améliorer le site. Cette mesure est réalisée à partir des journaux techniques du serveur et de la plateforme d'hébergement.

• Aucun cookie de mesure d'audience n'est déposé sur votre navigateur ;
• aucun identifiant persistant n'est stocké (ni cookie, ni localStorage, ni empreinte de navigateur) ;
• les données sont agrégées et ne permettent pas de vous réidentifier ;
• aucun recoupement n'est effectué avec d'autres sites, ni aucune transmission à des régies publicitaires.

Cette mesure entre dans le cadre des exemptions de consentement prévues par la CNIL : aucun bandeau cookies n'est donc nécessaire.

Les durées figurent au tableau de l'article 2. À l'issue du contrat :

• le compte bascule en lecture seule ;
• les données restent exportables pendant 90 jours ;
• elles sont ensuite supprimées définitivement, après un email d'avertissement ;
• seules sont conservées les données nécessaires aux obligations légales (factures : 10 ans) et à la preuve (acceptation des conditions).

Une suppression anticipée peut être demandée à contact@congeo.app.

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Comment les exercer : écrivez à contact@congeo.app. Nous répondons dans un délai d'un mois, pouvant être prolongé de deux mois en cas de complexité, ce dont vous seriez informé. Une preuve d'identité peut être demandée en cas de doute raisonnable.

Si vous êtes salarié d'une entreprise cliente : adressez votre demande à votre employeur, seul habilité à décider. Si vous nous écrivez directement, nous transmettrons votre demande à votre employeur et vous en informerons.

Réclamation : vous pouvez saisir la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

Cette politique peut évoluer. Toute modification substantielle est notifiée par email et affichée dans l'application. La version en vigueur est datée en tête de document.