Vos données en Europe, et comment les récupérer.

Dans un logiciel d’entreprise, l’entreprise cliente est responsable de traitement. L’éditeur est sous-traitant, au sens de l’article 28 du règlement général sur la protection des données. Ce n’est pas une formule, c’est un partage de pouvoir. C’est le client qui décide des finalités, des durées et des destinataires. L’éditeur exécute ses instructions et n’a pas le droit d’en sortir.

Trois conséquences suivent, et elles se vérifient dans les documents plutôt que dans un argumentaire. L’accord de sous-traitance est un document contractuel à part entière, distinct des conditions générales. La liste des sous-traitants ultérieurs doit être communiquée, et vous devez être informé avant tout changement. Enfin, à la fin du contrat, le sous-traitant restitue ou efface, sans garder d’archive pour son propre confort.

Un éditeur qui utiliserait vos données pour son propre compte, pour du profilage ou pour entraîner un modèle, cesserait d’être sous-traitant sur ce traitement et deviendrait responsable de sa propre initiative. Ce n’est pas une nuance de juriste, c’est ce qui rend une clause d’exclusion vérifiable. Notre politique de confidentialité l’écrit, et celle de chaque produit la reprend pour son propre périmètre.

Une région européenne est une garantie de localisation, pas une garantie de juridiction. Un fournisseur contrôlé par une société de droit américain peut se voir demander de produire des données qu’il détient. Y compris stockées ailleurs, en application de sa propre loi. Le lieu du bâtiment ne règle donc pas la question à lui seul. Une mention « hébergé en Europe » sur une plaquette ne la règle pas davantage.

Ce qui la règle, c’est de savoir avec quelle entité vous contractez. Qui exploite les machines. Et par quelles mains passent les données entre votre navigateur et le disque. Ces trois réponses sont rarement les mêmes, et il n’y a rien de honteux à ce qu’elles diffèrent. Ce qui pose problème, c’est de ne pas les écrire.

Les plateformes produit tourneront sur nos propres serveurs, chez un hébergeur allemand, à Falkenstein. Les sauvegardes chiffrées et les bulletins mis à disposition des salariés sont stockés à Paris, chez la filiale luxembourgeoise d’un fournisseur américain. La résolution des noms de domaine et le réseau de diffusion passent par une société américaine. Les trois lignes sont nommées, avec les raisons sociales et les adresses, dans les mentions légales.

Nous ne prétendons donc pas à une souveraineté complète, parce que ce serait faux. Nous disons où va chaque chose, qui l’exploite, et ce que nous n’en faisons pas. Aucune revente, aucun profilage, aucun entraînement de modèle sur ce que vous y mettez. Une entreprise qui a besoin d’une chaîne intégralement européenne, jusqu’au réseau de diffusion, doit le savoir avant de signer. Pas le découvrir dans une annexe.

Il existe un cas où la question ne se pose pas du tout. ByUsage Sheet n’a pas de serveur applicatif. Le calendrier, les totaux et la fabrication du PDF s’exécutent dans votre navigateur, la saisie reste sur votre appareil, et le lien de partage transporte la fiche dans la partie de l’adresse que le navigateur n’envoie jamais au serveur. Nous ne recevons rien, donc nous n’avons rien à perdre ni rien à promettre. Un modèle de compte rendu d’activité contient des noms de clients, des missions et des arrêts maladie, et ces informations n’ont aucune raison d’aller sur le serveur d’un éditeur pour qu’un tableau soit additionné.

Presque tous les contrats prévoient une restitution des données. Peu précisent quand, dans quel format, et avec quoi dedans. C’est là que se joue la différence entre une clause et une sortie possible.

Un export permanent, pas une procédure. Un export qui ne se déclenche qu’à la résiliation se négocie au moment où vous avez le moins de poids. Un export en libre- service disponible tous les jours de l’abonnement se vérifie le premier mois, quand la relation est bonne. Un client qui découvre le bouton le jour de son départ n’a jamais eu confiance.

Un index et des empreintes. Une archive de paie sans index qui nomme chaque pièce, sa période et son salarié ne prouve rien quelques années plus tard. Sans empreinte cryptographique par fichier non plus. C’est précisément ce qu’on demandera à l’employeur en cas de contrôle ou de litige. Et c’est ce qui distingue un dossier archivé d’un simple tas de fichiers.

Des formats ouverts, avec l’historique. Les bulletins en PDF, les données de paie en fichier structuré, les compteurs, les déclarations et l’historique. Un export qui ne rend que le dernier état, sans l’historique qui y mène, vous laisse avec des chiffres que vous ne pouvez plus expliquer.

Pendant l’abonnement, l’espace de consultation reste ouvert et l’export reste disponible. Après une résiliation, il est d’usage de laisser trente jours d’accès complet. Le temps de tout récupérer, et de prévenir les salariés concernés. Au delà, l’effacement doit être irréversible, parce qu’un sous-traitant n’a pas à conserver ce qu’aucun texte ne lui impose de garder.

Un point est régulièrement mal compris. L’obligation de tenir un bulletin de paie à disposition pendant cinquante ans, ou jusqu’aux soixante-quinze ans du salarié, pèse sur l’employeur. Elle ne se transfère pas au fournisseur de l’outil, et aucun éditeur sérieux ne prétendra la porter à votre place. Ce que le bulletin doit contenir et combien de temps il se garde détaille cette obligation. Un espace de consultation ouvert le temps de l’abonnement est un service, pas une archive à cinquante ans, et il faut lire les conditions générales pour savoir laquelle des deux on vous vend.