Politique de confidentialité

1. Définitions

Pour l'interprétation de la présente Politique, les termes suivants auront la signification indiquée ci-dessous :

• « Données personnelles »: toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, au sens de l'article 4 du RGPD.
• « Responsable de traitement » : la personne morale qui détermine les finalités et les moyens du traitement de données personnelles.
• « Sous-traitant »: la personne morale qui traite des données personnelles pour le compte du responsable de traitement, conformément à l'article 28 du RGPD.
• « Client »: toute personne morale ou physique agissant à titre professionnel ayant souscrit à la Plateforme, à titre payant ou pendant la Période d'Essai.
• « Utilisateur »: toute personne physique disposant d'un compte sur la Plateforme (administrateur, manager, collaborateur, intervenant externe invité).
• « Siège »: tout compte Utilisateur actif dans l'espace du Client, qu'il s'agisse d'un collaborateur, d'un manager, d'un administrateur ou d'un intervenant externe invité. Le tarif de la Plateforme est calculé par siège actif.
• « Période d'Essai »: période de quatorze (14) jours offerte gratuitement à toute nouvelle souscription, sans carte bancaire requise, à l'issue de laquelle l'espace est mis en pause si aucun moyen de paiement n'a été enregistré.
• « Données Client » : les données personnelles des collaborateurs et personnes tierces renseignées par le Client sur la Plateforme dans le cadre de sa gestion RH.
• « Données de Compte »: les données personnelles de l'Utilisateur collectées lors de la création du compte et de l'utilisation du Service (identité, email, données de connexion).
• « Données de facturation et d'usage » : les métadonnées relatives à l'Abonnement (nombre de sièges actifs, date d'ancrage de la facturation, historique des prorations en cas d'ajout ou retrait de sièges).
• « DPA »: l'Accord de Traitement des Données (Data Processing Agreement) annexé aux CGU/CGV, régissant les obligations de byusage. en qualité de sous-traitant et contenant la liste à jour des sous-traitants ultérieurs.

2. Rôles de byusage. au sens du RGPD

byusage. intervient dans deux rôles distincts selon la nature des données traitées :

2.1. byusage. en qualité de sous-traitant (article 28 RGPD)

Pour les Données Client (données des collaborateurs, données RH, documents, notes de frais, congés, bulletins de paie, etc.) renseignées ou générées par le Client sur la Plateforme, byusage. agit en qualité de sous-traitant. Le Client demeure le responsable de traitement et détermine les finalités et les moyens du traitement. byusage. traite ces données uniquement selon les instructions documentées du Client, conformément au DPA.

Le Client est seul responsable de la licéité du traitement des Données Client, de l'information des personnes concernées et du recueil des consentements nécessaires, le cas échéant.

2.2. byusage. en qualité de responsable de traitement

Pour les Données de Compte(identité de l'Utilisateur, email, identifiants de connexion, données de navigation, adresse IP, données de facturation et d'usage) et les données nécessaires au fonctionnement commercial et technique de la Plateforme, byusage. agit en qualité de responsable de traitement.

2.3. Instructions documentées du Client (mise en pause de l'espace)

Le Client reconnaît que les mécanismes de mise en pause automatique de l'espace prévus en cas de fin de Période d'Essai sans enregistrement d'un moyen de paiement, d'échec définitif de paiement ou de contestation bancaire perdue, constituent des instructions documentées du Client au sens de l'article 28.3.a du RGPD, détaillées aux articles 4, 5.5 et 5.8 des CGU/CGV et dans le DPA. Le Client, en sa qualité de responsable de traitement, demeure seul responsable des conséquences RH et informationnelles de ces mises en pause à l'égard des collaborateurs concernés.

3. Données personnelles collectées

byusage. collecte uniquement les données strictement nécessaires aux finalités poursuivies, conformément au principe de minimisation des données (article 5.1.c du RGPD).

3.1. Données collectées en qualité de responsable de traitement

• Données d'identification :nom, prénom, adresse email professionnelle, numéro de téléphone (optionnel), nom de l'entreprise, fonction.
• Données de connexion et techniques : adresse IP, type et version du navigateur, système d'exploitation, pages consultées, dates et heures de connexion, durée des sessions, identifiants de session, numéro de version de jeton (pour la révocation des sessions actives).
• Données de facturation et d'identification fiscale : nom de l'entreprise, adresse de facturation, numéro de TVA intracommunautaire, identifiants techniques du prestataire de paiement (customer ID, subscription ID, item IDs), historique des transactions et factures. Aucune donnée bancaire (numéro de carte, CVV, date d'expiration, IBAN) n'est collectée ni stockée par byusage. (cf. article 8).
• Données d'abonnement et d'usage : nombre de sièges actifs, dates de début et de fin de période de facturation, historique des ajustements de quota de sièges (ajouts ou retraits), prorations facturées, indicateurs techniques liés au cycle de vie de l'abonnement (statut de mise en pause, date de dernière synchronisation avec le prestataire de paiement).
• Événements de facturation :identifiant d'événement transmis par le prestataire de paiement, type d'événement (souscription créée, mise à jour ou supprimée, paiement réussi ou échoué, contestation ouverte ou clôturée, remboursement, enregistrement d'un moyen de paiement), horodatage, statut de traitement, et éventuel message d'erreur. Ces événements sont conservés à des fins d'audit, d'idempotence et de preuve.
• Données de support : contenu des échanges avec le support client (emails, messages).
• Données d'utilisation fonctionnelle : actions réalisées sur la Plateforme, fonctionnalités utilisées, préférences de paramétrage (à des fins d'amélioration du Service uniquement).

3.2. Données traitées en qualité de sous-traitant (Données Client)

Les Données Client sont renseignées librement par le Client sous sa responsabilité et peuvent inclure, selon les modules utilisés :

• Données d'identification des collaborateurs (nom, prénom, date de naissance, adresse, email, téléphone).
• Données relatives au contrat de travail (type de contrat, poste, date d'embauche, rémunération, temps de travail).
• Données relatives aux congés et absences.
• Documents RH (contrats, avenants, bulletins de paie générés nativement par la Plateforme, pièces d'identité, justificatifs).
• Données relatives aux notes de frais (montants, justificatifs, catégories de dépenses).
• Statut du compte collaborateur (actif, suspendu, supprimé) et métadonnées techniques associées nécessaires à la révocation d'accès.
• Toute autre donnée que le Client choisit de renseigner dans le cadre de sa gestion RH.

byusage. ne consulte, n'exploite ni ne traite les Données Client à d'autres fins que la fourniture du Service, sauf instruction écrite du Client ou obligation légale. Les modifications automatisées du statut des comptes Utilisateurs résultant d'une mise en pause de l'espace s'effectuent sur instruction contractuelle documentée du Client (cf. article 2.3).

4. Finalités et bases légales des traitements

Les traitements de données personnelles effectués par byusage. en qualité de responsable de traitement reposent sur les bases légales et finalités suivantes :

Lorsque le traitement est fondé sur l'intérêt légitime de byusage., celui-ci a été mis en balance avec les droits et libertés des personnes concernées. Vous pouvez obtenir des informations supplémentaires sur cette mise en balance en nous contactant à l'adresse indiquée à l'article 17.

5. Durée de conservation des données

Les données personnelles sont conservées pendant la durée strictement nécessaire aux finalités poursuivies, conformément au principe de limitation de la conservation (article 5.1.e du RGPD).

À l'expiration de ces durées, les données sont supprimées de manière sécurisée ou anonymisées de façon irréversible. Certaines données peuvent être archivées dans une base intermédiaire à accès restreint pendant les durées de prescription légale, puis définitivement supprimées.

6. Destinataires et sous-traitants

Les données personnelles ne sont jamais vendues, louées ou cédées à des tiers à des fins commerciales.

Les données personnelles sont accessibles exclusivement aux catégories de destinataires suivantes, dans la limite de ce qui est strictement nécessaire :

6.1. Personnel habilité de byusage.

Les personnes habilitées au sein de byusage. (équipes technique, support, direction) dans la limite de leurs attributions respectives et sous obligation de confidentialité.

6.2. Catégories de sous-traitants techniques

byusage. fait appel à des sous-traitants techniques pour la fourniture du Service, regroupés en catégories :

• Hébergement et infrastructure : serveurs applicatifs, bases de données, services de calcul.
• Stockage de fichiers : stockage objet chiffré des documents, bulletins de paie et fichiers importés ou générés.
• Traitement des paiements: facturation, encaissement, gestion des contestations, conformément à l'article 8.
• Communications transactionnelles: envoi d'emails et de notifications relatifs au Service.
• Outils de support et de productivité interne : suivi des tickets et gestion opérationnelle.

La liste nominative à jour des sous-traitants ultérieurs, leurs missions précises, les pays dans lesquels ils opèrent et les garanties contractuelles applicables figurent dans le DPA accessible depuis la Plateforme et communicable sur demande à l'adresse dpo@byusage.com. Toute modification substantielle de cette liste sera notifiée aux Clients conformément aux modalités prévues par le DPA, qui ouvrent notamment au Client la possibilité de s'y opposer dans les conditions qui y sont fixées.

6.3. Autorités compétentes

Les données personnelles peuvent être communiquées aux autorités administratives ou judiciaires compétentes lorsque byusage. y est tenue par la loi ou par une décision de justice.

7. Localisation des données et transferts internationaux

7.1. Information sur la localisation

Les pays dans lesquels les données personnelles sont hébergées et traitées par les sous-traitants techniques de byusage. sont précisés dans le DPA, avec la liste à jour des sous-traitants ultérieurs. Cette information est communicable sur demande à dpo@byusage.com.

7.2. Encadrement des transferts hors EEE

Tout transfert éventuel de Données personnelles en dehors de l'Espace économique européen (EEE) est encadré conformément aux articles 44 à 49 du RGPD, par la mise en place de garanties appropriéesau sens de l'article 46 du RGPD, notamment :

• la conclusion avec le sous-traitant concerné des clauses contractuelles types adoptées par la Commission européenne (décision d'exécution 2021/914 du 4 juin 2021) ;
• le cas échéant, la conclusion d'une analyse d'impact du transfert documentée tenant compte de la jurisprudence de la Cour de justice de l'Union européenne en matière de transferts internationaux ;
• la mise en œuvre de mesures techniques supplémentaires appropriées, notamment le chiffrement systématique des données au repos avec gestion des clés par byusage., réduisant le risque d'accès en clair par le sous-traitant ou par toute autorité étrangère.

Le détail de ces garanties, sous-traitant par sous-traitant, figure dans le DPA. Toute modification substantielle des conditions de transfert sera notifiée aux Clients dans les conditions prévues par le DPA.

7.3. Engagement renforcé de souveraineté numérique

Les Clients souhaitant disposer d'un engagement renforcé excluant tout sous-traitant soumis à une législation extraterritoriale étrangère peuvent contacter byusage. à l'adresse dpo@byusage.com afin d'évaluer les options disponibles et les modalités contractuelles correspondantes.

8. Données bancaires et paiements

byusage. ne collecte, ne stocke, ne traite et n'a accès à aucune donnée bancaire (numéro de carte bancaire, date d'expiration, CVV, IBAN, BIC).

L'ensemble des opérations de paiement et l'enregistrement des mandats SEPA sont gérés exclusivement par un prestataire de paiement tiers certifié PCI-DSS Niveau 1(le plus haut niveau de certification de sécurité dans l'industrie des paiements). L'identité de ce prestataire et sa politique de confidentialité figurent dans le DPA.

Le prestataire de paiement agit en qualité de responsable de traitement indépendant pour les données de paiement.

byusage. conserve uniquement des identifiants techniques (customer ID, subscription ID, subscription item IDs, payment method ID) permettant de rattacher les paiements, les souscriptions, les ajustements de quota de sièges et les éventuelles contestations au compte Client sur la Plateforme, sans que ces identifiants ne permettent d'accéder aux données bancaires. byusage. conserve également les événements de facturation transmis par le prestataire à des fins d'audit, d'idempotence et de preuve (cf. article 4).

9. Sécurité des données

byusage. met en œuvre des mesures de sécurité techniques et organisationnelles appropriées, conformes à l'état de l'art, afin de garantir la confidentialité, l'intégrité, la disponibilité et la résilience des données personnelles (article 32 du RGPD).

9.1. Mesures techniques

• Chiffrement des données en transit (TLS 1.2 minimum) et au repos (AES-256).
• Chiffrement des fichiers stockés (documents, bulletins de paie, justificatifs) avec gestion des clés par byusage., de manière à ce que le sous-traitant d'infrastructure ne puisse pas accéder en clair au contenu des fichiers (cf. article 7.2).
• Authentification renforcée et gestion des accès par rôles (RBAC), avec révocation des sessions actives via incrémentation du numéro de version de jeton en cas de suspension de compte.
• Hashage sécurisé des mots de passe (bcrypt ou équivalent).
• Pare-feu applicatif, protection contre les injections SQL, XSS et attaques CSRF.
• Vérification cryptographique des webhooks reçus du prestataire de paiement (signature HMAC), et traitement idempotent des événements (déduplication par identifiant d'événement).
• Journalisation et surveillance des accès aux systèmes et données.
• Sauvegardes automatisées, chiffrées et géographiquement redondantes.
• Séparation logique des données entre les différents Clients (architecture multi-tenant sécurisée, isolation par verrouillage pessimiste en base lors des opérations critiques de facturation).

9.2. Mesures organisationnelles

• Politique interne de sécurité et de confidentialité.
• Accès aux données limité au personnel strictement habilité, sous obligation de confidentialité.
• Sensibilisation et formation régulière des équipes à la protection des données.
• Procédures de gestion des incidents et de notification des violations de données.
• Revue périodique des mesures de sécurité et tests de vulnérabilité.

10. Notification des violations de données

En cas de violation de données personnelles au sens de l'article 33 du RGPD, byusage. s'engage à :

• Notifier la CNIL dans un délai de 72 heuressuivant la prise de connaissance de la violation, si celle-ci est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées.
• Informer les Clients concernés dans les meilleurs délais lorsque la violation concerne des Données Client, afin de leur permettre de remplir leurs propres obligations en qualité de responsable de traitement.
• Informer les personnes concernées directement lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (article 34 du RGPD).
• Documenter toute violation dans un registre interne, indépendamment de sa gravité.

11. Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD et aux articles 48 à 56 de la loi Informatique et Libertés, toute personne dont les données personnelles sont traitées par byusage. en qualité de responsable de traitement dispose des droits suivants :

Modalités d'exercice

Toute demande peut être adressée par email à dpo@byusage.comou par courrier à l'adresse du siège social de byusage.. La demande doit être accompagnée d'un justificatif d'identité en cas de doute raisonnable sur l'identité du demandeur.

byusage. s'engage à répondre dans un délai d'un (1) mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires en cas de complexité ou de nombre élevé de demandes, après information du demandeur.

Cas particulier des Données Client

Pour les données traitées par byusage. en qualité de sous-traitant (Données Client, y compris les Utilisateurs dont l'accès a été suspendu à la suite d'une mise en pause de l'espace), les personnes concernées (collaborateurs du Client) doivent adresser leurs demandes directement au Client, responsable de traitement. byusage. assistera le Client dans le traitement de ces demandes conformément au DPA.

12. Décisions automatisées

Au sens de l'article 22 du RGPD, les mécanismes automatisés de la Plateforme (mise en pause de l'espace en cas de fin de Période d'Essai sans enregistrement d'un moyen de paiement, en cas d'échec définitif de paiement ou en cas de contestation bancaire perdue) ne constituent pas des décisions produisant des effets juridiques ou affectant de manière significative les personnes concernées au sens dudit article, dans la mesure où :

• Ces mécanismes sont strictement configurés par le Client (souscription, mise à jour du moyen de paiement, ajustement du quota de sièges) et appliquent mécaniquement les règles contractuelles acceptées.
• Les mesures appliquées aux Utilisateurs (suspension technique du compte) ne produisent pas d'effet juridique vis-à-vis d'eux : elles n'emportent aucune décision relative à leur contrat de travail, ni aucune évaluation de leur personne. Elles résultent exclusivement d'un choix commercial ou d'un défaut de paiement du Client responsable de traitement.

En tout état de cause, le Client conserve à tout moment la possibilité d'intervenir manuellement (réactivation de l'espace, mise à jour du moyen de paiement, ajustement du quota de sièges, réactivation manuelle d'un Utilisateur), ce qui exclut le caractère exclusivement automatisé des mesures et préserve l'intervention humaine.

13. Cookies et traceurs

13.1. Cookies strictement nécessaires

byusage. utilise des cookies strictement nécessaires au fonctionnement de la Plateforme (authentification, sécurité de session, préférences techniques). Ces cookies ne nécessitent pas le consentement de l'Utilisateur conformément à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL.

13.2. Cookies de mesure d'audience (le cas échéant)

Si byusage. utilise des outils de mesure d'audience, ceux-ci seront configurés conformément aux recommandations de la CNIL (exemption de consentement pour les outils produisant des statistiques anonymes, ou recueil du consentement pour les outils non exemptés). L'Utilisateur sera informé et pourra exprimer son choix via un bandeau de gestion des cookies.

13.3. Absence de cookies publicitaires

byusage. n'utilise aucun cookie publicitaire, de remarketing, de ciblage ou de réseaux sociaux.

13.4. Durée de vie des cookies

Conformément aux recommandations de la CNIL, la durée de vie des cookies est limitée à treize (13) mois maximum. Les cookies de session sont supprimés à la fermeture du navigateur.

14. Protection des données des mineurs

La Plateforme est destinée exclusivement aux professionnels et n'est pas conçue pour être utilisée par des personnes mineures. byusage. ne collecte sciemment aucune donnée personnelle de mineurs de moins de 16 ans. Si byusage. venait à constater qu'elle a collecté des données d'un mineur sans le consentement parental requis, ces données seraient supprimées dans les meilleurs délais.

15. Analyse d'impact (AIPD)

Conformément à l'article 35 du RGPD, byusage. réalise une analyse d'impact relative à la protection des données (AIPD) lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, notamment du fait de la nature des données RH traitées et du traitement à grande échelle de données de collaborateurs. Les résultats de cette analyse peuvent être communiqués sur demande aux Clients dans le cadre du DPA.

16. Modification de la Politique

byusage. se réserve le droit de modifier la présente Politique à tout moment afin de la maintenir en conformité avec la réglementation applicable ou de l'adapter à l'évolution de ses services.

Les Utilisateurs seront informés de toute modification substantielle par email et/ou par notification sur la Plateforme au moins trente (30) joursavant son entrée en vigueur. La poursuite de l'utilisation de la Plateforme après l'entrée en vigueur de la nouvelle Politique vaut acceptation de celle-ci.

Les versions antérieures de la Politique sont archivées et disponibles sur demande.

17. Réclamation auprès de la CNIL

Si l'Utilisateur estime que le traitement de ses données personnelles n'est pas conforme à la réglementation applicable, il dispose du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), autorité de contrôle compétente en France :

• En ligne : www.cnil.fr/fr/plaintes
• Par courrier : CNIL – 3, Place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07

byusage. invite toutefois l'Utilisateur à la contacter préalablement afin de tenter de résoudre toute difficulté de manière amiable.

18. Contact

Pour toute question relative à la présente Politique ou pour exercer vos droits, vous pouvez contacter byusage. :

• Référent protection des données : dpo@byusage.com
• Support général : support@byusage.com
• Courrier : byusage. – Aix-en-Provence (13), France (adresse complète mise à jour dès immatriculation)