Vos données, hébergées en France
Cette page rassemble ce que demandent les services informatiques et les délégués à la protection des données avant de valider un outil. Elle est faite pour être transmise en interne.
Infrastructure française
Serveurs et sauvegardes localisés en France. Aucune donnée n’est transférée hors de l’Union européenne dans le cadre du service.
Chiffrement
Connexions chiffrées de bout en bout (HTTPS/TLS) et données chiffrées au repos, y compris les justificatifs déposés par les salariés.
Contrôle des accès
Un compte nommé par administrateur, des rôles qui limitent les fonctionnalités accessibles, et aucun partage d’identifiants.
Journalisation
Chaque écriture comptable et chaque validation conservent leur auteur et leur horodatage, pour constituer une piste d’audit.
Sauvegardes
Sauvegardes régulières et restauration testée, afin de limiter la perte de données en cas d’incident.
Fin de contrat
À l’issue du contrat, vos données vous sont restituées dans un format exploitable, puis supprimées de nos environnements.
Qui est responsable de quoi
La répartition des rôles conditionne vos obligations comme les nôtres. Elle est contractualisée dans l’accord de sous-traitance annexé au contrat.
Responsable de traitement
Votre comité détermine les finalités : quels avantages, pour quels bénéficiaires, selon quelles règles. C’est lui qui informe les salariés et répond à leurs demandes d’exercice de droits.
Sous-traitant
AdminCSE traite les données sur vos instructions et pour votre seul compte. Nous ne les utilisons jamais à d’autres fins, ne les revendons pas et ne les exploitons pas à des fins publicitaires.
Ce qui est en place
| Domaine | Mesure |
|---|---|
| Hébergement | Infrastructure située en France, chez un hébergeur professionnel. Isolation des environnements de production et de test. |
| Chiffrement | HTTPS/TLS pour tous les échanges. Chiffrement des données et des pièces jointes au repos. |
| Authentification | Comptes nommés, mots de passe non réutilisables entre comptes, connexion salarié sans mot de passe par lien à usage unique. |
| Habilitations | Rôles paramétrables par le comité : chaque élu n’accède qu’aux fonctionnalités qui lui sont ouvertes. |
| Traçabilité | Journalisation des accès administrateurs et des opérations comptables, avec auteur et horodatage. |
| Sauvegarde | Sauvegardes périodiques, conservation sur une durée définie, procédure de restauration documentée. |
| Cloisonnement | Les données de chaque structure sont séparées logiquement : aucun comité n’accède aux données d’un autre. |
| Personnel | Équipe restreinte, accès limités au strict nécessaire, clauses de confidentialité contractuelles. |
| Sous-traitance | Sous-traitants encadrés par contrat, avec obligation de garanties équivalentes. |
Cette liste décrit les dispositions en vigueur. Elle ne constitue pas une certification : aucune certification ISO 27001 ni HDS n’est revendiquée à ce jour.
Qui intervient sur vos données
Le RGPD vous donne le droit de connaître nos sous-traitants et de vous opposer à un changement. Voici les catégories concernées ; la liste nominative est communiquée à chaque client dans son contrat.
| Catégorie | Rôle | Localisation |
|---|---|---|
| Hébergeur | Mise à disposition de l’infrastructure et des sauvegardes | France |
| Émetteur de la carte | Émission et gestion de la carte de paiement AndyPay | Union européenne |
| Prestataire de paiement | Encaissement en ligne des commandes et adhésions | Union européenne |
| Routage des e-mails et SMS | Acheminement des notifications aux salariés | Union européenne |
| Support et supervision | Outils internes d’assistance et de suivi technique | Union européenne |
En cas de violation de données
Détection et qualification
Analyse immédiate de la nature, de l’étendue et des données concernées.
Notification
Information du comité dans les meilleurs délais, avec les éléments nécessaires à sa propre notification à la CNIL.
Correction et suivi
Mesures de remédiation, puis compte rendu écrit des causes et des actions engagées.
Pour signaler un incident ou une faille : bonjour@app-andy.fr, avec la mention « sécurité » en objet.
Votre service informatique a des questions ?
Nous répondons aux questionnaires de sécurité et fournissons l’accord de sous-traitance signé.