Politique de confidentialité

Chez absentify GmbH (ci-après dénommée « nous » ou « absentify »), nous nous engageons à protéger vos données personnelles et à assurer la transparence quant à la manière dont nous les collectons, les traitons et les utilisons. La présente politique de confidentialité s'applique à l'utilisation de notre site web https://absentify.com et de notre application SaaS absentify.

absentify GmbH Rotachstrasse 4, 8003 Zuerich, Suisse

Téléphone : +49 251 9811573777 E-mail : support@absentify.com

Prighter Group GmbH Neustiftgasse 83/2A, 1070 Vienne, Autriche

Contact : https://app.prighter.com/portal/absentify

Prighter Ltd 20 Primrose Street, London EC2A 2EW, Royaume-Uni

Contact : https://app.prighter.com/portal/absentify

absentify GmbH – Délégué à la protection des données

E-mail : privacy@absentify.com

Autorité de contrôle de l'UE : Vous pouvez déposer une plainte auprès d'une autorité de contrôle dans votre État membre de l'UE, en particulier dans l'État membre de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation présumée.

Autorité de contrôle du Royaume-Uni : Information Commissioner's Office (ICO) Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF, Royaume-Uni Site web : https://ico.org.uk

absentify est pleinement conforme au Règlement Général sur la Protection des Données (UE) 2016/679 (RGPD). Nous traitons les données personnelles de manière licite, loyale et transparente conformément aux articles 5 à 11 du RGPD.

absentify est également conforme au UK General Data Protection Regulation (UK GDPR) tel que maintenu dans le droit britannique en vertu du European Union (Withdrawal) Act 2018, lu conjointement avec le Data Protection Act 2018. Le UK GDPR s'applique au traitement des données personnelles des personnes situées au Royaume-Uni.

En tant qu'entreprise suisse, nous respectons également la Loi fédérale suisse sur la protection des données (LPD/DSG).

Nous collectons et traitons vos données de la manière suivante :

• Informations d'inscription et de configuration du compte
• Formulaires, e-mails et messages de support
• Demandes d'absence, motifs d'absence et documents téléchargés
• Informations de profil saisies manuellement

Lorsque vous utilisez la connexion Microsoft, nous recevons et synchronisons les données de profil de base suivantes :

Élément de données

Finalité

Prénom

Identification et affichage de l'utilisateur

Nom de famille

Identification et affichage de l'utilisateur

Adresse e-mail

Identification du compte et communication

Photo de profil

Affichage du profil utilisateur

Élément de données

Finalité

Date de naissance (facultatif)

Notifications d'anniversaire et insights RH

Dates de début/fin d'emploi

Notifications d'anniversaire, suivi de l'ancienneté, rapports RH

Identifiant employé personnalisé

Intégration avec les systèmes RH

Calendrier des jours fériés

Calcul précis des congés

Préférences régionales

Expérience utilisateur localisée

Élément de données

Finalité

Demandes d'absence

Fonctionnalité principale de gestion des absences

Contingents de congés

Gestion des quotas et suivi des soldes

Affectations aux services

Structure organisationnelle et contrôle d'accès

Affectations des approbateurs/remplaçants

Workflows d'approbation

Plannings de travail

Calcul précis des congés

Documents téléchargés

Documentation justificative des demandes d'absence

Élément de données

Finalité

Adresse IP

Sécurité, prévention de la fraude et conformité légale

Type et version du navigateur

Support technique et optimisation

Système d'exploitation

Support technique et optimisation

Heure d'accès

Surveillance de la sécurité et analyses

URL de provenance

Analyses marketing

Élément de données

Finalité

Jetons Microsoft OAuth

Accès API pour les intégrations optionnelles

Chiffrés, renouvellement automatique

Jetons Magic Link

Authentification sans mot de passe

15 minutes, usage unique

Cookies de session

Gestion de session

30 jours, chiffrés AES-256

Finalité

Base juridique (RGPD UE)

Base juridique (UK GDPR)

Fourniture de l'accès à l'application

Art. 6(1)(b) – Exécution du contrat

Art. 6(1)(b) – Exécution du contrat

Garantie de la fonctionnalité et de la sécurité

Art. 6(1)(f) – Intérêt légitime

Art. 6(1)(f) – Intérêt légitime

Support et service client

Art. 6(1)(f) – Intérêt légitime

Art. 6(1)(f) – Intérêt légitime

Newsletter et marketing (avec consentement)

Art. 6(1)(a) – Consentement

Art. 6(1)(a) – Consentement

Analyses produit et améliorations

Art. 6(1)(f) – Intérêt légitime

Art. 6(1)(f) – Intérêt légitime

Conformité légale et archivage

Art. 6(1)(c) – Obligation légale

Art. 6(1)(c) – Obligation légale

Évaluation de l'intérêt légitime : Lorsque nous nous appuyons sur des intérêts légitimes, nous avons réalisé des tests de mise en balance pour nous assurer que nos intérêts ne prévalent pas sur vos droits et libertés fondamentaux. Vous pouvez demander les détails de ces évaluations en contactant privacy@absentify.com.

Retrait du consentement : Lorsque le traitement est fondé sur le consentement, vous pouvez retirer votre consentement à tout moment avec effet pour l'avenir en contactant privacy@absentify.com ou en utilisant le lien de désinscription dans les communications marketing.

Nous sélectionnons soigneusement des sous-traitants qui répondent à nos exigences en matière de sécurité et de protection des données. Tous les sous-traitants opèrent dans le cadre d'accords de traitement des données (DPA) conformes au RGPD.

Nous travaillons exclusivement avec des sous-traitants au sein de l'Union européenne (UE) et du Royaume-Uni (couvert par une décision d'adéquation de l'UE). La liste actuelle des sous-traitants agréés, y compris leurs localisations et finalités, est disponible à l'adresse :

https://absentify.com/subprocessors

Nous informerons les clients de tout nouveau sous-traitant au moins 30 jours avant son engagement par e-mail ou via la page des sous-traitants. Les clients peuvent s'y opposer dans un délai de 14 jours s'ils ont des préoccupations raisonnables et documentées concernant la conformité en matière de protection des données.

Toutes les données personnelles sont principalement traitées au sein de l'Union européenne et de la Suisse :

Type de données

Localisation principale

Localisation de sauvegarde

Données clients

Europe du Nord (Irlande)

Région partenaire UE (géo-redondant)

Journaux applicatifs

Europe du Nord (Irlande)

–

Journaux d'audit

Europe du Nord (Irlande)

–

La Commission européenne a adopté une décision d'adéquation pour le Royaume-Uni, reconnaissant que le Royaume-Uni offre un niveau adéquat de protection des données. Cette décision d'adéquation est actuellement valable jusqu'au 27 décembre 2025 (prolongée). Nous surveillons ce statut et mettrons en place les garanties appropriées si nécessaire.

Pour tout transfert vers des pays situés en dehors de l'UE/EEE/Royaume-Uni/Suisse sans décision d'adéquation, nous veillons à ce que des garanties appropriées soient en place :

• Clauses Contractuelles Types (CCT) approuvées par la Commission européenne
• UK International Data Transfer Agreement (IDTA) ou addendum britannique aux CCT de l'UE, le cas échéant
• Mesures techniques et organisationnelles de sécurité
• Évaluations d'impact des transferts, le cas échéant

Vous pouvez demander une copie de ces garanties à privacy@absentify.com.

Vous disposez des droits suivants concernant vos données personnelles :

Droit

Description

Référence

Droit d'accès

Obtenir la confirmation du traitement et une copie de vos données

Art. 15 RGPD

Droit de rectification

Corriger des données inexactes ou incomplètes

Art. 16 RGPD

Droit à l'effacement

Demander la suppression de vos données (« droit à l'oubli »)

Art. 17 RGPD

Droit à la limitation

Limiter le traitement dans certaines circonstances

Art. 18 RGPD

Droit à la portabilité des données

Recevoir vos données dans un format structuré et lisible par machine

Art. 20 RGPD

Droit d'opposition

S'opposer au traitement fondé sur des intérêts légitimes

Art. 21 RGPD

Droit de retirer le consentement

Retirer votre consentement à tout moment

Art. 7(3) RGPD

Droit de ne pas faire l'objet d'une décision automatisée

Ne pas être soumis à des décisions fondées uniquement sur un traitement automatisé

Art. 22 RGPD

Droit de déposer une plainte

Déposer une plainte auprès d'une autorité de contrôle

Art. 77 RGPD

Pour exercer vos droits, veuillez nous contacter :

• E-mail : privacy@absentify.com
• Téléphone : +49 251 9811573777

Nous répondrons à votre demande dans un délai d'un mois à compter de sa réception. Ce délai peut être prolongé de deux mois supplémentaires si nécessaire, en tenant compte de la complexité et du nombre de demandes.

Pour protéger votre vie privée, nous pouvons être amenés à vérifier votre identité avant de traiter votre demande.

Nous ne facturerons pas de frais, sauf si votre demande est manifestement infondée ou excessive.

Nous conservons vos données uniquement aussi longtemps que nécessaire pour atteindre les finalités pour lesquelles elles ont été collectées ou pour satisfaire aux exigences légales.

Type de données

Durée de conservation

Remarques

Données applicatives clients

Jusqu'à la suppression du compte

Suppression immédiate lors de la suppression du compte

Données de sauvegarde

Maximum 14 jours

Sauvegardes géo-redondantes, puis suppression définitive

Documents financiers

Gérés par Paddle

Soumis aux politiques conformes au RGPD de Paddle

Journaux applicatifs

30 jours

Azure Log Analytics

Journaux d'audit de sécurité

365 jours

Stockage immuable pour la conformité

Journaux d'audit de la base de données

30 jours

Azure Log Analytics

Journaux d'accès Key Vault

365 jours

Stockage immuable

Communications par e-mail

12 mois

Sauf si elles font partie d'une affaire juridique ou d'un audit

Lorsque les données ne sont plus nécessaires, elles sont supprimées de manière sécurisée à l'aide de méthodes de destruction de données conformes aux normes du secteur, garantissant que les données ne sont pas récupérables.

Notre site web et notre application utilisent des cookies aux fins suivantes :

Catégorie

Finalité

Base juridique

Cookies essentiels

Fonctionnalités de base, sécurité, gestion de session

Art. 6(1)(f) – Intérêt légitime

Cookies d'analyse

Amélioration du produit et analyses d'utilisation

Art. 6(1)(a) – Consentement

Cookies marketing

Publicité personnalisée (le cas échéant)

Art. 6(1)(a) – Consentement

Nous utilisons PostHog, Inc. (EU Cloud) pour l'analyse anonymisée du comportement utilisateur. Toutes les données d'analyse sont traitées exclusivement au sein de l'Union européenne (Francfort-sur-le-Main, Allemagne).

Vous pouvez gérer vos préférences en matière de cookies via :

• Notre bannière de consentement aux cookies
• Les paramètres de votre navigateur
• Notre page de paramètres des cookies

Certification

Statut

ISO 27001

Certifié (Système de Management de la Sécurité de l'Information)

Certification application Microsoft 365

Certifié

Conformité Microsoft Azure

ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3

Nous avons mis en place des mesures de sécurité complètes pour protéger vos données :

Chiffrement :

• Au repos : Chiffrement AES-256 pour toutes les bases de données, le stockage et les sauvegardes
• En transit : TLS 1.2+ imposé sur toutes les connexions, HTTPS uniquement avec HSTS

Sécurité réseau :

• Points de terminaison privés pour tous les services sensibles (pas d'adresses IP publiques)
• Pare-feu applicatif (WAF) avec protection OWASP
• Protection DDoS avec limitation de débit
• Réseau virtuel dédié avec segmentation par sous-réseau

Contrôle d'accès :

• Contrôle d'accès basé sur les rôles (RBAC)
• Authentification multifacteur (MFA) pour l'accès en production
• Principe du moindre privilège
• Revues d'accès régulières
• Accès direct à la base de données réservé à la direction uniquement

Surveillance :

• Microsoft Defender for Cloud pour la détection des menaces en temps réel
• Surveillance continue de la sécurité et alertes
• Journaux d'audit immuables conservés pendant 365 jours

Réponse aux incidents :

• Procédure documentée de réponse aux incidents de sécurité
• Notification aux autorités de contrôle dans les 72 heures en cas de violation (lorsque requis)
• Tests de pénétration et évaluations des vulnérabilités réguliers

Pour les clients utilisant absentify dans un contexte professionnel, nous fournissons un Accord de traitement des données (DPA) conformément à l'Art. 28 RGPD / UK GDPR.

Le DPA est disponible à l'adresse : https://absentify.com/dpa

Le DPA comprend :

• Clauses Contractuelles Types (CCT) pour les transferts internationaux
• Mesures Techniques et Organisationnelles (MTO)
• Certificat ISO 27001 en annexe
• Liste des sous-traitants

absentify s'intègre à Microsoft 365 pour l'authentification et les fonctionnalités optionnelles.

Nous appliquons le principe d'accès minimal aux données.

Autorisation

Finalité

email

Consulter les adresses e-mail des utilisateurs

openid

Connecter les utilisateurs

profile

Consulter le profil de base des utilisateurs

User.Read

Se connecter et lire le profil utilisateur

Chaque fonctionnalité optionnelle utilise une inscription d'application Azure AD distincte pour garantir un périmètre d'autorisations minimal :

Fonctionnalité

Autorisations

Ce que nous faisons

Ce que nous ne faisons PAS

Synchronisation calendrier

Calendars.ReadWrite

Créer/mettre à jour/supprimer uniquement les événements d'absence

Lire les rendez-vous existants

Message d'absence

MailboxSettings.ReadWrite

Définir uniquement les réponses automatiques

Accéder aux e-mails ou au contenu de la boîte aux lettres

Synchronisation managers

User.Read.All

Lire uniquement les relations hiérarchiques

Accéder aux données sensibles des employés

Synchronisation groupes

Group.ReadWrite.All, Directory.Read.All

Lire uniquement les appartenances aux groupes

Accéder aux fichiers, conversations ou contenu des groupes

Notre engagement :

• Nous ne demandons que les autorisations nécessaires à chaque fonctionnalité
• Nous ne lisons que les champs de données spécifiquement requis
• Nous ne stockons que ce qui est absolument nécessaire
• Nous ne modifions jamais votre tenant Microsoft au-delà de la finalité déclarée

L'ensemble du traitement des paiements est assuré par Paddle.com Market Limited, agissant en tant que Merchant of Record.

• absentify ne stocke aucune donnée de carte de paiement, information bancaire ou adresse de facturation.
• Nous ne stockons que des identifiants de référence vers les enregistrements Paddle.
• Paddle est conforme PCI DSS et conforme au RGPD.

Pour les demandes de facturation : https://paddle.net Politique de confidentialité de Paddle : https://www.paddle.com/legal/privacy

absentify est un service interentreprises (B2B) destiné à un usage organisationnel. Nous ne collectons pas sciemment de données personnelles de mineurs de moins de 16 ans. Si vous pensez que nous avons collecté de telles données par inadvertance, veuillez nous contacter immédiatement à privacy@absentify.com.

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre pour refléter les évolutions de nos pratiques, technologies, exigences légales ou d'autres facteurs.

• Les modifications substantielles seront communiquées par e-mail aux utilisateurs inscrits et/ou par notification dans l'application.
• La date « Dernière mise à jour » en haut de cette politique indique la date de sa dernière révision.
• Nous vous encourageons à consulter cette politique régulièrement.

Pour toute question ou préoccupation concernant la protection des données ou cette politique de confidentialité, veuillez contacter :

Délégué à la protection des données absentify GmbH Rotachstrasse 4, 8003 Zuerich, Suisse

• E-mail : privacy@absentify.com
• Téléphone : +49 251 9811573777
• Support général : support@absentify.com