Politique de confidentialité.

Les deux rôles de Normy

Selon la donnée concernée, Normy n'a pas le même rôle au regard du RGPD. Cette distinction structure toute la présente politique.

• Normy, responsable de traitement — pour les données nécessaires à la fourniture du service à l'utilisateur titulaire du compte : données de compte, données de connexion et techniques, échanges de support et, le cas échéant, données de facturation.
• Normy, sous-traitant (art. 28 RGPD) — pour les données que l'utilisateur saisit ou téléverse sur son établissement et ses salariés (registre du personnel, formations, santé au travail, accidents du travail, documents). Pour ces données, l'utilisateur (l'employeur) est le responsable de traitement : il en détermine les finalités, et Normy les traite uniquement pour son compte et selon ses instructions.

Responsable de traitement et contact

Données dont Normy est responsable

Normy collecte uniquement les données nécessaires à la fourniture et à la sécurité du service.

• Données de compte — nom, prénom, adresse email, rôle dans l'établissement, et identifiant de connexion. L'authentification est gérée par notre hébergeur de base de données ; les mots de passe ne sont jamais stockés en clair.
• Données d'établissement (titulaire du compte) — raison sociale, SIRET, adresse, code NAF, convention collective, représentant légal — données d'identification de l'abonné.
• Données techniques et de connexion — adresse IP, type de navigateur, horodatage des actions et journaux de connexion, utilisés pour la sécurité, la prévention de la fraude et le bon fonctionnement du service.
• Échanges de support — le contenu des messages que vous nous adressez et les informations nécessaires à leur traitement.
• Données de facturation — nom et adresse de facturation, numéro de TVA, historique des paiements. Les paiements sont traités par Stripe Payments Europe, Ltd., prestataire certifié PCI-DSS ; aucune coordonnée bancaire ne transite ni n'est stockée sur les serveurs de Normy.

Données traitées pour le compte de l'utilisateur (sous-traitance)

Ces données sont saisies ou téléversées par l'utilisateur, sous sa responsabilité, pour répondre à ses propres obligations réglementaires. Normy les héberge et les traite pour son compte. Cette section est fournie à titre de transparence : l'information des salariés sur ce traitement relève de l'employeur, responsable de traitement.

• Données des salariés — identité (nom, prénom, date de naissance, sexe, nationalité), coordonnées, numéro de sécurité sociale, titre de séjour pour les travailleurs étrangers, type et mentions du contrat, classification, formations suivies. Le numéro de sécurité sociale et le numéro de titre de séjour sont chiffrés.
• Données de santé au travail — catégorie particulière (art. 9 RGPD) — avis d'aptitude ou d'inaptitude, restrictions et aménagements transmis à l'employeur, suivi des visites médicales, et registre des accidents du travail (nature et siège des lésions, circonstances, soins). Ces données relèvent des catégories particulières de l'article 9 du RGPD et bénéficient d'une protection renforcée (voir « Sécurité »).
• Documents téléversés — tout fichier chargé par l'utilisateur (attestations, rapports de contrôle, contrats, certificats, etc.).
• Traçabilité — historique horodaté des actions, des consignations dans les registres et des versions successives des documents, à des fins de preuve réglementaire.

Finalités et bases légales

Les données sont traitées pour les finalités suivantes :

• Fourniture du service Normy — exécution du contrat conclu avec le titulaire du compte (art. 6.1.b du RGPD).
• Suivi des obligations sociales et de santé-sécurité de l'employeur — pour le compte de l'utilisateur responsable de traitement, fondé sur le respect de ses obligations légales (art. 6.1.c du RGPD). Pour les données de santé, la levée de l'interdiction de l'art. 9 §1 repose sur l'art. 9 §2 b) du RGPD — traitement nécessaire à l'exécution des obligations de l'employeur en matière de droit du travail et de sécurité sociale — mis en œuvre sur le fondement des articles L. 4624-1 et suivants du Code du travail et des dispositions du Code de la sécurité sociale relatives aux accidents du travail (notamment l'art. L. 441-4), assorti des garanties prévues par ces textes et par la loi n° 78-17 du 6 janvier 1978 modifiée. Cette base est portée par l'employeur, responsable de traitement ; Normy n'agit que sur ses instructions documentées.
• Sécurité, prévention de la fraude et amélioration du service — intérêt légitime de Normy (art. 6.1.f du RGPD).
• Facturation et obligations comptables — obligation légale (art. 6.1.c du RGPD), dans le cadre des abonnements payants.

Durées de conservation

Les données sont conservées le temps nécessaire aux finalités poursuivies, puis archivées ou supprimées. Certaines durées sont imposées par la loi et priment sur une demande d'effacement.

• Données de compte et d'établissement — pendant toute la durée de l'abonnement, puis 90 jours en lecture seule pour permettre l'export, avant suppression — sous réserve des conservations légales ci-dessous.
• Registre unique du personnel — tenue indélébile pendant la durée de présence du salarié, puis conservation 5 ans après son départ (art. L. 1221-13 et R. 1221-26 du Code du travail).
• Avis d'aptitude / suivi de santé au travail — conservés par l'employeur tant que nécessaire pour pouvoir les présenter à l'inspection du travail — l'art. R. 4624-55 du Code du travail ne fixe pas de durée chiffrée. À distinguer du dossier médical en santé au travail, conservé 40 ans par le service de santé au travail, que Normy n'héberge pas.
• Registre des accidents du travail bénins — conservé 5 ans à compter de la fin de l'exercice considéré (art. D. 441-2 du Code de la sécurité sociale ; registre autorisé par l'art. L. 441-4).
• DUERP et ses versions successives — conservés au moins 40 ans à compter de leur élaboration (art. L. 4121-3-1 du Code du travail, quantum précisé par l'art. R. 4121-4).
• Rapports de contrôles périodiques santé-sécurité — les documents des 5 dernières années et, en tout état de cause, ceux des 2 derniers contrôles ou vérifications (art. D. 4711-3 du Code du travail).
• Journaux techniques (logs) — conservés 12 mois maximum.
• Conversations avec l'assistant d'aide (chatbot) — conservées 1 mois, puis supprimées automatiquement. Elles sont traitées par nos fournisseurs de modèles d'intelligence artificielle (Anthropic et Google) pour générer les réponses.
• Pièces comptables et de facturation — 10 ans à compter de la clôture de l'exercice concerné.

Destinataires et sous-traitants ultérieurs

Les données ne sont accessibles qu'aux personnes habilitées de Normy, dans la stricte mesure de leur mission. Normy recourt aux sous-traitants techniques suivants, qui agissent sur ses instructions :

• Supabase Inc. — hébergement de la base de données et des fichiers (région eu-west, Paris).
• Vercel Inc. — hébergement de l'application web (région Paris, CDG1).
• Resend — envoi des emails (récapitulatif d'échéances, rappels, notifications).
• Stripe Payments Europe, Ltd. — traitement des paiements et gestion des abonnements (siège : Dublin, Irlande). Stripe agit en qualité de responsable de traitement distinct pour les données de paiement qu'il collecte directement.
• Anthropic & Google — fournisseurs des modèles d'intelligence artificielle de l'assistant d'aide (chatbot) : les messages échangés avec l'assistant leur sont transmis pour générer les réponses.
• Sentry (Functional Software, Inc.) — supervision technique : journalisation des erreurs de l'application, pour détecter et corriger les incidents. Les données personnelles sont filtrées avant transmission.
• Cloudflare — protection anti-robot du formulaire de contact du site (Turnstile). Analyse des signaux techniques du navigateur pour distinguer un humain d'un robot ; aucun cookie publicitaire ni de profilage n'est déposé.
• Upstash — limitation du nombre d'envois du formulaire de contact — données hébergées dans l'Union européenne (Francfort). Seule une empreinte non réversible de l'adresse IP est conservée, quelques minutes.
• Google Ireland Limited — mesure de l'efficacité des annonces publicitaires. Lorsqu'un compte est créé à la suite d'un clic sur une annonce Google, l'identifiant technique de ce clic — généré par Google, sans lien avec votre identité — lui est retourné pour lui indiquer que l'annonce a abouti à une inscription. Aucune donnée vous concernant (nom, adresse email, contenu de votre compte) ne lui est transmise.

Hébergement et transferts hors Union européenne

Sécurité

Normy met en œuvre des mesures techniques et organisationnelles adaptées à la sensibilité des données :

• chiffrement des communications en transit (HTTPS / TLS) et chiffrement au repos de la base de données ;
• chiffrement renforcé, au niveau de chaque champ, des données les plus sensibles : données de santé (visites médicales, accidents du travail), numéro de sécurité sociale et numéro de titre de séjour ;
• cloisonnement strict des données entre établissements (isolation par locataire) ;
• inaltérabilité et versionnement des registres et documents légalement opposables : les modifications sont historisées, sans suppression destructive ;
• fichiers stockés dans des espaces privés, accessibles uniquement via des liens signés à durée limitée ;
• journalisation des accès et authentification des opérations sensibles.

Vos droits

Conformément au RGPD et à la loi « Informatique et libertés », vous disposez des droits suivants :

• droit d'accès — obtenir une copie des données vous concernant ;
• droit de rectification — faire corriger des données inexactes ;
• droit à l'effacement — dans les limites des obligations légales de conservation rappelées ci-dessus ;
• droit à la limitation du traitement ;
• droit d'opposition à un traitement fondé sur l'intérêt légitime ;
• droit à la portabilité — recevoir vos données dans un format structuré et lisible par machine ;
• droit de définir des directives relatives au sort de vos données après votre décès.

Comment exercer vos droits

Cookies et traceurs

Modification de la présente politique