Confidentialité des données

Qui traite quoi, pour quelle raison, pendant combien de temps, et ce que vous pouvez exiger.

Qui est responsable de quoi

Deux traitements coexistent, et ils n’ont pas le même maître. Pour les données de votre évaluation des risques, votre organisation est responsable de traitement : c’est elle qui décide de ce qui est saisi et pourquoi. Amont Prévention n’en est que le sous-traitant au sens de l’article 28 du RGPD, et n’agit que sur ses instructions. Les engagements correspondants — confidentialité, sécurité, sort des données en fin de contrat, recours à des sous-traitants ultérieurs — sont contractuels et figurent dans les conditions d’utilisation.

Pour les comptes des utilisateurs et pour les messages qui nous sont adressés, l’éditeur est responsable de traitement, et c’est la présente page qui vous informe.

Responsable de traitement

Corentin Cuzeau, 12 rue des Ateliers (provisoire), 21000 Dijon (provisoire).
Contact : contact@amont-prevention.fr. L’identification complète de l’éditeur figure dans les mentions légales.

Aucun délégué à la protection des données n’est désigné : l’éditeur n’exerce ni suivi régulier et systématique à grande échelle, ni traitement à grande échelle de données sensibles, les deux cas où le RGPD rend cette désignation obligatoire.

Ce que nous traitons

Les données de votre évaluation des risques : unités de travail, effectifs exposés, risques, cotations, mesures de prévention et actions. Elles concernent des situations de travail, pas des personnes nommément désignées — hormis les comptes des utilisateurs de votre organisation (nom, adresse e-mail, rôle) et le membre désigné responsable d’une action du plan de prévention.

S’y ajoute, depuis la version 1.6, le fichier de personnel que votre organisation choisit de tenir : nom et prénom de vos salariés, poste, unité de travail, dates d’entrée et de sortie, et l’historique de leurs formations à la sécurité. Ces personnes n’ont pas de compte et ne sont pas utilisatrices du service.

Aucun champ de l’application ne demande de date de naissance, de numéro de sécurité sociale ni de donnée de santé — ni aptitude, ni restriction, ni date de visite médicale. L’aptitude médicale relève de l’article 9 du RGPD, dont le traitement est interdit par principe : elle est détenue par le service de prévention et de santé au travail, et l’employeur n’en connaît que l’avis. L’effectif exposé d’une unité de travail, lui, est un nombre.

Les champs libres, eux, acceptent ce qu’on y écrit : il revient à votre organisation, qui en est responsable, de ne pas y consigner de donnée dont elle n’aurait pas besoin.

S’y ajoutent, pour le fonctionnement du service : l’adresse IP et le navigateur associés à vos sessions, le journal d’audit des écritures, et les messages que vous nous envoyez.

Enfin, un journal d’envoi retient quel rappel est parti à quelle adresse et pour quelle période. Il n’a pas d’autre objet que d’empêcher qu’un même message soit envoyé deux fois : sans lui, un rappel mensuel partirait chaque nuit.

Finalités et bases légales

Fournir l’accès au service
Créer un compte, vérifier l’adresse e-mail, ouvrir une session, gérer les membres et les invitations d’une organisation.
Base légale : Exécution du contrat conclu avec vous (article 6.1.b).
Rôle de Amont Prévention : Responsable de traitement.
Héberger votre évaluation des risques
Sites, unités de travail, effectifs exposés, risques, cotations, mesures de prévention et plan d’actions saisis par votre organisation.
Base légale : Obligation légale pesant sur l’employeur (articles L4121-1 et L4121-3-1 du code du travail), dont l’éditeur n’exécute que la partie technique.
Rôle de Amont Prévention : Sous-traitant.
Conserver les documents uniques publiés
Chaque version publiée est figée sous la forme d’un instantané complet de l’évaluation, qui n’est ni migré ni recalculé. Le document PDF, lui, n’est pas conservé comme fichier : il est composé à la demande à partir de cet instantané, et rend donc à chaque téléchargement le texte exact de la publication — c’est l’instantané qui fait foi, pas un fichier qu’il faudrait protéger.
Base légale : Obligation légale de conservation des versions successives (article L4121-3-1 IV du code du travail).
Rôle de Amont Prévention : Sous-traitant.
Tracer les modifications
Un journal d’audit enregistre, pour chaque écriture, l’auteur, la date, l’objet concerné et les valeurs soumises.
Base légale : Intérêt légitime : un document unique a valeur de preuve, et une modification que rien n’atteste ne vaut rien devant un contrôle ou un juge (article 6.1.f).
Rôle de Amont Prévention : Sous-traitant.
Sécuriser le service
Adresse IP et navigateur associés à une session, sauvegardes quotidiennes de la base, journaux techniques de fonctionnement.
Base légale : Intérêt légitime : détecter les accès anormaux et restaurer le service après un incident (article 6.1.f).
Rôle de Amont Prévention : Responsable de traitement.
Suivre les formations à la sécurité de votre personnel
Nom et prénom de vos salariés, poste, unité de travail, dates d’entrée et de sortie, et pour chaque formation : intitulé, date d’obtention, échéance, organisme et référence du titre. Le service en calcule les dates de renouvellement et signale celles qui approchent.
Base légale : Obligation légale pesant sur l’employeur de former ses salariés à la sécurité (articles L4141-1 à L4141-4 du code du travail), dont l’éditeur n’exécute que la partie technique.
Rôle de Amont Prévention : Sous-traitant.
Vous rappeler vos échéances
Quatre rappels par courriel, au plus un par mois et par sujet : mise à jour annuelle attendue, document à republier après une modification de l’évaluation, actions du plan de prévention dont l’échéance est passée, habilitations du personnel expirées ou proches de l’être. Ils ne partent qu’aux membres qui peuvent publier — propriétaire et administrateur.
Base légale : Intérêt légitime : l’obligation de mise à jour annuelle pèse sur l’employeur, et un service qui la connaît sans jamais la signaler laisse son client en infraction (article 6.1.f). Chaque message porte un lien de désabonnement, et le réglage est aussi dans « Mon compte ».
Rôle de Amont Prévention : Responsable de traitement.
Répondre aux messages reçus
Les courriels adressés à contact@amont-prevention.fr : questions, demandes d’essai, exercice des droits.
Base légale : Intérêt légitime à répondre à qui nous écrit, ou mesures précontractuelles lorsque le message prépare une inscription (articles 6.1.f et 6.1.b).
Rôle de Amont Prévention : Responsable de traitement.

Cloisonnement et sécurité

Chaque organisation est isolée au niveau de la base de données, et non seulement dans le code applicatif. Une requête qui ne désigne pas explicitement votre organisation échoue, elle ne renvoie pas les données d’une autre. Cette propriété est vérifiée automatiquement à chaque modification du logiciel.

Les mots de passe ne sont conservés que sous forme d’empreinte, jamais en clair. Le journal d’audit enregistre les valeurs soumises mais masque celles des champs qui portent un secret — mot de passe, jeton, cookie, signature —, et il est en ajout seul : le service n’a pas le droit d’y modifier ni d’y supprimer une ligne. Une réinitialisation de mot de passe ferme toutes les sessions ouvertes et vous en avertit par courriel.

En cas de violation de données affectant votre organisation, l’éditeur vous en informe dans les meilleurs délais : c’est à vous, responsable de traitement, qu’il revient de notifier la CNIL si les conditions en sont réunies.

Sous-traitants ultérieurs

Faire fonctionner le service suppose les 6 prestataires ci-dessous, et aucun autre. La même liste figure à l’annexe des conditions d’utilisation, où elle vaut autorisation contractuelle : tout ajout ou remplacement vous est annoncé trente jours à l’avance, et vous pouvez vous y opposer.

Hébergement du serveur
Machine sur laquelle tournent le site, l'application, l'API et la génération des documents. Tout le traitement s'y exécute : ce prestataire est celui dont la portée est la plus large.
Prestataire : OVH SAS (OVHcloud) — France.
Aucun transfert hors de l’Union européenne.
Base de données
PostgreSQL, où résident l'évaluation, les comptes et le journal d'audit — c'est là que s'appliquent les policies de cloisonnement. Elle tourne sur la MÊME machine que le reste du service, et n'est joignable depuis aucun réseau public.
Prestataire : OVH SAS (OVHcloud) — France.
Aucun transfert hors de l’Union européenne.
Relais de courrier électronique
Acheminement des seuls messages de service : confirmation d'adresse, réinitialisation et alerte de changement de mot de passe. Le relais reçoit l'adresse et le nom du destinataire, ainsi que le corps du message.
Prestataire : Sendinblue SAS (Brevo) — France.
Transfert hors Union européenne : Clauses contractuelles types et décision d'adéquation, pour ceux de ses propres sous-traitants qui sont établis hors de l'Union.
Paiement en ligne
Ouverture de la souscription et gestion de l'abonnement. Reçoit votre adresse e-mail et l'identifiant de votre organisation ; recueille lui-même, sur ses pages, les données de la carte et de facturation, que l'éditeur ne voit jamais.
Prestataire : Stripe Payments Europe, Limited — Irlande. Uniquement si vous souscrivez une formule payante.
Transfert hors Union européenne : Transfert vers Stripe, LLC aux États-Unis, fondé sur la décision d'adéquation « cadre de protection des données UE–États-Unis », et à défaut sur les clauses contractuelles types.
Hébergement de la supervision et des sauvegardes déportées
Seconde machine de l'éditeur, distincte de celle qui sert le service, et qui reçoit deux choses. D'abord les journaux de fonctionnement, recopiés pour être consultables : ils portent l'adresse IP du visiteur et l'adresse à laquelle un courriel de service a été envoyé. Ensuite, chaque nuit, une copie de la sauvegarde de la base — qui contient donc l'ensemble des données du service, évaluation comprise. C'est elle qui fait qu'un sinistre sur la machine principale ne fait pas perdre vos données. Le transfert est TIRÉ par cette seconde machine : celle qui sert le service n'a aucun accès vers elle, de sorte que qui prendrait la main sur la première ne peut pas effacer les copies.
Prestataire : OVH SAS (OVHcloud) — France.
Aucun transfert hors de l’Union européenne.
Protection contre les attaques automatisées
Filtrage des adresses à l'entrée du serveur. Les adresses IP à l'origine d'une attaque détectée, l'horodatage et le nom du scénario déclenché sont partagés avec le réseau du fournisseur ; le contenu des requêtes ne l'est jamais.
Prestataire : CrowdSec — France.
Aucun transfert hors de l’Union européenne.

Le service est conçu pour que vos données d’évaluation restent dans l’Union européenne, et c’est un critère de choix des prestataires, pas un constat fait après coup. Deux réserves, écrites parce qu’elles sont vraies plutôt qu’omises parce qu’elles sont gênantes : le prestataire de paiement transfère les données de facturation vers les États-Unis, sous le cadre d’adéquation applicable, dès que vous souscrivez une formule payante ; et le relais de courrier fait appel à ses propres sous-traitants dont certains sont établis hors de l’Union, sous clauses contractuelles types. Le détail figure en regard de chaque prestataire ci-dessus.

Vos données ne sont ni vendues, ni louées, ni cédées à qui que ce soit d’autre. Aucune décision produisant un effet juridique à votre égard n’est prise de façon automatisée, et aucun profilage n’est réalisé.

Durées de conservation

Documents uniques publiés — Le temps de la relation
ils restent lisibles et téléchargeables tant que votre organisation existe, y compris après résiliation de l’abonnement, et ils ne sont ni recalculés ni modifiés. La conservation de quarante ans qu’impose l’article L4121-3-1 IV du code du travail pèse sur l’employeur, pas sur l’éditeur : c’est à vous de récupérer vos documents avant la fin du contrat, moment où les conditions d’utilisation prévoient leur restitution puis leur effacement. Annoncer ici quarante ans laisserait croire que l’abonnement en tient lieu, alors qu’aucun mécanisme ne le garantit.
Évaluation en cours — Le temps de la relation
unités de travail, risques, cotations, mesures et actions. Supprimer un élément dans l’application le retire de vos écrans et le marque comme supprimé ; la ligne subsiste en base tant que l’organisation existe, parce qu’un document à valeur de preuve ne peut pas perdre l’historique de ce qui l’a construit.
Compte utilisateur — Le temps de la relation
nom, adresse e-mail, empreinte du mot de passe. Le compte est supprimé sur demande, ou lorsque l’organisation à laquelle il appartient cesse d’utiliser le service.
Journal d’audit — La durée de vie de l’organisation tracée
aucune purge automatique n’est programmée à ce jour, et c’est délibéré : effacer la trace d’une modification reviendrait à effacer la preuve qu’elle a eu lieu. Le journal est supprimé avec l’organisation.
Session de connexion — Sept jours après le dernier usage
une session utilisée est prolongée automatiquement ; c’est l’inactivité qui la fait expirer, pas l’ancienneté. Elle est effacée immédiatement à la déconnexion, et une réinitialisation de mot de passe ferme d’un coup toutes les sessions ouvertes. Une session simplement abandonnée cesse d’être valable à son terme, mais sa ligne n’est retirée de la base qu’au retour de son porteur : aucune purge planifiée n’existe à ce jour, et le dire vaut mieux que de laisser croire à un effacement automatique.
Fichier de personnel et formations — Le temps du contrat, puis effacement
ces données appartiennent à votre organisation, qui en est responsable de traitement : elle décide de ce qu’elle inscrit, et de quand elle le retire. Un salarié qui quitte l’organisation n’est pas supprimé — on renseigne sa date de sortie, ce qui l’écarte des listes et des rappels tout en gardant son historique de formation, que l’employeur doit pouvoir produire après son départ. La suppression, elle, est possible à tout moment et honore le droit d’effacement de l’article 17.
Journal d’envoi des rappels — Conservé, sans purge automatique à ce jour
une ligne par rappel envoyé — type, adresse, période — et rien d’autre : ni contenu, ni date d’ouverture, ni lien cliqué. C’est ce qui empêche qu’un même message parte deux fois, et il faut le dire tel qu’il est : aucune purge n’est programmée à ce stade. Se désabonner ne l’efface pas, mais arrête d’y écrire — et un compte supprimé emporte ses lignes.
Journaux techniques — Rotation par volume, sans durée garantie
les journaux de fonctionnement portent l’adresse IP du visiteur et l’adresse à laquelle un courriel de service a été envoyé. Ils tournent sur un volume borné et non sur une durée : la période réellement couverte dépend donc du trafic, de quelques jours à plusieurs mois. Annoncer « trente jours » serait plus rassurant et faux dans les deux sens. Ils sont centralisés sur une seconde machine de l’éditeur, déclarée parmi les sous-traitants.
Sauvegardes — Quatorze jours
une sauvegarde par nuit, conservée sur le serveur qui héberge le service, et dont une copie est tirée chaque nuit par une seconde machine de l’éditeur — déclarée parmi les sous-traitants — pour qu’un sinistre sur la première ne fasse pas perdre vos données. Les deux dossiers suivent la même rotation : les plus anciens sont supprimés, ici comme là-bas. Attention à ce que cela signifie exactement : une donnée réellement retirée de la base disparaît des sauvegardes sous quatorze jours, mais un élément supprimé dans l’application est seulement marqué supprimé — il reste en base, donc dans toutes les sauvegardes ultérieures, jusqu’à l’effacement effectif prévu en fin de contrat.
Messages reçus à contact@amont-prevention.fr — Le temps d’y répondre
puis suppression, sauf lorsque le message porte l’exercice d’un droit — il faut alors pouvoir prouver que ce droit a été honoré.

Traceurs

Ce site ne dépose aucun traceur publicitaire ni de mesure d’audience, et ne charge aucune ressource depuis un tiers — pas même une police de caractères. L’application utilise un unique cookie de session, strictement nécessaire à votre connexion.

Vos droits

Accès — obtenir la confirmation que vos données sont traitées, et leur copie.
Rectification — faire corriger une donnée inexacte ou compléter une donnée.
Effacement — faire supprimer vos données, sauf lorsqu’une obligation légale impose de les conserver — c’est le cas des documents uniques publiés.
Limitation — faire geler un traitement le temps qu’une contestation soit tranchée.
Opposition — vous opposer, pour un motif tenant à votre situation, aux traitements fondés sur l’intérêt légitime.
Portabilité — recevoir dans un format lisible par machine les données que vous avez fournies, pour les transmettre ailleurs.
Directives post mortem — définir le sort de vos données après votre décès, comme le permet la loi Informatique et Libertés.

Ces droits s’exercent auprès du responsable de traitement. Lorsque votre demande porte sur des données saisies dans l’application par votre employeur ou votre collectivité, c’est à lui qu’elle revient : l’éditeur, simple sous-traitant, la lui transmet et l’assiste, mais ne peut pas y répondre à sa place.

Comment les exercer

Par courriel à contact@amont-prevention.fr, en précisant votre demande. Une réponse vous est apportée dans un délai d’un mois ; il peut être prolongé de deux mois si la demande est complexe, auquel cas vous en êtes informé avec le motif.

Il n’existe à ce jour aucune interface en libre-service pour exercer ces droits : ni export de vos données, ni suppression de compte. Chaque demande est traitée à la main, et cette page sera corrigée le jour où ce ne sera plus le cas. Vous pouvez en revanche télécharger vous-même, à tout moment et sans nous solliciter, le PDF de chacune de vos versions publiées.

Réclamation

Si une réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) :
3 place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07, www.cnil.fr.