Sécurité et conformité

Convomint traite les données personnelles conformément au Règlement général sur la protection des données (RGPD). Pour les données des collaborateurs de nos Clients, nous agissons en tant que sous-traitant (art. 28 RGPD) ; l'employeur reste responsable du traitement. Le traitement repose sur un accord de sous-traitance, nous ne collectons que les données nécessaires à une enquête et nous aidons les Clients à répondre aux droits des personnes concernées : accès, rectification, effacement et portabilité.

Toutes les communications entre le navigateur et la plateforme sont chiffrées en TLS, et les navigateurs sont tenus de n'utiliser que des connexions sécurisées (HSTS). Les sauvegardes sont transférées vers l'espace de sauvegarde exclusivement par des connexions chiffrées. Les données particulièrement sensibles — notamment les liens personnels vers les enquêtes et évaluations et les clés d'intégration — sont stockées chiffrées dans la base de données. L'accès administratif à l'infrastructure de production exige une authentification par clé cryptographique.

La plateforme et sa base de données fonctionnent dans un centre de données de l'Union européenne (Allemagne), exploité par un fournisseur certifié ISO/IEC 27001. La base de données n'est pas accessible depuis Internet : les règles réseau n'autorisent que les connexions des services de l'application. Chaque version de l'application est une image immuable et versionnée qui passe des tests automatisés et des contrôles de sécurité avant son déploiement ; si nécessaire, nous pouvons revenir rapidement à la version précédente. Les notifications par e-mail (invitations aux évaluations et enquêtes) sont envoyées via un service de messagerie spécialisé dans l'UE, avec un suivi continu de la délivrabilité : les rebonds sont détectés automatiquement, les administrateurs voient dans le panneau quels messages n'ont pas été remis, et les adresses définitivement injoignables sont bloquées.

L'accès repose sur des rôles (administrateur, RH, manager, collaborateur) : chaque utilisateur ne voit que les données autorisées par son rôle. Les données de chaque organisation sont isolées sur plusieurs couches indépendantes de l'application. La plateforme prend en charge l'authentification à deux facteurs (MFA) et la connexion avec Google, et protège la connexion contre les tentatives de devinette de mot de passe. Les événements système sont enregistrés dans des journaux centralisés et surveillés.

Les modifications de la base de données sont archivées en continu et une sauvegarde complète est réalisée chaque jour. Les sauvegardes sont conservées 30 jours dans un espace de stockage distinct dans l'UE, en dehors du serveur applicatif, avec un versionnage qui les protège contre toute suppression accidentelle ou non autorisée. Nous pouvons ainsi restaurer les données à un instant choisi. Nous testons régulièrement la restauration en reconstituant la base complète dans un environnement séparé et en la comparant à la production.

Chaque modification du code passe des tests automatisés, une analyse des dépendances à la recherche de vulnérabilités connues et une recherche de mots de passe et de clés exposés par erreur ; une modification qui échoue à ces contrôles n'atteint jamais la production. Nous menons en outre des revues de sécurité du code et de la configuration selon les recommandations de l'OWASP. Les vulnérabilités identifiées sont priorisées et corrigées sans délai.

Nous suivons un plan établi de réponse aux incidents de sécurité. Nous informons le Client d'une violation de données personnelles dans les meilleurs délais et lui fournissons les informations nécessaires pour la notifier à l'autorité de contrôle dans le délai légal de 72 heures. Les violations concernant des données dont nous sommes responsables sont notifiées par nos soins à l'autorité de contrôle.

Nos pratiques de sécurité suivent les recommandations de l'OWASP et les exigences du RGPD. Le centre de données qui héberge la plateforme est certifié ISO/IEC 27001. À la demande du Client, nous répondons aux questionnaires de sécurité fournisseurs.

Nous conservons les données pendant la durée du contrat. À son terme, le Client dispose de 30 jours pour exporter les résultats ; les données sont ensuite supprimées ou anonymisées, et les sauvegardes expirent automatiquement dans le cycle de 30 jours. À la demande du Client, nous supprimons les données plus tôt.

Les utilisateurs sont responsables de la sécurité de leurs comptes : utiliser des mots de passe robustes et ne pas communiquer leurs identifiants à des tiers. Nous recommandons d'activer l'authentification à deux facteurs (MFA) pour les comptes administrateurs.

Dans les enquêtes anonymes, nous conservons les réponses séparément des informations de participation. L’employeur voit des résultats agrégés, avec une protection des petits groupes. L’anonymat a des limites : le contenu d’une réponse, des informations complémentaires ou un accès complet au système peuvent révéler son auteur. Une adresse IP peut être traitée pour la sécurité, mais nous ne l’enregistrons pas avec la réponse. Des données plus anciennes peuvent subsister dans les sauvegardes.

Nous confions les données uniquement à des sous-traitants de confiance : infrastructure et hébergement dans l'UE/EEE, courrier électronique transactionnel via Amazon SES (Amazon Web Services, région UE – Irlande), Stripe pour les paiements, PostHog analyses de produits (cloud de l'UE). Les fonctionnalités d'IA utilisent des fournisseurs de modèles de langage externes dans le cadre d'accords de traitement de données et de clauses contractuelles standard : les noms et prénoms sont automatiquement supprimés avant que les données ne soient envoyées aux modèles, et les fournisseurs n'entraînent pas leurs modèles sur ceux-ci. Liste complète et règles : Politique de confidentialité (sections 5 à 7).

L'ensemble juridique complet du Service : Conditions d'utilisation (y compris le droit de rétractation — §5), Politique de confidentialité et Politique en matière de cookies — tous disponibles dans le pied de page du Service. Le contrat de traitement des données (DPA) est disponible pour les clients sur demande à [email protected].