La présente politique explique quelles données personnelles Patron en règle collecte, pourquoi, sur quel fondement, avec qui elles sont partagées, combien de temps elles sont conservées et quels sont vos droits.
1. Responsable de traitement
Le responsable de traitement est Maureen Vial, entrepreneur individuel exerçant sous le nom commercial La Bulle d'Équilibre, 100b rue Francisque Jomard, 69600 Oullins, France. SIRET 902 910 132 00023.
Contact pour toute question relative à vos données : vialmaureen@gmail.com, 06 63 06 01 42. La désignation d'un délégué à la protection des données (DPO) n'est pas obligatoire ici ; vos demandes sont traitées directement par Maureen Vial.
Pour les données concernant vos salariés que vous nous transmettez dans le cadre de l'élaboration de votre document unique, vous êtes responsable de traitement et La Bulle d'Équilibre intervient en qualité de sous-traitant au sens de l'article 28 du RGPD.
2. Données que nous traitons
- Données de compte et d'identification : adresse email et mot de passe (stocké de façon chiffrée par notre prestataire d'authentification, jamais en clair).
- Coordonnées professionnelles : raison sociale de l'entreprise, nom du contact, adresse email, numéro de téléphone.
- Données d'entreprise issues d'une source publique : à partir du numéro SIRET que vous saisissez, la Plateforme interroge l'API publique recherche-entreprises.api.gouv.fr afin de pré-remplir la dénomination, l'adresse, le code APE et la forme juridique de votre entreprise. Ces informations proviennent des données ouvertes de l'administration.
- Réponses aux questionnaires : description de votre activité, de vos locaux, de vos unités de travail, de vos postes, de vos équipements, de votre organisation et de vos conditions de travail, y compris les réponses relatives à la pré-évaluation des risques psychosociaux.
- Réponses anonymes de vos salariés : si vous ouvrez une consultation sur les risques psychosociaux, les réponses sont enregistrées sans aucun identifiant, sans adresse IP et sans lien avec une personne. Voir la section 4 bis.
- Photos des locaux et des postes de travail, avec IA Assist et en formule accompagnée : avec IA Assist, chaque photo est analysée puis effacée, sans être enregistrée ; en formule accompagnée, les images que vous transmettez à l'experte sont stockées dans votre espace pour lui permettre de rédiger votre document. La formule autonome n'accepte aucune photo. Voir la section 4.
- Documents fournis en formule accompagnée : plans, fiches de poste, registres, notices, attestations ou tout autre document que vous transmettez à l'experte.
- Document unique produit et ses versions successives : le DUERP généré, l'avis d'affichage, les plans d'action et l'historique des mises à jour.
- Données de paiement : le paiement est géré par Stripe. Nous ne collectons ni ne stockons vos données de carte bancaire ; nous recevons uniquement la confirmation du paiement et les éléments nécessaires à la facturation.
- Données techniques : journaux de connexion et de fonctionnement (adresse IP, horodatage) générés par nos hébergeurs à des fins de sécurité et de bon fonctionnement.
3. Finalités et bases légales
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Créer et gérer votre compte, élaborer et mettre à jour votre document unique | Exécution du contrat |
| Encaisser les paiements, gérer les abonnements, établir la facturation | Exécution du contrat et obligation légale (comptabilité) |
| Archiver le document unique et ses versions successives | Exécution du contrat, en appui de l'obligation légale de conservation qui pèse sur l'employeur |
| Assurer la sécurité, prévenir la fraude et les abus | Intérêt légitime |
| Vous informer des accompagnements de La Bulle d'Équilibre en matière de prévention et de conformité (prospection B2B vers des professionnels) | Intérêt légitime, avec droit d'opposition à tout moment |
| Répondre à vos demandes et réclamations | Intérêt légitime |
Lors de la commande, une case vous permet de refuser d'emblée toute sollicitation commerciale. Vous pouvez aussi vous y opposer à tout moment, par simple e-mail ou par le lien présent dans chaque message (voir section 9).
4 bis. Consultation anonyme de vos salariés
Si vous ouvrez une consultation sur les risques psychosociaux, vos salariés répondent depuis un lien dédié, sans créer de compte. Leurs réponses sont anonymes par construction : nous n'enregistrons ni identifiant, ni adresse IP, ni aucune donnée permettant de relier une réponse à une personne.
Vous n'avez à aucun moment accès aux réponses individuelles. Vous ne voyez que des moyennes par famille de risques, et uniquement à partir de trois réponses reçues. En dessous de ce seuil, aucun résultat ne vous est présenté, pas même partiellement. Le questionnaire ne comporte aucun texte libre : seules douze notes de 1 à 4 sont enregistrées.
En tant qu'employeur, il vous appartient d'informer préalablement vos salariés et leurs représentants de cette consultation, de son objet et de son caractère facultatif. Les réponses sont conservées tant que votre compte est actif et sont supprimées avec le dossier.
4. Photos des locaux et des postes de travail
La formule autonome n'accepte aucune photo.
Avec IA Assist, les photos que vous prenez sont envoyées une par une au moteur d'intelligence artificielle (Anthropic, États-Unis) pour y relever les moyens de protection visibles et les dangers. Elles ne sont enregistrées ni dans votre espace ni sur nos serveurs : seules les propositions que vous validez sont gardées.
En formule accompagnée, les images sont transmises à l'experte pour lui permettre de rédiger votre document. Elles servent uniquement à identifier des situations de travail et des risques. Elles sont stockées dans votre espace, cloisonné des autres comptes.
Vous pouvez demander à tout moment la suppression d'une photo par courriel. La suppression n'affecte pas le document déjà produit.
5. Confidentialité des documents déposés
Les documents que vous déposez peuvent contenir des informations sensibles sur l'organisation de votre entreprise. Ils sont traités uniquement pour produire votre document unique et ses mises à jour. Ils restent accessibles à vous seul, dans votre espace, jusqu'à leur suppression ou la clôture de votre compte. Chaque compte est cloisonné : un utilisateur ne peut pas accéder aux dossiers d'un autre. En formule accompagnée, l'experte accède aux éléments que vous lui transmettez, dans le cadre d'une obligation de confidentialité.
6. Destinataires et sous-traitants
Vos données ne sont ni vendues ni louées. Elles sont partagées uniquement avec les sous-traitants strictement nécessaires au service :
| Sous-traitant | Rôle | Localisation des données |
|---|---|---|
| Supabase, Inc. | Hébergement, base de données, stockage des photos et documents, authentification | Union européenne (AWS, Francfort) |
| Netlify, Inc. | Diffusion de l'interface web | États-Unis (réseau de diffusion) |
| Stripe | Paiement sécurisé, facturation | Union européenne et États-Unis |
| Anthropic PBC | Analyse des réponses, des documents et des photos par IA (moteur Claude), rédaction assistée | États-Unis |
| Google (Gmail) | Envoi des e-mails de service : factures, confirmations, rappels | États-Unis et Union européenne |
| Brevo (Sendinblue SAS) | Envoi de la lettre conformité mensuelle | Union européenne |
Accès interne. L’experte du service (Maureen Vial) ne consulte votre dossier que pour l’assistance que vous demandez, pour la formule accompagnée que vous avez commandée, ou à votre demande expresse ; elle est tenue à la confidentialité.
L'API publique recherche-entreprises.api.gouv.fr, opérée par l'administration française, est interrogée avec le seul numéro SIRET que vous saisissez ; aucune donnée personnelle de votre compte ne lui est transmise.
Transferts hors Union européenne
Certains sous-traitants (Netlify, Anthropic, Google, et Stripe pour partie) sont établis aux États-Unis. Ces transferts reposent sur le cadre de protection des données UE-États-Unis (décision de la Commission européenne du 10 juillet 2023) lorsque le prestataire y est certifié, et sinon sur les clauses contractuelles types de la Commission européenne (articles 45 et 46 du RGPD). Le contenu transmis au moteur d'IA n'est pas utilisé pour entraîner des modèles.
7. Intelligence artificielle : transparence
En formule autonome, le document unique est établi à partir de la bibliothèque de la plateforme, sans intelligence artificielle. Avec IA Assist, en formule accompagnée et pour la préparation des affichages obligatoires, des propositions (risques, moyens de protection visibles sur vos photos, pré-évaluations, synthèses, textes des affichages) sont produites par un système d'intelligence artificielle (transparence au sens de l'article 50 du Règlement (UE) 2024/1689 sur l'IA). Les photos envoyées à l’analyse ne sont pas conservées.
Questionnaire anonyme des salariés. Si l’employeur choisit de faire répondre ses salariés sur le stress au travail, ceux-ci répondent sans compte, sans nom ni adresse et sans texte libre : seules douze notes de 1 à 4 sont enregistrées. L’employeur ne voit que des moyennes par famille, et seulement à partir de trois réponses.
Ces éléments sont indicatifs : ils constituent une aide à la rédaction et ne remplacent ni votre jugement, ni la visite effective de vos locaux, ni un conseil juridique. Aucune décision produisant des effets juridiques n'est prise de façon entièrement automatisée sans votre intervention : vous relisez, ajustez et validez chaque proposition avant export. Conformément aux articles L.4121-1 et suivants du Code du travail, l'évaluation des risques et le contenu du document unique demeurent de la responsabilité de l'employeur.
8. Durées de conservation
| Donnée | Durée |
|---|---|
| Compte et coordonnées | Tant que le compte est actif ; suppression immédiate et définitive depuis votre espace (« Supprimer mon compte ») |
| Document unique et versions successives | Conservés dans votre espace, dans un registre non modifiable, en appui de votre obligation de conservation de 40 ans (art. L4121-3-1 du Code du travail), tant que votre compte est actif. Si vous supprimez votre compte, l’espace vous fait d’abord télécharger toutes vos versions, puis elles sont effacées : la conservation légale reste votre obligation d’employeur |
| Réponses aux questionnaires | Tant que le compte est actif, pour permettre les mises à jour |
| Photos des locaux et postes de travail (formule accompagnée uniquement) | Supprimées au plus tard 12 mois après la remise du document, sauf abonnement de mise à jour actif ; suppression possible à tout moment sur simple demande |
| Documents transmis en formule accompagnée | Supprimés au plus tard 12 mois après la remise du document, sauf abonnement de mise à jour actif |
| Données de prospection (contacts non clients) | Jusqu'à 3 ans après le dernier contact |
| Documents comptables et de facturation | 10 ans (obligation légale) |
| Journaux techniques | Jusqu'à 12 mois |
9. Vos droits
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition (notamment à la prospection), de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.
Pour les exercer, écrivez à vialmaureen@gmail.com. Une réponse vous sera apportée dans un délai d'un mois. Une pièce d'identité pourra être demandée en cas de doute raisonnable sur votre identité.
Vos salariés disposent des mêmes droits sur les données les concernant que vous nous auriez transmises. Leurs demandes doivent être adressées en priorité à leur employeur, responsable de ce traitement ; nous relayons toute demande reçue directement.
Vous pouvez à tout moment retirer votre consentement lorsqu'il constitue la base d'un traitement, sans que cela remette en cause la licéité des traitements déjà réalisés.
10. Sécurité
Des mesures techniques et organisationnelles sont mises en œuvre : hébergement des données dans l'Union européenne, chiffrement des échanges (HTTPS), cloisonnement des données par compte au niveau de la base (règles de sécurité par ligne), accès restreint aux fichiers et photos déposés, mots de passe stockés sous forme chiffrée. Aucune clé secrète n'est exposée dans le code exécuté par votre navigateur.
12. Mineurs
La Plateforme s'adresse à des professionnels et n'est pas destinée aux mineurs. Nous ne collectons pas sciemment de données concernant des personnes de moins de 15 ans.
13. Modification de la politique
Cette politique peut être mise à jour pour refléter des évolutions légales ou techniques. La version applicable est celle publiée sur cette page. En cas de changement significatif, vous en serez informé.
Version du 31 octobre 2026.