Politique de confidentialité

Plateforme Concorde Workforce et application mobile Concorde Workly — Conforme au RGPD (Règlement UE 2016/679) et à la loi Informatique et Libertés. Dernière mise à jour : 20 mai 2026.

Préambule

La société CONCORDE TECH INNOVATION, société par actions simplifiée au capital social de 5 000 euros, dont le siège social est situé 50 avenue des Champs-Élysées, 75008 Paris (France), immatriculée au Registre du commerce et des sociétés de Paris sous le numéro 102 487 774, ci-après désignée « Concorde Tech Innovation » ou l'« Éditeur », édite et exploite, sous la dénomination commerciale « Concorde Workforce », une plateforme logicielle accessible en ligne en mode Software as a Service (SaaS), ainsi que son application mobile compagnon « Concorde Workly », permettant la gestion du temps de travail, des absences et congés, du pointage, de la géolocalisation des collaborateurs, de la fonction ressources humaines et de la paie (ensemble, la « Plateforme » ou le « Service »).

Concorde accorde une importance fondamentale à la protection des données à caractère personnel et à la conformité avec le Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et la loi n° 78-17 du 6 janvier 1978 modifiée (« Loi Informatique et Libertés »).

La présente politique de confidentialité (la « Politique ») a pour objet d'informer, dans un langage clair et accessible, les personnes dont les données à caractère personnel sont susceptibles d'être traitées par Concorde ou via la Plateforme, sur :

• L'identité des acteurs et la répartition des rôles entre Concorde et ses Clients au regard du RGPD ;
• Les catégories de données traitées, les finalités et bases légales ;
• Les destinataires des données et les éventuels transferts hors de l'Union européenne ;
• Les durées de conservation ;
• Les droits des personnes concernées et les modalités de leur exercice.

Article 1 : Répartition des rôles entre Concorde et ses Clients

1.1. Principe : Concorde n'est pas systématiquement responsable du traitement

Au sens de l'article 4 du RGPD :

• Le « responsable du traitement » est la personne physique ou morale qui détermine les finalités et les moyens du traitement ;
• Le « sous-traitant » est la personne physique ou morale qui traite des données à caractère personnel pour le compte du responsable du traitement, sur ses instructions documentées.

Concorde n'est pas, dans la majorité des traitements opérés au moyen de la Plateforme, responsable du traitement. La qualification juridique de Concorde varie selon le flux de données concerné. La présente Politique distingue, en conséquence, trois grandes catégories de traitements, soumises à des règles différentes (cf. Articles 2, 3 et 4).

1.2. Tableau récapitulatif des qualifications

1.3. Conséquence pratique pour les Salariés-Utilisateurs

Les Salariés-Utilisateurs dont les données sont traitées dans la Plateforme par leur employeur, dans le cadre du Flux n° 1, doivent adresser leurs demandes d'exercice de droits (accès, rectification, effacement, limitation, opposition, portabilité, retrait du consentement) directement à leur employeur, qui est le seul responsable du traitement.

Concorde, en sa qualité de sous-traitant, n'est pas habilité à donner suite directement à ces demandes : il assiste l'employeur dans leur traitement, dans les conditions prévues à l'article 28 du RGPD et à l'accord de traitement des données (DPA) conclu avec ledit employeur.

Lorsqu'une demande est adressée par erreur à Concorde, celle-ci est, dans les meilleurs délais, transmise à l'employeur identifié comme responsable du traitement, sauf instruction contraire de ce dernier, et la personne concernée est informée de cette transmission.

Article 2 : Données traitées pour le compte des Clients

2.1. Qualifications

Pour l'ensemble des données à caractère personnel intégrées, importées, saisies, générées ou collectées dans la Plateforme par le Client ou ses Utilisateurs aux fins de la gestion de ses ressources humaines (les « Données du Client ») :

• Le Client (en pratique, l'employeur souscripteur de l'abonnement) agit en qualité de responsable du traitement ;
• Concorde agit en qualité de sous-traitant, sur instructions documentées du Client.

Les modalités précises du traitement par Concorde pour le compte du Client sont fixées dans l'Accord relatif au traitement des données à caractère personnel (« DPA ») annexé aux Conditions Générales de Services (« CGS »), qui prévaut sur la présente Politique en cas de contradiction.

2.2. Catégories de personnes concernées

Sont concernés, selon le paramétrage retenu par le Client :

• Les salariés en activité, anciens salariés et salariés à venir (préembauche) du Client ;
• Les stagiaires et alternants ;
• Les mandataires sociaux ;
• Les candidats à un emploi traités dans le module RH lorsque le Client utilise cette fonctionnalité ;
• Plus généralement, toute personne physique dont les données sont intégrées par le Client dans la Plateforme.

2.3. Catégories de données traitées

Selon le paramétrage du Client et le périmètre fonctionnel souscrit :

• Données d'identification : nom, prénom, civilité, date et lieu de naissance, photographie le cas échéant, numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) lorsque la paie est gérée, adresse postale, adresse électronique, numéro(s) de téléphone, identifiants internes ;
• Données professionnelles : matricule, fonction, qualification, classification, service, établissement, date d'entrée et de sortie, nature et durée du contrat, rémunération et éléments variables, congés et absences, formations, évaluations, documents RH (contrat, avenants, courriers) ;
• Données de pointage : horaires de travail, temps de présence et d'absence, heures supplémentaires, badges, journaux d'entrées et sorties ;
• Données de géolocalisation : position géographique du Salarié-Utilisateur lorsque le module est activé par le Client, dans les conditions et limites définies par le Client en sa qualité de responsable du traitement (cf. Article 2.7) ;
• Données bancaires : RIB pour le versement du salaire et des indemnités, lorsque la paie est gérée ;
• Données familiales et fiscales : situation de famille, nombre d'enfants à charge, numéro de sécurité sociale, taux de prélèvement à la source, lorsque la paie est gérée ;
• Données de connexion et journaux applicatifs (logs) : identifiants techniques, traces d'accès et d'usage, adresses IP de connexion à la Plateforme.

2.4. Données sensibles et catégories particulières

Le Client s'est engagé contractuellement à ne pas intégrer dans la Plateforme de catégories particulières de données au sens de l'article 9 du RGPD (santé, opinions, vie sexuelle, etc.), en dehors des hypothèses suivantes strictement nécessaires à la finalité RH :

• Données de santé limitées aux justificatifs d'absence et arrêts de travail (motif administratif, durée), avec une visibilité restreinte aux personnes habilitées par le Client ;
• Toute autre catégorie particulière dont le traitement serait expressément prévu par la Documentation du Service et fondé sur l'une des bases légales de l'article 9, paragraphe 2, du RGPD.

L'accès à ces données par les équipes de Concorde est strictement limité à ce qui est nécessaire à la maintenance corrective et au support, dans le cadre de mesures techniques et organisationnelles renforcées (cf. Article 7).

2.5. Finalités

Concorde, en sa qualité de sous-traitant, ne traite les Données du Client que pour les finalités déterminées par le Client, et notamment :

• Gestion du temps de travail et de la planification ;
• Gestion des absences et des congés ;
• Pointage et contrôle des horaires ;
• Géolocalisation des collaborateurs dans les limites de la finalité fixée par le Client ;
• Gestion administrative des ressources humaines ;
• Production des éléments variables de paie et, le cas échéant, gestion de la paie ;
• Production d'états, tableaux de bord et reportings RH au profit du Client.

2.6. Base légale

La base légale de chaque traitement est déterminée par le Client en sa qualité de responsable du traitement. Selon les usages constatés et la jurisprudence applicable, ces traitements reposent en règle générale sur :

• L'exécution du contrat de travail ou de mesures précontractuelles (article 6, 1, b) du RGPD) ;
• Le respect d'une obligation légale à laquelle le Client est soumis (article 6, 1, c) du RGPD), notamment en matière de durée du travail, de paie et de déclarations sociales ;
• L'intérêt légitime du Client (article 6, 1, f) du RGPD) pour certains traitements de pilotage RH, sous réserve d'une mise en balance documentée des intérêts.

Le Client demeure seul responsable du choix et de la documentation de la base légale applicable à chaque traitement.

2.7. Pointage et géolocalisation

Le module de pointage et le module de géolocalisation sont mis à disposition du Client, qui en assume seul la responsabilité au titre de leur paramétrage, de leur déclenchement et de leur usage.

Le Client garantit à ce titre, en sa qualité d'employeur et de responsable du traitement, le respect notamment :

• Des dispositions du Code du travail relatives à la durée du travail, à la sécurité et à la santé des travailleurs ;
• De l'obligation d'information et de consultation du comité social et économique préalable à l'introduction de tout traitement automatisé de gestion du personnel, conformément à l'article L. 2312-38 du Code du travail ;
• Des articles L. 1121-1 et L. 1222-4 du Code du travail, encadrant les restrictions aux libertés individuelles et la collecte de données concernant un salarié ;
• De l'obligation d'information préalable, individuelle et loyale des Salariés-Utilisateurs ;
• Des principes de finalité, proportionnalité et minimisation issus du RGPD et de la Loi Informatique et Libertés ;
• Des recommandations et référentiels de la Commission nationale de l'informatique et des libertés (CNIL) en matière de pointage et de géolocalisation, en particulier l'interdiction de la géolocalisation hors temps de travail effectif et la possibilité de la désactiver.

Concorde met à disposition les fonctionnalités techniques permettant un paramétrage conforme (notamment plages horaires, périmètre des Salariés-Utilisateurs concernés, dispositif de désactivation). Elle ne se substitue cependant pas au Client dans l'appréciation de la licéité de son usage et décline toute responsabilité au titre d'un paramétrage ou d'un usage non conforme.

2.8. Durées de conservation

Les durées de conservation des Données du Client sont fixées par le Client, en sa qualité de responsable du traitement, dans le respect des obligations légales applicables. À titre indicatif et sauf paramétrage spécifique du Client :

• Les données de paie sont conservées pendant la durée nécessaire et au minimum cinq (5) ans au titre du livre de paie (article L. 3243-4 du Code du travail), et durant les délais utiles en matière sociale et fiscale ;
• Les données de pointage sont conservées au moins un (1) an (article L. 3171-3 du Code du travail), et plus longtemps en cas de contentieux ou de réclamation ;
• Les données de géolocalisation sont conservées pendant une durée limitée, en règle générale deux (2) mois au regard des référentiels CNIL, sauf justification documentée d'une durée plus longue ;
• Les journaux d'accès et de connexion sont conservés conformément à la politique de sécurité de Concorde, dans les limites compatibles avec les délais d'investigation des incidents et les obligations légales en matière de cybersécurité.

À l'issue du Contrat conclu avec le Client, Concorde met en œuvre la réversibilité et la suppression des Données du Client dans les conditions de l'article 23 des CGS et du DPA.

2.9. Sous-traitants ultérieurs

Concorde recourt à des sous-traitants ultérieurs pour l'exécution du Service. La liste à jour de ces sous-traitants ultérieurs figure à l'Annexe 4 des CGS (« Sous-traitants ultérieurs ») et est communiquée au Client. Tout changement fait l'objet d'une information préalable du Client, qui dispose d'une faculté d'opposition motivée tirée du non-respect du RGPD.

2.10. Localisation des traitements — Transferts hors UE — Accès depuis la Tunisie

2.10.1. Hébergement principal — Union européenne. Les Données du Client sont hébergées au sein de l'Union européenne, dans les datacenters d'OVHcloud situés en France (Roubaix et/ou Gravelines).

2.10.2. Transfert vers la Tunisie pour les besoins de la maintenance. Les personnes concernées sont informées que, dans le cadre de la maintenance corrective et évolutive de la Plateforme, des accès en lecture, et de manière exceptionnelle et tracée en écriture, sont opérés à distance depuis la République tunisienne par la société CONDORI SARL (RNE B2515362006, Sfax), sous-traitant ultérieur de l'Éditeur.

2.10.3. Autres transferts éventuels. Toute autre opération de traitement impliquant un transfert hors de l'Espace économique européen est encadrée selon les mêmes principes (décision d'adéquation lorsqu'elle existe ; à défaut, clauses contractuelles types et mesures supplémentaires appropriées). Une copie ou un descriptif synthétique des garanties mises en œuvre peut être obtenu sur simple demande adressée à l'adresse de contact mentionnée à l'article 10.

2.11. Droits des personnes concernées

Conformément à l'article 1.3 ci-dessus, les Salariés-Utilisateurs et autres personnes concernées par le Flux n° 1 doivent adresser leurs demandes d'exercice de droits directement à leur employeur, responsable du traitement. Concorde apporte au Client, en tant que sous-traitant, son assistance technique et fonctionnelle dans les conditions du DPA.

Article 3 : Données de gestion de la relation contractuelle (Concorde = responsable)

3.1. Qualification

Pour les données strictement nécessaires à la gestion de la relation contractuelle, commerciale et financière entre Concorde et ses Clients ou prospects, Concorde agit en qualité de responsable du traitement autonome, distinct du Client.

3.2. Personnes concernées

• Les représentants légaux et interlocuteurs du Client (signataires, dirigeants, RH, DAF, DSI, services achats) ;
• Les Utilisateurs administrateurs désignés par le Client ;
• Les prospects ayant manifesté un intérêt pour le Service (demande de démonstration, devis, contact commercial).

3.3. Catégories de données

• Les données d'identification professionnelle (nom, prénom, fonction, employeur) ;
• Les coordonnées professionnelles (adresse postale, adresse électronique, numéro de téléphone) ;
• Les données de souscription et d'abonnement (plan souscrit, nombre d'Utilisateurs, périmètre fonctionnel) ;
• Les données de facturation et de paiement (factures, échéances, statut de paiement, tokens de carte bancaire conservés par Stripe — Concorde ne stocke pas les numéros de carte) ;
• Les données d'usage et de support (journaux applicatifs, échanges avec le support, tickets, enquêtes de satisfaction) ;
• Les données issues des échanges commerciaux et de la prospection.

3.4. Finalités et bases légales

3.5. Destinataires

Sont destinataires des données, dans la stricte mesure nécessaire à leurs missions :

• Les services internes de Concorde habilités ;
• Les sous-traitants techniques et opérationnels de Concorde (hébergeur, prestataire de paiement, outils de support, prestataire de courriel transactionnel, expert-comptable, conseils) ;
• Les autorités administratives ou judiciaires sur réquisition régulière ;
• Les commissaires aux comptes et conseils de Concorde dans l'exercice de leurs missions.

3.6. Durées de conservation

3.7. Transferts hors UE

Pour ces flux, Concorde s'efforce de retenir des sous-traitants situés dans l'Union européenne. Lorsqu'un transfert hors EEE s'avère nécessaire, Concorde encadre ce transfert par les clauses contractuelles types de la Commission européenne et des mesures supplémentaires appropriées.

Article 4 : Navigation sur les sites et applications de Concorde (Concorde = responsable)

4.1. Qualification

Concorde est responsable du traitement des données collectées dans le cadre de la navigation sur ses sites internet (notamment concorde-work-force.com) et applications édités sous sa responsabilité.

4.2. Données collectées

• Données de formulaire : nom, prénom, employeur, fonction, adresse électronique, téléphone, message, fournies volontairement par l'internaute (formulaires de contact, demande de démonstration, demande d'essai gratuit, candidature à un emploi) ;
• Données de connexion : adresse IP, identifiants de session, type et version du navigateur, système d'exploitation, pages consultées, horodatage, source de l'arrivée (referrer), interactions avec les contenus ;
• Témoins de connexion (cookies et traceurs).

4.3. Finalités et bases légales

4.4. Durées de conservation

• Demandes via les formulaires : 3 ans à compter du dernier contact ;
• Journaux techniques du site : 12 mois ;
• Cookies et traceurs : conservation de chaque traceur limitée à 12 mois maximum, et reconduction du recueil de consentement au minimum tous les 6 mois pour les traceurs soumis à consentement.

Article 5 : Destinataires et catégories communes à l'ensemble des flux

5.1. Destinataires internes

Seuls les personnels de Concorde habilités, dans l'exercice de leurs missions, et soumis à une obligation contractuelle ou légale de confidentialité, peuvent accéder aux données à caractère personnel.

5.2. Destinataires externes

Les données peuvent être communiquées :

• Aux sous-traitants ultérieurs de Concorde, dans la stricte limite des prestations confiées et sous engagements contractuels équivalents à ceux de Concorde ;
• Aux autorités administratives, judiciaires ou de contrôle (CNIL, juridictions, services fiscaux ou sociaux) sur réquisition régulière ou en exécution d'une obligation légale ;
• Aux organismes consultés en cas de cession, fusion, opération de restructuration impliquant Concorde, sous engagement de confidentialité ;
• Aux conseils de Concorde (avocats, experts-comptables, commissaires aux comptes, assureurs), dans la limite de leurs missions.

Article 6 : Transferts hors de l'Union européenne

Pour chaque transfert, Concorde Tech Innovation met en œuvre les garanties prévues aux articles 44 et suivants du RGPD :

• Décision d'adéquation de la Commission européenne, lorsqu'elle existe pour le pays de destination ;
• À défaut, clauses contractuelles types adoptées par la Commission européenne et mesures techniques, organisationnelles et contractuelles.

Article 7 : Sécurité des données

Concorde met en œuvre des mesures techniques et organisationnelles appropriées aux risques, conformément à l'article 32 du RGPD, notamment :

• Gouvernance de la sécurité (sensibilisation des collaborateurs) ;
• Authentification SSH & Firewall UFW ;
• Cloisonnement des environnements de production, de pré-production et de test ;
• Gestion des sauvegardes et plan de reprise d'activité ;
• Détection, journalisation et investigation des incidents ;
• Gestion des vulnérabilités et tests d'intrusion périodiques ;
• Continuité d'activité et reprise après sinistre.

Les mesures détaillées figurent à la politique de sécurité de Concorde et au DPA conclu avec chaque Client.

Article 8 : Droits des personnes concernées

8.1. Droits

Toute personne physique dispose, conformément au RGPD et à la Loi Informatique et Libertés, des droits suivants :

• Droit d'accès (article 15) ;
• Droit de rectification (article 16) ;
• Droit à l'effacement (article 17), dans les limites prévues par les textes ;
• Droit à la limitation du traitement (article 18) ;
• Droit à la portabilité des données (article 20), lorsque le traitement est fondé sur le contrat ou le consentement et qu'il est réalisé par voie automatisée ;
• Droit d'opposition au traitement (article 21), notamment pour des motifs tenant à sa situation particulière ou en matière de prospection ;
• Droit de retirer son consentement à tout moment, lorsque le traitement repose sur celui-ci (article 7) ;
• Droit de définir des directives relatives au sort de ses données après son décès (article 85 de la Loi Informatique et Libertés) ;
• Droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne (article 22 du RGPD).

8.2. Modalités d'exercice — Aiguillage selon le flux

8.3. Justificatif d'identité

En cas de doute raisonnable sur l'identité du demandeur, Concorde (ou le Client, selon le flux) peut solliciter la communication d'un justificatif d'identité, dans le respect du principe de minimisation.

8.4. Délai de réponse

Les demandes sont traitées dans le délai d'un (1) mois à compter de leur réception, prolongeable de deux (2) mois en cas de complexité ou de nombre élevé de demandes, conformément à l'article 12, paragraphe 3, du RGPD.

8.5. Droit de réclamation auprès de la CNIL

Toute personne concernée dispose du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr, sans préjudice de tout autre recours administratif ou juridictionnel.

Article 9 : Témoins de connexion

9.1. Définition

Les cookies et autres traceurs sont des fichiers déposés sur le terminal de l'internaute lors de la visite d'un site ou de l'utilisation d'une application, et permettant de reconnaître ce terminal lors de visites ultérieures.

9.2. Catégories utilisées

Les sites et applications édités par Concorde sont susceptibles de déposer :

• Des traceurs strictement nécessaires au fonctionnement du Service (authentification, sécurité, équilibrage de charge, mémorisation des choix utilisateurs), dispensés du recueil du consentement ;
• Des traceurs de mesure d'audience configurés conformément aux exemptions de la CNIL, dispensés du recueil du consentement, ou, à défaut, soumis au consentement ;
• Des traceurs publicitaires ou de personnalisation, soumis au consentement préalable libre, spécifique, éclairé et univoque de l'internaute.

9.3. Recueil et gestion du consentement

Lors de la première visite, un bandeau informe l'internaute, lui permet d'accepter, de refuser ou de paramétrer les traceurs soumis à consentement, dans des conditions de simplicité équivalente entre acceptation et refus, conformément aux lignes directrices et à la recommandation de la CNIL.

Article 10 : Contact

Pour toute question relative à la présente Politique ou pour exercer ses droits au titre des Flux n° 2 et n° 3, toute personne peut contacter Concorde Tech Innovation :

Article 11 : Modification de la Politique

Concorde se réserve le droit de modifier la présente Politique pour l'adapter aux évolutions législatives, réglementaires, jurisprudentielles, techniques ou organisationnelles. Toute modification substantielle fait l'objet d'une information appropriée.

La version applicable est celle accessible en ligne à la date d'utilisation. Il appartient aux personnes concernées de consulter régulièrement la version en vigueur.