Politique de confidentialité

Dernière mise à jour : 1er octobre 2026

Habylys aide les entreprises à suivre les habilitations et formations sécurité de leurs salariés. Cette page explique quelles données sont traitées, pourquoi, par qui et combien de temps.

1. Deux rôles différents

• Données de compte (email de connexion, nom de l'entreprise, facturation) : Habylys est responsable de traitement.
• Données des salariés saisies par le client (nom, prénom, matricule, poste, habilitations, attestations) : le client employeur est responsable de traitement ; Habylys agit comme sous-traitant (article 28 du RGPD), uniquement sur ses instructions, selon les conditions générales.

2. Données traitées

• Compte : adresse email, mot de passe (chiffré, jamais lisible), nom et SIRET de l'entreprise.
• Salariés : nom, prénom, nom de naissance, matricule, poste, dates d'entrée et de sortie, site.
• Habilitations : type, catégorie, dates de formation et de délivrance, organisme, numéro, attestation (PDF ou photo).
• Facturation : gérée par Stripe ; Habylys ne voit jamais les numéros de carte.

Aucune donnée de santé n'est traitée : les aptitudes médicales et visites médicales sont hors du périmètre, et la lecture automatique des attestations ignore toute mention médicale. Le numéro de sécurité sociale (NIR) n'est jamais transmis ni conservé : pour préparer la déclaration au Passeport de prévention, il est associé au fichier dans le navigateur du client, sur son ordinateur.

3. Finalités et bases légales

• Fournir le service (calcul des échéances, alertes, registre, déclaration) : exécution du contrat.
• Facturation et comptabilité : obligation légale.
• Sécurité et historique des modifications (registre reconstituable) : intérêt légitime.

4. Sous-traitants

• Supabase (base de données, authentification, stockage des attestations) — serveurs à Francfort, Allemagne.
• Vercel (hébergement de l'application) — traitement à Francfort, Allemagne ; société américaine.
• Anthropic (lecture automatique des attestations déposées) — États-Unis. Les documents sont transmis uniquement au moment de leur lecture ; selon les conditions commerciales d'Anthropic, ils ne servent pas à entraîner ses modèles.
• Resend (envoi des emails d'alerte) — États-Unis.
• Stripe (paiement et facturation).

Les transferts hors de l'Union européenne sont encadrés par le cadre de protection des données UE–États-Unis ou par les clauses contractuelles types de la Commission européenne.

5. Durée de conservation

• Pendant le contrat, l'historique est conservé pour que le registre puisse être reconstitué (un salarié sorti reste dans l'historique, il n'est plus suivi).
• À la fin du contrat, le client peut télécharger son registre. Les données sont supprimées sur demande, et au plus tard 12 mois après la fin de l'abonnement.
• Factures : 10 ans (obligation comptable).

6. Sécurité

Connexion chiffrée (HTTPS), données chiffrées au repos, cloisonnement strict entre entreprises au niveau de la base de données, stockage privé des attestations (liens d'accès temporaires), aucune suppression silencieuse : toute modification est tracée.

7. Vos droits

Accès, rectification, effacement, limitation, opposition et portabilité. Un salarié qui souhaite exercer ses droits s'adresse d'abord à son employeur ; Habylys l'assiste. Contact : en cours d'immatriculation. Vous pouvez aussi saisir la CNIL (cnil.fr).

8. Cookies

Habylys n'utilise que des cookies indispensables à la connexion. Aucun cookie publicitaire ni de mesure d'audience : aucun consentement n'est donc demandé.