Confidentialité & sécurité
Des règles appliquées par le serveur, pas des cases à cocher
Sur les sujets RH, la confidentialité n'est pas une fonctionnalité parmi d'autres : c'est la condition pour que les salariés utilisent l'outil. Voici comment elle est construite — en termes vérifiables.
Le cœur du système
Trois niveaux de confidentialité
Chaque dossier porte un niveau, choisi à la création (ou hérité de sa catégorie). Le serveur filtre chaque requête en conséquence : une règle contournée à l'écran ne donnerait rien, la donnée ne part jamais.
Les personnes impliquées, le service RH du périmètre et, si la catégorie l’autorise, le responsable hiérarchique direct — en consultation seule.
Exemples : Attestation, question paie, demande de matériel.
Les personnes impliquées et un cercle RH resserré, réglé compte par compte. Le manager n’y accède jamais.
Exemples : Santé, rémunération, situation personnelle.
Uniquement les personnes nommément impliquées dans le dossier. Ni le manager, ni la direction, ni l’administrateur.
Exemples : Harcèlement, disciplinaire, contentieux.
Transparence
La confidentialité se voit, elle ne se devine pas
- Avant de créer sa demande, le salarié voit qui pourra la consulter, pour chacun des trois niveaux — calculé par le serveur, pas promis par une notice.
- Sur chaque dossier ouvert, la liste « Lu par » montre les lecteurs effectifs, et distingue ceux qui lisent aussi les notes internes.
- Les salariés d'un client voient « Service RH », jamais la liste nominative des collaborateurs du prestataire.
- Les notes internes du service RH sont filtrées côté serveur : elles ne partent jamais vers le navigateur d'un demandeur.
Traçabilité
Un historique que personne ne peut réécrire
Chaque événement — création, message, changement de statut, pièce jointe, clôture — s'ajoute à un journal en ajout seul. Il n'existe aucune API de modification ou de suppression de cet historique : la propriété est structurelle, pas réglementaire.
- Clôture forcée : possible, mais réservée au responsable et justifiée par écrit — la justification est historisée.
- Journal des e-mails envoyés, consultable par les administrateurs.
- Exports CSV neutralisés contre l'injection de formules tableur.
- Conservation et anonymisation RGPD outillées : les dossiers anciens sont anonymisés selon vos durées de conservation.
- Hébergement en France, sur infrastructure européenne.
- Données de démonstration purgées par une procédure dédiée, avec sauvegarde préalable systématique.
Sécurité technique
Les fondations, en clair
Sans jargon inutile — et sans prétendre à l'infaillibilité : voici les choix concrets.
- Aucun mot de passe ne transite par un administrateur : les comptes s'activent par lien d'invitation à usage unique et durée limitée ; même mécanique pour « mot de passe oublié ».
- Changer son mot de passe révoque toutes les sessions du compte, partout, immédiatement.
- Tentatives de connexion limitées par compte et par adresse, pour contrer les attaques par essais successifs.
- Secrets chiffrés en base (AES-256-GCM) : une sauvegarde de la base ne contient aucune clé en clair.
- Liens externes contrôlés : dans les conversations, le libellé d'un lien est toujours reconstruit depuis sa vraie destination — le mécanisme classique de l'hameçonnage (« texte rassurant, cible piégée ») ne fonctionne pas ici. Un interstitiel s'affiche avant toute sortie vers un domaine inconnu.
- En-têtes de sécurité HTTP posés sur les pages comme sur l'API.
- Plus de 600 tests automatiques rejoués à chaque évolution, couvrant notamment l'étanchéité entre clients, le filtrage des notes internes et les règles de confidentialité.
Des questions de DPO ou de DSI ?
Nous y répondons volontiers en détail, documentation à l'appui.