SOCALEG
1. Qui traite vos données
Le service Socaleg est édité par B3 PARTNERS SAS, 4 rue de la République, 69001 Lyon, France (RCS Lyon 892 173 022). B3 PARTNERS agit en qualité de responsable de traitement pour les données de compte, et de sous-traitant au sens du RGPD lorsque vous nous confiez des données paie/RH de vos clients ou salariés.
Contact délégué à la protection des données : dpo@socaleg.com.
2. Données que nous collectons
2.1 Données de compte (créées à l'inscription)
- Email, nom et prénom du représentant du cabinet
- Mot de passe (haché
bcrypt, jamais stocké en clair) - Rôle (admin / gestionnaire de compte / responsable paie / entreprise)
- Date de connexion, historique des actions dans la plateforme (logs d'audit)
2.2 Données paie/RH que vous importez
- Déclarations Sociales Nominatives (DSN) mensuelles au format EDI
- Informations entreprises (SIRET, effectif, secteur…)
- Informations salariés dérivées des DSN (NIR/NNI, nom, prénom, situation familiale, rémunérations, cotisations)
- Documents administratifs uploadés (bulletins, certificats, factures)
2.3 Données Google et Microsoft (via OAuth 2.0)
Lorsque vous choisissez de connecter votre compte Google ou Microsoft à Socaleg (Menu Se connecter à mes comptes), vous nous autorisez à accéder à un ou plusieurs services parmi Messagerie, Drive et Calendrier. Vous choisissez explicitement lesquels lors du consentement OAuth.
| Service | Scope Google | Scope Microsoft | Usage exact |
|---|---|---|---|
| Messagerie | https://mail.google.com/ |
Mail.ReadWrite, Mail.Send |
Afficher, lire, envoyer, marquer, déplacer et supprimer des messages depuis l'interface Socaleg. Aucun mail n'est stocké de manière permanente sur nos serveurs — les messages sont récupérés à la volée à chaque requête. |
| Drive / OneDrive | https://www.googleapis.com/auth/drive |
Files.ReadWrite.All |
Lister, télécharger, envoyer, créer, déplacer et supprimer des fichiers dans votre stockage cloud. Les fichiers ne sont jamais dupliqués sur nos serveurs — ils transitent en streaming lors des téléchargements. |
| Calendrier / Agenda | https://www.googleapis.com/auth/calendar |
Calendars.ReadWrite |
Afficher, créer, modifier et supprimer des événements dans votre agenda principal. |
| Identité (obligatoire pour l'OAuth) | openid, email, profile |
openid, email, profile, User.Read |
Récupérer votre adresse email lors de la connexion, afin de l'afficher dans l'interface. Aucune autre information de profil n'est utilisée. |
Google User Data Policy — engagement de conformité : l'utilisation par Socaleg des données reçues via les API Google, et le transfert d'informations vers toute application, respecte la Google API Services User Data Policy, y compris les exigences de « Limited Use ». Ces données ne sont jamais utilisées pour du profilage publicitaire, l'entraînement d'un modèle d'IA, la revente à des tiers, ni le crédit-scoring.
2.4 Tokens d'accès et de rafraîchissement
Pour maintenir la connexion sans vous redemander votre mot de passe, nous stockons dans notre base de données :
- Un refresh_token chiffré
AES-256-GCM(clé maître stockée hors base, dans les variables serveur uniquement) - Le access_token courant, également chiffré (durée de vie ~1 heure)
- La liste des scopes autorisés et l'email du compte connecté
Aucun mot de passe Google/Microsoft ne nous est jamais transmis — l'authentification se fait entièrement chez le fournisseur.
3. Base légale du traitement
- Exécution du contrat (art. 6.1.b RGPD) pour l'usage de la plateforme et les données paie/RH
- Consentement explicite (art. 6.1.a RGPD) pour les connexions OAuth Google/Microsoft — révocable à tout moment
- Obligation légale (art. 6.1.c RGPD) pour la conservation des documents comptables et sociaux
- Intérêt légitime (art. 6.1.f RGPD) pour les logs de sécurité et la prévention de la fraude
4. Destinataires des données
- Le personnel autorisé de B3 PARTNERS (support technique, développement, direction)
- L'hébergeur OVH SAS (Roubaix, France) qui héberge les serveurs applicatifs
- Les sous-traitants API sollicités par vous : Google LLC (données Google), Microsoft Corporation (données Microsoft), Arkhineo (archivage à valeur probante), Digiposte (coffre-fort salarié), SILAE / PayFit / autres connecteurs paie
- Les autorités administratives ou judiciaires françaises sur réquisition légale
Aucune donnée n'est vendue à des tiers, ni utilisée pour de la publicité comportementale.
5. Transferts hors Union européenne
Les données paie/RH restent hébergées en France (OVH Roubaix). Les données Google et Microsoft sont hébergées par leurs infrastructures respectives, qui peuvent inclure des transferts hors UE couverts par les Standard Contractual Clauses et les certifications Data Privacy Framework (Google, Microsoft).
6. Durée de conservation
| Donnée | Durée |
|---|---|
| Compte utilisateur actif | Durée de la relation contractuelle + 3 ans |
| DSN et documents paie | 10 ans (obligation légale sociale) |
| Refresh tokens OAuth | Jusqu'à révocation par l'utilisateur ou 6 mois d'inactivité |
| Logs d'audit | 1 an |
| Logs techniques (accès HTTP) | 90 jours |
7. Sécurité
- Chiffrement TLS 1.3 sur tous les échanges (HTTPS obligatoire)
- Chiffrement AES-256-GCM des secrets sensibles au repos
- Hachage bcrypt des mots de passe utilisateurs
- Contrôles d'accès stricts (RBAC : admin / compte / paie / entreprise)
- Audit de sécurité annuel Google CASA Tier 2 (en cours de certification)
- Sauvegardes quotidiennes chiffrées
- Logs d'audit horodatés et immuables pour toutes les actions sensibles
Détails complets sur la page Sécurité. Signalement d'une vulnérabilité : security@socaleg.com.
8. Vos droits
Conformément au RGPD, vous disposez à tout moment des droits suivants :
- Accès à vos données
- Rectification des données inexactes
- Effacement (« droit à l'oubli »)
- Limitation du traitement
- Portabilité — récupération de vos données dans un format lisible
- Opposition au traitement
- Retrait du consentement à tout moment (notamment pour les scopes OAuth Google/Microsoft — via Se connecter à mes comptes → Déconnecter, ou directement chez le fournisseur sur myaccount.google.com/permissions et account.microsoft.com/privacy)
Pour exercer un droit : dpo@socaleg.com. Nous répondons sous 30 jours. En cas d'insatisfaction, vous pouvez introduire une réclamation auprès de la CNIL.
9. Modifications
Cette politique peut être mise à jour pour refléter les évolutions du service ou de la réglementation. Toute modification substantielle sera notifiée aux utilisateurs actifs par email avec un préavis de 30 jours.