Politique de confidentialité
Version en vigueur au 1er octobre 2026
Cette politique explique comment Cédric Destas EI (« l'Éditeur »), éditeur d'Orgaly, traite les données personnelles, conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi Informatique et Libertés.
1. Deux rôles distincts
- Données RH des salariés (fiches, congés, planning, pointage, paie) : elles sont traitées pour le compte de l'entreprise cliente, qui en est responsable. L'Éditeur agit comme sous-traitant selon l'accord de sous-traitance. Pour exercer vos droits sur ces données, adressez-vous à votre employeur ; si vous nous contactez, nous lui transmettrons votre demande.
- Données des clients et de leurs comptes (administrateurs, facturation, sécurité du service) : l'Éditeur en est responsable de traitement. C'est l'objet de la suite de cette page.
2. Données traitées, finalités et bases légales
| Finalité | Données | Base légale | Durée de conservation |
|---|---|---|---|
| Création et gestion du compte | Nom, prénom, e-mail, téléphone, mot de passe (stocké sous forme chiffrée irréversible), nom et coordonnées de l'entreprise | Exécution du contrat | Durée de l'inscription, puis 90 jours |
| Facturation de l'abonnement | Raison sociale, adresse de facturation, n° de TVA, historique des factures. Les données de carte sont traitées par Stripe et jamais par l'Éditeur. | Exécution du contrat ; obligation légale | 10 ans pour les factures (art. L. 123-22 du Code de commerce) |
| Preuve de l'acceptation des CGU et CGV | Date et version acceptées | Intérêt légitime (preuve du contrat) | Durée de l'inscription, puis 5 ans |
| Sécurité et correction des erreurs | Journaux techniques, rapports d'erreur (configurés pour exclure adresses IP et contenus personnels) | Intérêt légitime (sécurité du service) | 90 jours au plus |
| E-mails de service | Adresse e-mail, contenu du message (invitation, information sur le compte) | Exécution du contrat | Durée de l'inscription |
Aucune donnée n'est vendue, ni utilisée à des fins publicitaires ou de profilage.
3. Destinataires
Les données ne sont accessibles qu'à l'Éditeur et aux prestataires techniques strictement nécessaires : hébergement (Railway, Vercel), envoi d'e-mails (Brevo), suivi des erreurs (Sentry) et paiement (Stripe Payments Europe Ltd, Irlande). La liste à jour figure dans l'accord de sous-traitance.
4. Transferts hors de l'Union européenne
Certains hébergeurs sont des sociétés américaines. Les transferts éventuels sont encadrés par les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y est certifié, par le cadre de protection des données UE–États-Unis (Data Privacy Framework).
5. Cookies et stockage local
Orgaly n'utilise aucun cookie publicitaire ni outil de mesure d'audience. Seul le jeton de connexion est enregistré dans le stockage local du navigateur, ce qui est strictement nécessaire au fonctionnement du service et ne requiert pas de consentement.
6. Sécurité
Les échanges sont chiffrés (HTTPS), les mots de passe hachés, les données de chaque entreprise isolées, les accès limités selon le rôle (administrateur ou employé) et les tentatives de connexion répétées bloquées.
7. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de définir des directives sur le sort de vos données après votre décès. Pour les exercer, écrivez à contact@myorgaly.fr. Une réponse vous est apportée dans un délai d'un mois.
Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).