Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via le site docrh.fr est TECH IT REAL, éditeur du service docrh.

Pour toute question relative à la présente politique ou pour exercer vos droits, vous pouvez écrire directement à l’adresse contact@docrh.fr. Nous nous engageons à répondre dans un délai d’un mois à compter de la réception de votre demande, conformément à l’article 12 du RGPD.

2. Données collectées

Nous collectons les données nécessaires au fonctionnement du service, et une réponse facultative après l’achat :

• Adresse e-mail — pour l’envoi de la confirmation de commande après paiement et, le cas échéant, du document généré si le Client choisit de le recevoir par e-mail.
• Numéro SIRET ou nom de l’entreprise — pour pré-remplir les documents RH et identifier l’employeur via l’annuaire public des entreprises (recherche-entreprises.api.gouv.fr) et le service public siret2idcc, qui indique la convention collective.
• Données de paiement — collectées et traitées directement par Stripe. L’éditeur ne stocke aucune donnée bancaire.
• Journaux de l’hébergeur — pour chaque requête vers le site (pages et API) : adresse IP, navigateur (user-agent), adresse de la page sans ses paramètres, statut et horodatage. Les requêtes adressées à www.docrh.fr passent d’abord par le proxy de Cloudflare, qui tient ses propres journaux selon ses conditions.
• Journaux de l’application — les étapes du parcours de commande, les alertes techniques et les erreurs, sans nom, adresse e-mail ni SIRET. Une commande y est désignée par une référence de 8 caractères ; y figurent aussi le document commandé, le montant, le nom de campagne d’un code promo et des identifiants techniques Stripe, inutilisables sans accès au compte Stripe de l’éditeur.
• Mesure d’audience des pages — dans les mêmes journaux, pour chaque page consultée : les pages consultées (adresse sans ses paramètres), la provenance réduite à une catégorie (moteur de recherche, réseau social, assistant d’IA, page de paiement, accès direct — jamais l’adresse du site d’origine), la source de campagne d’un lien publicitaire (un mot d’une liste fermée), conservée jusqu’au paiement, mobile ou ordinateur, le palier de lecture atteint et le temps passé, les liens vers la commande vus ou cliqués ; quand l’envoi du formulaire est refusé, le nom des champs du formulaire restés en erreur, s’il s’agit d’un oubli, d’une erreur de forme ou d’une règle du document, et le nombre de refus pour ce document dans l’onglet, jamais ce qui y est saisi (les champs qui déclareraient la situation d’un salarié, comme une grossesse, ne sont jamais nommés), et si l’aperçu suit un refus ; au retour d’un paiement, le document acheté et cette source de campagne, sans votre référence de commande ni votre e-mail. Sans cookie ; aucun identifiant de visiteur n’y est écrit.
• Réponse à « Comment avez-vous connu docrh ? » — facultative, proposée après le paiement une fois le document prêt : la réponse choisie dans une liste, dans les mêmes journaux, sans votre référence de commande ni votre e-mail. L’éditeur ne la rapproche pas de votre commande.

3. Finalités et bases légales

Les traitements reposent sur les bases légales suivantes :

• Article 6.1.b RGPD (exécution du contrat) — envoi par e-mail de la confirmation de commande et, le cas échéant, du document généré, traitement du paiement Stripe, pré-remplissage du document à partir du SIRET, proposition des adresses de la mairie et de l’inspection du travail d’une convocation.
• Article 6.1.f RGPD (intérêt légitime) — journaux techniques à des fins de sécurité et de prévention des abus (limitation du débit) ; suivi des commandes et des incidents, par un relevé quotidien des ventes adressé à l’éditeur ; mesure d’audience des pages et du parcours de commande, à partir des journaux lus en comptes agrégés, en statistiques pour l’éditeur seul, sans cookie, rien n’étant gardé sur votre appareil hors la source de campagne conservée le temps du paiement (article 8) — l’éditeur ne rapproche pas ces lignes, y compris celles du formulaire refusé, des journaux de l’hébergeur ni de votre commande ; savoir comment les acheteurs connaissent le service, par la réponse facultative à « Comment avez-vous connu docrh ? » ; réponse aux messages reçus sur contact@docrh.fr.
• Article 6.1.c RGPD (obligation légale) — conservation des pièces comptables liées aux paiements pendant dix ans.

4. Sous-traitants et destinataires

Vos données peuvent être transmises aux sous-traitants suivants, dans les limites strictement nécessaires à leurs missions :

Pour identifier l’employeur, le SIRET ou le nom saisi est aussi transmis à deux services publics de l’État : l’annuaire des entreprises (recherche-entreprises.api.gouv.fr) et siret2idcc (siret2idcc.fabrique.social.gouv.fr).

Pour proposer les adresses de la mairie et de l’inspection du travail d’une convocation, notre serveur envoie, sans votre adresse IP, un code postal (celui de l’entreprise, celui du salarié) à l’API Géo de l’État (geo.api.gouv.fr), puis le code officiel de la commune de l’entreprise et, le cas échéant, de celle du salarié, et l’identifiant du service trouvé, à l’Annuaire de l’administration (api-lannuaire.service-public.gouv.fr, Direction de l’information légale et administrative) : ni nom, ni rue, ni ville. Ces services publics sont des destinataires, pas des sous-traitants : ils ne traitent rien pour notre compte.

Aucune donnée personnelle n’est vendue ou transmise à des tiers à des fins commerciales. Aucune régie publicitaire ni plateforme d’analytics n’a accès à vos données.

5. Transferts hors Union européenne

Plusieurs de nos sous-traitants sont établis aux États-Unis ou y ont une maison mère (Stripe Inc., Resend, Railway Corp., Cloudflare, Google LLC, ainsi que Fastly en sous-traitance indirecte via Railway). Les transferts de données personnelles vers ces destinataires sont encadrés conformément aux articles 44 à 49 du RGPD :

• EU-US Data Privacy Framework (DPF) — Stripe, Resend, Cloudflare, Railway, Google et Fastly figurent à l’actuelle liste publique du DPF ou ont des mécanismes équivalents. Le cadre d’adéquation UE-États-Unis adopté par la Commission européenne le 10 juillet 2023 (décision 2023/1795) constitue une garantie appropriée au sens de l’article 45 du RGPD.
• Clauses contractuelles types (CCT) version 2021/914 — utilisées en complément ou en substitution lorsque le sous-traitant n’est pas certifié DPF, conformément à l’article 46.2.c du RGPD.
• Évaluation post-Schrems II — pour chaque transfert vers les États-Unis, nous nous appuyons sur les déclarations publiques de nos sous-traitants concernant les demandes des autorités américaines (FISA 702, EO 12333) et leur capacité à les contester. Aucune donnée bancaire n’est reçue ni transmise par l’éditeur. Lorsque le Client demande l’envoi du document par courrier électronique, ce document — qui contient les données du salarié — transite par Resend, Inc. (États-Unis) ; ce transfert est encadré par les garanties visées ci-dessus. En dehors de cette demande explicite, aucune donnée salarié n’est transmise hors UE.

Vous pouvez obtenir une copie des garanties applicables (CCT, certificat DPF) sur simple demande à contact@docrh.fr.

6. Durées de conservation

7. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d’accès — obtenir une copie des données vous concernant.
• Droit de rectification — faire corriger des données inexactes.
• Droit à l’effacement — demander la suppression de vos données.
• Droit à la limitation — restreindre le traitement dans certains cas.
• Droit à la portabilité — recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit de définir des directives post-mortem — article 85 de la loi Informatique et Libertés.

Droit d’opposition aux traitements fondés sur l’intérêt légitime (article 21 du RGPD) — vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, aux traitements décrits à l’article 3 sous l’article 6.1.f : journaux, suivi des commandes, mesure du parcours, réponse à « Comment avez-vous connu docrh ? », conservation des messages. Cette réponse étant volontaire, le refus de la mesure d’audience ci-dessous ne la concerne pas : il suffit de ne pas répondre.

Pour exercer ces droits, écrivez directement à contact@docrh.fr. Nous répondrons dans un délai d’un mois (prorogeable de deux mois en cas de complexité, conformément à l’article 12.3 du RGPD).

En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris).

8. Cookies et traceurs

Le site docrh.fr n’utilise aucun cookie de tracking, aucun outil d’analytics tiers, et aucun pixel publicitaire. Aucune donnée de navigation n’est partagée avec des régies publicitaires ou des plateformes tierces.

Mesure d’audience. Un script propre au site lit, à chaque page, son adresse, le site d’origine, le défilement, le temps passé, les clics sur les liens vers la commande et, quand l’envoi du formulaire est refusé, le nom des champs du formulaire restés en erreur (oubli, erreur de forme ou règle du document ; jamais ce qui y est saisi), le nombre de refus et si l’aperçu suit un refus, à seule fin de mesure d’audience, et les envoie au site lui-même. Aucun identifiant n’est créé, rien n’est transmis à un tiers. Cette mesure est exemptée de consentement (article 82 de la loi Informatique et Libertés ; lignes directrices de la CNIL du 17 septembre 2020) ; ses lignes sont conservées 30 jours. Le site ne dépose un cookie que pour enregistrer le refus de cette mesure (docrh_mesure, 13 mois — 390 jours —, posé seulement si vous le demandez à l’article 7) : il ne contient que ce refus, et le script de la page le lit pour ne rien garder dans votre onglet.

Les autres cookies susceptibles d’être déposés sont des cookies de session strictement fonctionnels, nécessaires au bon fonctionnement du parcours de paiement Stripe et à la protection des requêtes API contre les abus. Ces cookies sont exemptés de consentement au titre de l’article 82 de la loi Informatique et Libertés.

Le parcours utilise en revanche le stockage de session de votre navigateur, sur votre appareil : les informations que vous saisissez y restent pour préremplir les écrans suivants. Elles sont envoyées au site pour générer l’aperçu, puis pour livrer votre document après paiement, et votre adresse e-mail est transmise à Stripe pour le paiement, puis à Resend pour l’e-mail de confirmation ; le Vendeur ne conserve pas les données de vos salariés (article 2). Ce stockage est propre à l’onglet et disparaît à sa fermeture ; en dehors de ces informations, il ne garde que des repères techniques du parcours, comme la référence de votre paiement pour vous remettre le document. Si vous êtes arrivé par un lien publicitaire, sa source de campagne — un mot d’une liste fermée, jamais l’adresse du lien — est gardée dans ce stockage de session du clic sur « payer » jusqu’au retour d’un paiement réussi, puis effacée, ou à la fermeture de l’onglet (après un paiement annulé, elle reste pour un nouvel essai) ; elle n’est jamais envoyée à Stripe, et rien n’est gardé si vous avez refusé la mesure d’audience. À votre retour, une ligne « paiement » indique le document et cette source, sans votre référence de commande ni votre e-mail ; l’hébergeur la date et garde l’adresse IP de l’envoi pendant 30 jours, et l’éditeur ne la rapproche pas de votre commande.

9. Nature du moteur de génération

docrh. utilise un moteur de génération déterministe : à entrée identique, sortie identique. Aucun modèle d’intelligence artificielle générative (LLM) n’intervient dans la rédaction des documents. Le texte produit résulte de templates rédigés par l’éditeur et de calculs algorithmiques fondés sur le Code du travail (préavis, indemnités). L’obligation de marquage des contenus générés par IA prévue à l’article 50 du Règlement (UE) 2024/1689 (EU AI Act) ne s’applique donc pas ici, le moteur étant déterministe et non génératif. Nous le précisons par transparence.

10. Sécurité

Toutes les communications avec docrh.fr sont chiffrées via TLS 1.2/1.3. Les requêtes mutantes vers nos API sont protégées par un contrôle d’origine (CSRF) et un rate limiting par IP. En cas de violation de données, l’éditeur se conformera aux obligations de notification prévues aux articles 33 et 34 du RGPD. Les vulnérabilités peuvent être signalées à contact@docrh.fr (cf. /.well-known/security.txt).

11. Droit applicable

La présente politique est soumise au droit français et au Règlement (UE) 2016/679 (RGPD). Tout litige relatif à son application sera soumis aux tribunaux français compétents.