Politique de confidentialité & accord de sous-traitance (DPA)

L'entreprise cliente est responsable de traitement des données de ses salariés. CashTréso agit en qualité de sous-traitant pour l'audit des déclarations et la production des rectificatifs, et en qualité de responsable de traitement pour ses propres besoins de gestion (facturation, comptes opérateurs). L'acceptation des CGU vaut conclusion de l'accord de sous-traitance décrit ici.

• Données de paie et déclaratives (DSN) : rémunérations, heures, codes CTP, types de contrat, périodes — finalité : détecter les exonérations non appliquées et les surcotisations.
• Identifiants salariés : le NIR est remplacé par un identifiant anonyme dès la lecture du fichier. Aucun calcul n'utilise le NIR en clair, aucun NIR n'est conservé.
• Données d'entreprise : SIRET, raison sociale, adresse, code NAF (sources publiques INSEE / Recherche d'entreprises).
• Données de contact du dirigeant ou du mandataire : email, mobile — finalité : contrôle d'habilitation, signature du mandat, restitution du rapport.
• Mesure d'audience et de conversion : évènements agrégés et anonymes (clics d'entonnoir), sans profilage publicitaire ni revente.

Exécution du contrat et du mandat de tiers déclarant (art. 6.1.b RGPD), obligation légale et déclarative pour les échanges avec les organismes (art. 6.1.c), intérêt légitime pour la sécurité de la plateforme et la mesure agrégée de performance (art. 6.1.f).

Analyse et calcul exécutés localement dans le navigateur du client dans la version actuelle : les DSN ne quittent pas le poste. Données en transit sous TLS 1.3, données au repos sous AES-256, cloisonnement par dossier, journalisation des accès, hébergement dans l'Union européenne. Aucun transfert hors UE n'est effectué sans clauses contractuelles types.

• Fichiers DSN source : détruits 30 à 60 jours après clôture de l'audit.
• Agrégats de calcul et rapports : durée de la relation contractuelle, puis archivage intermédiaire limité à la prescription applicable (36 mois) et aux obligations comptables.
• Mandats signés et preuves d'habilitation : 5 ans (preuve).

Hébergement et base de données managée (UE), service d'envoi d'emails transactionnels, service de signature et d'OTP, middleware agréé de télétransmission déclarative. Chacun est lié par un accord de confidentialité et de sous-traitance. La liste nominative à jour est communiquée sur demande ; toute évolution est notifiée avec possibilité d'objection.

Accès, rectification, effacement, limitation, opposition et portabilité : contact@cashtreso.fr — réponse sous 30 jours. Les demandes de salariés reçues directement sont transmises au responsable de traitement (l'employeur). Toute violation de données est notifiée au client sans délai injustifié et au plus tard sous 48 heures, avec les éléments utiles à sa propre notification à la CNIL.

Voir également le dispositif de sécurité et les CGU/CGV.