Ce que votre DPO va demander,
et nos réponses
Cette fiche est faite pour être transférée telle quelle. Elle dit qui est responsable de quoi, où sont les données, ce qui vous est accessible et ce qui ne le sera jamais, et pourquoi la certification d'hébergeur de données de santé ne s'applique pas à l'audit.
Elle décrit l'architecture réelle du produit, pas une intention. Ce qu'elle ne peut pas affirmer, elle l'écrit aussi.
En une phrase : vous ne recevez aucune donnée de santé individuelle, parce qu'il n'en existe aucune à recevoir.
Ce qui fait la donnée de santé à caractère personnel, ce n'est pas le contenu clinique, c'est sa jointure avec ce qui désigne une personne. Nous n'avons pas supprimé le clinique, vous l'achetez sous forme agrégée. Nous avons supprimé la jointure : le vecteur clinique, les compteurs démographiques et les coordonnées de contact vivent dans trois tables sans aucune clé de rapprochement.
Ce n'est pas une politique interne susceptible d'être assouplie, c'est la structure de la base : les colonnes n'existent pas, et une vérification automatique fait échouer nos déploiements si quelqu'un tente de les recréer.
Deux traitements distincts, et c'est la clé de tout le reste
La confusion vient presque toujours de là : l'audit et le programme ne sont pas le même traitement, n'ont pas le même responsable, et ne reposent pas sur la même base légale. Les traiter séparément répond à la plupart des questions d'un coup.
L'audit lombaire
Vous êtes responsable de traitement, Malodo est sous-traitant
- Base légale
- Intérêt légitime de l'employeur à évaluer et prévenir les risques professionnels (art. 6.1.f du RGPD), dans le cadre de son obligation de sécurité (art. L.4121-1 du code du travail).
- Données traitées
- Réponses à un questionnaire de confort lombaire, un secteur d'activité, et des compteurs d'ancienneté, d'âge et de sexe. Le prénom et l'adresse e-mail ne sont demandés qu'aux salariés qui souhaitent être recontactés, et ils vivent dans une table distincte.
- Qui y accède
- Vous ne recevez que des agrégats, et aucun sous-groupe de moins de 5 personnes. Aucune réponse individuelle ne vous est accessible, ni sur demande, ni par export.
- Conservation
- Les réponses agrégées sont conservées pour permettre la comparaison d'un audit à l'autre. Les coordonnées de contact sont supprimées à la clôture du déploiement.
Le programme du salarié
Malodo est responsable de traitement, vous n'êtes pas concerné
- Base légale
- Consentement du salarié (art. 6.1.a et 9.2.a du RGPD), donné pour lui-même, au moment où il demande son accès. Il peut le retirer à tout moment.
- Données traitées
- Un compte personnel, une évaluation complète, un programme assigné, un avancement de séances et quatre notes hebdomadaires de ressenti.
- Qui y accède
- Malodo et Ekklo, éditeur de l'application. Ni vous, ni aucun de vos représentants, ni votre service de prévention.
- Conservation
- Durée du compte, puis suppression sur demande du salarié.
La certification HDS
C'est la question qui bloque la plupart des dispositifs de ce type. Voici le raisonnement complet, pour que votre DPO puisse le vérifier plutôt que nous croire.
L'article L.1111-8 du code de la santé publique impose la certification à qui héberge, pour le compte d'un tiers, des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi médico-social.
Deux conditions cumulatives, et il suffit d'en casser une. L'audit casse la seconde, par construction :
- Le vecteur clinique est stocké avec le secteur d'activité pour seul axe, et aucun identifiant de personne.
- L'ancienneté, l'âge et le sexe ne sont jamais écrits sur la ligne clinique : ils n'existent qu'en compteurs agrégés, dans une autre table.
- Le prénom et l'adresse e-mail vivent dans une troisième table, sans aucune colonne permettant de remonter à une réponse.
- L'intitulé de poste en texte libre a été supprimé de notre propre base : vingt intitulés distincts pour vingt répondants, c'était une signature et pas une donnée.
- Les axes de découpe ne sont jamais croisés : un seul à la fois, parce que secteur × ancienneté × âge × sexe rendait 80 % des lignes uniques sur nos données réelles.
Ce que ce raisonnement ne couvre pas
Il porte sur l'audit, celui dont vous êtes responsable de traitement. Le compte d'un salarié dans l'application relève de l'autre traitement, celui qu'il noue avec nous directement : là, il y a bien une identité et un programme lombaire sur la même ligne.
Ces données ne vous sont jamais transmises et n'entrent pas dans votre périmètre de responsabilité. Nous répondons aux questions de votre DPO sur ce volet comme sur l'autre, y compris sur la qualification applicable à l'éditeur de l'application.
Le contrat de sous-traitance
Dès lors que nous traitons des données pour votre compte, l'article 28 du RGPD impose un contrat écrit. Il n'est pas optionnel, et il vous protège autant qu'il nous engage.
Ce contrat fixe l'objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, puis nos obligations :
Il est établi avec vous avant la première diffusion de l'audit, et il ne porte que sur ce traitement : le programme du salarié n'entre pas dans son périmètre, puisque vous n'en êtes pas responsable. Demandez-le nous à l'adresse ci-dessous, votre DPO peut le lire avant tout engagement.
Qui d'autre intervient
La colonne de droite est celle qui vous concerne : elle dit lesquels touchent aux données de votre audit. Les autres n'interviennent que sur le compte du salarié ou sur le règlement.
| Prestataire | Rôle | Hébergement | Votre audit |
|---|---|---|---|
| Supabase | Base de données et fonctions serveur : c'est là que vivent les réponses d'audit. | Union européenne, région Paris | Oui |
| Netlify | Hébergement du site et diffusion des pages. | Union européenne | Oui |
| Brevo | Acheminement des e-mails : activation d'espace, invitations, confirmations. | Société française, données hébergées dans l'Union européenne | Oui |
| Ekklo | Édition de l'application Malodo : compte du salarié, programme assigné, suivi de progression. | Voir la politique de confidentialité | Non |
| Stripe | Encaissement du règlement de déploiement, quand il se fait en ligne. | Union européenne | Non |
La politique de confidentialité décrit ces prestataires en détail, côté salarié comme côté entreprise. Une note de cadrage technique, qui suit l'architecture fichier par fichier, est disponible sur demande pour votre DPO ou votre RSSI.
Les droits des salariés, et la limite qu'on assume
Un salarié conserve tous ses droits sur son compte : accès, rectification, effacement, portabilité, retrait du consentement. Sur ses réponses d'audit, la réponse est différente, et elle surprend souvent.
Nous ne pouvons pas retrouver les réponses d'une personne, ni pour vous, ni pour elle, ni pour nous
C'est la conséquence directe de l'anonymat par construction : sans clé de rapprochement, une réponse d'audit n'est plus rattachable à quiconque. Elle sort donc du champ des données à caractère personnel, et les droits d'accès et d'effacement n'ont plus d'objet sur elle (art. 11 du RGPD).
Nous préférons l'écrire plutôt que de laisser croire à une procédure que nous serions incapables d'exécuter. Les coordonnées de contact, elles, restent identifiantes : un salarié peut demander leur suppression à tout moment, et cette demande-là, nous savons l'honorer.
Une question que cette fiche ne couvre pas
Écrivez-nous, ou faites-nous écrire directement par votre DPO. Nous répondons avec les références de code à l'appui plutôt qu'avec des assurances générales, et nous disons quand nous ne savons pas.