Sécurité

Huit réponses aux questions qu'une DRH ou un DSI pose avant de confier des documents internes et des données de salariés à un outil. Cette page complète la Politique de confidentialité et l'Accord de sous-traitance.

1. Où sont vos données ?

En France. La base de données et les fichiers sont hébergés à Paris (Supabase, région eu-west-3) et l'application tourne à Paris (Vercel, région cdg1). Deux catégories de sous-traitants sont situées aux États-Unis : l'envoi des emails transactionnels (Resend) et les fournisseurs d'IA (Anthropic, OpenAI). Ces transferts sont encadrés par des clauses contractuelles types et nos clauses additionnelles, et ces fournisseurs n'entraînent pas leurs modèles sur vos données. La liste complète est publique : sous-traitants.

2. Qui peut voir quoi ?

Chaque entreprise cliente est isolée des autres : chaque requête est filtrée sur l'entreprise de l'utilisateur connecté, et des tests automatisés vérifient cette isolation à chaque livraison. À l'intérieur de votre espace, les rôles sont séparés : un manager ne voit que ses recrues, un parrain que ses filleuls, une recrue que son propre parcours. Les retours du feedback 360° remontent aux managers de façon agrégée et anonymisée.

3. Comment vos collaborateurs se connectent-ils ?

Avec leur compte Google ou LinkedIn, avec un lien de connexion à usage unique envoyé par email (valable quinze minutes, consommé une seule fois), ou avec un mot de passe. Un compte suspendu ou supprimé perd l'accès sur tous les chemins de connexion.

4. Qu'est-ce qui est chiffré ?

Tout en transit (TLS 1.3, HSTS) et tout au repos (AES-256 sur les disques). Les conversations entre vos collaborateurs et l'assistant IA sont en plus chiffrées au niveau applicatif avec une clé dérivée par entreprise : la perte de cette clé rend les conversations irrécupérables, y compris pour nous. C'est voulu.

5. Qui a fait quoi ?

Un journal d'audit trace les actions sensibles : création, modification et suppression d'une recrue, publication d'un parcours, changement de l'assistant, exports et suppressions RGPD. Chaque entrée garde l'action, l'objet, l'auteur, l'adresse IP et l'heure.

6. Comment récupérez-vous ou effacez-vous les données d'un salarié ?

Depuis l'interface RH, en un clic. L'export (articles 15 et 20 du RGPD) produit un fichier complet ; la suppression (article 17) anonymise immédiatement les données personnelles, sans possibilité de retour. Les données d'un collaborateur parti sont supprimées automatiquement trois ans après la fin de son contrat.

7. Que se passe-t-il en cas d'incident ?

Sauvegardes quotidiennes de la base, avec une procédure de restauration testée. En cas de violation de données, engagement contractuel de notification sous 72 heures (DPA § 6.5). Pour signaler une vulnérabilité : security@weloom.fr, accusé de réception sous 48 heures ouvrées.

8. Et la signature électronique ?

Les contrats et chartes signés dans Weloom le sont via un prestataire français de signature électronique, conforme au règlement eIDAS (signature électronique simple), avec horodatage. Weloom ne stocke jamais de numéro de carte bancaire : les paiements passent par Stripe.

Pour toute question sécurité ou RGPD, y compris un questionnaire de sécurité de votre DSI : dpo@weloom.fr.