Politique de confidentialité

Just Parity ApS est responsable du traitement des données personnelles des visiteurs de justparity.ch, des personnes de contact chez nos clients et des utilisateurs de la plateforme (collaborateurs des ressources humaines et cadres dirigeants).

Pour les données salariales et RH que les clients téléversent sur la plateforme, Just Parity ApS agit en qualité de sous-traitant au sens de l'art. 9 LPD. Dans ces cas, le responsable du traitement est l'entreprise cliente, à laquelle doivent être adressées les demandes portant sur les données des collaborateurs.

Droit applicable : la LPD s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger (art. 3, al. 1, LPD). Just Parity ApS ayant son siège au Danemark, le traitement est en outre soumis au règlement général sur la protection des données de l'UE (RGPD). Le RGPD ne se substitue pas à la LPD à l'égard des personnes concernées en Suisse : lorsque les deux réglementations s'appliquent, nous suivons la norme la plus stricte.

Représentation en Suisse : un responsable du traitement privé ayant son siège à l'étranger ne doit désigner une représentation en Suisse que si toutes les conditions de l'art. 14 LPD sont cumulativement remplies. Si et dès que ces conditions devaient être remplies, nous désignerons une représentation et en publierons les coordonnées sur cette page. Jusque-là, le point de contact pour les personnes concernées en Suisse est contact@justparity.com.

Conseiller à la protection des données : le droit suisse n'impose pas aux responsables du traitement privés de désigner un conseiller à la protection des données, l'art. 10 LPD prévoyant cette désignation à titre facultatif. Just Parity ApS n'a désigné ni conseiller au sens de l'art. 10 LPD, ni délégué à la protection des données au sens de l'art. 37 du RGPD, les conditions de cette dernière disposition n'étant pas remplies. Les questions relatives à la protection des données doivent être adressées à contact@justparity.com.

Nous traitons des données personnelles aux fins suivantes :

• la fourniture de la plateforme de conformité Justparity
• l'assistance aux clients et la communication
• la facturation et la comptabilité
• l'exploitation, la maintenance et l'amélioration du service
• le marketing (uniquement avec votre consentement)
• le respect des obligations légales
• l'envoi d'offres dans un cadre B2B, y compris la mesure de l'ouverture du message par le destinataire (accusé de lecture au moyen d'une image d'un pixel sur un pixel)

Nous traitons les catégories de données personnelles suivantes :

• Coordonnées : nom, adresse e-mail, numéro de téléphone, société, fonction
• Données d'utilisation : données de journalisation, adresse IP, informations relatives au navigateur, informations relatives à l'appareil
• Données clients (en qualité de sous-traitant) : données salariales et RH téléversées sur la plateforme par les clients

Données salariales et données sensibles. Les données salariales ne figurent pas dans la liste exhaustive de l'art. 5, let. c, LPD et sont donc traitées comme des données personnelles ordinaires. Le traitement peut toutefois porter sur :

• le sexe, traité aux fins de l'analyse de l'écart de rémunération. Le sexe ne figure pas dans la liste de l'art. 5, let. c, LPD et ne constitue donc pas, en droit suisse, une donnée sensible ; nous le traitons néanmoins avec les mesures renforcées décrites au ch. 8
• l'appartenance et l'activité syndicales, susceptibles d'apparaître indirectement dans les jeux de données salariales importés. Il s'agit de données sensibles au sens de l'art. 5, let. c, LPD

Le numéro de registre civil danois (numéro CPR) peut être reçu de manière transitoire depuis les systèmes de paie danois raccordés (p. ex. Intect) et utilisé exclusivement pour déduire techniquement le sexe aux fins de l'analyse de l'écart de rémunération (dernier chiffre). Le numéro CPR n'est pas enregistré dans la base de données de Justparity : seuls le sexe et la date de naissance sont conservés. Il appartient au responsable du traitement de disposer d'une base légale pour cette communication.

Ces données sont conservées dans des tables distinctes, assorties de mesures de protection supplémentaires et d'un contrôle d'accès strict.

À la différence du RGPD, la LPD ne subordonne pas chaque traitement effectué par une personne privée à l'existence d'une base légale spécifique. Le traitement est licite s'il respecte les principes de l'art. 6 LPD : licéité, bonne foi, proportionnalité, reconnaissabilité, exactitude et sécurité des données. Un motif justificatif au sens de l'art. 31 LPD (consentement, intérêt prépondérant privé ou public, ou loi) n'est nécessaire que lorsque le traitement constitue une atteinte illicite à la personnalité au sens de l'art. 30 LPD.

Sur cette base, nous traitons les données personnelles comme suit :

• Exécution du contrat : pour fournir nos prestations et exécuter le contrat conclu avec le client
• Obligations légales : comptabilité, tenue des livres et obligations fiscales. Just Parity ApS a son siège au Danemark : ces obligations découlent du droit danois et non du droit suisse
• Intérêt prépondérant (art. 31 LPD) : exploitation, sécurité, prévention des abus, amélioration du produit et mesure de l'ouverture d'une offre B2B que nous avons envoyée (accusé de lecture). Nous avons mis en balance ces intérêts et considérons que, dans le cadre d'une négociation commerciale en cours, cette mesure correspond aux attentes raisonnables du destinataire et que l'atteinte est minime (nous enregistrons le moment de l'ouverture, l'adresse IP et le type de navigateur). Vous pouvez vous opposer en tout temps à ce traitement en nous écrivant à contact@justparity.com
• Consentement (art. 31 LPD) : marketing, lettres d'information et cookies non nécessaires

Clients soumis au RGPD : lorsque le client, en sa qualité de responsable du traitement, a son siège dans l'Espace économique européen, le traitement des données de ses collaborateurs est en outre soumis aux art. 6 et 9 du RGPD. Nous agissons alors sur instruction du responsable du traitement, à qui il incombe de disposer de la base légale.

Clients suisses, analyse de l'égalité des salaires : la directive (UE) 2023/970 sur la transparence des rémunérations n'est pas applicable en Suisse. Pour les employeurs en Suisse, l'obligation pertinente découle de la loi fédérale sur l'égalité entre femmes et hommes (LEg) : quiconque emploie au moins 100 travailleurs doit effectuer une analyse de l'égalité des salaires et la faire vérifier par un organe indépendant (art. 13a et 13d LEg), l'opération étant en règle générale répétée tous les quatre ans. La plateforme assiste les clients dans l'exécution de cette obligation, qui incombe toutefois à l'employeur en sa qualité de responsable du traitement.

Données sensibles : le traitement de données relatives à l'appartenance syndicale qui figureraient dans les jeux de données salariales importés a lieu exclusivement dans le cadre de l'analyse de l'égalité des salaires et dans les limites des instructions du responsable du traitement.

Numéro CPR : il ne constitue pas une donnée sensible au sens de l'art. 5, let. c, LPD. Il peut être reçu de manière transitoire depuis les systèmes de paie danois et utilisé uniquement pour déduire techniquement le sexe (dernier chiffre) ; il n'est pas enregistré. Il appartient au responsable du traitement de disposer d'une base légale pour une éventuelle communication.

Nous sommes susceptibles de communiquer des données personnelles à :

Sous-traitants ultérieurs :

Autorités : dans la mesure où la loi le prescrit.

La communication de données personnelles à l'étranger est régie par les art. 16 et 17 LPD. Les données sont traitées principalement dans l'Union européenne : le Danemark et les autres États de l'UE et de l'EEE figurent sur la liste des États disposant d'une protection adéquate des données établie par le Conseil fédéral (annexe 1 de l'ordonnance sur la protection des données, OPDo, RS 235.11), de sorte qu'aucune garantie supplémentaire n'est nécessaire. Vers les États-Unis, la communication n'a lieu qu'en faveur d'entreprises certifiées selon le Swiss-U.S. Data Privacy Framework, reconnu par le Conseil fédéral, ou sur la base de clauses types de protection des données reconnues par le PFPDT (art. 16, al. 2, let. d, LPD).

Outils de marketing soumis au consentement : Google Analytics et Google Ads (statistiques et mesure publicitaire), le pixel Meta (Meta Platforms Ireland Ltd., mesure publicitaire) et la balise LinkedIn Insight (LinkedIn Ireland Unlimited Company, mesure publicitaire) ne sont utilisés qu'avec votre consentement et ne sont pas des sous-traitants ultérieurs pour les données personnelles de la plateforme. Des données peuvent être communiquées aux États-Unis sur la base du Swiss-U.S. Data Privacy Framework et de clauses types reconnues par le PFPDT. Le détail des cookies, leurs finalités et leurs durées figurent dans notre politique relative aux cookies, où vous pouvez également modifier ou retirer votre consentement.

Limitation du nombre de requêtes : la protection contre les surcharges est assurée dans la mémoire de la plateforme elle-même et ne fait intervenir aucun prestataire externe.

Nous conservons les données personnelles aussi longtemps que nécessaire au regard des finalités pour lesquelles elles ont été collectées :

• Données clients dans la plateforme : supprimées au plus tard 30 jours après la fin du contrat
• Coordonnées : 3 ans à compter de la fin de la relation client, ce qui correspond au délai de prescription des créances contractuelles selon le § 3 de la loi danoise sur la prescription
• Données comptables : 5 ans (§ 12 de la loi comptable danoise)
• Offres et données d'audit relatives aux offres : 5 ans à compter de la fin de l'exercice auquel se rapportent les pièces, selon le § 12, al. 1, de la loi comptable danoise. À l'expiration de ce délai, les données sont pseudonymisées (les champs identifiants sont remplacés par une empreinte ; l'identifiant et l'horodatage de l'événement sont conservés à des fins de révision)
• Données de marketing : jusqu'au retrait du consentement
• Données de journalisation : 90 jours
• Accusés de lecture des offres B2B : le moment de l'ouverture, l'adresse IP et le type de navigateur sont conservés avec l'offre (5 ans) selon la loi comptable danoise, puis pseudonymisés

Les délais indiqués découlent du droit danois, auquel Just Parity ApS est soumise en tant que société ayant son siège au Danemark. Les clients en Suisse restent soumis à leurs propres obligations de conservation selon le droit suisse, notamment en matière commerciale et fiscale, qui s'appliquent à eux en leur qualité de responsables du traitement.

En tant que personne concernée, la LPD vous reconnaît notamment les droits suivants :

• le droit d'accès (art. 25 LPD), sous réserve des restrictions prévues à l'art. 26 LPD
• le droit à la remise des données ou à leur transmission à un tiers (art. 28 LPD)
• le droit d'exiger la rectification des données inexactes, en application du principe d'exactitude (art. 6 LPD)
• le droit d'exiger l'effacement ou la destruction des données personnelles (art. 32 LPD)
• le droit d'exiger qu'un traitement déterminé ou une communication déterminée à des tiers soit interdit (art. 30 et 32 LPD)
• le droit d'être informé de l'existence d'une décision individuelle automatisée et de faire valoir votre point de vue (art. 21 LPD)
• le droit de retirer en tout temps un consentement donné ; le retrait ne compromet pas la licéité du traitement effectué avant celui-ci

Pour les données à l'égard desquelles Justparity agit en qualité de sous-traitant (données de collaborateurs téléversées sur la plateforme), les demandes doivent être adressées au responsable du traitement, c'est-à-dire à l'entreprise qui a téléversé les données. Pour les autres données (coordonnées, données d'utilisateur), vous pouvez exercer vos droits en nous écrivant à contact@justparity.com.

Nous fournissons les renseignements en règle générale dans les 30 jours suivant la réception de la demande. Si cela n'est pas possible, nous vous en informons dans ce délai et vous indiquons quand vous recevrez la réponse (art. 18 OPDo).

Personnes concernées dans l'UE et l'EEE : les droits du chapitre III du RGPD (articles 15 et suivants du RGPD) s'appliquent en outre. Pour les données téléversées sur la plateforme, ils doivent être exercés à l'égard du client en sa qualité de responsable du traitement.

Nous avons pris des mesures techniques et organisationnelles appropriées pour protéger les données personnelles, notamment :

• le chiffrement des données en transit (TLS 1.3) et au repos (AES-256)
• un contrôle d'accès fondé sur les rôles (RBAC) et l'authentification multifacteur
• la journalisation et la surveillance des accès aux données personnelles
• des analyses de vulnérabilités périodiques et des mises à jour de sécurité
• des procédures de sauvegarde, de restauration et de gestion des incidents
• des engagements de confidentialité et une formation périodique du personnel en matière de sécurité

Violations de la sécurité des données : nous annonçons au PFPDT dans les meilleurs délais les violations de la sécurité des données qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (art. 24 LPD). Le droit suisse ne prévoit pas le délai fixe de 72 heures du RGPD ; lorsque le RGPD s'applique en outre, nous respectons également ce délai.

Les mesures de sécurité détaillées sont décrites dans notre accord de traitement des données (/accord-traitement-donnees).

L'autorité de surveillance compétente en Suisse est le Préposé fédéral à la protection des données et à la transparence (PFPDT). Toute personne qui estime qu'un traitement viole les dispositions sur la protection des données peut déposer une dénonciation : le PFPDT ouvre une enquête d'office ou sur dénonciation lorsqu'il existe des indices suffisants d'une violation (art. 49 LPD).

La dénonciation prévue par le droit suisse n'équivaut pas à la réclamation de l'art. 77 du RGPD. Le dénonciateur est informé de la suite donnée à sa dénonciation et du résultat d'une éventuelle enquête (art. 49, al. 4, LPD), mais la LPD ne lui confère pas la qualité de partie à la procédure. Les prétentions de droit civil, notamment l'effacement ou la destruction des données et l'interdiction d'un traitement déterminé, doivent être invoquées devant le juge civil (art. 32 LPD, en relation avec les art. 28 et suivants du Code civil).

Personnes concernées dans l'UE et l'EEE : le droit d'introduire une réclamation auprès de l'autorité de contrôle de l'État de résidence habituelle ou du lieu de travail demeure réservé (art. 77 du RGPD). Pour Just Parity ApS, société ayant son siège au Danemark, l'autorité compétente est le Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, Danemark, dt@datatilsynet.dk, datatilsynet.dk.

Nous nous réservons le droit de mettre à jour la présente politique de confidentialité. En cas de modification substantielle, les personnes concernées en sont informées par e-mail ou lors de leur connexion à la plateforme. La version la plus récente est toujours disponible sur cette page.