Politique de confidentialité

Just Parity ApS est responsable du traitement des données personnelles des visiteurs de justparity.ch, des personnes de contact chez nos clients et des utilisateurs de la plateforme (collaborateurs des ressources humaines et cadres dirigeants).

Pour les données salariales et RH que les clients téléversent sur la plateforme, Just Parity ApS agit en qualité de sous-traitant au sens de l'art. 9 LPD. Dans ces cas, le responsable du traitement est l'entreprise cliente, à laquelle doivent être adressées les demandes portant sur les données des collaborateurs.

Droit applicable : la LPD s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger (art. 3, al. 1, LPD). Just Parity ApS ayant son siège au Danemark, le traitement est en outre soumis au règlement général sur la protection des données de l'UE (RGPD). Le RGPD ne se substitue pas à la LPD à l'égard des personnes concernées en Suisse : lorsque les deux réglementations s'appliquent, nous suivons la norme la plus stricte.

Représentation en Suisse : un responsable du traitement privé ayant son siège à l'étranger ne doit désigner une représentation en Suisse que si toutes les conditions de l'art. 14 LPD sont cumulativement remplies. Si et dès que ces conditions devaient être remplies, nous désignerons une représentation et en publierons les coordonnées sur cette page. Jusque-là, le point de contact pour les personnes concernées en Suisse est contact@justparity.com.

Conseiller à la protection des données : le droit suisse n'impose pas aux responsables du traitement privés de désigner un conseiller à la protection des données, l'art. 10 LPD prévoyant cette désignation à titre facultatif. Just Parity ApS n'a désigné ni conseiller au sens de l'art. 10 LPD, ni délégué à la protection des données au sens de l'art. 37 du RGPD, les conditions de cette dernière disposition n'étant pas remplies. Les questions relatives à la protection des données doivent être adressées à contact@justparity.com.

Nous traitons des données personnelles aux fins suivantes :

• la fourniture de la plateforme de conformité Justparity
• l'assistance aux clients et la communication
• la facturation et la comptabilité
• l'exploitation, la maintenance et l'amélioration du service
• le marketing (uniquement avec votre consentement)
• le respect des obligations légales
• l'envoi d'offres dans un cadre B2B, y compris la mesure de l'ouverture du message par le destinataire (accusé de lecture au moyen d'une image d'un pixel sur un pixel)

Nous traitons les catégories de données personnelles suivantes :

• Coordonnées : nom, adresse e-mail, numéro de téléphone, société, fonction
• Données d'utilisation : données de journalisation, adresse IP, informations relatives au navigateur, informations relatives à l'appareil
• Données clients (en qualité de sous-traitant) : données salariales et RH téléversées sur la plateforme par les clients

Données salariales et données sensibles. Les données salariales ne figurent pas dans la liste exhaustive de l'art. 5, let. c, LPD et sont donc traitées comme des données personnelles ordinaires. Le traitement peut toutefois porter sur :

• le sexe, traité aux fins de l'analyse de l'écart de rémunération. Le sexe ne figure pas dans la liste de l'art. 5, let. c, LPD et ne constitue donc pas, en droit suisse, une donnée sensible ; nous le traitons néanmoins avec les mesures renforcées décrites au ch. 8
• l'appartenance et l'activité syndicales, susceptibles d'apparaître indirectement dans les jeux de données salariales importés. Il s'agit de données sensibles au sens de l'art. 5, let. c, LPD

Le numéro de registre civil danois (numéro CPR) peut être reçu de manière transitoire depuis les systèmes de paie danois raccordés (p. ex. Intect) et utilisé exclusivement pour déduire techniquement le sexe aux fins de l'analyse de l'écart de rémunération (dernier chiffre). Le numéro CPR n'est pas enregistré dans la base de données de Justparity : seuls le sexe et la date de naissance sont conservés. Il appartient au responsable du traitement de disposer d'une base légale pour cette communication.

Ces données sont conservées dans des tables distinctes, assorties de mesures de protection supplémentaires et d'un contrôle d'accès strict.

À la différence du RGPD, la LPD ne subordonne pas chaque traitement effectué par une personne privée à l'existence d'une base légale spécifique. Le traitement est licite s'il respecte les principes de l'art. 6 LPD : licéité, bonne foi, proportionnalité, reconnaissabilité, exactitude et sécurité des données. Un motif justificatif au sens de l'art. 31 LPD (consentement, intérêt prépondérant privé ou public, ou loi) n'est nécessaire que lorsque le traitement constitue une atteinte illicite à la personnalité au sens de l'art. 30 LPD.

Sur cette base, nous traitons les données personnelles comme suit :

• Exécution du contrat : pour fournir nos prestations et exécuter le contrat conclu avec le client
• Obligations légales : comptabilité, tenue des livres et obligations fiscales. Just Parity ApS a son siège au Danemark : ces obligations découlent du droit danois et non du droit suisse
• Intérêt prépondérant (art. 31 LPD) : exploitation, sécurité, prévention des abus, amélioration du produit et mesure de l'ouverture d'une offre B2B que nous avons envoyée (accusé de lecture). Nous avons mis en balance ces intérêts et considérons que, dans le cadre d'une négociation commerciale en cours, cette mesure correspond aux attentes raisonnables du destinataire et que l'atteinte est minime (nous enregistrons le moment de l'ouverture, l'adresse IP et le type de navigateur). Vous pouvez vous opposer en tout temps à ce traitement en nous écrivant à contact@justparity.com
• Consentement (art. 31 LPD) : marketing, lettres d'information et cookies non nécessaires

Clients soumis au RGPD : lorsque le client, en sa qualité de responsable du traitement, a son siège dans l'Espace économique européen, le traitement des données de ses collaborateurs est en outre soumis aux art. 6 et 9 du RGPD. Nous agissons alors sur instruction du responsable du traitement, à qui il incombe de disposer de la base légale.

Clients suisses, analyse de l'égalité des salaires : la directive (UE) 2023/970 sur la transparence des rémunérations n'est pas applicable en Suisse. Pour les employeurs en Suisse, l'obligation pertinente découle de la loi fédérale sur l'égalité entre femmes et hommes (LEg) : quiconque emploie au moins 100 travailleurs doit effectuer une analyse de l'égalité des salaires et la faire vérifier par un organe indépendant (art. 13a et 13d LEg), l'opération étant en règle générale répétée tous les quatre ans. La plateforme assiste les clients dans l'exécution de cette obligation, qui incombe toutefois à l'employeur en sa qualité de responsable du traitement.

Données sensibles : le traitement de données relatives à l'appartenance syndicale qui figureraient dans les jeux de données salariales importés a lieu exclusivement dans le cadre de l'analyse de l'égalité des salaires et dans les limites des instructions du responsable du traitement.

Numéro CPR : il ne constitue pas une donnée sensible au sens de l'art. 5, let. c, LPD. Il peut être reçu de manière transitoire depuis les systèmes de paie danois et utilisé uniquement pour déduire techniquement le sexe (dernier chiffre) ; il n'est pas enregistré. Il appartient au responsable du traitement de disposer d'une base légale pour une éventuelle communication.

Nous sommes susceptibles de communiquer des données personnelles à :

Sous-traitants ultérieurs :

Autorités : dans la mesure où la loi le prescrit.

La communication de données personnelles à l'étranger est régie par les art. 16 et 17 LPD. Les données sont traitées principalement dans l'Union européenne : le Danemark et les autres États de l'UE et de l'EEE figurent sur la liste des États disposant d'une protection adéquate des données établie par le Conseil fédéral (annexe 1 de l'ordonnance sur la protection des données, OPDo, RS 235.11), de sorte qu'aucune garantie supplémentaire n'est nécessaire. Vers les États-Unis, la communication n'a lieu qu'en faveur d'entreprises certifiées selon le Swiss-U.S. Data Privacy Framework, reconnu par le Conseil fédéral, ou sur la base de clauses types de protection des données reconnues par le PFPDT (art. 16, al. 2, let. d, LPD).

Outils de marketing soumis au consentement : Google Analytics et Google Ads (statistiques et mesure publicitaire), le pixel Meta (Meta Platforms Ireland Ltd., mesure publicitaire) et la balise LinkedIn Insight (LinkedIn Ireland Unlimited Company, mesure publicitaire) ne sont utilisés qu'avec votre consentement et ne sont pas des sous-traitants ultérieurs pour les données personnelles de la plateforme. Des données peuvent être communiquées aux États-Unis sur la base du Swiss-U.S. Data Privacy Framework et de clauses types reconnues par le PFPDT. Le détail des cookies, leurs finalités et leurs durées figurent dans notre politique relative aux cookies, où vous pouvez également modifier ou retirer votre consentement.

Limitation du nombre de requêtes : la protection contre les surcharges est assurée dans la mémoire de la plateforme elle-même et ne fait intervenir aucun prestataire externe.

Nous conservons les données personnelles aussi longtemps que nécessaire au regard des finalités pour lesquelles elles ont été collectées :

• Données clients dans la plateforme : supprimées au plus tard 30 jours après la fin du contrat
• Coordonnées : 3 ans à compter de la fin de la relation client, ce qui correspond au délai de prescription des créances contractuelles selon le § 3 de la loi danoise sur la prescription
• Données comptables : 5 ans (§ 12 de la loi comptable danoise)
• Offres et données d'audit relatives aux offres : 5 ans à compter de la fin de l'exercice auquel se rapportent les pièces, selon le § 12, al. 1, de la loi comptable danoise. À l'expiration de ce délai, les données sont pseudonymisées (les champs identifiants sont remplacés par une empreinte ; l'identifiant et l'horodatage de l'événement sont conservés à des fins de révision)
• Données de marketing : jusqu'au retrait du consentement
• Données de journalisation : 90 jours
• Accusés de lecture des offres B2B : le moment de l'ouverture, l'adresse IP et le type de navigateur sont conservés avec l'offre (5 ans) selon la loi comptable danoise, puis pseudonymisés

Les délais indiqués découlent du droit danois, auquel Just Parity ApS est soumise en tant que société ayant son siège au Danemark. Les clients en Suisse restent soumis à leurs propres obligations de conservation selon le droit suisse, notamment en matière commerciale et fiscale, qui s'appliquent à eux en leur qualité de responsables du traitement.

En tant que personne concernée, la LPD vous reconnaît notamment les droits suivants :

• le droit d'accès (art. 25 LPD), sous réserve des restrictions prévues à l'art. 26 LPD
• le droit à la remise des données ou à leur transmission à un tiers (art. 28 LPD)
• le droit d'exiger la rectification des données inexactes, en application du principe d'exactitude (art. 6 LPD)
• le droit d'exiger l'effacement ou la destruction des données personnelles (art. 32 LPD)
• le droit d'exiger qu'un traitement déterminé ou une communication déterminée à des tiers soit interdit (art. 30 et 32 LPD)
• le droit d'être informé de l'existence d'une décision individuelle automatisée et de faire valoir votre point de vue (art. 21 LPD)
• le droit de retirer en tout temps un consentement donné ; le retrait ne compromet pas la licéité du traitement effectué avant celui-ci

Pour les données à l'égard desquelles Justparity agit en qualité de sous-traitant (données de collaborateurs téléversées sur la plateforme), les demandes doivent être adressées au responsable du traitement, c'est-à-dire à l'entreprise qui a téléversé les données. Pour les autres données (coordonnées, données d'utilisateur), vous pouvez exercer vos droits en nous écrivant à contact@justparity.com.

Nous fournissons les renseignements en règle générale dans les 30 jours suivant la réception de la demande. Si cela n'est pas possible, nous vous en informons dans ce délai et vous indiquons quand vous recevrez la réponse (art. 18 OPDo).

Personnes concernées dans l'UE et l'EEE : les droits du chapitre III du RGPD (articles 15 et suivants du RGPD) s'appliquent en outre. Pour les données téléversées sur la plateforme, ils doivent être exercés à l'égard du client en sa qualité de responsable du traitement.

Nous avons pris des mesures techniques et organisationnelles appropriées pour protéger les données personnelles, notamment :

• le chiffrement des données en transit (TLS 1.3) et au repos (AES-256)
• un contrôle d'accès fondé sur les rôles (RBAC) et l'authentification multifacteur
• la journalisation et la surveillance des accès aux données personnelles
• des analyses de vulnérabilités périodiques et des mises à jour de sécurité
• des procédures de sauvegarde, de restauration et de gestion des incidents
• des engagements de confidentialité et une formation périodique du personnel en matière de sécurité

Violations de la sécurité des données : nous annonçons au PFPDT dans les meilleurs délais les violations de la sécurité des données qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (art. 24 LPD). Le droit suisse ne prévoit pas le délai fixe de 72 heures du RGPD ; lorsque le RGPD s'applique en outre, nous respectons également ce délai.

Les mesures de sécurité détaillées sont décrites dans notre accord de traitement des données (/accord-traitement-donnees).

L'autorité de surveillance compétente en Suisse est le Préposé fédéral à la protection des données et à la transparence (PFPDT). Toute personne qui estime qu'un traitement viole les dispositions sur la protection des données peut déposer une dénonciation : le PFPDT ouvre une enquête d'office ou sur dénonciation lorsqu'il existe des indices suffisants d'une violation (art. 49 LPD).

La dénonciation prévue par le droit suisse n'équivaut pas à la réclamation de l'art. 77 du RGPD. Le dénonciateur est informé de la suite donnée à sa dénonciation et du résultat d'une éventuelle enquête (art. 49, al. 4, LPD), mais la LPD ne lui confère pas la qualité de partie à la procédure. Les prétentions de droit civil, notamment l'effacement ou la destruction des données et l'interdiction d'un traitement déterminé, doivent être invoquées devant le juge civil (art. 32 LPD, en relation avec les art. 28 et suivants du Code civil).

Personnes concernées dans l'UE et l'EEE : le droit d'introduire une réclamation auprès de l'autorité de contrôle de l'État de résidence habituelle ou du lieu de travail demeure réservé (art. 77 du RGPD). Pour Just Parity ApS, société ayant son siège au Danemark, l'autorité compétente est le Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, Danemark, dt@datatilsynet.dk, datatilsynet.dk.

La première partie de cette section concerne des données personnelles que nous n'avons pas recueillies auprès de vous. Elle vise les personnes de contact dans des entreprises que nous envisageons d'approcher comme clients potentiels, et avec lesquelles nous n'avons pas nécessairement parlé. Les données figurent dans notre système de vente interne, pas dans la plateforme.

D'où proviennent les données (art. 19 al. 3 LPD): les pages web publiquement accessibles des entreprises elles-mêmes, où les collaborateurs sont indiqués avec leur nom, leur fonction et leurs coordonnées professionnelles. L'extraction est automatisée. Les entreprises elles-mêmes, nous les trouvons au registre du commerce danois (CVR); le CVR n'est pas la source des données relatives aux personnes.

Quelles données: nom, fonction, adresse électronique professionnelle, numéro de téléphone professionnel et employeur. Nous ne recueillons à cette fin ni catégories particulières de données personnelles ni numéros d'identification nationaux.

Finalités et motif justificatif: évaluer si l'entreprise peut tirer parti de notre produit, et pouvoir nous adresser au bon interlocuteur. Le traitement repose sur notre intérêt prépondérant à commercialiser un service auprès d'autres entreprises (art. 31 LPD). Nous avons mis cet intérêt en balance avec les intérêts de la personne concernée; les données se limitent au rôle professionnel.

Aucune décision individuelle automatisée: nous ne prenons aucune décision concernant une personne fondée exclusivement sur un traitement automatisé (art. 21 LPD), et nous ne profilons pas les personnes. La hiérarchisation que nous effectuons porte sur l'entreprise.

Destinataires: aucun, hormis les sous-traitants qui exploitent nos propres systèmes, voir la section 5. Les données ne sont ni vendues ni communiquées à des tiers à des fins de prospection.

Combien de temps nous les conservons: une personne de contact est supprimée au plus tard 12 mois après la collecte des données, si aucun contact n'a eu lieu entre nous et la personne ou l'entreprise pendant cette période. S'il y a eu un contact, les durées de la section 6 s'appliquent.

Vos droits, et en particulier le droit de vous opposer: vous disposez du droit d'accès (art. 25 LPD) ainsi que du droit de faire rectifier vos données, de vous opposer au traitement et d'en demander l'effacement (art. 32 LPD). Si vous vous opposez au traitement à des fins de publicité, nous y mettons fin. Aucune justification n'est requise, et aucune formulation particulière. Écrivez à contact@justparity.com, et nous effacerons les données vous concernant.

Pourquoi vous lisez ceci: l'art. 19 al. 1 LPD nous oblige à vous informer de la collecte, y compris lorsque les données ne sont pas collectées auprès de vous. L'art. 20 al. 2 let. b LPD fait tomber cette obligation lorsque l'information exige un effort disproportionné. Nous ne nous prévalons pas de cette exception: nous informons ici. Nous avons choisi de ne pas écrire à des personnes qui n'ont jamais demandé à entendre parler de nous, précisément pour ne pas transformer une obligation d'information en une prise de contact.

Personnes de contact chez des partenaires potentiels

Nous écrivons aux éditeurs de logiciels de paie et de RH afin de pouvoir récupérer des données dans leurs systèmes pour le compte de nos clients. Le premier e-mail est envoyé uniquement à une adresse générique que l'éditeur a lui-même publiée, jamais à une personne nommément désignée. Nous n'obtenons des données vous concernant que lorsque vous ou un collègue répondez ou transférez notre e-mail.

Finalité: obtenir l'accès à l'API, au programme partenaire ou à l'environnement de test de l'éditeur, et mener les échanges sur une intégration.

Quelles données: nom, adresse électronique professionnelle, fonction ou rôle, employeur, un numéro de téléphone professionnel si vous nous le communiquez, et notre correspondance avec vous, y compris le fait que vous ayez répondu ou refusé.

D'où proviennent les données: l'adresse générique figure sur le site web publiquement accessible de l'éditeur lui-même. Le reste provient de vous ou de vos collègues lorsque vous nous écrivez. Si vous répondez vous-même à notre e-mail, nous collectons les données auprès de vous. Si un collègue vous transfère notre e-mail ou vous mentionne dans une réponse, nous ne les collectons pas auprès de vous. Le devoir d'informer de l'art. 19 LPD s'applique dans les deux cas.

Vous n'êtes pas tenu de répondre: répondre ou nous communiquer des données n'est ni une exigence légale ni une exigence contractuelle, et ne pas le faire n'a aucune conséquence pour vous.

Motif justificatif: notre intérêt prépondérant (art. 31 LPD) à pouvoir récupérer les propres données de paie et de RH de nos clients dans les systèmes qu'ils utilisent. Il prévaut parce que nous ne traitons que des données relatives à votre rôle professionnel, n'écrivons qu'à une adresse publiée par l'éditeur lui-même, et parce que vous pouvez vous opposer à tout moment.

Destinataires: aucun, hormis les sous-traitants qui exploitent nos propres systèmes, voir la section 5.

Combien de temps nous les conservons: 12 mois après la dernière correspondance, si nous n'engageons pas de collaboration. Dans le cas contraire, nous conservons les coordonnées pendant toute la durée de la collaboration puis pendant 3 ans, la même durée que pour les coordonnées à la section 6. Si vous refusez, nous ne conservons que l'adresse générique à laquelle nous avons écrit et la date, afin de ne plus écrire à cette adresse.

Votre droit de vous opposer (art. 32 LPD): vous pouvez vous opposer à tout moment. Répondez « non merci » à notre e-mail ou écrivez à integrations@justparity.com ou contact@justparity.com. Nous cessons alors le traitement, ne vous écrivons plus et effaçons les données vous concernant, à l'exception de l'adresse générique et de la date. Vous disposez également du droit d'accès (art. 25 LPD) et du droit de faire rectifier les données (art. 32 LPD).

Pourquoi vous avez reçu un e-mail: ici, nous vous écrivons directement. Chaque e-mail de notre part renvoie à cette page, de sorte que les informations prévues à l'art. 19 LPD vous sont fournies au plus tard dans le premier e-mail que vous recevez de nous.

Si notre traitement de vos données ne vous convient pas, vous pouvez vous adresser au PFPDT, voir la section 9.

Nous nous réservons le droit de mettre à jour la présente politique de confidentialité. En cas de modification substantielle, les personnes concernées en sont informées par e-mail ou lors de leur connexion à la plateforme. La version la plus récente est toujours disponible sur cette page.