Conformité en matière de protection des données

En Suisse, le cadre déterminant est la LPD révisée, qui régit les états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger (art. 3 al. 1 LPD). Justparity est conçue selon le principe de la protection des données dès la conception, et nous appliquons les principes de la loi à tous les niveaux, de l'architecture à l'exploitation quotidienne.

Just Parity ApS ayant son siège au Danemark, le traitement est en outre soumis au RGPD. Le RGPD ne se substitue pas à la LPD à l'égard des personnes concernées en Suisse : lorsque les deux réglementations s'appliquent, nous suivons la norme la plus stricte.

Protection des données dès la conception (art. 7 LPD). La protection des données est intégrée dès le départ. Notre architecture est conçue pour réduire les risques au minimum et protéger les données personnelles.

Proportionnalité et minimisation des données (art. 6 al. 2 LPD). Nous ne collectons que les données nécessaires à la fourniture du service. Rien de plus, rien de moins.

But déterminé et reconnaissable (art. 6 al. 3 LPD). Les données ne sont utilisées qu'aux finalités pour lesquelles elles ont été collectées. Nous ne vendons jamais de données à des tiers.

Effacement et destruction (art. 32 LPD). Les personnes concernées peuvent exiger l'effacement ou la destruction de leurs données personnelles. Nous disposons de procédures permettant d'y donner suite efficacement.

Remise et transmission des données (art. 28 LPD). Les personnes concernées peuvent se faire remettre leurs données dans un format électronique courant. L'export est disponible directement dans la plateforme.

Contrôle des accès (art. 8 LPD). Un contrôle des accès strict et fondé sur les rôles garantit que seules les personnes autorisées peuvent consulter des données personnelles.

Vous trouverez ci-dessous un aperçu des catégories de données personnelles que nous traitons dans le cadre de la mise en conformité en matière de transparence des rémunérations.

Données des utilisateurs

• nom et adresse e-mail des utilisateurs du système
• rôle et autorisations dans le système
• historique des connexions et journal des activités

Fondement : exécution du contrat conclu avec le client. À la différence du RGPD, la LPD ne subordonne pas chaque traitement effectué par une personne privée à une base juridique spécifique : le traitement est licite s'il respecte les principes de l'art. 6 LPD, et un motif justificatif au sens de l'art. 31 LPD n'est nécessaire que lorsque le traitement constitue une atteinte illicite à la personnalité (art. 30 LPD).

Données des collaborateurs

• nom et numéro de collaborateur
• fonction, unité organisationnelle, supérieur hiérarchique
• date d'engagement

Fondement : exécution du contrat et, pour le client, exécution d'une obligation légale. Pour les employeurs en Suisse, cette obligation ne découle pas de la directive (UE) 2023/970, qui n'est pas applicable en Suisse, mais de la loi fédérale sur l'égalité entre femmes et hommes (LEg) : quiconque emploie au moins 100 travailleurs doit effectuer une analyse de l'égalité des salaires et la faire vérifier par un organe indépendant (art. 13a et 13d LEg), en répétant en règle générale l'opération tous les quatre ans. Le traitement des données des collaborateurs reste circonscrit par les limites de l'art. 328b du Code des obligations (CO).

Données salariales et données sensibles

Les données salariales ne figurent pas dans la liste exhaustive de l'art. 5 let. c LPD et sont dès lors traitées comme des données personnelles ordinaires. Le traitement peut toutefois comprendre :

• le sexe, traité aux fins de l'analyse de l'écart salarial. Le sexe ne figure pas dans la liste de l'art. 5 let. c LPD et ne constitue dès lors pas, en droit suisse, une donnée sensible
• l'appartenance et l'activité syndicales, qui peuvent apparaître indirectement dans les jeux de données salariales importés et qui constituent en revanche des données sensibles au sens de l'art. 5 let. c LPD

Fondement pour les données sensibles : le traitement a lieu exclusivement dans le cadre de l'analyse de l'égalité des salaires et dans les limites des instructions du responsable du traitement, à qui il incombe de disposer du motif justificatif au sens de l'art. 31 LPD. Si le responsable du traitement a son siège dans l'Espace économique européen, les articles 6 et 9 du RGPD s'appliquent en outre.

Le numéro de registre civil danois (numéro CPR) ne constitue pas une donnée sensible au sens de l'art. 5 let. c LPD. Il peut être reçu de manière transitoire depuis les systèmes de paie danois connectés et utilisé uniquement pour déduire techniquement le sexe (dernier chiffre) ; il n'est pas conservé. La plateforme ne demande pas le numéro AVS et ne le prévoit pas parmi les champs importés.

Le sexe et la date de naissance sont conservés dans des tables distinctes, avec des mesures de protection supplémentaires et un contrôle des accès strict.

Nous respectons et facilitons les droits reconnus par la LPD. Nous traitons les demandes en règle générale dans un délai de 30 jours à compter de leur réception (art. 18 OPDo) ; si cela n'est pas possible, nous vous en informons dans ce délai et vous indiquons quand vous recevrez la réponse.

• Droit d'accès (art. 25 LPD). La personne concernée peut demander si des données la concernant sont traitées et obtenir les informations nécessaires pour faire valoir ses droits, sous réserve des restrictions prévues à l'art. 26 LPD.
• Droit de rectification (art. 32 LPD). La personne concernée peut exiger la rectification des données inexactes la concernant, en application du principe d'exactitude (art. 6 LPD).
• Droit à l'effacement ou à la destruction (art. 32 LPD). La personne concernée peut exiger l'effacement ou la destruction de ses données, à moins que des obligations légales ne s'y opposent.
• Droit à la remise ou à la transmission des données (art. 28 LPD). La personne concernée peut se faire remettre ses données dans un format électronique courant ou en exiger la transmission à des tiers.
• Interdiction d'un traitement déterminé (art. 30 et 32 LPD). La LPD ne connaît pas la limitation du traitement de l'article 18 du RGPD. La personne concernée peut toutefois exiger qu'un traitement déterminé ou une communication déterminée à des tiers soit interdit, ou que le caractère litigieux des données soit mentionné.
• Opposition au traitement (art. 30 al. 2 let. b LPD). La personne concernée peut s'opposer à un traitement fondé sur notre intérêt prépondérant. Un traitement contraire à la volonté expresse de la personne concernée constitue en principe une atteinte à la personnalité.
• Retrait du consentement. Lorsque le traitement se fonde sur le consentement, celui-ci peut être retiré en tout temps ; le retrait ne porte pas atteinte à la licéité du traitement effectué avant lui.

Décisions individuelles automatisées : la personne concernée a en outre le droit d'être informée de l'existence d'une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques à son égard ou qui l'affecte de manière significative, et de faire valoir son point de vue (art. 21 LPD).

Données téléversées par les clients : pour les données de collaborateurs téléversées sur la plateforme, Just Parity ApS agit en qualité de sous-traitant (art. 9 LPD). Les demandes doivent être adressées au responsable du traitement, c'est-à-dire à l'entreprise qui a téléversé les données, que nous assistons dans leur traitement. Pour les autres données (coordonnées, données des utilisateurs), vous pouvez vous adresser directement à contact@justparity.com.

Personnes concernées dans l'UE et dans l'EEE : les droits du chapitre III du RGPD (articles 15 et suivants du RGPD) s'appliquent en outre, avec le délai d'un mois de l'article 12, paragraphe 3, du RGPD, prorogeable de deux mois dans les cas prévus.

• Politique de confidentialité, comment nous traitons les données personnelles sur justparity.ch et dans la plateforme.
• Accord de traitement des données, les clauses relatives à la sous-traitance au sens de l'art. 9 LPD et, lorsque le RGPD est applicable, de l'article 28 du RGPD.
• Politique de cookies, les cookies que nous déposons et la manière de les gérer.
• Conditions générales de vente, les conditions régissant l'utilisation de la plateforme.

Vous avez des questions sur la manière dont nous traitons les données personnelles ou vous souhaitez exercer vos droits ? Remplissez le formulaire ci-dessous.

Autorité de surveillance : l'autorité compétente en Suisse est le Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, edoeb.admin.ch. Toute personne qui estime qu'un traitement viole les dispositions sur la protection des données peut déposer une dénonciation ; le PFPDT ouvre une enquête s'il existe des indices suffisants d'une violation (art. 49 LPD). La dénonciation selon le droit suisse n'équivaut pas à la réclamation prévue à l'article 77 du RGPD : le dénonciateur est informé de la suite qui y a été donnée, mais la LPD ne lui confère pas la qualité de partie à la procédure. Les prétentions de droit civil doivent être invoquées devant le juge civil (art. 32 LPD, en relation avec les art. 28 ss du Code civil).

Personnes concernées dans l'UE et dans l'EEE : le droit d'introduire une réclamation auprès de l'autorité de contrôle de l'État de résidence habituelle, du lieu de travail ou du lieu où la violation aurait été commise demeure réservé (article 77 du RGPD).