Politique de confidentialité

L'entreprise cliente d'Enodi (votre employeur) est responsable de traitement au sens de l'article 4(7) du RGPD : c'est elle qui détermine la finalité du traitement — la prévention des risques psychosociaux au titre de son obligation légale de sécurité — et les moyens essentiels (périmètre des équipes couvertes, activation des familles d'alertes).

Enodi, édité par Brochus Coaching, agit comme sous-traitant au sens de l'article 28 du RGPD pour la fourniture du service SaaS. Un contrat de sous-traitance (DPA) est conclu avec chaque client, couvrant le registre des traitements, la liste des sous-traitants ultérieurs, l'assistance à la réalisation d'analyses d'impact (AIPD) et la notification des violations de données.

Sous-traitants ultérieurs :

• Supabase — hébergement de la base de données (région eu-west-3, Paris)
• Vercel — diffusion de l'application frontend (transit / CDN et protection anti-DDoS) : aucune donnée applicative n'est traitée ni stockée par Vercel, qui sert uniquement le bundle statique
• Scaleway TEM (Union européenne) — envoi des emails transactionnels, fournisseur principal, avec Resend en secours pendant la période de transition (audit de conformité sous-traitant en cours)
• Microsoft — intégration Microsoft Teams / Graph pour les métadonnées d'activité

Les partenaires psychologues et coachs RPS auxquels Enodi peut router certaines alertes agissent comme responsables de traitement autonomes pour leur propre accompagnement, dans le respect du secret professionnel applicable à leur profession.

Au sens du règlement européen sur l'intelligence artificielle (AI Act), Enodi est fournisseur (art. 3(3)) d'un système d'IA à haut risque assumé (Annexe III, point 4(b) — emploi et gestion des travailleurs). L'entreprise cliente est déployeur (art. 3(4)) au sens du même règlement.

• Métadonnées d'activité Microsoft 365 (volumes d'emails, horaires, réunions) — jamais le contenu des communications
• Réponses aux questionnaires EIP (profil intégral) et Csc (charge sociale et climatique)
• Scores calculés à partir de ces réponses : Indice de Surcharge Probable (ISP), score Csc
• Interactions avec le copilote conversationnel (historique limité, garde-fous éthiques)
• Identité professionnelle : nom, email, rattachement à une équipe

Le traitement est fondé sur l'obligation légale de l'employeur de prévenir les risques professionnels (articles L4121-1, L4121-2 et L4121-3 du Code du travail, document unique d'évaluation des risques professionnels — DUERP), soit la base légale de l'article 6(1)(c) du RGPD, avec la dérogation prévue aux articles 9(2)(b) et 9(2)(h) du RGPD pour la donnée de santé inférée (le score ISP).

Le consentement individuel ne subsiste que pour deux mécanismes résiduels et révocables à tout moment :

• le blocage de l'escalade individuelle de votre score ISP vers votre manager ;
• la divulgation de votre profil EIP à un partenaire psychologue en cas d'alerte.

Le formulaire de contact du site et le simulateur d'impact relèvent d'une base légale distincte : la prospection commerciale B2B, fondée sur votre consentement explicite (article 6(1)(a) du RGPD) recueilli lors de la soumission du formulaire. Ces données sont conservées 3 ans à compter de notre dernier contact. Les paramètres saisis dans le simulateur (effectif, scénario, hypothèses ajustables) sont des hypothèses d'entreprise que vous choisissez vous-même — ils ne constituent en aucun cas une donnée relative à un salarié.

Selon la configuration activée par votre entreprise : votre manager direct et/ou le service RH (alertes agrégées ou nominatives selon les seuils de zone), les partenaires psychologues et coachs RPS assignés à votre entreprise (sous double condition de consentement et de zone de vigilance), les équipes techniques d'Enodi habilitées, et les sous-traitants listés ci-dessus. Vos réponses individuelles ne sont jamais communiquées sans l'une de ces conditions explicites.

Le site enodi.fr ne dépose aucun cookie publicitaire et n'intègre aucun traceur tiers (réseau social, régie publicitaire, contenu externe). Il utilise uniquement des stockages strictement nécessaires à son fonctionnement, dans le stockage local de votre navigateur, qui ne demandent pas votre consentement :

• la session de connexion à l'espace Enodi (jeton d'authentification Supabase, en stockage local), conservée jusqu'à la déconnexion ;
• la langue d'affichage (en stockage local), conservée jusqu'à ce que vous effaciez les données du site ;
• la mise en pause des vidéos (en stockage de session), effacée à la fermeture de l'onglet ;
• les informations saisies pour accéder au simulateur d'impact (en stockage de session), effacées à la fermeture de l'onglet ;
• votre choix en matière de cookies lui-même (en stockage local), conservé 6 mois.

La mesure d'audience est soumise à votre consentement préalable et désactivée par défaut. Aucun outil de mesure d'audience n'est déployé à ce jour ; l'outil retenu sera nommé ici avant toute activation, et rien ne sera déposé sans votre accord.

Votre choix est conservé 6 mois, puis il vous est demandé à nouveau. Vous pouvez le modifier ou le retirer à tout moment, aussi simplement que vous l'avez donné, depuis le lien « Gérer les cookies » en pied de page. Ce dispositif suit les lignes directrices (délibération n° 2020-091) et la recommandation (délibération n° 2020-092) de la CNIL relatives aux cookies et autres traceurs.

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données personnelles, ainsi que du droit de retirer votre consentement à tout moment, sans justification ni conséquence.

Un espace personnel dédié vous permet de gérer vos consentements et d'exporter vos données : Mes données personnelles.

Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

Pour toute question relative à la protection de vos données personnelles ou pour exercer vos droits, vous pouvez contacter notre délégué à la protection des données à l'adresse contact@enodi.fr.