Conditions générales d’utilisation et politique de protection des données

1. Conditions générales d’utilisation

Les présentes Conditions Générales d’Utilisation (CGU) ont pour objet de définir les conditions dans lesquelles la société LGP Conseil SAS met à disposition la solution Mon EDH.

Mon EDH est une plateforme SaaS permettant aux organisations de réaliser des enquêtes internes fondées sur une série de questions structurées, d’analyser les réponses et de restituer des résultats sous forme agrégée.

Les résultats sont ainsi restitués sous la forme d’une « empreinte globale », ainsi que sous la forme de données statistiques agrégées correspondant aux réponses apportées par les participants à chacune des questions posées. Aucune donnée individuelle n’est accessible via la plateforme.

Le client a la possibilité de définir des « entités » (équipes, services ou tout autre type de segmentation) pour lancer son enquête. Il s’engage toutefois à ne pas créer de segmentations susceptibles de permettre l’identification directe ou indirecte des répondants.

Par ailleurs, le client ne pourra lancer une enquête qu’à la condition que le nombre de répondants prévu soit au minimum de 5 personnes pour l’ensemble de l’organisation. Si le client décide de structurer son enquête par « entités », il devra, pour pouvoir lancer l’enquête, s’assurer que chaque entité compte au minimum 3 personnes.

Le client reconnaît que ces seuils visent à limiter les risques d’identification des répondants.

Le client s’engage à ne pas tenter d’identifier les répondants, directement ou indirectement, notamment en croisant les résultats issus de la plateforme avec d’autres données internes ou externes.

Dans le cadre de la création de son compte, le client fournit des informations relatives au secteur d’activité, à la localisation et à la taille de l’organisation. Il garantit l’exactitude de ces informations.

Mon EDH est mis à disposition gratuitement. LGP Conseil peut faire évoluer, suspendre ou arrêter le service. Le service est fourni en l’état, sans garantie de disponibilité continue. LGP Conseil ne saurait être tenue responsable des décisions prises par le client sur la base des résultats.

2. Politique de confidentialité

La société LGP Conseil SAS agit en qualité de responsable de traitement pour les données relatives à la gestion de la plateforme et pour la base statistique globale, et en qualité de sous-traitant pour les traitements réalisés pour le compte de ses clients dans le cadre des enquêtes.

Dans le cadre de la création et de la gestion des comptes, Mon EDH collecte des informations relatives à l’organisation cliente, notamment le secteur d’activité, la région et l’effectif. Ces données alimentent la base de données statistiques globale portant sur l’ensemble des clients utilisateurs de la solution Mon EDH. Elles sont traitées sur la base de l’exécution du contrat et de l’intérêt légitime.

Les données collectées dans le cadre des enquêtes comprennent des données professionnelles ainsi que des réponses à des questions structurées. Certaines données sont collectées à des fins statistiques : l’âge, l’identité de genre, l’ancienneté dans l’organisation, la catégorie socioprofessionnelle ou le métier.

Ces données sont utilisées par LGP Conseil, en qualité de responsable de traitement, pour alimenter une base statistique globale portant sur l’ensemble des utilisateurs de Mon EDH. Elles y sont intégrées sous forme anonymisée, sur la base de l’intérêt légitime de LGP Conseil à améliorer sa méthode d’analyse, et ne sont en aucun cas transmises aux clients.

Les résultats restitués aux clients ne portent que sur les questions qui permettent de générer le rapport et l’empreinte développement humain finaux. Ces résultats sont restitués uniquement sous forme agrégée. Pour le client, aucun accès à des données individuelles n’est possible via la plateforme.

Afin de limiter les risques d’identification, Mon EDH met en œuvre des mécanismes d’agrégation reposant sur des seuils minimaux de participants, fixés à cinq (5) participants au global et à trois (3) participants par entité.

D’autre part, les données de compte et les données d’enquête sont hébergées en France et ne font l’objet d’aucun transfert hors de l’Union européenne. Elles ne sont jamais transmises à des outils de mesure d’audience.

Le site utilise Google Analytics pour mesurer sa fréquentation, uniquement si l’utilisateur l’accepte dans le bandeau cookies. Les données de navigation alors collectées (identifiant de cookie, pages consultées, données techniques dont l’adresse IP) sont transmises à Google LLC, aux États-Unis. Ce transfert est encadré par la décision d’adéquation de la Commission européenne du 10 juillet 2023 (EU-US Data Privacy Framework), à laquelle Google LLC est certifiée. L’utilisateur peut retirer son consentement à tout moment depuis le gestionnaire de cookies.

Les données de compte et les données d’enquête sont conservées pendant toute la durée d’utilisation de la plateforme, puis supprimées dans un délai de 12 mois après la clôture du compte, sauf obligation légale contraire. Les données de la base statistique globale, étant anonymisées, ne sont pas soumises à une durée limitée.

Les droits des personnes concernées s’exercent en priorité auprès du client, en sa qualité de Responsable de traitement pour les enquêtes.

3. Information à destination des répondants

Dans le but d’améliorer ses pratiques et son fonctionnement, votre organisation utilise la solution Mon EDH afin de réaliser une enquête interne visant à recueillir les perceptions de ses collaborateurs.

Les réponses que vous fournissez sont utilisées uniquement pour produire des analyses globales. Aucun résultat individuel n’est accessible à votre organisation.

L’enquête repose exclusivement sur des questions structurées. Aucun commentaire libre n’est demandé, ce qui limite les risques d’identification directe.

Les résultats sont restitués uniquement sous forme agrégée.

Certaines informations (âge, genre, ancienneté, catégorie socioprofessionnelle ou métier) sont également utilisées par LGP Conseil, éditeur de Mon EDH, pour produire des statistiques globales anonymisées. Elles ne sont jamais transmises à votre organisation.

Ces mesures visent à limiter les risques d’identification.

Toutefois, dans certains cas, notamment lorsque le nombre de participants est réduit, un risque indirect d’identification peut subsister.

Vos données sont conservées pendant la durée d’utilisation de Mon EDH par votre organisation, puis supprimées dans un délai de 12 mois. Vous pouvez exercer vos droits (accès, rectification, effacement, opposition) auprès de votre organisation. Vous pouvez également adresser une réclamation à la CNIL (www.cnil.fr).

4. Accord de traitement des données

1. Objet

Le présent accord encadre les traitements de données personnelles réalisés par LGP Conseil SAS (ci-après nommé « le Sous-traitant ») pour le compte du client (ci-après nommé « le Responsable de traitement ») dans le cadre de l’utilisation de la solution Mon EDH.

2. Nature et finalité des traitements

Le Sous-traitant traite les données afin de :

Collecter les réponses aux questionnaires
Stocker les données
Analyser les réponses
Restituer des résultats agrégés

Les traitements ont pour finalité la réalisation d’analyses organisationnelles internes.

3. Catégories de données

Données de compte
Données professionnelles
Réponses aux questionnaires
Données statistiques (âge, sexe, ancienneté, etc.)

4. Personnes concernées

Le représentant, ainsi que les collaborateurs du Responsable de traitement.

5. Obligations du Sous-traitant

Le Sous-traitant s’engage à :

Traiter les données uniquement sur instruction du Responsable de traitement
Garantir la confidentialité des données
Mettre en œuvre des mesures de sécurité adaptées
Limiter l’accès aux personnes habilitées
Ne pas utiliser les données à d’autres fins, à l’exception de la base statistique anonymisée décrite dans la politique de confidentialité

6. Sécurité

Le Sous-traitant met en œuvre des mesures de sécurité incluant notamment :

Contrôle des accès
Cloisonnement des données
Hébergement sécurisé
Protection contre les accès non autorisés

7. Sous-traitants ultérieurs

Le Sous-traitant peut recourir à des sous-traitants ultérieurs pour l’exécution de tout ou partie des prestations, notamment à des sociétés de services informatiques participant au développement, à la maintenance et à l’évolution de la solution Mon EDH, ainsi qu’à des prestataires d’hébergement.

Dans ce cadre, le Sous-traitant s’engage à :

Sélectionner des sous-traitants présentant des garanties suffisantes en matière de sécurité, de confidentialité et de protection des données personnelles ;
Encadrer contractuellement ces sous-traitants afin de leur imposer des obligations au moins équivalentes à celles prévues au présent accord, conformément à l’article 28 du RGPD ;
Veiller à ce que ces sous-traitants n’agissent que sur instruction documentée du Sous-traitant et uniquement pour les finalités définies.

Le Responsable de traitement est informé du recours à des sous-traitants ultérieurs, notamment pour l’hébergement des données et pour le développement et la maintenance de la solution. La liste à jour de ces sous-traitants, ainsi que toute modification de celle-ci, lui est communiquée par LGP Conseil et peut être obtenue à tout moment à l’adresse dpo@monedh.com.

Le Sous-traitant informera le Responsable de traitement de tout changement envisagé concernant l’ajout ou le remplacement de sous-traitants, lui laissant la possibilité d’émettre des objections raisonnables.

8. Assistance

Le Sous-traitant assiste le Responsable de traitement pour :

Les demandes d’exercice des droits
Les obligations réglementaires
La sécurité

9. Violation de données

En cas de violation de données, le Sous-traitant notifie le Responsable de traitement dans les meilleurs délais.

10. Sort des données

En cas de suppression du compte ou de cessation d’utilisation de la plateforme, les données sont supprimées ou restituées selon les instructions du Responsable de traitement. À défaut d’instruction, elles sont supprimées dans un délai de 12 mois.

11. Audit

Le Sous-traitant met à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations. Le Responsable de traitement peut faire réaliser un audit, à ses frais, par lui-même ou par un auditeur indépendant tenu à la confidentialité, avec un préavis de 30 jours.

Pour toute question relative à la protection des données personnelles, les personnes concernées peuvent contacter le Délégué à la protection des données de LGP Conseil :

Délégué à la protection des données
LGP Conseil
3, place du Commandant Jean l’Herminier
44100 Nantes
Email : dpo@monedh.com

5. Droit applicable

Les présentes CGU sont soumises au droit français. En cas de litige, les parties rechercheront une solution amiable. À défaut, le tribunal compétent sera celui du siège social de LGP Conseil.

6. Modification des CGU

LGP Conseil peut modifier les présentes CGU. Les utilisateurs sont informés de toute modification importante par email ou sur la plateforme, 30 jours à l’avance. La poursuite de l’utilisation vaut acceptation.