Politique de confidentialité

1. Responsable de traitement

Pour les données de compte et d’administration de son Espace, Coraline Dufranne est responsable du traitement au sens du Règlement général sur la protection des données (RGPD). Contact pour l’exercice des droits : Administration@orionrh.fr.

2. Double casquette selon le type de données

Lorsqu’une Entreprise utilise Orion RH pour analyser des documents contenant des données concernant ses salariés, agents ou candidats (par exemple un bulletin de paie), l’Entreprise cliente demeure responsable du traitement de ces données, et Orion RH agit en qualité de sous-traitant au sens de l’article 28 du RGPD, dans les limites des instructions et des finalités définies par l’Entreprise cliente.

3. Données collectées

Orion RH traite les catégories de données suivantes :

• Compte utilisateur : nom et prénom, adresse e-mail, mot de passe sous forme hachée, date de dernière connexion, date d’acceptation des conditions d’utilisation.
• Entreprise : raison sociale, numéro SIRET, environnement(s) réglementaire(s) activé(s) (régime général, MSA, fonction publique) et convention collective déclarés, rôle de chaque membre, adresse e-mail des personnes invitées à rejoindre l’Espace.
• Utilisation du service : questions posées à l’assistant, documents soumis à l’analyse et question éventuellement posée sur le document, réponses aux parcours guidés (aucune donnée personnelle n’y est demandée), pages consultées à des fins de statistiques d’usage (sans adresse IP). Avant tout enregistrement, un masquage automatique retire des questions et des documents les données identifiantes qu’il reconnaît : de façon fiable pour les numéros de sécurité sociale, IBAN, adresses e-mail et numéros de téléphone ; de façon partielle seulement pour les noms de personnes et les adresses postales, dont la détection automatique ne peut pas être garantie. Nous invitons les utilisateurs à vérifier et à anonymiser eux-mêmes ces informations avant de les transmettre lorsqu’elles ne sont pas nécessaires à l’analyse.
• Communications : messages envoyés par le formulaire de contact ou une demande commerciale (nom, adresse e-mail, entreprise ou organisation, message), demandes de démonstration (nom, adresse e-mail professionnelle, téléphone facultatif, entreprise ou organisation), et e-mails envoyés par le service (adresse du destinataire, objet, contenu).
• Sécurité : journal d’audit des actions réalisées dans l’Espace (action, auteur, date), adresses IP (conservées sous forme hachée pour la limitation du nombre de requêtes, et pouvant figurer dans les journaux techniques du serveur), alertes d’erreur.
• Abonnement : formule, statut et échéance de l’abonnement, identifiants clients et abonnements du prestataire de paiement. Le numéro de carte bancaire est saisi directement chez le prestataire de paiement et n’est jamais reçu ni conservé par Orion RH.

4. Finalités et bases légales

Ces données sont traitées pour :

• l’exécution du contrat : fourniture du service, gestion du compte, de l’Espace et de l’abonnement, assistance aux utilisateurs ;
• le respect d’obligations légales : facturation et obligations comptables ;
• l’intérêt légitime d’Orion RH à assurer la sécurité, la fiabilité et l’amélioration du service : limitation de débit, alertes d’erreur, journal d’audit, statistiques d’usage ;
• l’intérêt légitime d’Orion RH à informer les professionnels sur ses services : prospection commerciale par e-mail à destination de professionnels, en rapport avec leur activité. Chaque message comporte un lien de désinscription et vous pouvez vous opposer à tout moment à cette prospection.

5. Recours à l’intelligence artificielle

Orion RH a recours à un prestataire tiers d’intelligence artificielle (OpenAI) pour générer les réponses de l’assistant et analyser les documents soumis. Seuls sont transmis à ce prestataire les textes des questions et des documents, après le masquage automatique décrit à l’article 3, accompagnés des extraits de sources officielles utiles à la réponse. Les images ne sont transmises qu’avec l’autorisation expresse de l’utilisateur, qui atteste avoir anonymisé la capture au préalable ; sans cette autorisation, l’image n’est pas transmise.

Le masquage automatique réduit le risque mais ne peut pas garantir la détection de toutes les données personnelles : nous invitons les utilisateurs à ne pas saisir de données identifiantes dans leurs questions.

6. Destinataires

Les données sont accessibles aux membres de l’Entreprise cliente selon leur rôle, aux équipes d’Orion RH habilitées, et aux sous-traitants techniques nécessaires à la fourniture du service :

• OVH SAS : hébergement de l’application et de la base de données sur une infrastructure située en France, et messagerie électronique ;
• Stripe : paiement des abonnements ;
• OpenAI : intelligence artificielle, dans les conditions décrites à l’article 5 ;
• Brevo : envoi d’e-mails commerciaux, le cas échéant.

Vos données ne sont ni vendues ni cédées à des tiers à des fins commerciales.

7. Transferts hors de l’Union européenne

L’hébergement de la base de données est situé en France. Le recours à certains prestataires, notamment le prestataire d’intelligence artificielle, peut entraîner un transfert de données vers un pays situé hors de l’Union européenne (notamment les États-Unis). Ces transferts sont réalisés dans le respect du chapitre V du RGPD, avec les garanties appropriées prévues par celui-ci (décision d’adéquation ou clauses contractuelles types).

8. Durées de conservation

• Compte et Espace : le temps de l’utilisation du service. À la suppression d’un compte, les données d’identification (nom, adresse e-mail) sont immédiatement anonymisées ; lorsque l’utilisateur est le seul membre de son entreprise, l’entreprise et l’ensemble de ses données sont supprimés.
• Analyses de documents : le fichier d’origine n’est pas conservé ; seul le résultat de l’analyse, dont le texte masqué, est conservé 30 jours, puis supprimé automatiquement.
• Limitation du nombre de requêtes : 24 heures.
• Sauvegardes : réalisées chaque jour et conservées 14 jours ; une donnée supprimée peut donc subsister dans une sauvegarde pendant cette durée.
• Facturation : les pièces comptables sont conservées pendant la durée prévue par la loi.
• Prospection commerciale : trois ans à compter du dernier contact, sauf opposition de votre part.
• Journaux techniques et journal d’audit : pour la durée strictement nécessaire à la sécurité de l’Espace, à la détection d’incidents et à la traçabilité des actions.

9. Sécurité

Les mots de passe sont stockés sous forme hachée et ne sont jamais accessibles en clair. Les échanges avec le service sont chiffrés (HTTPS). L’accès aux données d’une Entreprise est strictement cloisonné par rapport aux autres Entreprises utilisatrices, et l’accès aux fonctions d’administration de la plateforme est réservé aux personnes habilitées. Le nombre de tentatives de connexion et de requêtes est limité pour prévenir les abus. Une sauvegarde de la base de données est réalisée chaque jour afin de limiter le risque de perte de données.

10. Cookies et stockage local

Orion RH utilise uniquement un cookie strictement nécessaire au maintien de la session de connexion. Le navigateur conserve en outre l’identifiant de l’organisation et l’environnement réglementaire actif, afin de retrouver votre espace à la page suivante : ces informations restent sur votre appareil. Une visite anonyme est comptabilisée une seule fois par session de navigateur : un simple indicateur est conservé dans le stockage de session du navigateur (sessionStorage) pour ne pas compter deux fois la même visite, puis disparaît à la fermeture de l’onglet. Aucun cookie de mesure d’audience n’est déposé, aucune adresse IP n’est conservée et aucun identifiant persistant n’est créé. Aucun cookie publicitaire n’est déposé à ce jour ; l’ajout futur d’un tel outil serait soumis au recueil préalable du consentement de l’utilisateur, conformément à la réglementation applicable. Le paiement en ligne s’effectue sur les pages du prestataire de paiement, qui peut y déposer ses propres cookies nécessaires à la sécurité de la transaction.

11. Vos droits

Conformément au RGPD, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur vos données personnelles, ainsi que du droit de retirer votre consentement lorsque le traitement en dépend et de vous opposer à tout moment à la prospection commerciale. Depuis la rubrique « Mon compte », vous pouvez exporter vos données et supprimer votre compte. Ces droits s’exercent également auprès de Administration@orionrh.fr, qui répond dans un délai d’un mois. Vous disposez enfin du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL, www.cnil.fr) si vous estimez que le traitement de vos données n’est pas conforme à la réglementation.

12. Modifications

La présente politique de confidentialité peut être mise à jour, notamment pour refléter une évolution du service ou de la réglementation applicable. La version en vigueur est celle publiée sur cette page. Dernière mise à jour : 2 novembre 2026.