# PLANNING TEAM — dossier RGPD **Grande Pharmacie de Morancé** · version du 26/08/2026 Document unique : registre du traitement, note d'information à l'équipe, politique de conservation, sous-traitance. > À relire et à dater **avant la mise en ligne**. Tant que l'outil tourne sur le poste > de la pharmacie, sans accès extérieur, le risque reste contenu ; dès qu'il est publié, > ce dossier doit exister et l'équipe doit avoir été informée. --- ## 1. Registre du traitement C'est la fiche à présenter en cas de contrôle de la CNIL ou de question d'un salarié. | | | |---|---| | **Nom du traitement** | Gestion des plannings et préparation des variables de paie | | **Responsable de traitement** | SELARL Grande Pharmacie de Morancé — Jérôme Cuvillier, titulaire | | **Adresse** | 1 rue du Coteau, 69480 Morancé | | **Personnes concernées** | Les salariés de l'officine (13 personnes au 01/09/2026) | | **Finalités** | Organiser le temps de travail ; suivre les congés, absences et compteurs d'heures ; transmettre chaque mois les variables de paie au cabinet comptable | | **Base légale** | Exécution du contrat de travail (art. 6.1.b RGPD) et respect d'obligations légales de l'employeur en matière de durée du travail et de paie (art. 6.1.c) | | **Délégué à la protection des données** | Aucun — non obligatoire ici : pas de traitement à grande échelle, pas de suivi systématique | ### Données enregistrées | Catégorie | Détail | D'où elles viennent | |---|---|---| | **Identité** | Prénom, nom, initiale d'affichage, couleur | Saisie par l'employeur | | **Contrat** | Fonction, heures hebdomadaires moyennes, date d'entrée, ancienneté | Contrat de travail | | **Planning** | Créneaux travaillés, retouches, écarts au cycle | Construits dans l'outil | | **Absences** | Dates, motif (congé, maladie, formation, AJPP…), heures à déduire | Saisie par l'employeur ou demande du salarié | | **Compteurs** | Solde de congés payés, récupération, heures supplémentaires, corrections manuelles et leur motif | Calculés, corrigés à la main | | **Demandes** | Demandes de congé, signalements d'absence, échanges de créneaux, et leur réponse | Saisies par le salarié | | **Compte** | Identifiant, empreinte du mot de passe, rôle, date de dernière connexion | Créé par l'employeur, mot de passe choisi par le salarié | ### Ce que l'outil ne contient PAS — et c'est délibéré - **Aucun arrêt de travail, aucun certificat, aucune donnée de santé.** L'outil ne sait que « absent, arrêt maladie, du X au Y ». Le document du médecin reste sur le poste de la pharmacie et part au cabinet depuis là. C'est la décision qui allège le plus ce dossier : sans donnée de santé, on reste sur un traitement RH ordinaire. - Aucune adresse personnelle, aucun numéro de téléphone, aucun numéro de sécurité sociale, aucun RIB, aucun bulletin de paie. Ces éléments restent dans la fiche navette et le circuit du cabinet. - Aucune géolocalisation, aucun pointage biométrique, aucune mesure de productivité. ### Destinataires | Qui | Ce qu'il voit | À quel titre | |---|---|---| | Jérôme Cuvillier | Tout | Responsable de traitement | | Aurore Labroy | Tout | Personne habilitée (rôle « gestion ») | | Chaque salarié | Son propre planning, son solde, ses demandes ; les **horaires** de ses collègues, sans leurs heures, leurs contrats ni les motifs de leurs absences | Personne concernée | | Cabinet FRS | Les variables de paie du mois | Sous-traitant (voir § 4) | | L'hébergeur | Rien en pratique : il héberge, il ne consulte pas | Sous-traitant (voir § 4) | ### Mesures de sécurité effectivement en place Ce ne sont pas des intentions : chacune est implémentée et a été testée. - **Un compte par personne.** Aucun compte partagé. Deux rôles seulement : *gestion* (Jérôme, Aurore) et *équipe*. - **Mots de passe jamais stockés.** Empreinte PBKDF2-HMAC-SHA256, 240 000 itérations, sel tiré au hasard pour chacun. Le mot de passe est **choisi par le salarié** via un lien d'invitation à usage unique : l'employeur ne le connaît pas. - **Cloisonnement appliqué côté serveur**, pas côté page. Une page peut être bidouillée ; une réponse qui ne contient pas la donnée ne peut pas la révéler. Vérifié par un test qui se connecte en compte « équipe » et tente d'atteindre directement les adresses réservées : les cinq routes de gestion répondent 403, les heures et contrats des collègues sont absents des réponses, et une demande déposée au nom d'un autre est ramenée à son auteur. - **Cookie de session `HttpOnly` et `SameSite=Lax`** : le jeton est inaccessible au JavaScript de la page et ne part pas avec les requêtes venues d'un autre site. Session valable 30 jours, révoquée à tout changement de mot de passe. - **Sauvegarde quotidienne vérifiée** : copie à chaud par l'API `backup` de SQLite, puis relecture (contrôle d'intégrité et comptage ligne à ligne). Conservation 30 jours. La restauration a été testée en détruisant réellement les données. - **Traçabilité des corrections** : un solde n'est jamais écrasé. Toute correction manuelle est enregistrée avec son écart, son motif et sa date. --- ## 2. Note d'information à remettre à l'équipe *À imprimer, ou à envoyer par mail, avant la mise en ligne. Texte prêt à l'emploi.* --- ### Vos données dans PLANNING TEAM La pharmacie utilise un outil, **PLANNING TEAM**, pour organiser les plannings et préparer les éléments de paie. Voici ce qu'il enregistre vous concernant, et vos droits. **Ce qui est enregistré :** votre prénom et nom, votre fonction, vos heures contractuelles, votre date d'entrée, vos créneaux de travail, vos absences et leur motif, vos soldes de congés payés et d'heures, ainsi que vos demandes et leurs réponses. **Ce qui n'est pas enregistré :** aucun arrêt de travail, aucun certificat médical, aucune donnée de santé. Votre adresse, votre téléphone et vos éléments de paie ne sont pas non plus dans l'outil. **Pourquoi :** pour organiser le travail de l'équipe et transmettre chaque mois au cabinet comptable les éléments nécessaires à votre bulletin. C'est ce que prévoit votre contrat de travail, et ce que la loi impose à l'employeur. **Qui y a accès :** Jérôme et Aurore voient l'ensemble. Vous voyez votre planning, votre solde de congés et vos demandes. Vous voyez aussi **les horaires de vos collègues** — utile pour proposer un échange — mais **ni leurs heures contractuelles, ni leurs soldes, ni les motifs de leurs absences**. Un collègue absent apparaît simplement « absent ». **Combien de temps :** les plannings et absences sont conservés 3 ans ; ce qui touche à la paie, 5 ans ; votre compte, tant que vous travaillez à l'officine, puis 3 mois. **Vos droits :** vous pouvez demander à consulter vos données, à les faire corriger si elles sont inexactes, ou à en obtenir une copie. Adressez-vous à Jérôme. Vous pouvez également saisir la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés. **Votre mot de passe** n'est connu de personne d'autre que vous, pas même de Jérôme. Si vous l'oubliez, un mot de passe provisoire vous sera remis, à changer immédiatement. --- ## 3. Politique de conservation | Donnée | Durée | Pourquoi | |---|---|---| | Plannings et créneaux | **3 ans** glissants | Preuve de la durée du travail effectuée | | Absences et congés | **3 ans** après la fin de l'absence | Idem | | Compteurs et corrections de solde | **5 ans** | Rattachés à la paie | | Demandes de l'équipe | **1 an** après réponse | Simple trace d'organisation | | Comptes et sessions | Durée du contrat, puis **3 mois** | Le temps d'une éventuelle contestation | | Sauvegardes | **30 jours** | Purge automatique déjà en place | | Journal des corrections | **5 ans** | C'est la mémoire des arbitrages de paie | **Ce qui est appliqué automatiquement à ce jour** : la purge des sauvegardes au-delà de 30 jours, et la suppression des sessions expirées. ⚠️ **Ce qui ne l'est pas encore** : l'effacement des plannings, absences et demandes au terme de leur durée. Comme l'outil démarre en septembre 2026, la première échéance tombe en septembre 2027 — il reste un an pour l'écrire, mais il ne faut pas l'oublier. Tu avais retenu l'option « documents seuls » : c'est donc une tâche à programmer. --- ## 4. Sous-traitance Deux tiers interviennent. L'un et l'autre relèvent de l'article 28 du RGPD, qui exige un contrat écrit encadrant ce qu'ils font des données. ### Le cabinet comptable FRS Il reçoit chaque mois les variables de paie (heures, congés, absences, tickets restaurant, ancienneté). C'est un sous-traitant de longue date de la pharmacie. **À vérifier** : que la lettre de mission ou le contrat de prestation comporte bien une clause de protection des données. Si ce n'est pas le cas, c'est à demander — et l'occasion est bonne, avec la bascule sur SILAE en octobre 2026. ### L'hébergeur (à choisir) Choix retenu au cadrage : **un hébergeur français**, chez qui les données restent en France ou dans l'Union européenne. Ce qu'il doit garantir, à vérifier avant de signer : - **hébergement en France ou dans l'UE**, sans transfert hors UE ; - un **contrat de sous-traitance** ou des conditions générales conformes à l'article 28 — les hébergeurs français sérieux le fournissent d'office ; - des **sauvegardes** de leur côté, en plus des nôtres ; - une **notification en cas de faille** de sécurité, dans des délais permettant de respecter les 72 heures qui s'imposent au responsable de traitement ; - la **suppression effective** des données en fin de contrat. Un hébergement dit « de santé » (certification HDS) **n'est pas nécessaire** : c'est précisément parce qu'aucun arrêt de travail ni aucune donnée médicale ne transite par l'outil. C'est ce qui distingue une mise en ligne simple d'un projet lourd et coûteux — et c'est une bonne raison de s'y tenir. --- ## 5. Ce qu'il reste à faire avant la mise en ligne - [ ] **Activer la connexion** dans l'onglet Accès. Sans elle, n'importe qui atteignant l'adresse verrait tout. - [ ] Poser un mot de passe sur ton compte et celui d'Aurore, puis envoyer les liens d'invitation à l'équipe. - [ ] **Remettre la note d'information** du § 2 à chaque salarié, et en garder une trace (mail, ou signature sur un exemplaire papier). - [ ] Choisir l'hébergeur et **récupérer son contrat de sous-traitance**. - [ ] Vérifier la clause de protection des données dans le contrat du cabinet FRS. - [ ] Dater et signer ce registre. - [ ] Programmer l'effacement automatique en fin de durée de conservation (échéance : septembre 2027).