Partie 3

Le kit, en entier

Version du 24 août 2026

Trois documents Word, en français, avec les champs à compléter surlignés. Ils portent notre moitié du dossier : ce que l'outil fait, avec quelles données, chez quels sous-traitants, pendant combien de temps. Votre moitié — votre finalité, votre population, votre analyse de risque — reste à écrire, et personne ne peut l'écrire à votre place.

Ces documents ne sont pas validés par un avocat et nous ne les présentons pas comme tels. Ce sont des points de départ que vos équipes juridiques peuvent démonter et refaire — ce qui prend généralement moins de temps que de partir d'une page blanche. Ils sont datés : si vous les avez téléchargés il y a six mois, reprenez la version en ligne.

Note d'information-consultation CSE

Word (.docx) · 43 KoTélécharger le .docx

Note d'information-consultation du CSE

Projet de déploiement de l'outil DeepWorkGraph

Modèle fourni par l'éditeur — version du 24 août 2026. Ce document est un point de départ, pas un modèle validé par un avocat. L'entreprise reste responsable de traitement et seule juge de ce qu'elle dépose en séance. Ce qui est surligné et entre crochets est à compléter par vous. Version en ligne, toujours à jour : https://deepworkgraph.com/deploiement-rh


Entreprise : [RAISON SOCIALE] Séance du : [DATE] Émetteur : [DIRECTION / DRH] Objet : information-consultation sur le projet de déploiement d'un outil de coordination interne — DeepWorkGraph


1. Objet de la présente note

La direction envisage de déployer l'outil DeepWorkGraph auprès de [POPULATION CONCERNÉE — ex. : le comité de direction, puis l'ensemble des salariés du site de X], à compter du [DATE].

L'outil traite des données à caractère personnel de salariés et produit des éléments nominatifs. La direction sollicite en conséquence l'avis du CSE, sur le fondement de [PRÉCISER LE FONDEMENT RETENU PAR L'ENTREPRISE — ex. : art. L.2312-38 du Code du travail, moyens et techniques permettant un contrôle de l'activité des salariés].

La présente note décrit le traitement envisagé, ce que l'outil fait et ce qu'il ne fait pas, les destinataires des données, les durées de conservation et les droits des salariés.

2. Finalité poursuivie

Finalité retenue : [PHRASE UNIQUE — proposition de l'éditeur : « Fluidifier la coordination entre équipes en rendant visibles les sujets qui demandent de l'alignement. »]

Cette finalité est exclusive. Elle ne comprend pas :

  • l'évaluation individuelle des salariés ;
  • la mesure de la charge de travail individuelle à des fins de décision RH ;
  • la préparation d'entretiens annuels, de décisions disciplinaires ou de mesures d'organisation individuelles ;
  • le contrôle du temps de travail ou du temps de connexion.

Tout usage sortant de cette finalité constituerait un traitement distinct, qui appellerait une nouvelle information et une nouvelle consultation.

3. Description du fonctionnement

3.1 Ce que fait le salarié

Chaque salarié concerné reçoit une sollicitation quotidienne (notification ou email) l'invitant à décrire, en 45 secondes environ, ce qui avance et ce qui coince dans son travail. Il répond par la voix ou par écrit, depuis un navigateur — il n'y a pas d'application à installer.

Cet échange est appelé un « entretien » (nommé deep dans l'interface).

3.2 Ce que fait l'outil

À partir de l'entretien, l'outil extrait des éléments de coordination :

  • une décision prise ;
  • un sujet dont la responsabilité n'est pas attribuée ;
  • une escalade (un point qui doit remonter) ;
  • un point d'alignement entre plusieurs personnes.

Ces éléments sont nominatifs : ils portent le nom de leur auteur, celui de leurs destinataires, et celui des personnes citées comme étant dans le circuit du sujet. Ils sont transmis aux personnes concernées et alimentent une synthèse hebdomadaire destinée à la direction (« Pouls »).

Le contenu de l'entretien lui-même — la formulation, le ton, ce qui n'a pas été retenu comme élément de coordination — n'est lisible par personne d'autre que son auteur. Ni par la direction, ni par un administrateur de l'espace, ni par l'éditeur.

3.3 Un principe structurant : les frictions portent sur des sujets, pas

sur des personnes

L'outil distingue deux registres :

  1. La friction de coordination — « j'attends cette validation depuis trois semaines », « nous ne savons pas qui tranche entre nous deux ». Elle est extraite et transmise, nominativement. Un responsable hiérarchique peut y apparaître comme n'importe quel autre salarié : il y figure comme un point du circuit de décision, pas comme un sujet d'appréciation.

  2. L'appréciation portant sur une personne — « il met la pression », « je ne me sens pas soutenu ». Elle n'est pas extraite. Ce n'est pas un filtrage à l'affichage ni un marquage de confidentialité : la phrase reste dans l'entretien, que personne d'autre ne lit. En cas de doute sur le registre, l'outil ne transmet rien.

Conséquence directe : l'outil ne constitue pas un canal de signalement. Il ne recueille pas d'appréciation sur les personnes et ne peut donc servir ni de dispositif d'alerte professionnelle, ni de recueil de risques psychosociaux, ni de support à une procédure disciplinaire. Il ne se substitue pas aux dispositifs existants de l'entreprise et ne les alimente pas.

3.4 Ce que l'outil ne fait pas

  • Aucune note, aucun score individuel, aucun classement de salariés.
  • Aucune passerelle vers un SIRH, un outil d'évaluation ou un dossier du personnel.
  • Aucune mesure du temps de connexion, du temps de travail ou d'une quelconque productivité.
  • Aucune lecture des messageries, des emails ou des agendas : l'outil ne traite que ce que le salarié lui dit.
  • Aucune décision produisant des effets juridiques n'est prise automatiquement.

3.5 Sur le caractère nominatif — point d'attention

L'outil produit des indicateurs de circulation du type « [Prénom] est mentionnée dans 5 sujets cette semaine ».

Ce que cet indicateur mesure : cinq sujets en cours passent par la même personne. C'est une mesure portant sur des dossiers, pas sur des comportements. Lu correctement, il signale d'abord une organisation à corriger — un sujet mal réparti, un point de passage unique.

Ce qu'il ne mesure pas : ni la qualité du travail, ni l'engagement, ni la performance.

La direction s'engage à ce que ces indicateurs ne soient pas utilisés comme élément d'appréciation individuelle, ni versés à un dossier individuel. [À CONFIRMER / ADAPTER PAR L'ENTREPRISE]

4. Données traitées

CatégorieDétail
IdentificationNom, prénom, email professionnel
Situation dans l'organisationRôle, missions déclarées, expertises déclarées, rattachement hiérarchique déclaré
Contenu déclaratifContenu des entretiens (texte et, le cas échéant, transcription vocale)
Éléments extraitsDécisions, responsabilités, escalades, points d'alignement — nominatifs
IndicateursNombre d'entretiens, nombre de mentions, sujets en cours par personne
TechniquesJournaux de connexion, données de compte, mesures d'usage du produit

Aucune donnée relevant des catégories particulières de l'article 9 du RGPD n'est collectée intentionnellement. Le salarié reste maître de ce qu'il dit ; la note d'information l'invite à s'en tenir à son travail.

5. Base légale retenue

[BASE LÉGALE RETENUE PAR L'ENTREPRISE. L'éditeur retient pour sa part l'intérêt légitime (art. 6.1.f du RGPD) et documente un test de mise en balance dans la trame d'analyse d'impact fournie.]

Le consentement n'est pas retenu comme base : dans une relation de travail, le lien de subordination le rend rarement libre au sens du RGPD. La participation reste néanmoins volontaire dans les faits — un salarié qui ne répond pas ne produit aucune donnée.

6. Destinataires

DonnéeLe salariéDirection et ComexL'éditeur
Contenu de ses entretiensOuiNonNon
Éléments extraits le concernantOuiOuiNon
Indicateurs et carte d'équipeOuiOuiNon
Synthèse hebdomadaireSelon réglageOuiNon
Sa ficheOui (il l'édite)OuiNon
Données techniquesLes siennesFacturationOui (exploitation, support)

Le support de l'éditeur travaille sur des identifiants et des journaux techniques. Un accès à un compte pour diagnostiquer un incident est demandé au préalable à la personne concernée.

Palier hiérarchique intermédiaire : à la date de la présente note, la lecture est ouverte à la direction et au comité de direction. Un palier « responsable d'équipe » est en cours de conception chez l'éditeur ; il fera l'objet d'une information complémentaire s'il est activé.

7. Sous-traitants et hébergement

Sous-traitantRôleLocalisation
AGSENS ENTREPRISE (éditeur)Fourniture du serviceFrance
Hetzner Online GmbHHébergement applicatif, base de données, sauvegardesAllemagne (UE)
Mistral AITranscription vocale et extractionFrance (UE)
Anthropic, PBCExtraction structuréeÉtats-Unis — clauses contractuelles types, Zero Data Retention
Resend, Inc.Emails transactionnelsÉtats-Unis — clauses contractuelles types
Stripe Payments Europe Ltd.Paiement de l'abonnementIrlande (UE)

Les transferts hors Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne. Le contenu transmis pour extraction n'est pas conservé côté Anthropic après traitement (engagement contractuel de non-rétention) et n'est utilisé pour l'entraînement d'aucun modèle.

Liste à jour et datée : https://deepworkgraph.com/legal/privacy

8. Durées de conservation

DonnéeDurée
Entretiens, éléments extraits, fichesDurée de l'abonnement ; effacement en cascade sous 30 jours après résiliation
Compte utilisateurJusqu'à suppression, ou 24 mois d'inactivité
Journaux applicatifs30 jours
Mesures d'usage du produit12 mois maximum (désactivable pour tout l'espace)
Facturation10 ans (obligation comptable)

Il n'y a pas de suppression logique : l'effacement est réel, en base, avec cascade.

9. Départ d'un salarié

  • Sa fiche est désactivée : plus de sollicitation, plus de siège facturé, sortie des vues actives.
  • Ses entretiens restent illisibles par tout le monde. Un départ ne les ouvre à personne.
  • Les éléments de coordination ouverts subsistent, car ce sont des sujets en cours et non des données d'appréciation. L'entreprise décide de les clore ou de les réattribuer.
  • Un effacement complet des données d'une personne peut être demandé à l'éditeur ; il est réalisé sous 30 jours.

10. Droits des salariés

DroitModalité
InformationLa présente note et la note individuelle remise avant ouverture
AccèsChacun consulte sa fiche et l'intégralité de ses entretiens dans son journal, à tout moment. Copie exportable sur demande
RectificationLa fiche s'édite ; un entretien se corrige (les éléments extraits sont recalculés)
EffacementSuppression du compte depuis les préférences ; pour les contenus détenus par l'entreprise, demande auprès de [CONTACT INTERNE]
OppositionNe pas répondre suffit à ne rien produire ; les rappels se coupent dans les préférences ; la fiche peut être désactivée
Réclamation[CONTACT INTERNE], puis la CNIL

Contact interne : [NOM, FONCTION, EMAIL] Contact éditeur : hello@rifflab.studio

11. Mesures d'accompagnement proposées

  • Information individuelle écrite remise avant le premier lien d'accès.
  • Ouverture progressive : [PÉRIMÈTRE PILOTE] pendant [DURÉE], puis extension après retour au CSE.
  • Point d'étape en CSE à [ÉCHÉANCE — ex. : J+30], sur la base des éléments réellement produits.
  • Engagement écrit de non-utilisation des indicateurs à des fins d'appréciation individuelle.
  • [AUTRE MESURE PROPRE À L'ENTREPRISE]

12. Questions fréquentes en séance

« Est-ce que la direction peut lire ce que les gens disent ? » Non. Elle voit les éléments de coordination extraits — des sujets, avec des noms — et pas le contenu de l'entretien.

« Est-ce anonyme ? » Non, et ce n'est pas présenté comme tel. La direction voit qui dit quoi. C'est le choix de conception de l'outil : sans nom, un sujet n'a pas de responsable et ne peut pas être débloqué. La garantie porte sur la nature de ce qui circule — des sujets de travail — pas sur l'anonymat.

« Un salarié peut-il se plaindre de son responsable via l'outil ? » Non. Une friction de coordination impliquant un responsable est transmise (« j'attends sa validation »). Une appréciation sur sa manière de manager n'est pas extraite du tout. L'outil n'est pas un canal de signalement.

« Que se passe-t-il si quelqu'un ne veut pas participer ? » Techniquement, rien : sans réponse, aucune donnée n'est produite. Les rappels se désactivent depuis les préférences. La position de l'entreprise sur ce point est : [À COMPLÉTER].

« Les données sortent-elles d'Europe ? » L'hébergement, la base et les sauvegardes sont en Allemagne. La transcription est en France. Une partie de l'extraction est réalisée aux États-Unis sous clauses contractuelles types, sans conservation après traitement.

« Est-ce que ça sert aux augmentations ou aux entretiens annuels ? » Non. Il n'existe aucune passerelle technique vers un SIRH ou un outil d'évaluation. [ENGAGEMENT DE L'ENTREPRISE SUR CE POINT]

13. Avis sollicité

La direction sollicite l'avis du CSE sur le projet décrit ci-dessus, ainsi que sur les mesures d'accompagnement proposées au point 11.

Documents joints : [analyse d'impact / note d'information individuelle / politique de confidentialité de l'éditeur / accord de sous-traitance].


Modèle DeepWorkGraph — https://deepworkgraph.com/deploiement-rh

Note d'information aux salariés

Word (.docx) · 40 KoTélécharger le .docx

Note d'information aux salariés

Un nouvel outil arrive : ce qu'il fait, ce qu'il ne fait pas

Modèle fourni par l'éditeur — version du 24 août 2026. Point de départ à adapter, non validé par un avocat. L'entreprise reste responsable de traitement. Ce qui est surligné et entre crochets est à compléter par vous. Version en ligne : https://deepworkgraph.com/deploiement-rh


De : [DIRECTION / DRH] À : [POPULATION CONCERNÉE] Date : [DATE] Objet : information préalable — déploiement de l'outil DeepWorkGraph


À partir du [DATE], nous ouvrons DeepWorkGraph à [PÉRIMÈTRE]. Cette note vous explique ce que l'outil fait, ce qu'il ne fait pas, qui voit quoi, et comment exercer vos droits. Elle vous est adressée avant votre premier accès, comme la loi le prévoit.

Le CSE a été [informé / informé et consulté] le [DATE]. [MENTION DE L'AVIS RENDU, LE CAS ÉCHÉANT.]

Pourquoi

[PHRASE UNIQUE DE FINALITÉ — proposition : « Fluidifier la coordination entre équipes en rendant visibles les sujets qui demandent de l'alignement. »]

Ce n'est pas un outil d'évaluation. Il ne sert ni aux entretiens annuels, ni aux augmentations, ni à mesurer votre temps de travail.

Ce qu'on vous demande

Une fois par jour, vous recevez une sollicitation. Vous répondez en 45 secondes environ — à la voix ou en tapant — sur ce qui avance et ce qui coince dans votre travail. Depuis votre téléphone ou votre ordinateur, sans rien installer.

Ce qui en sort

De ce que vous dites, l'outil retient des éléments de coordination : une décision prise, un sujet dont personne n'est responsable, un point qui doit remonter, un alignement à faire. Ces éléments sont transmis aux personnes concernées, avec votre nom.

Le reste de ce que vous avez dit ne bouge pas. Le contenu de votre entretien — vos mots, votre ton, ce qui n'a pas été retenu — n'est lisible que par vous. Pas par votre direction, pas par un administrateur, pas par l'éditeur de l'outil.

Le point important : les sujets, pas les personnes

Ce qui circule décrit un travail qui coince, pas quelqu'un qui déçoit.

  • Si vous dites « j'attends cette validation depuis trois semaines », c'est transmis, avec votre nom et celui de la personne concernée. C'est le fonctionnement normal de l'outil : un sujet bloqué, et les gens dans le circuit.
  • Si vous dites « il met la pression » ou « je ne me sens pas soutenu », ce n'est pas transmis du tout — ni à votre responsable, ni à la direction. Ça reste dans votre entretien, que personne d'autre ne lit.

Cet outil n'est pas un canal de signalement. Il ne recueille pas d'appréciation sur les personnes. Si vous avez une difficulté avec quelqu'un, les interlocuteurs habituels restent les bons : [RH / MANAGER / RÉFÉRENT / DISPOSITIF D'ALERTE — À COMPLÉTER].

Ce n'est pas anonyme, et nous préférons vous le dire

Votre direction voit qui dit quoi. C'est assumé par l'outil : sans nom, un sujet bloqué n'a personne pour le débloquer. Ce que vous dites sur un sujet remonte donc bel et bien, avec votre nom.

Ce qui est garanti, c'est la nature de ce qui circule — des sujets de travail — pas l'anonymat de qui l'a dit.

« Marie mentionnée 5 fois cette semaine » — ce que ça veut dire

L'outil affiche des compteurs, par exemple le nombre de sujets qui passent par une même personne.

Ce que ça dit : cinq dossiers en cours passent par elle. C'est une mesure sur des sujets, pas sur des comportements — souvent le signe d'une organisation à corriger.

Ce que ça ne dit pas : ni la qualité de son travail, ni son engagement, ni sa performance. Aucun score individuel n'est calculé, aucun classement n'existe, et rien n'alimente votre dossier ou votre entretien annuel.

Qui voit quoi

VousDirection et comité de directionL'éditeur
Le contenu de vos entretiensOuiNonNon
Les éléments extraits qui vous concernentOuiOuiNon
Vos compteurs, la carte d'équipeOuiOuiNon
La synthèse hebdomadaire[Selon réglage]OuiNon
Votre fiche (rôle, missions)Oui, vous l'éditezOuiNon

Et si vous ne voulez pas

Si vous ne répondez pas, rien n'est produit : pas d'entretien, pas d'élément extrait, pas de compteur. Vous pouvez couper les rappels depuis vos préférences, et demander la désactivation de votre fiche.

[POSITION DE L'ENTREPRISE SUR LA PARTICIPATION — ex. : « la participation est volontaire et l'absence de participation n'a aucune conséquence sur votre évaluation ou votre situation ». À écrire clairement : c'est la question que tout le monde se pose.]


Mention d'information (art. 13 du RGPD)

Responsable de traitement : [RAISON SOCIALE], [ADRESSE], représentée par [NOM, FONCTION].

Finalité : [FINALITÉ RETENUE].

Base légale : [BASE RETENUE — l'éditeur retient pour sa part l'intérêt légitime, art. 6.1.f, documenté par un test de mise en balance].

Données traitées : identité et email professionnel ; rôle, missions et expertises déclarés ; contenu des entretiens (texte, transcription vocale) ; éléments de coordination extraits ; compteurs d'activité ; données techniques de connexion.

Destinataires : vous-même ; la direction et le comité de direction pour les éléments extraits et les compteurs ; l'éditeur AGSENS ENTREPRISE en qualité de sous-traitant, ainsi que ses sous-traitants ultérieurs (hébergement Hetzner en Allemagne, transcription et extraction Mistral AI en France, extraction Anthropic aux États-Unis sous clauses contractuelles types et sans conservation, emails Resend aux États-Unis sous clauses contractuelles types, paiement Stripe en Irlande).

Transferts hors UE : encadrés par les clauses contractuelles types de la Commission européenne. Vos contenus ne servent à l'entraînement d'aucun modèle.

Durées de conservation : entretiens, éléments extraits et fiches pendant la durée de l'abonnement, puis effacement en cascade sous 30 jours ; compte jusqu'à suppression ou 24 mois d'inactivité ; journaux techniques 30 jours ; mesures d'usage 12 mois ; facturation 10 ans.

Vos droits : accès, rectification, effacement, limitation, opposition, portabilité, et définition de directives sur le sort de vos données après votre décès. Concrètement : votre fiche et vos entretiens sont consultables et modifiables à tout moment depuis votre espace ; la suppression de votre compte s'effectue depuis vos préférences ; les autres demandes s'adressent à [CONTACT INTERNE].

Décision automatisée : aucune décision produisant des effets juridiques n'est prise automatiquement. Les éléments extraits portent un indicateur de confiance et restent modifiables.

Contact : [NOM, FONCTION, EMAIL]. Vous pouvez également saisir la CNIL (www.cnil.fr/fr/plaintes).

Analyse d'impact : [réalisée le DATE / en cours / non requise après analyse].


Modèle DeepWorkGraph — https://deepworkgraph.com/deploiement-rh

Trame d'AIPD, partie outil pré-remplie

Word (.docx) · 44 KoTélécharger le .docx

Trame d'analyse d'impact relative à la protection des données (AIPD)

Traitement : coordination interne via DeepWorkGraph

Modèle fourni par l'éditeur — version du 24 août 2026. La partie « outil » est pré-remplie : c'est ce que nous connaissons et ce dont nous répondons. La partie « contexte » appartient à l'entreprise, qui est responsable de traitement — nous ne pouvons pas l'écrire à sa place. Ce document n'est pas validé par un avocat et ne vaut pas avis juridique. Version en ligne : https://deepworkgraph.com/deploiement-rh

Légende : ✅ pré-rempli par l'éditeur · ⬜ à compléter par l'entreprise. Ce qui est surligné et entre crochets est à compléter par vous.


Responsable de traitement : ⬜ [RAISON SOCIALE, SIREN, ADRESSE] Représentant : ⬜ [NOM, FONCTION] DPO ou référent : ⬜ [NOM, EMAIL] Date de l'analyse : ⬜ [DATE] Version : ⬜ [1.0] Prochaine revue prévue : ⬜ [DATE]


Partie A — Description du traitement

A.1 Pourquoi une analyse d'impact ⬜

Justification retenue par l'entreprise : ⬜ [ex. : traitement de données de salariés produisant des indicateurs nominatifs, à grande échelle au sens de l'entreprise, croisant des données déclaratives et des indicateurs d'activité — l'entreprise apprécie si le traitement figure dans les cas où une AIPD est attendue.]

Décision : ⬜ [AIPD requise / non requise, avec motivation]

A.2 Finalités ⬜

Finalité principale : ⬜ [PHRASE UNIQUE — proposition de l'éditeur : « Fluidifier la coordination entre équipes en rendant visibles les sujets qui demandent de l'alignement. »]

Finalités explicitement exclues : ✅

  • évaluation individuelle des salariés ;
  • mesure de la charge individuelle à des fins de décision RH ;
  • alimentation d'un entretien annuel, d'un dossier individuel ou d'une procédure disciplinaire ;
  • contrôle du temps de travail ou du temps de connexion.

A.3 Description fonctionnelle ✅

  1. Le salarié est sollicité une fois par jour et décrit, en 45 secondes environ, ce qui avance et ce qui coince dans son travail (voix ou texte, navigateur, sans installation).
  2. Le contenu est transcrit (si vocal) puis analysé pour en extraire des éléments de coordination : décision, responsabilité non attribuée, escalade, point d'alignement.
  3. Ces éléments, nominatifs, sont transmis aux personnes concernées et agrégés dans une synthèse hebdomadaire destinée à la direction.
  4. Le contenu brut de l'entretien reste accessible à son seul auteur.

Règle d'extraction structurante : l'appréciation portant sur une personne (« il met la pression », « je ne me sens pas soutenu ») n'est pas extraite ; seule la friction de coordination l'est (« j'attends cette validation »). Ce n'est pas une règle d'accès mais une règle de production : la donnée n'est pas créée. En cas d'ambiguïté, la règle par défaut est de ne rien produire.

Conséquence : le traitement ne constitue pas un dispositif d'alerte professionnelle ni un dispositif de recueil de risques psychosociaux.

A.4 Données traitées ✅ / ⬜

CatégorieDétailOrigine
IdentitéNom, prénom, email professionnel⬜ Entreprise / annuaire
PositionRôle, missions, expertises, rattachement déclaréDéclaratif salarié
ContenuTexte et transcription vocale des entretiensDéclaratif salarié
Éléments extraitsDécisions, responsabilités, escalades, alignements — nominatifsProduit par le traitement
IndicateursNombre d'entretiens, nombre de mentions, sujets en cours par personneProduit par le traitement
TechniquesJournaux de connexion, identifiants de session, mesures d'usageProduit par le traitement

Catégories particulières (art. 9) : non collectées intentionnellement. Risque résiduel : un salarié peut mentionner spontanément un élément de santé ou de vie privée dans un entretien. Mesures : ✅ information invitant à s'en tenir au travail ; contenu de l'entretien non lisible par des tiers ; possibilité de corriger ou supprimer l'entretien.

Données de mineurs : ⬜ [sans objet / à préciser]

A.5 Personnes concernées ⬜

  • Population : ⬜ [ex. : 62 salariés du site de X, dont 8 membres du comité de direction et 9 responsables d'équipe]
  • Salariés en situation particulière : ⬜ [alternants, intérimaires, prestataires — préciser s'ils sont inclus]
  • Représentants du personnel : ⬜ [préciser le traitement de leur cas]

A.6 Destinataires ✅

DonnéePersonne concernéeDirection et ComexÉditeur
Contenu de l'entretienOuiNonNon
Éléments extraits la concernantOuiOuiNon
Indicateurs, carte d'équipeOuiOuiNon
Synthèse hebdomadaireSelon réglage de l'espaceOuiNon
FicheOui (édition)OuiNon
Données techniquesLes siennesFacturationOui (exploitation, support)

Le support de l'éditeur n'a pas accès au contenu des entretiens. Un accès à un compte pour diagnostic est sollicité auprès de la personne concernée.

Palier hiérarchique intermédiaire : non ouvert à la date de cette version.

A.7 Sous-traitants et flux ✅

Sous-traitantRôleLocalisationEncadrement
AGSENS ENTREPRISEÉditeur, sous-traitant du responsable de traitementFranceContrat + accord de sous-traitance sur demande
Hetzner Online GmbHHébergement, base de données, sauvegardesAllemagne (UE)Accord de sous-traitance
Mistral AITranscription vocale, extractionFrance (UE)Accord de sous-traitance
Anthropic, PBCExtraction structuréeÉtats-UnisClauses contractuelles types + non-rétention après inférence
Resend, Inc.Emails transactionnelsÉtats-UnisClauses contractuelles types
Stripe Payments EuropePaiement de l'abonnementIrlande (UE)Clauses contractuelles types pour les flux intra-groupe

Transferts hors UE : deux flux (extraction Anthropic, emails Resend), encadrés par clauses contractuelles types. Mesure complémentaire pour l'extraction : non-conservation du contenu après traitement.

Entraînement de modèles : aucun contenu n'est utilisé pour entraîner un modèle, par aucun des sous-traitants ci-dessus.

A.8 Durées de conservation ✅

DonnéeDuréeSort à l'échéance
Entretiens, éléments extraits, fichesDurée de l'abonnementEffacement en cascade sous 30 jours
Compte utilisateurJusqu'à suppression ou 24 mois d'inactivitéEffacement réel
Journaux applicatifs30 joursPurge
Mesures d'usage produit12 mois maximumPurge automatique
Facturation10 ansObligation comptable
Sauvegardes chiffréesRotation glissantePurge à expiration

Pas de suppression logique : l'effacement est réel, en base, avec cascade.

Durée plus courte souhaitée par l'entreprise : ⬜ [le cas échéant, à poser avec l'éditeur avant le lancement]


Partie B — Nécessité et proportionnalité

B.1 Base légale et test de mise en balance ⬜

Base retenue : ⬜ [l'éditeur retient pour sa part l'intérêt légitime, art. 6.1.f]

Pourquoi pas le consentement ✅ : dans une relation de travail, le lien de subordination rend le consentement rarement libre au sens du RGPD. Un consentement fragile offre une sécurité juridique moindre qu'une base correctement documentée.

Pourquoi pas l'exécution du contrat de travail ✅ : la base couvre ce qui est nécessaire au contrat, ce qu'un outil de coordination à participation volontaire n'est pas.

Test de mise en balance ⬜ :

ÉlémentÀ documenter
Intérêt légitime poursuivi⬜ [ex. : réduire les délais de résolution des sujets inter-équipes]
Nécessité⬜ [pourquoi les outils existants — réunions, messagerie, entretiens — ne suffisent pas]
Incidence sur les personnes⬜ [visibilité nominative, risque d'autocensure, sentiment d'observation]
Attentes raisonnables⬜ [ce qu'un salarié peut raisonnablement attendre dans votre culture d'entreprise]
Mesures compensatoires⬜ [voir C.4]
Conclusion⬜ [l'intérêt légitime prévaut / ne prévaut pas]

B.2 Minimisation ✅ / ⬜

  • ✅ L'outil ne collecte que du déclaratif : ni email, ni messagerie, ni agenda, ni poste de travail, ni géolocalisation, ni temps de connexion.
  • ✅ Le contenu brut n'est diffusé à personne ; seuls des éléments de coordination structurés circulent.
  • ✅ L'appréciation sur les personnes n'est pas produite.
  • ⬜ Périmètre restreint au strict nécessaire : [population, durée du pilote]

B.3 Qualité et exactitude ✅

  • L'auteur voit ce qui a été retenu de son entretien juste après.
  • Il peut corriger l'entretien : les éléments extraits sont alors recalculés.
  • Il peut supprimer l'entretien : les éléments extraits sont supprimés avec lui.
  • Les éléments extraits portent un indicateur de confiance ; ils restent révisables à la main.

B.4 Information et droits ✅ / ⬜

  • ⬜ Note d'information individuelle remise avant le premier accès (modèle fourni).
  • ⬜ Information-consultation du CSE (modèle fourni).
  • ✅ Accès : fiche et entretiens consultables en permanence par la personne.
  • ✅ Rectification : édition de la fiche et des entretiens.
  • ✅ Effacement : suppression du compte en libre-service. Effacement des contenus détenus par l'entreprise sur demande auprès de l'éditeur, traité à la main sous 30 jours (⚠️ pas de bouton administrateur à ce jour).
  • ✅ Opposition : l'absence de réponse ne produit aucune donnée ; les rappels se coupent dans les préférences ; la fiche se désactive côté administrateur.
  • ✅ Absence de décision automatisée produisant des effets juridiques.

Partie C — Risques

C.1 Risques classiques sur les données ✅

RisqueImpactMesures existantesGravité résiduelle ⬜
Accès illégitime aux donnéesLecture de contenus professionnels sensiblesChiffrement TLS 1.3 en transit, cloisonnement multi-espaces en base, mots de passe hachés, accès serveur par clé uniquement, sauvegardes chiffrées, journal d'audit sur les fiches sensibles
Modification non désiréeÉlément attribué à tort à une personneTraçabilité auteur/source, indicateur de confiance, correction et suppression par l'auteur, recalcul à l'édition
Disparition de donnéesPerte d'historique de coordinationSauvegardes chiffrées hors-site avec rotation, restauration testée

C.2 Risques propres à ce traitement ✅ / ⬜

RisqueDescriptionMesures existantes ✅Mesures entreprise ⬜
Détournement de finalitéLes indicateurs servent à apprécier des personnesAucun score ni classement calculé ; aucune passerelle SIRH ou évaluation ; distinction compteur/appréciation écrite dans l'information⬜ Engagement écrit de non-utilisation ; contrôle par le DPO
Mauvaise lecture d'un indicateur« Mentionnée 5 fois » lu comme une contre-performanceDistinction explicitée dans la note d'information et la note CSE⬜ Formation des lecteurs (direction, Comex) avant ouverture
AutocensureLe salarié se tait, la matière perd sa valeurLe contenu de l'entretien n'est lisible que par son auteur ; l'appréciation n'est pas extraite ; correction et suppression possibles⬜ Communication interne sur ce qui remonte et ce qui ne remonte pas
Sentiment de surveillanceVécu comme un outil de contrôlePas de mesure de temps ni d'activité ; participation sans effet en cas d'abstention⬜ Association du CSE en amont ; point d'étape à 30 jours
Court-circuit hiérarchiqueUn responsable apprend par sa direction ce que son équipe a ditPalier manager non ouvert à ce jour ; règle d'ordonnancement prévue (le responsable ne reçoit jamais après la direction)⬜ Information des responsables d'équipe avant les équipes
Erreur de classement d'un proposUne appréciation traitée comme une frictionDouble extraction et indicateur de confiance ; règle par défaut : ne rien produire en cas de doute ; visibilité immédiate par l'auteur⬜ Point de contrôle sur les éléments corrigés ou supprimés au bout d'un mois
Dépendance à un sous-traitant hors UEExtraction partiellement hors UEClauses contractuelles types, non-rétention après traitement, redondance avec un fournisseur UE⬜ Appréciation du risque résiduel

C.3 Mesures de sécurité de l'éditeur ✅

  • Chiffrement TLS 1.3 pour tous les flux.
  • Mots de passe hachés (bcrypt, coût ≥ 12) ; authentification auto-hébergée.
  • Cloisonnement strict des espaces clients en base de données.
  • Accès administrateur des serveurs par clé, mot de passe désactivé.
  • Sauvegardes chiffrées hors-site, rotation glissante.
  • Journal d'audit sur les modifications des fiches sensibles.
  • Mesures d'usage produit auto-hébergées, masquage strict des saisies, désactivation possible par espace.

Détail public et daté : https://deepworkgraph.com/legal/privacy

Ce que l'éditeur n'a pas ✅ : pas de DPO désigné (seuils de l'art. 37 non atteints), pas de certification ISO 27001, pas d'agrément hébergeur de données de santé, pas d'avis d'avocat externe sur les présents modèles.

C.4 Mesures compensatoires retenues ⬜

  • ⬜ [Ouverture progressive : périmètre pilote, durée, conditions d'extension]
  • ⬜ [Engagement écrit de non-utilisation des indicateurs à des fins d'appréciation individuelle]
  • ⬜ [Point d'étape en CSE à J+30 sur la base des éléments réellement produits]
  • ⬜ [Formation des destinataires à la lecture des indicateurs]
  • ⬜ [Procédure interne de traitement des demandes de droits]
  • ⬜ [Revue annuelle de la présente analyse]

Partie D — Validation ⬜

Consultation des personnes concernées (art. 35.9) : ⬜ [CSE consulté le DATE, avis rendu / consultation directe des salariés / non réalisée, motif]

Avis du DPO ou du référent : ⬜ [avis, réserves, conditions]

Décision du responsable de traitement : ⬜ [le traitement est mis en œuvre / mis en œuvre sous conditions / abandonné]

Consultation préalable de la CNIL (art. 36) : ⬜ [nécessaire / non nécessaire, motif]

Signatures : ⬜ [NOM, FONCTION, DATE]


Trame DeepWorkGraph — https://deepworkgraph.com/deploiement-rh