Politique de confidentialité

Just Parity ApS est le responsable du traitement des données à caractère personnel relatives aux visiteurs du site justparity.lu, aux personnes de contact chez nos clients et aux utilisateurs de la plateforme (collaborateurs des ressources humaines et responsables hiérarchiques).

Pour les données salariales et RH que les clients téléversent sur la plateforme, Just Parity ApS agit en qualité de sous-traitant. Le responsable du traitement est dans ce cas l'organisation cliente, et les demandes portant sur les données des salariés doivent lui être adressées.

Just Parity ApS est établie au Danemark et ne dispose pas d'établissement au Luxembourg. La société étant établie dans l'Union européenne, la désignation d'un représentant au sens de l'article 27 du RGPD n'est pas requise.

Délégué à la protection des données (DPD) : Just Parity ApS n'a pas désigné de délégué à la protection des données à ce jour, l'étendue de nos traitements ne déclenchant pas actuellement l'obligation prévue à l'article 37 du RGPD. Toute question relative à la protection des données peut être adressée à contact@justparity.com.

Nous traitons des données à caractère personnel aux fins suivantes :

• la fourniture de la plateforme de conformité Justparity
• l'assistance et la communication avec les clients
• la facturation et la comptabilité
• l'exploitation, la maintenance et l'amélioration du service
• le marketing (uniquement avec votre consentement)
• le respect des obligations légales
• l'envoi d'offres dans un cadre B2B, y compris la mesure de l'ouverture du message par le destinataire (accusé de lecture au moyen d'une image d'un pixel sur un pixel)

Nous traitons les catégories de données à caractère personnel suivantes :

• Coordonnées : nom, adresse e-mail, numéro de téléphone, société, fonction
• Données d'utilisation : données de journalisation, adresse IP, informations relatives au navigateur et à l'appareil
• Données clients (en qualité de sous-traitant) : données salariales et RH téléversées sur la plateforme par les clients

Données salariales et catégories particulières. Les données salariales sont traitées en tant que données à caractère personnel ordinaires (article 6 du RGPD). Le traitement peut toutefois porter sur des données relevant des catégories particulières (article 9 du RGPD) :

• l'appartenance syndicale, susceptible d'apparaître indirectement dans les jeux de données de paie importés (article 9, paragraphe 2, point b), du RGPD)

Le sexe est le critère même de l'analyse de l'écart de rémunération. Il ne figure pas dans l'énumération de l'article 9, paragraphe 1, du RGPD, qui est limitative, et relève donc de l'article 6, paragraphe 1, point c), au titre de la directive (UE) 2023/970 et de l'obligation d'égalité de rémunération prévue à l'article L. 225-1 du Code du travail. Nous l'entourons néanmoins des mêmes garanties renforcées que les données relevant de l'article 9.

Le numéro d'identification personnel danois (numéro CPR) peut être reçu de manière transitoire depuis les systèmes de paie danois raccordés (par exemple Intect) et utilisé exclusivement pour déduire techniquement le sexe aux fins de l'analyse de l'écart de rémunération (dernier chiffre). Le numéro CPR n'est pas conservé dans la base de données de Justparity (seuls le sexe et la date de naissance le sont). Il appartient au responsable du traitement de disposer d'une base légale pour cette transmission. Ce mécanisme est propre aux systèmes de paie danois et ne s'applique pas au numéro d'identification national luxembourgeois (matricule).

Ces données sont conservées dans des tables distinctes, assorties de garanties supplémentaires et d'un contrôle d'accès strict.

Nous traitons des données à caractère personnel sur les bases légales suivantes :

• Exécution du contrat (article 6, paragraphe 1, point b), du RGPD) : fournir nos prestations et exécuter le contrat
• Obligation légale (article 6, paragraphe 1, point c), du RGPD) : comptabilité, tenue des livres, obligations déclaratives fiscales et mise en oeuvre de la directive (UE) 2023/970
• Intérêt légitime (article 6, paragraphe 1, point f), du RGPD) : exploitation, sécurité, prévention des usages abusifs, amélioration du produit, ainsi que la mesure de l'ouverture par un destinataire d'une offre B2B que nous avons envoyée (accusé de lecture). Nous avons mis en balance ces intérêts et considérons que, dans le cadre d'un dialogue commercial en cours, cette mesure correspond aux attentes raisonnables du destinataire et que l'atteinte est minime (nous enregistrons le moment de l'ouverture, l'adresse IP et le type de navigateur). Vous pouvez vous opposer à tout moment à ce traitement en nous écrivant à contact@justparity.com.
• Consentement (article 6, paragraphe 1, point a), du RGPD) : marketing, lettres d'information et cookies non essentiels

Le sexe (article 6, paragraphe 1, point c), du RGPD) : le traitement des données de sexe aux fins de l'analyse de l'écart de rémunération s'inscrit dans l'exécution d'obligations en matière de droit du travail découlant de la directive (UE) 2023/970 sur la transparence des rémunérations et, pour les employeurs relevant du droit luxembourgeois, de l'article L. 225-1 du Code du travail. Le sexe ne figure pas dans l'énumération limitative de l'article 9, paragraphe 1, et constitue donc une donnée ordinaire.

Catégories particulières (article 9, paragraphe 2, point b), du RGPD) : le traitement de l'appartenance syndicale, lorsqu'elle apparaît indirectement dans les jeux de données de paie, s'inscrit dans l'exécution des mêmes obligations en matière de droit du travail.

Base légale nationale lorsque le responsable du traitement relève du droit luxembourgeois : lorsqu'un client, en sa qualité de responsable du traitement, est soumis au droit luxembourgeois, le traitement de catégories particulières de données dans le contexte des relations de travail repose sur l'article 9, paragraphe 2, point b), du RGPD, lu en combinaison avec l'obligation d'égalité de rémunération entre les femmes et les hommes prévue à l'article L. 225-1 du Code du travail. La loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données complète le RGPD en droit luxembourgeois. Il incombe au responsable du traitement, à savoir le client, de s'assurer de l'existence de la base légale ; Justparity intervient à cet égard en qualité de sous-traitant.

Numéro CPR : il n'est pas traité en tant que donnée relevant de l'article 9 du RGPD. Les numéros CPR peuvent être reçus de manière transitoire depuis les systèmes de paie et utilisés exclusivement pour la déduction technique du sexe (dernier chiffre) ; le numéro CPR n'est pas conservé. Il appartient au responsable du traitement de disposer d'une base légale pour une éventuelle transmission.

Nous sommes susceptibles de communiquer des données à caractère personnel aux destinataires suivants :

Sous-traitants ultérieurs :

Autorités publiques : lorsque la loi l'exige.

Les transferts vers des pays tiers situés en dehors de l'UE/EEE n'ont lieu que si des garanties appropriées sont en place, en règle générale les clauses contractuelles types de l'Union européenne (CCT) au titre de l'article 46, paragraphe 2, point c), du RGPD. Lorsque la société mère d'un sous-traitant ultérieur dispose d'une possibilité d'accès depuis les États-Unis, des clauses contractuelles types ont été conclues.

Outils de marketing soumis au consentement : Google Analytics et Google Ads (statistiques et mesure publicitaire), le pixel Meta (Meta Platforms Ireland Ltd., mesure publicitaire) et la balise LinkedIn Insight (LinkedIn Ireland Unlimited Company, mesure publicitaire) ne sont utilisés qu'avec votre consentement et ne sont pas des sous-traitants ultérieurs pour les données à caractère personnel de la plateforme. Des données peuvent être transférées vers les États-Unis sur la base du cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) et des clauses contractuelles types (CCT). Le détail des cookies, leurs finalités et leurs durées de conservation figurent dans notre politique relative aux cookies, où vous pouvez également modifier ou retirer votre consentement.

Limitation du nombre de requêtes : la protection contre les surcharges est assurée dans la mémoire de la plateforme elle-même et ne fait intervenir aucun prestataire externe.

Nous conservons les données à caractère personnel aussi longtemps que nécessaire au regard des finalités pour lesquelles elles ont été collectées :

• Données clients dans la plateforme : supprimées au plus tard 30 jours après la fin du contrat
• Coordonnées : 3 ans après la fin de la relation client, ce qui correspond au délai de prescription des actions contractuelles (article 3 de la loi danoise sur la prescription)
• Données comptables : 5 ans (article 12 de la loi comptable danoise)
• Offres et données d'audit relatives aux offres : 5 ans à compter de la fin de l'exercice auquel les pièces se rapportent, en application de l'article 12, paragraphe 1, de la loi comptable danoise. Elles sont pseudonymisées à l'expiration de ce délai (les champs identifiants sont remplacés par une empreinte, l' identifiant et l'horodatage de l'événement étant conservés à des fins d'audit).
• Données de marketing : jusqu'au retrait du consentement
• Données de journalisation : 90 jours
• Accusés de lecture des offres B2B : le moment de l'ouverture, l'adresse IP et le type de navigateur sont conservés avec l'offre (5 ans) en application de la loi comptable danoise, puis pseudonymisés

Les durées ci-dessus découlent des obligations légales propres à Just Parity ApS, société de droit danois ; les références sont donc faites au droit danois. Lorsque le client, en sa qualité de responsable du traitement, est soumis à ses propres obligations de conservation en droit luxembourgeois, il lui appartient de les respecter.

En tant que personne concernée, vous disposez des droits suivants au titre du chapitre III du RGPD :

• le droit d'accès (article 15)
• le droit de rectification (article 16)
• le droit à l'effacement, ou « droit à l'oubli » (article 17)
• le droit à la limitation du traitement (article 18)
• le droit d'être informé en cas de rectification ou d'effacement (article 19)
• le droit à la portabilité des données (article 20)
• le droit d'opposition (article 21)
• le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé (article 22)
• le droit de retirer votre consentement (article 7, paragraphe 3). Le retrait ne compromet pas la licéité du traitement fondé sur le consentement effectué avant celui-ci

Pour les données à l'égard desquelles Justparity agit en qualité de sous-traitant (données de salariés téléversées sur la plateforme), les demandes doivent être adressées au responsable du traitement, c'est-à-dire à l'organisation qui a téléversé les données. Pour les autres données (coordonnées, données d'utilisateur), vous pouvez exercer vos droits en nous écrivant à contact@justparity.com. Nous répondons aux demandes dans les meilleurs délais et au plus tard un mois après leur réception. Lorsque la demande est complexe, ce délai peut être prolongé de deux mois au maximum, auquel cas vous en êtes informé dans le premier mois.

Nous avons mis en oeuvre des mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel, notamment :

• le chiffrement des données en transit (TLS 1.3) et au repos (AES-256)
• un contrôle d'accès fondé sur les rôles (RBAC) et l'authentification multifacteur
• la journalisation et la surveillance des accès aux données à caractère personnel
• des analyses de vulnérabilités et des mises à jour de sécurité continues
• des procédures de sauvegarde, de restauration et de réponse aux incidents
• des engagements de confidentialité et des formations périodiques du personnel à la sécurité

Les mesures de sécurité détaillées figurent dans notre accord de traitement des données (/accord-traitement-donnees).

Toute personne concernée peut introduire une réclamation relative au traitement de ses données à caractère personnel auprès d'une autorité de contrôle. Au Luxembourg, l'autorité compétente est la Commission nationale pour la protection des données (CNPD) :

Conformément à l'article 77 du RGPD, vous pouvez saisir l'autorité de contrôle de l'État membre de votre résidence habituelle, de votre lieu de travail ou du lieu où la violation aurait été commise. Just Parity ApS étant établie uniquement au Danemark, son autorité de contrôle chef de file au sens de l'article 56 du RGPD est l'autorité danoise de protection des données (Datatilsynet, Carl Jacobsens Vej 35, DK-2500 Valby, Danemark, dt@datatilsynet.dk). Une réclamation introduite auprès de la CNPD est, le cas échéant, traitée dans le cadre du mécanisme de coopération prévu au chapitre VII du RGPD.

Nous nous réservons le droit de mettre à jour la présente politique de confidentialité. En cas de modification substantielle, les personnes concernées en sont informées par e-mail ou lors de leur connexion à la plateforme. La version la plus récente est toujours disponible sur cette page.