Politique de confidentialité & protection des données

1. Préambule

La présente politique décrit comment LEDAFGROUP SARL U, éditeur de la plateforme Cockpit Le RH, collecte, utilise, protège et conserve les données personnelles dans le cadre de ses services SaaS aux entreprises togolaises.

LEDAFGROUP agit en qualité de sous-traitant au sens de la Loi togolaise 2019-014. L'entreprise cliente reste le responsable de traitement au sens de la loi : elle décide des finalités et des moyens du traitement des données de ses collaborateurs.

2. Données collectées

2.1 Données identifiant l'entreprise cliente

• Raison sociale, RCCM, NIF, numéro employeur CNSS
• Coordonnées de contact (siège, téléphone, email)
• Identité du dirigeant signataire
• Coordonnées bancaires de l'entreprise (pour bordereaux de virement)

2.2 Données identifiant les utilisateurs admins

• Nom, prénom, email professionnel
• Rôle (DG, DRH, gestionnaire de paie, etc.)
• Logs de connexion (IP, terminal, horodatage)
• Préférences (langue, fuseau, notifications)

2.3 Données identifiant les collaborateurs (« employés »)

• État civil : nom, prénom, date et lieu de naissance, sexe, nationalité
• Identifiants : matricule, numéro CNSS, NIF personnel, pièce d'identité, permis de conduire
• Coordonnées : adresse, téléphone, email personnel, contact d'urgence
• Situation familiale : situation matrimoniale, conjoint(s), enfants à charge (utilisés pour le calcul fiscal et social)
• Données contractuelles : type de contrat, fonction, catégorie, salaire, avenants, sorties
• Données de paie : bulletins, retenues, ayants droit AMU, déductions, prêts, absences, congés
• Données bancaires : RIB ou numéro Mobile Money (T-Money, Flooz, Mixx)
• Données médicales (limitées) : certificats d'aptitude, congés maladie (les justificatifs détaillés ne sont pas stockés)
• Données disciplinaires : procédures éventuelles, sanctions notifiées
• Documents personnels archivés en GED

2.4 Données identifiant les candidats externes (recrutement)

• Nom, prénom, email, téléphone
• CV, lettre de motivation
• Historique des candidatures et entretiens

3. Finalités du traitement

• Exécution du contrat de travail (paie, gestion administrative, déclarations obligatoires CNSS, AMU, OTR)
• Respect des obligations légales (Code du Travail, Code Général des Impôts)
• Gestion des recrutements et candidatures
• Évaluation professionnelle et plans de carrière
• Sécurisation des accès (authentification, audit)
• Facturation du service SaaS
• Amélioration continue du service (statistiques anonymisées)

4. Bases légales (Art. 33 Loi 2019-014)

• Exécution du contrat : données paie, contrat de travail, obligations sociales et fiscales
• Obligation légale : déclarations OTR, CNSS, AMU, conservation 10 ans des bulletins
• Intérêt légitime : sécurité (logs, audit chain), amélioration du service
• Consentement : candidats externes (conservation au-delà de la réponse à l'offre concernée), géolocalisation lors de la signature électronique

5. Destinataires

• Personnels habilités de l'entreprise cliente (selon profil : DRH, gestionnaire paie, manager, etc.)
• Administrations togolaises destinataires des déclarations (OTR, CNSS, INAM)
• Banque(s) du Client pour les virements de salaires (uniquement les RIB et montants concernés)
• Opérateurs Mobile Money pour les versements (T-Money, Flooz, Mixx)
• Prestataires techniques de LEDAFGROUP, soumis à clauses de confidentialité :
  • Supabase (Frankfurt, UE) — hébergement
  • Stripe — facturation SaaS
  • Resend / SendGrid — emails transactionnels (option selon configuration)
  • Africa's Talking / Twilio — SMS (OTP signature, notifications) (option)

Aucune donnée n'est revendue à des tiers, à des fins publicitaires ou commerciales.

6. Transferts hors Togo

Les données sont hébergées à Frankfurt (Allemagne, Union Européenne) chez Supabase. Le transfert hors Togo est encadré par les clauses contractuelles types de protection des données et est conforme aux exigences de l'IPDCP (Institut de Protection des Données du Togo).

7. Durées de conservation

Au-delà de ces durées, les données sont automatiquement purgées du Storage (et l'empreinte hash conservée pour traçabilité de l'audit chain).

8. Droits des personnes concernées (Art. 36-42 Loi 2019-014)

Toute personne concernée dispose des droits suivants :

• Droit d'accès : obtenir confirmation que ses données sont traitées et en recevoir une copie
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement (sous réserve des obligations légales de conservation)
• Droit à la limitation du traitement
• Droit à la portabilité : recevoir ses données dans un format structuré
• Droit d'opposition au traitement
• Droit de retirer son consentement à tout moment (pour les traitements basés sur le consentement)
• Droit d'introduire une réclamation auprès de l'IPDCP

Pour exercer ces droits, contacter en priorité l'employeur (responsable de traitement). À défaut de réponse, contacter LEDAFGROUP : dpo@cockpit-le-rh.tg.

9. Mesures de sécurité

• Chiffrement en transit (TLS 1.3) et au repos (AES-256)
• Authentification multi-facteurs (2FA TOTP) obligatoire pour les comptes administrateurs
• Isolation stricte multi-tenant : chaque entreprise voit uniquement ses propres données
• Audit trail immuable (chaîne de hachage type blockchain) sur toutes les actions critiques
• Sauvegardes quotidiennes chiffrées, rétention 30 jours
• Tests d'intrusion réguliers par un prestataire spécialisé tiers
• Politique de purge automatique des données expirées

10. Contact

Délégué à la Protection des Données (DPO)
LEDAFGROUP SARL U
Lomé, Togo
Email : dpo@cockpit-le-rh.tg

Autorité de contrôle togolaise :
Institut de Protection des Données à caractère Personnel (IPDCP)
Lomé, Togo