Politique de confidentialité

Dernière mise à jour : 16/10/2026.

Version du 30 septembre 2026.

Responsable du traitement

Mac Ped SRL, Rue de l'Église 100, 1150 Woluwe-Saint-Pierre, BCE 0588.984.493 — info@fiche2paie.be. Pour les données des salariés qu'un employeur encode dans l'outil, cet employeur est responsable du traitement et Mac Ped SRL agit comme sous-traitant (art. 28 RGPD) ; le contrat de services accepté à l'ouverture du compte vaut accord de sous-traitance.

Quelles données

Compte : adresse e-mail, mot de passe (conservé uniquement sous forme hachée), langue. Entreprise : numéro d'entreprise/TVA, dénomination et adresse (récupérées via VIES/BCE), et si vous les encodez : numéro ONSS, communication structurée, catégorie d'employeur. Salariés (encodés par l'employeur) : identité, adresse, fonction, statut, salaire, situation familiale, enfants à charge, avantages de toute nature, voiture de société. Le numéro de registre national (NISS) est conservé chiffré sur la fiche du travailleur, uniquement pour ses fiches de paie, son compte individuel et vos déclarations (Dimona, DmfA, risques sociaux, fiches fiscales, précompte) ; il n'est jamais utilisé à une autre fin ni comme identifiant, et il est effacé quand les délais légaux de conservation des documents qui le portent sont échus (cinq ans après la fin du contrat de travail pour le compte individuel, fin de la septième année qui suit l'année de paiement pour la fiche fiscale 281.10), à la clôture de votre compte, ou dès que vous l'effacez. Si vous nous confiez l'envoi de votre DmfA trimestrielle, le fichier de déclaration qui le contient est gardé chiffré jusqu'à l'envoi, puis effacé. Facturation : prestations, crédits, factures ; les données de carte sont saisies et conservées directement chez Stripe, jamais sur nos serveurs. Consentements : version acceptée, adresse IP, horodatage. Journaux techniques à des fins de sécurité.

Pourquoi (bases légales)

Exécution du contrat (calculs, documents, facturation), obligations légales (comptabilité, TVA, facturation électronique), intérêt légitime (sécurité et prévention des abus). Consentement (art. 6, 1, a, du RGPD) pour la mesure d’audience, la mesure de la conversion et la mesure publicitaire (Google, PostHog, Meta), que vous pouvez retirer à tout moment. Mac Ped SRL et Meta Platforms Ireland Ltd sont responsables conjoints de la collecte et de la transmission des données par le pixel (CJUE, Fashion ID, C-40/17) ; pour exercer vos droits auprès de Meta, voyez sa politique de confidentialité : https://www.facebook.com/privacy/policy.

Sous-traitants

Amazon Web Services (hébergement, région de Paris, UE), OVHcloud (assistant IA, AI Endpoints, France), Stripe (paiements — transfert possible hors UE, encadré par le Data Privacy Framework UE-USA et des clauses contractuelles types), Recommand (transmission des factures via le réseau Peppol), PostHog Inc. (mesure de la conversion du site, avec votre accord ; données hébergées dans l’UE, à Francfort).

Durées de conservation

Données de compte : tant que le compte existe. Fiches de paie, factures et pièces comptables : selon les durées imposées par les législations comptable, fiscale et sociale belges. Registre des consentements : durée du compte, plus le temps nécessaire à titre de preuve.

Assistant en ligne

Quand vous écrivez à l'assistant, votre dernier message et la réponse de l'assistant sont conservés 30 jours pour contrôler la qualité des réponses et, si vous êtes bloqué, pouvoir vous aider ; ils sont ensuite effacés automatiquement. Un numéro de registre national (NISS) est masqué avant toute conservation, et le contenu d'un document que vous joignez n'est jamais conservé. Seule l'équipe de Mac Ped SRL y a accès. Base légale : intérêt légitime (qualité et fiabilité du service).

Pointage et position (option de l'employeur)

Un travailleur peut pointer depuis son téléphone, avec un QR code affiché sur place ou sur la tablette de l'établissement (code PIN personnel, conservé uniquement sous forme hachée, jamais en clair). L'employeur peut en plus activer une vérification de position, désactivée par défaut. Quand elle est activée, le téléphone du travailleur compare sa position à la zone de l'établissement au moment où il commence : seule la réponse « dans la zone » ou « hors zone » est enregistrée. Les coordonnées du travailleur ne sont ni conservées ni inscrites dans un journal. Un refus n'empêche pas de pointer : le pointage est alors marqué « position non vérifiée ». L'employeur, responsable du traitement, informe ses travailleurs avant d'activer l'option ; il reste responsable de cette information.

Vos droits

Droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition : écrivez à info@fiche2paie.be. Réclamation : Autorité de protection des données, Rue de la Presse 35, 1000 Bruxelles — autoriteprotectiondonnees.be.

Cookies

Un seul cookie strictement nécessaire : celui de votre session de connexion. Aucune revente de données ; un profilage publicitaire n’a lieu qu’avec votre accord (pixel Meta). La fréquentation du site est mesurée sur les journaux du serveur — ce que votre navigateur demande, ce que nginx écrit — sans rien déposer chez vous et sans que ces relevés portent votre adresse IP au-delà du tri technique. Quatre traceurs supplémentaires existent, tous soumis à votre choix : Google Analytics (mesure d’audience), Google Ads (mesure des résultats de nos annonces, dont les demandes de régularisation qu’elles génèrent) le pixel Meta (mesure et ciblage publicitaire) et PostHog (mesure de la conversion du site). Ils sont ANNONCÉS PAR UN BANDEAU et ne se chargent qu’APRÈS votre accord ; avant, aucune requête ne part vers Google ni vers Meta, ni vers PostHog. Avec votre accord, Google Ireland Limited, destinataire des données, dépose des cookies dont la durée est fixée par Google (de quelques mois à deux ans selon le cookie) ; les données peuvent être traitées par le groupe Google hors de l’Union européenne, dans le cadre de ses garanties contractuelles. Avec votre accord également, Meta Platforms Ireland Ltd, destinataire des données, dépose les cookies _fbp et _fbc, conservés 90 jours chacun, pour la mesure et le ciblage publicitaire. Le pixel lui transmet les pages vues, votre inscription, vos achats de crédits et votre adresse e-mail, que la bibliothèque de Meta hache avant l’envoi : donnée à l’inscription, elle accompagne ensuite les événements suivants de la session (pages publiques et achat de crédits). Le pixel est coupé dans l’espace connecté, sauf pour l’événement d’achat ; ces données peuvent être traitées par le groupe Meta hors de l’Union européenne, dans le cadre de ses garanties contractuelles. Avec votre accord encore, PostHog Inc., notre sous-traitant, héberge dans l’Union européenne (Francfort) la mesure des étapes de la conversion : pages publiques vues, inscription réussie, première fiche de paie générée et achat de crédits (le nombre de crédits, sans montant). Il enregistre dans le stockage local de votre navigateur une entrée ph_<clé>_posthog, qui contient un identifiant anonyme aléatoire et reste là jusqu’au retrait de votre accord ou à l’effacement des données du site ; il ne dépose aucun cookie. Deux entrées techniques complètent ce stockage : des entrées ph_* du stockage de session, effacées à la fermeture de l’onglet, et __ph_opt_in_out_<clé>, qui mémorise votre choix. Les données envoyées comprennent aussi le type de navigateur et d’appareil et, le cas échéant, les paramètres de campagne publicitaire de l’adresse d’arrivée. Aucun enregistrement de session, aucune capture automatique, aucune donnée de paie, aucun NISS, aucun e-mail ni aucun identifiant de client ne lui est transmis, et PostHog écarte votre adresse IP dès la réception, à notre demande. Le suivi est coupé dans l’espace connecté, sauf pour les événements de première fiche et d’achat de crédits. Base légale : votre consentement. PostHog peut traiter des données hors de l’Union européenne, notamment aux États-Unis, selon son contrat de traitement : il s’appuie sur le Data Privacy Framework UE-États-Unis et sur des clauses contractuelles types, et publie ses sous-traitants sur https://posthog.com/subprocessors. Refuser ne change rien au fonctionnement du site, et votre refus est conservé pour ne pas vous être redemandé. Vous retirez ou modifiez votre choix à tout moment avec le lien « Cookies » en pied de page, et vous pouvez aussi effacer les données de site de votre navigateur.

Audiences publicitaires sur Meta

Pour montrer nos annonces sur Facebook et Instagram aux personnes inscrites et à nos clients, ou pour les en exclure, et à des personnes au profil comparable, nous transmettons à Meta Platforms Ireland Ltd l'adresse e-mail de votre compte et, si nous l'avons, votre numéro de téléphone, hachés (SHA-256) sur notre serveur avant l'envoi : aucune donnée ne part en clair, et jamais une donnée de vos travailleurs. Meta compare ces empreintes à ses propres comptes puis les supprime. Base légale : notre intérêt légitime à faire connaître notre service aux utilisateurs de la plateforme (article 6.1.f du RGPD). Vous pouvez vous y opposer à tout moment, sans motif, en écrivant à info@fiche2paie.be : votre adresse est alors exclue de tous les envois suivants.

Sécurité

Mots de passe hachés, cloisonnement des accès par compte, journalisation, connexions chiffrées vers les services officiels. En cas de violation de données présentant un risque, l'autorité et les personnes concernées sont averties comme l'exige le RGPD.