Sécurité et protection des données

Hébergement en Europe

• Base de données et authentification : Supabase, région Francfort (Allemagne).
• Fichiers (justificatifs, bulletins, documents) : stockage Cloudflare R2 restreint à la juridiction de l'Union européenne.
• Application : servie par Vercel, avec des sauvegardes automatiques quotidiennes de la base assurées par l'hébergeur.

Chiffrement

• En transit : TLS sur toutes les connexions, site et application.
• Au repos : chiffrement assuré par les hébergeurs de la base et des fichiers.
• Paiement : aucune donnée de carte ne transite ni n'est stockée chez eachr, tout passe par Stripe.

Isolation entre entreprises

Chaque entreprise est cloisonnée : les règles d'accès sont appliquées au niveau de la base de données et vérifiées à chaque action côté serveur. Un office manager multi-clients ne voit que les entreprises qui lui ont donné accès, et bascule de l'une à l'autre sans jamais mélanger les données.

Accès et authentification

• Administrateurs et managers : connexion par code à usage unique reçu par e-mail ou par compte Google, sans mot de passe à retenir ni à fuiter.
• Salariés : lien d'accès personnel, révocable à tout moment par l'entreprise, sans mot de passe.
• Rôles distincts (administrateur, manager, salarié) avec des droits limités à ce que chacun doit voir.

Documents scellés et traçables

Chaque justificatif et chaque document RH reçoit une empreinte SHA-256 dès son dépôt. Toute modification devient détectable, l'intégrité se vérifie en un clic, et chaque dépôt, consultation ou téléchargement est inscrit dans un journal d'audit consultable par l'entreprise.

Supervision et réponse aux incidents

• Les erreurs applicatives sont suivies en continu (Sentry, données en Union européenne).
• En cas de violation de données, les entreprises concernées sont prévenues sans délai injustifié avec les éléments utiles à leur propre notification, conformément à l'accord de traitement des données.
• Pour signaler une faille ou un incident : contact@eachr.co.

Sous-traitants

La liste complète des sous-traitants, leur rôle et leur localisation figure dans la politique de confidentialité. Aucun sous-traitant n'est ajouté sans information préalable des entreprises clientes.

Conformité RGPD

eachr agit comme sous-traitant des entreprises clientes pour les données de leurs salariés. L'accord de traitement des données (DPA) publié sur le site formalise cette relation, et une version signée est fournie sur demande.