From 0bcdf417d1526211b71288b3b3a2214e052758ad Mon Sep 17 00:00:00 2001 From: Claude Date: Fri, 7 Aug 2026 17:16:06 +0000 Subject: [PATCH] Integrate the French HR compliance matrix Adds matrice-conformite-rh-france-2026.md to the repo and rewrites section 12 around it. Also fixes the link in Audit Combo/INDEX.md, which pointed one level above the repo root. The matrix changes the design in four places: - Time has three states, not two. Planned, actual and paid must be distinguishable, and payment may never be made conditional on a manager's validation, nor may an authorisation workflow delete hours actually worked. - The rule engine must be effective-dated, not merely versioned: a prior payroll has to replay identically after a rule change. - Retention is per object with a documented start point and justification, explicitly not "5 years everywhere". Adds RetentionPolicy and the duration table. - Control features need a server-side gate that stays closed until the employee notice and the CSE opinion are recorded. FeatureFlag carries those fields. Adds paid-leave accrual, the 15-month carry-over, and the obligation to inform an employee of their rights within a month of returning from sick leave. Scopes out payslips, DSN and geolocation, and flags on-call duty and forfait jours as open questions. Notes that the matrix covers adult employees only, so the MINOR_* rules remain unsourced and are now a stop signal. Co-Authored-By: Claude Opus 5 Claude-Session: https://claude.ai/code/session_01Cr9dkEHwbDgkWPnyGj1Rjv --- Audit Combo/INDEX.md | 2 +- PLAN.md | 184 +++++++++++++++++++++++---- matrice-conformite-rh-france-2026.md | 101 +++++++++++++++ 3 files changed, 262 insertions(+), 25 deletions(-) create mode 100644 matrice-conformite-rh-france-2026.md diff --git a/Audit Combo/INDEX.md b/Audit Combo/INDEX.md index 456fa5b..7391fcb 100644 --- a/Audit Combo/INDEX.md +++ b/Audit Combo/INDEX.md @@ -8,7 +8,7 @@ Pages capturées : **58** - [Cartographie fonctionnelle et technique](FUNCTIONAL_MAP.md) - [Inventaire structuré du crawl](inventory.json) - [Chemins applicatifs extraits des bundles](bundle-paths.txt) -- [Matrice de conformité juridique française](../../matrice-conformite-rh-france-2026.md) +- [Matrice de conformité juridique française](../matrice-conformite-rh-france-2026.md) | Route | Titre | Capture | diff --git a/PLAN.md b/PLAN.md index 3e853b7..9d6dfb2 100644 --- a/PLAN.md +++ b/PLAN.md @@ -5,6 +5,7 @@ > **Sources fonctionnelles :** > - [`Audit Combo/`](Audit%20Combo/INDEX.md) — 58 écrans, cartographie fonctionnelle et inventaire de crawl. > - [`Audit Combo/dropdowns/`](Audit%20Combo/dropdowns/DROPDOWN-AUDIT.md) — 172 déclencheurs, 51 menus ouverts. **Fait foi sur les énumérations** : rôles, types de contrat, vues, statuts, actions. +> - [`matrice-conformite-rh-france-2026.md`](matrice-conformite-rh-france-2026.md) — 24 exigences réglementaires cotées P0/P1/P2, avec sources officielles. **Fait foi sur la conformité** : durées de conservation, traçabilité, RGPD, habilitations. Voir §12. > > **Régime : clean room.** L'audit et ce plan décrivent des *capacités* et des *invariants*. Ne recopier ni code, ni CSS, ni icônes, ni illustrations, ni wording propriétaire au-delà des libellés métier nécessaires. Concevoir une API, un schéma, des textes et une interface originaux. @@ -18,6 +19,7 @@ - une règle de convention **non couverte** par le jeu de paramètres IDCC 1517 de §6.3 est nécessaire, ou une valeur relevant d'un accord d'entreprise (taux dimanche notamment) ; - un code de rubrique Silae est nécessaire (§8) ; - une donnée personnelle réelle serait requise pour tester ; + - une règle concernant les **salariés mineurs** est nécessaire : la matrice de conformité les exclut explicitement de son périmètre, les règles `MINOR_*` sont donc non sourcées ; - un point marqué **`À VALIDER`** dans ce document bloque l'avancement. 4. Ne jamais inventer de paramètre légal, de code de paie ou de règle métier. L'absence d'information est un signal d'arrêt, pas une invitation à choisir. Les valeurs de §6.3 sont fournies **avec leur origine** (ordre public, convention, accord d'entreprise) : ne pas en ajouter par déduction. **Les énumérations de ce document proviennent de l'audit des menus déroulants et sont exhaustives.** Ne pas y ajouter de valeur « qui semble manquer » : une valeur absente de l'audit est une valeur à faire confirmer. @@ -30,7 +32,7 @@ Le dépôt ne contient que l'audit ; il n'y a aucun code. L'objectif est de construire **PlanFlow**, une application de gestion du personnel et des plannings multi-établissements, reprenant les capacités de Combo pour l'organisation auditée, avec la paie **exportée vers Silae**. ### Ce que l'audit corrige -Six constats structurants, qu'une lecture de la documentation publique de Combo aurait manqués ou faussés. Ils sont listés ici parce qu'ils conditionnent des choix qui coûtent cher à reprendre. +Sept constats structurants, qu'une lecture de la documentation publique de Combo aurait manqués ou faussés. Ils sont listés ici parce qu'ils conditionnent des choix qui coûtent cher à reprendre. **La convention collective n'est pas HCR.** Le compte audité est **FROUARD DISTRIBUTION / La Foir'Fouille**, configuré sur **« Commerces de détail non alimentaires (IDCC 1517) — JF 50 % et Dimanche 100 % »**, code APE **4759B — commerce de détail d'autres équipements du foyer**. C'est du commerce de détail : les durées maximales, coupures et majorations propres à l'hôtellerie-restauration ne s'appliquent pas. Les paramètres réels de l'IDCC 1517 sont en §6.3. @@ -44,8 +46,7 @@ Six constats structurants, qu'une lecture de la documentation publique de Combo **Les énumérations sont fermées et connues.** Rôles, types de contrat, vues de planning, statuts et filtres sont relevés exhaustivement dans l'audit des menus. Il n'y a rien à deviner, et deviner produit des valeurs qui n'existent nulle part. -### Écart de documentation — `À VALIDER` -`Audit Combo/INDEX.md` référence `../../matrice-conformite-rh-france-2026.md`, absent du dépôt. Ce document conditionne §12. Le demander avant WP-03. +**Le temps a trois états, pas deux.** La matrice de conformité impose de distinguer **prévu**, **réalisé** et **payé**, et interdit de conditionner le paiement à la validation d'un manager. Une application qui ne stocke que prévu et réalisé ne peut pas justifier un écart entre l'heure constatée et l'heure payée — or c'est précisément ce qu'un contrôle demande. --- @@ -592,7 +593,30 @@ model Integration { id String @id @default(cuid()); accountId String; provide model SilaeCodeMapping { id String @id @default(cuid()); accountId String; kind SilaeCodeKind; internalRef String; silaeCode String } enum SilaeCodeKind { HOURS ABSENCE VARIABLE } -model FeatureFlag { id String @id @default(cuid()); accountId String?; key String; enabled Boolean @default(false) } +// Verrou de conformité (§12.4) : une fonctionnalité de contrôle reste inactive +// tant que notice, remise et avis CSE ne sont pas renseignés. +model FeatureFlag { + id String @id @default(cuid()) + accountId String? + key String + enabled Boolean @default(false) + noticeDocumentId String? + noticeDeliveredAt DateTime? + cseOpinionAt DateTime? + activatedAt DateTime? +} + +// Durées de conservation (§12.5) — une ligne par objet, avec sa justification. +model RetentionPolicy { + id String @id @default(cuid()) + accountId String + objectType String // "Shift", "UserContract", "Document:SICK_NOTE"… + durationMonths Int + startPoint String // "creation", "contract_end", "employee_departure"… + justification String + legalHold Boolean @default(false) + effectiveFrom DateTime @db.Date +} model Notification { id String @id @default(cuid()); membershipId String; notificationType String; payload Json; readAt DateTime? } ``` @@ -739,12 +763,22 @@ Règles normatives : - **Un jour férié dans une période de congé n'est pas décompté** en congé payé. L'implémentation le retire du décompte ; elle n'oblige pas l'utilisateur à scinder sa demande. - Deux absences acceptées ne peuvent pas se chevaucher pour un même contrat. Contrainte vérifiée en transaction. -### 7.3 Heures — sans pointeuse -Il n'y a **pas de pointage**. Chaque `Shift` porte des heures **prévues** (`startAt`, `endAt`, `breakMinutes`) et, optionnellement, des heures **réelles** (`actualStartAt`, `actualEndAt`, `actualBreakMinutes`). +### 7.3 Heures — sans pointeuse, mais trois états +Il n'y a **pas de pointage matériel**. La matrice de conformité (exigences 4 et 5) impose néanmoins de distinguer **trois** grandeurs, pas deux : -- Heures réelles absentes → **les heures prévues font foi**. -- Un manager disposant de `hours.edit_actual` saisit un écart ; `hours.validate` valide la ligne, ce qui écrit auteur, date et écart à l'audit. -- L'écran `/reports/hours` liste par salarié : prévu, réel, écart, statut ; sélection multiple et validation groupée. +| État | Source | Champ | +|---|---|---| +| **Prévu** | Le planning publié | `startAt`, `endAt`, `breakMinutes` | +| **Réalisé** | Ce que le salarié a effectivement fait | `actualStartAt`, `actualEndAt`, `actualBreakMinutes` | +| **Payé** | Ce qui part en paie après application des règles | `PayPeriodSnapshot` | + +Règles normatives : +- Heures réelles absentes → **les heures prévues font foi** comme réalisé. +- **Le paiement n'est jamais conditionné à la validation.** Une ligne non validée par un manager part quand même en paie sur la base du réalisé. Bloquer le paiement d'heures accomplies faute de validation est précisément ce que la matrice interdit. +- Un workflow d'autorisation d'heures supplémentaires **ne supprime jamais** des heures accomplies. Il les qualifie — autorisées ou non — et la qualification est tracée. +- Toute correction conserve **valeur avant, valeur après, motif, auteur et date**. +- **Pas d'arrondi défavorable systématique.** La règle d'arrondi est un paramètre explicite du registre §12.7, pas une constante enfouie. +- L'écran `/reports/heures` liste par salarié : prévu, réalisé, écart, payé, statut ; sélection multiple et validation groupée. ### 7.4 Bandeau de compteurs de la grille Chaque ligne salarié affiche cinq valeurs : **heures contractuelles · planifié · absences · écart · repos compensateur**. @@ -852,7 +886,7 @@ Ordre imposé. Chaque lot est livrable, testé et mergeable seul. ### WP-00 — Socle **Dépend de :** rien -**Livre :** `docker-compose.yml` (app + Postgres 16), projet Next.js 15 TypeScript strict, Prisma, Tailwind + shadcn/ui, Vitest, Playwright, CI GitHub Actions (lint, typecheck, test, build), **Content-Security-Policy restrictive** (§3.7), `.env.example`, `README.md`. +**Livre :** `docker-compose.yml` (app + Postgres 16), projet Next.js 15 TypeScript strict, Prisma, Tailwind + shadcn/ui, Vitest, Playwright, CI GitHub Actions (lint, typecheck, test, build), **Content-Security-Policy restrictive** (§3.7), sauvegardes chiffrées et restauration testée, SBOM, registre des sous-traitants (matrice n° 16 et 17), `.env.example`, `README.md`. **Critères d'acceptation** - `docker compose up` démarre l'application et la base, migrations appliquées. - CI verte sur un dépôt propre. @@ -861,7 +895,7 @@ Ordre imposé. Chaque lot est livrable, testé et mergeable seul. ### WP-01 — Tenancy, identité, autorisation **Dépend de :** WP-00 -**Livre :** modèles §4.1 et §4.2 ; extension Prisma de scoping ; RLS PostgreSQL ; Auth.js (mot de passe + invitation par e-mail) ; `can()` ; catalogue de permissions §5 semé ; rôles semés ; `AuditLog` ; chiffrement de colonnes ; stockage de fichiers à URL signée. +**Livre :** modèles §4.1 et §4.2 ; extension Prisma de scoping ; RLS PostgreSQL ; Auth.js (mot de passe + invitation par e-mail) ; `can()` ; catalogue de permissions §5 semé ; rôles semés ; `AuditLog` ; chiffrement de colonnes ; stockage de fichiers à URL signée ; **MFA administrateurs et RH**, revue d'accès et accès « break glass » tracé (matrice n° 15) ; **table `RetentionPolicy` et jobs de purge** (§12.5) ; dictionnaire donnée → finalité → base → destinataire → durée (n° 14) ; runbook de violation et alerte sur export massif (n° 23). **Critères d'acceptation** - Un membership scopé sur l'établissement A ne peut **lire ni écrire** une donnée de l'établissement B — testé au niveau requête, pas seulement UI. - Une Server Action appelée sans la permission requise échoue **avant** tout effet de bord. @@ -871,7 +905,7 @@ Ordre imposé. Chaque lot est livrable, testé et mergeable seul. ### WP-02 — Organisation et référentiels **Dépend de :** WP-01 -**Livre :** établissements, équipes, jours fériés, emplois, étiquettes, types d'absence, convention collective et écran de paramètres ; réglages compte, préférences, productivité, taux de cotisations. +**Livre :** établissements, équipes, jours fériés, emplois, étiquettes, types d'absence, convention collective et écran de paramètres ; réglages compte, préférences, productivité, taux de cotisations ; **registre de paramétrage juridique** (§12.7) ; **verrou d'activation notice + CSE** (§12.4). **Critères d'acceptation** - Création d'un compte à deux établissements et plusieurs équipes de bout en bout. - Fuseau par établissement effectif sur l'affichage et les calculs. @@ -901,7 +935,7 @@ Ordre imposé. Chaque lot est livrable, testé et mergeable seul. ### WP-05 — Moteur de règles **Dépend de :** WP-04 -**Livre :** moteur §6, les 17 règles, `ComplianceViolation`, revalidation ciblée, panneau d'alertes, confirmation tracée à la publication, écran de paramètres, **jeu IDCC 1517 de §6.3 semé en base** avec l'origine de chaque valeur (OP / CCN / ENT). +**Livre :** moteur §6 **effectif-daté** (§12.2), les 17 règles, `ComplianceViolation`, revalidation ciblée, panneau d'alertes, confirmation tracée à la publication, écran de paramètres, **jeu IDCC 1517 de §6.3 semé en base** avec l'origine de chaque valeur (OP / CCN / ENT) et sa source datée. **Critères d'acceptation** - Chaque règle a un test aux bornes : la valeur limite exacte passe, un cran au-delà déclenche. - Modifier un shift revalide la semaine **et ses voisines**. @@ -914,7 +948,7 @@ Ordre imposé. Chaque lot est livrable, testé et mergeable seul. ### WP-06 — Absences et compteurs **Dépend de :** WP-05 -**Livre :** `TimeOff`, `AbsenceType`, `Counter`, `LedgerOperation`, `RttPolicy` ; demande, file à traiter, décision, calendrier, traitées, expirées ; affichage sur la grille ; soldes et prévision ; ajustement manuel ; trigger d'immutabilité du ledger. +**Livre :** `TimeOff`, `AbsenceType`, `Counter`, `LedgerOperation`, `RttPolicy` ; demande, file à traiter, décision, calendrier, traitées, expirées ; affichage sur la grille ; soldes et prévision ; ajustement manuel ; trigger d'immutabilité du ledger ; **acquisition et report de congés payés** (§12.3) ; **notification d'information au retour d'arrêt**, horodatée avec preuve de remise ; vue manager sans motif médical (n° 9). **Critères d'acceptation** - `endDate` porte le dernier jour d'absence ; un test couvre explicitement la confusion avec la date de reprise. - Un jour férié dans un congé n'est pas décompté, **sans** scission manuelle. @@ -997,22 +1031,124 @@ Ordre imposé. Chaque lot est livrable, testé et mergeable seul. 6. Un manager de l'établissement A tente d'atteindre une ressource de B → refus serveur. 7. Passer d'une vue de planning à l'autre après modification → les cinq vues concordent. +**Jeux de tests imposés par la matrice de conformité** +Repris de sa section « Jeux de tests d'acceptation indispensables ». Ceux hors périmètre PlanFlow (DSN, forfait jours, astreintes) sont écartés tant que §12.6 n'a pas tranché. + +- planning produisant moins de 11 h de repos, plus de 10 h/jour, plus de 48 h/semaine, ou une moyenne supérieure à 44 h sur 12 semaines ; +- pause manquante après 6 h ; +- correction rétroactive d'un pointage **après clôture**, avec piste avant-après ; +- heures supplémentaires à cheval sur deux mois mais dans la même semaine civile ; +- temps partiel et heures complémentaires ; +- congés acquis pendant un arrêt maladie, information au retour, report de 15 mois ; +- départ d'un salarié : RUP, purge progressive, export, conservation des pièces dues ; +- restauration d'une sauvegarde ancienne **suivie de l'application des suppressions échues** ; +- manager tentant d'accéder au motif médical, au salaire, au RIB ou à un autre établissement ; +- **changement de règle à date d'effet** : reproduction exacte d'une paie antérieure, et nouveau calcul après la date. + **Jeu de données de départ** — un compte, **deux établissements**, plusieurs équipes, une trentaine de salariés mêlant CDI, CDD, temps partiels, un apprenti et **un mineur** (règles dédiées), dont au moins un salarié sans compte utilisateur et un rattaché à deux établissements ; quatre semaines publiées, des absences longues chevauchant des semaines, un jour férié en milieu de congé, des écarts d'heures, une semaine incluant un changement d'heure. **Données entièrement fictives.** --- -## 12. Conformité et risques +## 12. Conformité -- **RGPD** — le dossier contient état civil, NIR, coordonnées bancaires, titres de séjour et arrêts de travail. Les arrêts sont des **données de santé, catégorie particulière**. Minimisation, chiffrement au repos, journalisation des accès, rétention, masquage, export et suppression. Traité dès WP-01. -- **Matrice de conformité manquante** — `À VALIDER`, voir §1. C'est le dernier point bloquant du document ; il conditionne WP-03. -- **Paramètres de convention** — le jeu IDCC 1517 de §6.3 est chargé et utilisable, mais issu de sources secondaires. Recoupement Legifrance, accord d'entreprise et confirmation du gestionnaire de paie requis avant d'engager une paie réelle. Le taux dimanche en particulier n'est **pas** conventionnel. +Cette section applique [`matrice-conformite-rh-france-2026.md`](matrice-conformite-rh-france-2026.md) au périmètre PlanFlow. La matrice fait foi ; ce qui suit indique **comment** chaque exigence se traduit en produit, et lesquelles sortent du périmètre. + +> **Portée de la matrice.** Elle couvre l'employeur privé français et les **salariés majeurs**. Les mineurs en sont explicitement exclus. Les règles `MINOR_*` de §6.2 doivent donc être sourcées séparément avant d'être activées — signal d'arrêt. + +### 12.1 Exigences P0 portées par PlanFlow + +| # matrice | Exigence | Traduction produit | Lot | +|---|---|---|---| +| 1 | Règle applicable versionnée et datée | `CollectiveAgreement` effectif-daté, §12.2 | WP-05 | +| 2 | Durée légale et maxima | Règles §6.2 ; dérogation avec motif et habilitation, jamais silencieuse | WP-05 | +| 3 | Repos et pauses | `MIN_DAILY_REST`, `MIN_WEEKLY_REST`, `MIN_BREAK_AFTER_THRESHOLD` ; **l'acquittement n'efface pas l'anomalie**, il la trace | WP-05 | +| 4 | Décompte fiable du temps | Prévu / réalisé / payé (§7.3), corrections avant-après tracées, pas d'arrondi défavorable systématique | WP-07 | +| 5 | Heures supplémentaires et complémentaires | Tranches §6.3 ; **le workflow d'autorisation ne supprime jamais des heures accomplies** | WP-07 | +| 8 | Congés payés | Acquisition, report 15 mois, information au retour d'arrêt (§12.3) | WP-06 | +| 9 | Absences et données de santé | Écran manager « autorisé / indisponible » **sans motif médical** ; coffre séparé pour les justificatifs | WP-06 | +| 13 | Registre unique du personnel | Export par établissement, ordre d'embauche, mentions spécifiques, corrections tracées | WP-03 | +| 14 | Finalités, bases légales, minimisation | Dictionnaire donnée → finalité → base → destinataire → durée, livré comme artefact | WP-01 | +| 15 | Habilitations et confidentialité | RBAC §3.2 + **MFA administrateurs et RH**, revue d'accès périodique, déprovisionnement immédiat, masquage salaires/NIR/RIB/santé, accès support « break glass » tracé | WP-01 | +| 16 | Sécurité de l'auto-hébergement | TLS, sauvegardes chiffrées, gestion des secrets, sauvegardes 3-2-1, restauration testée, SBOM, environnement de test pseudonymisé | WP-00 | +| 17 | Sous-traitants et transferts | Registre fournisseurs, **blocage des télémétries inutiles** (§3.7), réversibilité testée | WP-00 | +| 19 | Information préalable et CSE | **Verrou produit** : toute fonctionnalité de contrôle reste désactivée tant que notice, date de remise et avis CSE ne sont pas renseignés (§12.4) | WP-02 | +| 21 | Politique de conservation | Table §12.5, base active / archive séparées, purges testées | WP-01 | +| 22 | Intégrité, clôture, correction | Clôture de période, écritures correctives non destructives, **rejeu déterministe**, séparation saisie/validation | WP-07 | +| 23 | Violation de données et continuité | Runbook incident, registre de violations, **alerte sur export massif**, notification CNIL sous 72 h, PRA | WP-01 | +| 24 | Portabilité et sortie | Exports PDF/CSV filtrés, paquet de départ salarié, manifeste et empreinte | WP-09 | + +### 12.2 Moteur effectif-daté — exigence n° 1 et n° 22 + +La matrice impose de pouvoir **reproduire à l'identique une paie antérieure** après un changement de règle. C'est plus fort qu'un simple versionnement : + +- `CollectiveAgreement` porte `effectiveFrom` ; les versions coexistent et ne se remplacent pas. +- Tout calcul mémorise la **version de règle appliquée**, jointe au `PayPeriodSnapshot`. +- **Aucune modification rétroactive silencieuse** : changer un paramètre crée une nouvelle version datée, jamais une mise à jour en place. +- Chaque version conserve source (URL ou PDF), date d'effet, auteur, approbateur et diff. + +Test d'acceptation : charger une règle v1, calculer une période, publier la v2 à une date d'effet postérieure, recalculer — la période antérieure doit produire **exactement** le résultat d'origine. + +### 12.3 Congés payés — exigence n° 8 + +Paramètres d'ordre public à charger : + +| Paramètre | Valeur | +|---|---| +| Acquisition | **2,5 jours ouvrables par mois** de travail effectif | +| Acquisition pendant maladie non professionnelle | **2 jours ouvrables par mois**, plafond **24 jours par an** | +| Report après arrêt de travail | **15 mois** lorsque applicable | +| Information au retour d'arrêt | Le salarié doit être informé de ses droits et de la date limite de prise **dans le mois** suivant sa reprise | + +L'information au retour est une **obligation active**, pas un affichage : PlanFlow génère la notification, l'horodate et conserve la preuve de remise. Prévoir aussi le paramétrage ouvrables/ouvrés, le fractionnement et l'ancienneté — ces derniers relèvent de l'accord d'entreprise, donc `À VALIDER`. + +### 12.4 Verrou d'activation — exigence n° 19 + +Aucune donnée ne peut être collectée par un dispositif qui n'a pas été porté à la connaissance du salarié. Traduction produit : un **feature flag de conformité** qui refuse l'activation tant que ne sont pas renseignés la notice d'information, sa date de remise, l'avis ou la consultation du CSE et la date d'activation. Le verrou est vérifié côté serveur, pas seulement à l'écran. + +Ce verrou s'applique à toute fonctionnalité de contrôle ajoutée ultérieurement — pointeuse, géolocalisation, biométrie, planning algorithmique. Il justifie aussi l'exclusion du **planning prédictif** du périmètre v1 : la matrice exige une AIPD préalable pour tout scoring ou optimisation algorithmique. + +### 12.5 Durées de conservation — exigence n° 21 + +La matrice est explicite : les minima légaux ne sont ni universels ni une autorisation de tout garder. **Ne pas appliquer « 5 ans partout ».** Une table `RetentionPolicy` porte, par objet, la durée, son point de départ et sa justification. + +| Objet | Durée | Portée PlanFlow | +|---|---|---| +| Décompte des horaires et astreintes | **1 an minimum** | Oui — `Shift`, heures réelles | +| Jours des forfaits jours | **3 ans** | Conditionnel (§12.6) | +| Contrats, salaires, primes, indemnités | **5 ans** | Oui — `UserContract`, `Amendment` | +| Registre unique du personnel | **5 ans après le départ** | Oui | +| Éléments d'assiette et données DSN | **6 ans** | Oui — les variables exportées vers Silae alimentent l'assiette | +| Bulletins de paie | 5 ans ; disponibilité 50 ans ou jusqu'aux 75 ans du salarié | **Non** — PlanFlow ne détient aucun bulletin | +| Géolocalisation | 2 mois, 1 an ou 5 ans **selon la finalité** | Sans objet — non collectée | + +Base active et archive intermédiaire sont **séparées**. Les purges sont automatiques, testées, et un *legal hold* nominatif peut les suspendre. Les sauvegardes suivent le même calendrier : soit l'expiration s'y propage, soit une restauration est suivie d'une purge. + +> **Arbitrage à rendre — `À VALIDER`.** Le décompte horaire brut a un minimum d'un an, alors que les éléments justifiant la paie se conservent plus longtemps. La matrice demande de trancher explicitement plutôt que d'aligner tout sur la durée la plus longue. Décision attendue avant WP-07. + +### 12.6 Hors périmètre v1, mais couverts par la matrice + +| Sujet | Décision | +|---|---| +| **Bulletins et bulletin électronique** (n° 10, 11) | Hors périmètre — Silae les produit et les conserve. PlanFlow n'hérite d'aucune obligation de disponibilité longue. | +| **DSN, événements, PAS** (n° 12) | Hors périmètre. PlanFlow **alimente** l'assiette : ses variables exportées relèvent donc de la conservation à 6 ans. | +| **Astreintes** (n° 6, P1) | Non modélisées. `À VALIDER` : y a-t-il des astreintes en magasin ? Si oui, entité dédiée, délai de prévenance de 15 jours et requalification des interventions en travail effectif. | +| **Forfait jours** (n° 7, P1) | Non modélisé. `À VALIDER` : les directeurs de magasin sont-ils au forfait jours ? Si oui, plafond 218 jours, convention individuelle écrite, suivi de charge et entretien annuel. | +| **Géolocalisation** (n° 20, P2) | Non collectée. Ne pas l'introduire sans AIPD. | +| **AIPD** (n° 18) | Requise avant biométrie, géolocalisation, scoring ou planning algorithmique. Aucun de ces éléments n'est au périmètre v1. | + +### 12.7 Registre de paramétrage — livrable + +La matrice impose un **paramétrage juridique signé avant migration**, couvrant huit domaines : identité juridique, populations, temps, rémunération, absences, paie/DSN, vie privée, sécurité. Chaque réponse porte **valeur, source, date d'effet, population, approbateur, date de validation et pièce jointe**. + +Ce registre est un **livrable de WP-02**, pas une note : un écran d'administration le tient à jour et il s'exporte. Sans lui, aucune valeur de §6.3 n'est opposable. + +### 12.8 Autres risques + +- **Paramètres de convention** — le jeu IDCC 1517 de §6.3 vient de sources secondaires. Recoupement Legifrance daté, accord d'entreprise et confirmation du gestionnaire Silae avant d'engager une paie. Le taux dimanche n'est **pas** conventionnel. - **Codes de paie Silae** — signal d'arrêt §8.2. -- **DPAE** — générée seulement. La transmission à l'URSSAF exige un raccordement déclaratif, hors périmètre. -- **Signature électronique** — exige un prestataire de confiance qualifié. Hors périmètre ; ne pas implémenter de substitut maison, qui n'aurait aucune valeur probante. -- **Paie et DSN** — hors périmètre. Responsabilité réglementaire majeure et veille législative permanente. -- **Conservation des bulletins** — hors périmètre : PlanFlow ne détient pas de bulletins. -- **Auditabilité** — auteur, horodatage, avant/après et justification sur toutes les opérations sensibles ; agrégats explicables depuis leurs sources. -- **Traceurs tiers** — voir §3.7. Interdits par défaut, CSP restrictive livrée et testée dès WP-00. C'est le point sur lequel PlanFlow diverge le plus délibérément du produit audité. +- **DPAE** — générée seulement ; la transmission URSSAF exige un raccordement déclaratif, hors périmètre. +- **Signature électronique** — exige un prestataire qualifié. Ne pas implémenter de substitut maison, qui n'aurait aucune valeur probante. +- **Traceurs tiers** — §3.7. Interdits par défaut, CSP livrée et testée dès WP-00. C'est la divergence la plus délibérée avec le produit audité, et elle rejoint l'exigence n° 17. --- diff --git a/matrice-conformite-rh-france-2026.md b/matrice-conformite-rh-france-2026.md new file mode 100644 index 0000000..8de0189 --- /dev/null +++ b/matrice-conformite-rh-france-2026.md @@ -0,0 +1,101 @@ +# Matrice de conformité juridique française — application RH / planning / temps / absences / paie auto-hébergée + +**Version de travail : 7 août 2026 — sources consultées le 7 août 2026 (CEST).** +**Périmètre :** employeur privé établi en France, salariés majeurs, application auto-hébergée. Les mineurs, le transport, la santé, les HCR, le BTP, le spectacle, les travailleurs de nuit, les équipes successives, l'Alsace-Moselle et le secteur public exigent des règles supplémentaires. + +> **Avertissement.** Cette matrice est un outil de cadrage produit et de collecte de preuves, pas un avis juridique définitif. Les règles doivent être validées avant mise en production avec la convention collective (IDCC), les accords d'entreprise/établissement, les contrats et usages, l'effectif, les catégories de personnel et les paramètres DSN à jour. Il ne suffit pas de copier la configuration d'un autre logiciel : il faut conserver la justification de chaque paramètre. + +## Légende de priorité + +- **P0 — bloquant :** à traiter avant paie/production. +- **P1 — majeur :** nécessaire à la conformité opérationnelle et à la preuve. +- **P2 — conditionnel :** requis si la fonctionnalité ou la population concernée est activée. + +## Matrice + +| # | Pri. | Exigence / risque | Paramètres et contrôles produit attendus | Conservation / suppression | Preuves et audit à produire | Questions à valider (branche / entreprise) | Sources officielles | +|---|---|---|---|---|---|---|---| +| 1 | P0 | **Identifier la règle applicable.** La loi n'est qu'un socle ; convention et accords peuvent modifier taux, contingents, périodes, délais et majorations. | Fiche de configuration **versionnée et datée** : SIRET/établissement, IDCC, accord(s), catégorie, statut, temps plein/partiel, cycle, fuseau, date d'effet. Moteur de règles « effective-dated » ; aucune modification rétroactive silencieuse. | Conserver chaque version aussi longtemps que les calculs et pièces qu'elle justifie ; archiver avec les paies concernées. | Source PDF/URL, date d'effet, auteur/approbateur, diff, tests de non-régression, paies recalculées. | IDCC exact ? accord d'entreprise/établissement ? usages plus favorables ? catégories distinctes ? | [Code du travail sur Légifrance](https://www.legifrance.gouv.fr/codes/texte_lc/LEGITEXT000006072050/) ; [Trouver sa convention collective — Service-Public](https://www.service-public.fr/particuliers/vosdroits/F2395) | +| 2 | P0 | **Durée légale et maxima.** Socle général : 35 h/semaine, 151,67 h/mois, 1 607 h/an ; en principe 10 h/jour, 48 h sur une semaine et 44 h en moyenne sur 12 semaines. | Alertes **bloquantes ou dérogeables avec motif et habilitation** ; calcul glissant sur 12 semaines ; dérogation datée, documentée et limitée ; gestion séparée des populations exclues/dérogatoires. | Les décomptes d'horaires ont un minimum légal de **1 an** ; ne pas confondre ce minimum avec les besoins probatoires/contentieux et les autres durées (voir ligne 21). | Export horodaté du planning prévu et du réalisé, alertes, dérogation/autorisation, auteur de l'override. | Accord portant 12 h/jour ? moyenne portée à 46 h ? autorisation administrative ? travail de nuit ou mineurs ? équivalences ? | [Durée du travail — Service-Public, vérifié le 25-09-2025](https://www.service-public.fr/particuliers/vosdroits/F1911) ; [Code du travail, art. L3121-18 s. — Légifrance](https://www.legifrance.gouv.fr/search/code?query=L3121-18&tab_selection=code) | +| 3 | P0 | **Repos et pauses.** Au moins 11 h consécutives de repos quotidien ; pause d'au moins 20 minutes après 6 h ; repos hebdomadaire à contrôler (socle généralement 35 h consécutives). | Détection inter-shifts, pause, chevauchement multi-sites, astreinte/intervention ; paramètre de dérogation conventionnelle ; calendrier fériés/local ; empêcher qu'un simple « acquittement » efface l'anomalie. | Associer les preuves aux décomptes de temps : minimum **1 an** pour les horaires/astreintes ; durée supérieure seulement si justifiée et documentée. | Rapport périodique d'exceptions, justification, repos compensateur, approbation, preuve de notification. | Dérogations de branche au repos ? travail continu, saisonnier, nuit, dimanche ? pause rémunérée/assimilée à du travail ? | [Repos quotidien — Service-Public](https://www.service-public.fr/particuliers/vosdroits/F990) ; [Durée du travail — Service-Public](https://www.service-public.fr/particuliers/vosdroits/F1911) | +| 4 | P0 | **Décompte fiable du temps.** En horaires non collectifs, l'employeur doit établir les documents nécessaires au décompte ; en litige, il fournit les éléments justifiant les horaires réellement réalisés. | Pointage horodaté, corrections avec **valeur avant/après, motif, auteur et date**, validation salarié/manager sans rendre le paiement conditionnel à la validation ; import/export complet ; pas d'arrondi défavorable systématique ; distinguer prévu/réalisé/payé. | **1 an minimum** pour comptabilisation des horaires et astreintes ; **3 ans** pour jours des forfaits. Une conservation plus longue doit avoir une finalité précise et être inscrite au registre RGPD. | Journal append-only, empreinte des exports, feuilles individuelles, historique des corrections, accusé salarié, rapprochement planning–badge–paie. | Horaire collectif ou individualisé ? cycle/modulation ? mode de preuve admis par accord ? temps d'habillage, trajet, coupure, déplacement ? | [Délais de conservation — Service-Public Entreprendre, vérifié le 01-07-2024](https://entreprendre.service-public.fr/vosdroits/F10029) ; [Code du travail, art. L3171-2 à L3171-4 et D3171-8 à D3171-16 — Légifrance](https://www.legifrance.gouv.fr/search/code?query=D3171-16&tab_selection=code) | +| 5 | P0 | **Heures supplémentaires et complémentaires.** Déclenchement, taux, contingent et repos peuvent dépendre des accords. À défaut d'accord, contingent indicatif légal de 220 h/an ; les HS sont comptées par semaine civile. | Moteur séparant HS, heures complémentaires, nuit/dimanche/férié, repos compensateur, cumul/non-cumul ; seuils hebdomadaires/cycle ; workflow d'autorisation qui ne supprime jamais les heures effectivement accomplies. | Pièces de salaire/contrat/primes : **5 ans** selon la fiche Service-Public ; décompte brut du temps : minimum **1 an**. | Détail de calcul lisible par semaine, taux source/version, autorisation, compteur de contingent, impact bulletin. | Taux conventionnels ? contingent ? remplacement par repos ? annualisation ? temps partiel et avenants de complément d'heures ? | [Heures supplémentaires — Service-Public](https://www.service-public.fr/particuliers/vosdroits/F2391) | +| 6 | P1 | **Astreintes.** Programme communiqué dans un délai raisonnable ; à défaut de règle conventionnelle, 15 jours, ou au moins 1 jour franc en circonstances exceptionnelles ; compensation financière ou repos. | Planning d'astreinte distinct du travail effectif ; appel/intervention requalifié en travail ; délai de prévenance paramétrable ; calcul compensation ; vérification des repos après intervention. | Décompte astreintes et compensation : **1 an minimum**. | Notification/accusé, programme, interventions, compensation, dérogation d'urgence. | Modalités de mise en place ? délai ? barème ? temps de trajet d'intervention ? | [Astreinte — Service-Public](https://www.service-public.fr/particuliers/vosdroits/F20873) | +| 7 | P1 | **Forfait jours.** Accord collectif habilitant + convention individuelle écrite et accord du salarié ; plafond usuel 218 jours ; suivi de la charge et respect des repos. | Activation seulement si accord et convention joints ; compteur jours/demi-journées, repos, renonciation encadrée ; alertes amplitude/repos ; entretien et suivi charge/déconnexion. | Comptabilisation des jours : **3 ans minimum**. Documents contractuels et de rémunération : **5 ans** selon Service-Public. | Accord, convention signée, états mensuels, alertes charge, entretien annuel, actions correctives. | Catégories éligibles ? nombre de jours ? journée/demi-journée ? renonciation et majoration ? droit à la déconnexion ? | [Forfait en jours — Service-Public](https://www.service-public.fr/particuliers/vosdroits/F19261) | +| 8 | P0 | **Congés payés.** Acquisition générale 2,5 jours ouvrables/mois ; maladie non professionnelle : 2 jours ouvrables/mois dans la limite de 24/an ; règles de report, information et ordre des départs. | Paramétrer ouvrables/ouvrés, période d'acquisition/prise, ancienneté, fractionnement, maladie/AT-MP, report de **15 mois** lorsqu'applicable ; afficher origine, acquisition, consommation, expiration ; au retour d'un arrêt, permettre l'information du salarié sur ses droits et la date limite de prise **dans le mois** ; alerte avant perte. | Soldes/événements liés à la paie et au contrat : stratégie généralement alignée sur les pièces concernées (**5 ans**) ; les justificatifs de santé doivent être minimisés et cloisonnés. | Ledger immuable des droits, règle/version, notifications d'ouverture et d'expiration, décision d'ordre des départs, historique approbation/refus motivé. | Accord fixe-t-il période, jours supplémentaires, fractionnement, fermeture, ancienneté ? règles maladie plus favorables ? caisse de congés ? | [Congés payés — Service-Public, vérifié le 30-04-2026](https://www.service-public.fr/particuliers/vosdroits/F2258) | +| 9 | P1 | **Demandes d'absence et données de santé.** Le motif peut révéler des données sensibles ; managers ne doivent voir que le strict nécessaire. | Catalogue d'absences par IDCC ; ne pas demander de diagnostic ; coffre séparé pour justificatifs ; RBAC RH/paie/manager ; écran manager « indisponible/autorisé » plutôt que motif médical ; purge du fichier source après traitement si non requis. | Durée **par catégorie et finalité**, pas une durée unique. Temps de présence : base active ; justificatifs/archives selon obligation ou prescription documentée. Purge automatique et legal hold exceptionnel. | Matrice d'habilitation, tests d'accès, traces de consultation, politique de purge, registre RGPD. | Maintien de salaire/subrogation ? carence ? congés familiaux conventionnels ? justificatifs requis et destinataires ? | [Règles CNIL pour la gestion du personnel](https://www.cnil.fr/fr/les-regles-pour-la-gestion-du-personnel) ; [Référentiel CNIL gestion RH (PDF)](https://www.cnil.fr/sites/cnil/files/atoms/files/referentiel_grh_novembre_2019_0.pdf) | +| 10 | P0 | **Bulletin de paie conforme.** Mentions obligatoires, mentions interdites, convention collective/référence au code, net social/net à payer, PAS et cotisations à jour. | Gabarit légal versionné ; rubriques et taux effectifs-datés ; contrôles assiette/plafonds/cumul ; interdiction de champs relatifs au droit de grève et aux fonctions représentatives ; régularisations traçables. | Double employeur **5 ans**. Le bulletin électronique doit rester disponible **50 ans ou jusqu'aux 75 ans du salarié** selon le régime applicable ; le bulletin invite le salarié à le conserver sans limitation. | PDF final non réinscriptible, hash, date de remise, détail du calcul, version table de taux, rapprochement écritures/DSN/virement. | IDCC et classifications ? primes, avantages, minima, mutuelle/prévoyance, titres-restaurant, transport, saisies ? | [Fiche de paie — Service-Public, vérifié le 01-06-2026](https://www.service-public.fr/particuliers/vosdroits/F559) ; [Code du travail, art. L3243-2 et L3243-4 — Légifrance](https://www.legifrance.gouv.fr/search/code?query=L3243-4&tab_selection=code) | +| 11 | P0 | **Bulletin électronique.** Le salarié doit pouvoir s'y opposer ; disponibilité, intégrité, confidentialité et récupération doivent être assurées. L'auto-hébergement ne doit pas créer une dépendance au compte actif du salarié. | Préférence papier/électronique et preuve d'information ; coffre/portabilité ; téléchargement groupé ; accès post-départ indépendant du SSO professionnel ; plan de réversibilité/migration sur toute la durée légale. | Disponibilité **50 ans ou jusqu'aux 75 ans** dans les conditions réglementaires ; double employeur 5 ans. | Consentement non requis comme base générale, mais preuve d'information et d'absence d'opposition ; logs de dépôt/accès, tests de restauration et réversibilité. | Solution interne peut-elle réellement garantir la disponibilité longue après fermeture de la société ou changement de SI ? opérateur de coffre nécessaire ? | [Fiche de paie — Service-Public](https://www.service-public.fr/particuliers/vosdroits/F559) ; [Code du travail, art. D3243-7 à D3243-9 — Légifrance](https://www.legifrance.gouv.fr/search/code?query=D3243-8&tab_selection=code) | +| 12 | P0 | **DSN, événements et PAS.** Toute entreprise employant des salariés doit produire la DSN mensuelle depuis le logiciel de paie ; signalements maladie/AT/fin de contrat dans les délais applicables (la fiche Service-Public indique 5 jours pour les signalements d'événement). | Générateur **compatible DSN**, norme/cahier technique versionné, contrôles bloquants, retours CRM et anomalies, annule/remplace, signalements, PAS ; calendrier : échéance selon effectif (5 ou 15 du mois selon cas). | Le référentiel CNIL RH indique notamment **6 ans** pour éléments nécessaires à l'assiette et données DSN en archivage intermédiaire (art. L243-16 CSS) ; vérifier le point de départ et la version du texte. | Fichier envoyé, hash, certificat/compte émetteur, accusé, CRM, corrections, rapprochement bulletin–DSN–paiement. | Effectif/échéance ? caisses et organismes complémentaires ? populations particulières ? délégataire déclaratif ? | [DSN — Service-Public Entreprendre](https://entreprendre.service-public.fr/vosdroits/F34059) ; [Référentiel CNIL RH (tableau des durées)](https://www.cnil.fr/sites/cnil/files/atoms/files/referentiel_grh_novembre_2019_0.pdf) | +| 13 | P0 | **Registre unique du personnel (RUP).** Ouvert dès la première embauche, par établissement, avec mentions obligatoires ; support numérique possible après consultation du CSE. | Vue/export RUP par établissement, ordre d'embauche, mentions et statuts spécifiques (étrangers, stagiaires, volontaires, mise à disposition), corrections tracées ; accès inspection/CSE. | **5 ans à partir du départ** du salarié selon Service-Public ; vérifier les règles propres aux stagiaires/mentions. | Export daté, historique, preuve de consultation CSE pour support numérique, contrôles de complétude. | Multi-établissements ? travailleurs étrangers et titres ? stagiaires ? intérim/mise à disposition ? | [Registre unique du personnel — Service-Public Entreprendre](https://entreprendre.service-public.fr/vosdroits/F1784) ; [Délais de conservation — Service-Public Entreprendre](https://entreprendre.service-public.fr/vosdroits/F10029) | +| 14 | P0 | **Finalités, minimisation, bases légales et transparence RGPD.** Les fichiers RH/paie ne sont pas fondés globalement sur le consentement du salarié ; documenter obligation légale, contrat ou intérêt légitime selon la finalité. | Dictionnaire données→finalité→base→destinataire→durée ; champs facultatifs identifiés ; notices au salarié dans l'app ; mécanisme accès/rectification/limitation ; aucune collecte cachée. | Durée définie **par finalité**, base active puis archive intermédiaire isolée ; suppression/anonymisation à échéance. Les données RH sont en principe actives pendant la présence, puis triées selon obligations. | Notice versionnée et remise, demandes de droits et réponse, tests de purge, registre des traitements. | Quelles fonctions sont réellement nécessaires ? décision automatisée/profilage ? destinataires externes ? | [Règles CNIL pour la gestion du personnel](https://www.cnil.fr/fr/les-regles-pour-la-gestion-du-personnel) ; [Durées de conservation — CNIL](https://www.cnil.fr/fr/passer-laction/les-durees-de-conservation-des-donnees) | +| 15 | P0 | **Habilitations et confidentialité.** Seules les personnes chargées de la gestion peuvent accéder aux données nécessaires ; le supérieur n'accède qu'au nécessaire à ses fonctions. Les actions doivent être enregistrées. | RBAC/ABAC par établissement et rôle ; moindre privilège ; MFA administrateurs/RH ; revue périodique ; déprovisionnement immédiat ; séparation admin système / RH ; masquage salaires, NIR, banque, santé ; accès support « break glass ». | Logs de sécurité selon durée justifiée par l'analyse de risques ; ne pas les réutiliser pour surveiller individuellement les salariés sans finalité/information propres. | Revue trimestrielle des accès, journal des exports/lectures sensibles/modifications, alertes, tests d'intrusion, preuve de révocation. | Qui voit salaires, motifs d'absence et RIB ? délégation managers ? prestataire d'infogérance ? | [Règles CNIL pour la gestion du personnel](https://www.cnil.fr/fr/les-regles-pour-la-gestion-du-personnel) ; [Guide de sécurité CNIL](https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles) | +| 16 | P0 | **Sécurité de l'auto-hébergement.** L'employeur reste responsable du traitement ; héberger soi-même ne réduit pas les obligations. | Chiffrement TLS et sauvegardes chiffrées, gestion des secrets/HSM si pertinent, patching, segmentation, MFA, EDR, sauvegardes 3-2-1, restauration testée, haute disponibilité pour paie/pointage, inventaire composants/SBOM, environnement de test pseudonymisé. | Sauvegardes soumises aux mêmes échéances : expiration propagée ou restauration suivie d'une purge ; calendrier documenté. | PRA/PCA, tests de restauration, scans, correctifs, inventaire, incidents, rotations de clés, RPO/RTO vérifiés. | Localisation des sauvegardes et admins ? accès distant ? cloud secondaire hors UE ? capacité de disponibilité à 50 ans ? | [Guide de sécurité des données personnelles — CNIL](https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles) | +| 17 | P0 | **Sous-traitants, maintenance et transferts.** Un éditeur, infogérant, sauvegardeur ou support qui accède aux données est potentiellement sous-traitant ; encadrement RGPD art. 28 et chaîne de sous-traitance. | Registre fournisseurs, contrat/instructions, localisation, sous-traitants ultérieurs, contrôle des accès support, export/réversibilité, suppression en fin de contrat ; blocage des télémétries inutiles ; évaluation des transferts hors EEE. | Retour/suppression en fin de prestation, sauf obligation documentée ; certificat de destruction et purge des sauvegardes selon calendrier. | DPA, audit fournisseur, liste sous-traitants, preuves localisation, accès support, réversibilité testée. | Tous les composants (mail, SMS, SSO, sauvegarde, supervision) ? transferts ou support hors EEE ? | [Sous-traitant — CNIL](https://www.cnil.fr/fr/sous-traitant) ; [Guide de sécurité CNIL](https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles) | +| 18 | P1 | **Registre RGPD et AIPD.** Les traitements RH routiniers doivent être documentés ; une AIPD est obligatoire si risque élevé. La CNIL indique qu'au moins deux critères (surveillance systématique, données sensibles, grande échelle, personnes vulnérables, etc.) doivent conduire à l'examen. | Modèles de fiches : personnel, temps, absences, paie/DSN, contrôle d'accès, géolocalisation ; questionnaire AIPD avant activation biométrie, géolocalisation, scoring ou surveillance ; gate de mise en prod. | Mettre à jour à chaque changement substantiel ; conserver versions et décisions de risque comme documentation de conformité. | Registre art. 30, AIPD, validation DPO, plan de réduction des risques, revue périodique. | Géolocalisation, biométrie, algorithme de planning/scoring, grande échelle, interconnexion ? DPO à associer ? | [Registre des traitements — CNIL](https://www.cnil.fr/fr/RGPD-le-registre-des-activites-de-traitement) ; [AIPD — CNIL](https://www.cnil.fr/fr/ce-quil-faut-savoir-sur-lanalyse-dimpact-relative-la-protection-des-donnees-aipd) | +| 19 | P0 | **Information préalable et CSE pour contrôle/technologie.** Aucune donnée sur un salarié ne peut être collectée par un dispositif non porté préalablement à sa connaissance. Le CSE doit être informé/consulté avant certaines nouvelles technologies ou moyens de contrôle. | Feature flag bloqué tant que notice, date de remise, avis/consultation CSE et date d'activation ne sont pas renseignés ; politique pointage/monitoring ; pas de surveillance secrète. | Conserver la version de la notice et preuve de remise aussi longtemps que le dispositif et les contestations justifient ; durée formalisée au registre. | Notice individuelle, PV/avis CSE, analyse proportionnalité, liste finalités, configuration effective. | Seuil/présence du CSE ? badge, capture GPS, photo, biométrie, activité écran, planning algorithmique ? | [Code du travail, art. L1222-4 — Légifrance](https://www.legifrance.gouv.fr/search/code?query=L1222-4&tab_selection=code) ; [art. L2312-38 — Légifrance](https://www.legifrance.gouv.fr/search/code?query=L2312-38&tab_selection=code) ; [Règles CNIL personnel](https://www.cnil.fr/fr/les-regles-pour-la-gestion-du-personnel) | +| 20 | P2 | **Géolocalisation.** Pour le temps de travail, seulement à titre accessoire lorsqu'aucun autre moyen n'existe ; pas hors temps de travail, pas si un autre dispositif existe ; désactivation hors travail. | Désactivée par défaut ; justification de nécessité ; plages de collecte ; bouton vie privée ; pas de trace pendant pauses/domicile-travail ; accès restreint ; granularité minimale ; AIPD si critères. | La fiche CNIL indique : **2 mois en principe** ; **1 an** pour optimiser les tournées ou prouver les interventions si aucune autre preuve n'est possible ; **5 ans** pour le suivi du temps de travail. Paramétrer par finalité, sans appliquer automatiquement la durée la plus longue. | Test de coupure hors travail, notice, consultation CSE, analyse alternatives, logs d'accès, purge. | Pourquoi badge/app moins intrusive insuffisante ? véhicules personnels ? optimisation tournée ou temps ? | [Géolocalisation des véhicules des salariés — CNIL](https://www.cnil.fr/fr/la-geolocalisation-des-vehicules-des-salaries) | +| 21 | P0 | **Politique de conservation cohérente.** Les minima légaux ne sont ni des durées universelles ni une autorisation de tout conserver. | Table par objet : bulletin 5 ans ; disponibilité e-bulletin 50 ans/75 ans ; RUP 5 ans après départ ; contrats/salaires/primes/indemnités 5 ans ; charges sociales 3 ans (à rapprocher des pièces d'assiette à 6 ans) ; forfait jours 3 ans ; horaires/astreintes 1 an ; assiette/DSN 6 ans. Base active/archive séparées, legal hold nominatif et purges testées. | Voir colonne précédente ; **faire arbitrer les divergences apparentes** entre catégories (ex. données brutes horaires 1 an, éléments justifiant la paie/assiette plus longtemps) plutôt que tout conserver par défaut. | Registre des durées, jobs de purge, rapport d'effacement, tests restauration/purge, décision legal hold. | Point de départ de chaque délai ? contentieux en cours ? obligations plus longues de branche ? archivage probatoire séparé ? | [Délais de conservation — Service-Public Entreprendre](https://entreprendre.service-public.fr/vosdroits/F10029) ; [Durées de conservation — CNIL](https://www.cnil.fr/fr/passer-laction/les-durees-de-conservation-des-donnees) ; [Référentiel CNIL RH](https://www.cnil.fr/sites/cnil/files/atoms/files/referentiel_grh_novembre_2019_0.pdf) | +| 22 | P0 | **Intégrité, clôture et correction.** La preuve exige de reconstruire le calcul au moment où il a été fait ; une suppression/modification directe ruine cette capacité. | Clôture de période, écritures correctives non destructives, version de règle/donnée/source, idempotence, séparation saisie/validation/paiement, quatre-yeux pour RIB et paie, horodatage UTC + fuseau local. | Les journaux contenant des données personnelles ont leur propre durée justifiée ; les pièces finales suivent leur durée légale. | Rejeu déterministe d'un bulletin, hash exports, journal inviolable, rapprochements, approbations. | Qui peut rouvrir une paie ? seuils de double validation ? politique d'arrondi ? | [Guide de sécurité CNIL](https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles) ; [Règles CNIL personnel](https://www.cnil.fr/fr/les-regles-pour-la-gestion-du-personnel) | +| 23 | P0 | **Violation de données et continuité.** Prévoir qualification, confinement, documentation et notifications RGPD ; indisponibilité au moment de la paie/DSN est aussi un risque métier. | Runbook incident, registre de violations, alertes export massif, révocation sessions, contacts DPO/CNIL, notification guidée, PRA et mode dégradé de pointage/paie. | Registre incident conservé selon politique de conformité justifiée ; preuves techniques protégées et accès restreint. | Chronologie, décision de notification, notification CNIL dans les **72 h lorsque requise**, communication aux personnes si risque élevé, post-mortem, test PRA. | Qui décide ? astreinte sécurité ? assurance ? canal salarié hors SI compromis ? | [Violations de données — CNIL](https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre) ; [Guide de sécurité CNIL](https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles) | +| 24 | P1 | **Portabilité opérationnelle, contrôle et sortie.** Inspection du travail, CSE, salarié et organismes doivent pouvoir obtenir les pièces relevant de leurs droits sans accès excessif au SI. | Exports standard PDF/CSV/DSN, filtres par établissement/période/personne, paquet de départ salarié, accès post-départ aux bulletins, manifeste et hash ; procédure de réponse aux droits RGPD. | Export ponctuel supprimé après transmission/expiration ; pièces sources selon leur calendrier. | Registre des demandes/transmissions, destinataire, base, périmètre, date, hash, preuve remise. | Destinataires habilités ? format demandé ? secret des autres salariés ? | [RUP — Service-Public Entreprendre](https://entreprendre.service-public.fr/vosdroits/F1784) ; [Règles CNIL personnel](https://www.cnil.fr/fr/les-regles-pour-la-gestion-du-personnel) | + +## Paramétrage juridique minimal à faire signer avant migration + +1. **Identité juridique :** SIREN/SIRET, établissements, effectifs, seuils, IDCC et libellé exact, accords applicables et dates d'effet. +2. **Populations :** cadres/non-cadres, dirigeants, temps plein/partiel, forfait heures/jours, apprentis/mineurs, nuit, dimanche, saisonniers, multi-employeurs. +3. **Temps :** semaine de calcul, cycles, annualisation, pauses, habillage, coupures, déplacements, arrondis, repos et dérogations autorisées. +4. **Rémunération :** classification/coefficient/minima, primes, majorations et règles de cumul, contingent, repos compensateur, avantages, retenues. +5. **Absences :** ouvrés/ouvrables, périodes, fractionnement, maladie/AT-MP, maintien/subrogation/carence, congés conventionnels, justificatifs. +6. **Paie/DSN :** organismes, taux, caisses, mutuelle/prévoyance, PAS, échéance DSN, événements, délégataire et procédure de correction. +7. **Vie privée :** finalités, bases, destinataires, durées, notices, CSE, DPO, AIPD, géolocalisation/biométrie/monitoring. +8. **Sécurité :** rôles, MFA, sauvegardes, RPO/RTO, localisation, sous-traitants, incidents, réversibilité et accès après départ. + +Chaque réponse doit comporter : **valeur**, **source**, **date d'effet**, **population**, **approbateur**, **date de validation** et **pièce jointe**. + +## Jeux de tests d'acceptation indispensables + +- planning créant moins de 11 h de repos, plus de 10 h/jour, plus de 48 h/semaine ou moyenne >44 h/12 semaines ; +- pause manquante après 6 h et intervention d'astreinte interrompant le repos ; +- correction rétroactive d'un pointage après clôture, avec piste avant/après ; +- heures supplémentaires à cheval sur mois mais dans la même semaine ; cycle/annualisation ; temps partiel ; +- congés acquis pendant maladie, information au retour et report de 15 mois ; +- forfait jours > plafond, repos insuffisant et entretien manquant ; +- départ salarié : RUP, purge progressive, export, maintien d'accès aux bulletins ; +- DSN rejetée puis corrigée, annule/remplace, événement dans le délai ; +- restauration d'une sauvegarde ancienne suivie de l'application des suppressions échues ; +- manager tentant d'accéder au diagnostic, au salaire, au RIB ou à un autre établissement ; +- changement de règle à date d'effet : reproduction exacte d'une paie antérieure et nouveau calcul après date. + +## Registre des principales sources officielles consultées + +Toutes les URL ci-dessous ont été consultées le **7 août 2026** ; aucune source privée ou commerciale n'a été utilisée comme fondement. + +- **Service-Public / DILA** — [Durée du travail](https://www.service-public.fr/particuliers/vosdroits/F1911), page indiquée « vérifiée le 25 septembre 2025 ». +- **Service-Public / DILA** — [Repos quotidien](https://www.service-public.fr/particuliers/vosdroits/F990). +- **Service-Public / DILA** — [Heures supplémentaires](https://www.service-public.fr/particuliers/vosdroits/F2391). +- **Service-Public / DILA** — [Astreinte](https://www.service-public.fr/particuliers/vosdroits/F20873). +- **Service-Public / DILA** — [Forfait en jours](https://www.service-public.fr/particuliers/vosdroits/F19261). +- **Service-Public / DILA** — [Congés payés](https://www.service-public.fr/particuliers/vosdroits/F2258), page indiquée « vérifiée le 30 avril 2026 ». +- **Service-Public / DILA** — [Fiche de paie](https://www.service-public.fr/particuliers/vosdroits/F559), page indiquée « vérifiée le 1er juin 2026 ». +- **Service-Public Entreprendre / DILA** — [DSN](https://entreprendre.service-public.fr/vosdroits/F34059). +- **Service-Public Entreprendre / DILA** — [Registre unique du personnel](https://entreprendre.service-public.fr/vosdroits/F1784). +- **Service-Public Entreprendre / DILA** — [Délais de conservation des documents](https://entreprendre.service-public.fr/vosdroits/F10029), page indiquée « vérifiée le 1er juillet 2024 ». +- **CNIL** — [Les règles pour la gestion du personnel](https://www.cnil.fr/fr/les-regles-pour-la-gestion-du-personnel). +- **CNIL** — [Sous-traitant](https://www.cnil.fr/fr/sous-traitant). +- **CNIL** — [Référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel (PDF)](https://www.cnil.fr/sites/cnil/files/atoms/files/referentiel_grh_novembre_2019_0.pdf). Le référentiel est antérieur à 2026 : l'utiliser comme cadre CNIL et vérifier les textes cités à la date de mise en œuvre. +- **CNIL** — [Les durées de conservation des données](https://www.cnil.fr/fr/passer-laction/les-durees-de-conservation-des-donnees). +- **CNIL** — [Registre des activités de traitement](https://www.cnil.fr/fr/RGPD-le-registre-des-activites-de-traitement). +- **CNIL** — [AIPD](https://www.cnil.fr/fr/ce-quil-faut-savoir-sur-lanalyse-dimpact-relative-la-protection-des-donnees-aipd). +- **CNIL** — [Géolocalisation des véhicules des salariés](https://www.cnil.fr/fr/la-geolocalisation-des-vehicules-des-salaries). +- **CNIL** — [Guide de la sécurité des données personnelles](https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles). +- **CNIL** — [Violations de données personnelles](https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre). +- **Légifrance** — [Code du travail, version en vigueur](https://www.legifrance.gouv.fr/codes/texte_lc/LEGITEXT000006072050/) : notamment L1222-4, L2312-38, L3121-18 et suivants, L3171-2 à L3171-4, D3171-8 à D3171-16, L3243-2, L3243-4 et D3243-7 à D3243-9. + +## Points qui exigent une validation juridique/paie explicite + +- La hiérarchie exacte **loi / convention de branche / accord d'entreprise / contrat / usage** pour chaque règle et population. +- La durée probatoire choisie lorsque le minimum de conservation du décompte horaire (1 an) est plus court que les durées des éléments de paie/assiette ou qu'un risque contentieux identifié : la solution doit séparer les catégories et justifier chaque durée, pas appliquer « 5 ans partout ». +- La capacité juridique et technique d'un coffre interne à garantir les bulletins électroniques pendant 50 ans ou jusqu'aux 75 ans du salarié. +- Les formalités CSE et l'AIPD avant tout badgeage intrusif, géolocalisation, biométrie, scoring ou optimisation algorithmique des plannings. +- La certification/version réellement **compatible avec la norme DSN en vigueur**, qui doit être confirmée par tests de conformité et retours des organismes, et non par une simple mention marketing.