Cartographie des traitements (extraits) · Dossier 2003-00002
CABINET VERNIER & ASSOCIÉS
Département Protection des données personnelles
DOSSIER N° 2003-00002 · Conformité RGPD · Contrôle CNIL
Client : Nexalis Technologies SAS, éditeur de logiciels RH
Associé responsable : Julien Roche · Collaborateur : Camille Aubry
Classement : Audit · Date d'ouverture du dossier : 10 août 2025
CARTOGRAPHIE DES TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL (EXTRAITS)
Document établi dans le cadre de la préparation du contrôle diligenté par la CNIL, en application des articles 30 du Règlement (UE) 2016/679 (RGPD) et 8 et 19 de la loi n° 78-17 du 6 janvier 1978 modifiée. Interlocutrice désignée pour le compte de la Commission : Mme Laure Fontanel. Enjeu financier identifié à ce stade : 24 000 EUR.
1. Méthodologie
La présente cartographie constitue un extrait du registre des activités de traitement tenu par Nexalis Technologies SAS, agissant tantôt en qualité de responsable de traitement (traitements internes), tantôt en qualité de sous-traitant au sens de l'article 28 du RGPD (traitements opérés pour le compte de ses clients utilisateurs de ses solutions RH). Les fiches ont été vérifiées par le cabinet avec le concours du DPO du client lors des entretiens des 12 et 18 août 2025.
2. Traitements en qualité de responsable de traitement
Fiche RT-01 : Gestion du personnel de Nexalis Technologies SAS
Finalités : administration du personnel, paie, gestion des carrières. Base légale : exécution du contrat de travail (art. 6.1.b RGPD) et obligations légales (art. 6.1.c). Catégories de données : identité, données bancaires, données de paie, NIR limité aux déclarations sociales conformément à l'article R. 242-13 du code de la sécurité sociale. Durées de conservation : cinq ans après le départ du salarié pour les bulletins de paie côté employeur. Destinataires : service RH, expert-comptable, organismes sociaux.
Fiche RT-02 : Prospection commerciale B2B
Finalités : démarchage de clients professionnels. Base légale : intérêt légitime (art. 6.1.f). Durée : trois ans à compter du dernier contact. Point de vigilance relevé : absence de mécanisme d'opposition simple dans certains courriels, à corriger avant le contrôle.
Fiche RT-03 : Recrutement
Base légale : mesures précontractuelles (art. 6.1.b). Durée : deux ans après le dernier contact avec le candidat, conformément à la doctrine CNIL.
3. Traitements en qualité de sous-traitant
Fiche ST-01 : Solution SIRH « cœur » hébergée pour le compte des clients
Nexalis traite les données des salariés de ses clients selon leurs instructions documentées. Contrats de sous-traitance conformes à l'article 28.3 RGPD en cours de révision pour douze clients (clauses antérieures à 2021). Hébergement : centre de données situé en Union européenne. Sous-traitants ultérieurs : un prestataire d'infogérance, autorisation générale prévue contractuellement.
Fiche ST-02 : Module d'évaluation des collaborateurs
Point de vigilance : fonctionnalité de scoring des performances susceptible de relever de l'article 22 RGPD si utilisée sans intervention humaine. Une analyse d'impact (AIPD) au titre de l'article 35 RGPD est en cours de finalisation.
4. Transferts hors Union européenne
Aucun transfert structurel identifié. Un outil de support technique implique un accès ponctuel depuis un pays tiers : clauses contractuelles types (décision d'exécution (UE) 2021/914) signées,