Politique de confidentialité

Dernière mise à jour : 17/10/2026

1. Introduction

DUERP Express (« DUERP Express », « nous ») s'engage à protéger votre vie privée. Cette politique explique comment nous collectons, utilisons et protégeons vos données personnelles, conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi n°78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).

2. Responsable du traitement

Responsable du traitement : DUERP Express Adresse : 231 rue Saint-Honoré, 75001 Paris Email : contact@duerp-express.fr Délégué à la Protection des Données (DPO) : dpo@duerp-express.fr

3. Données collectées

3.1 Données d'identification (compte)

• Nom et prénom
• Email du compte (utilisé pour le login, les communications transactionnelles, les factures, les rappels de mise à jour)
• Authentification : Google OAuth (token Google) ou lien magique (token à usage unique envoyé par email — pas de mot de passe stocké)
• Avatar (si Google OAuth)

3.2 Données d'entreprise et d'établissement(s)

• Raison sociale
• Établissements (nom, adresse, profession/secteur d'activité)
• Effectif déclaré
• Code APE, métier sélectionné
• Email du contact qualité/sécurité (saisi dans le formulaire DUERP — figure sur le document généré, distinct de l'email du compte)

Distinction email de compte / email de contact : l'email saisi lors de la création du compte (Magic Link ou Google) sert pour l'authentification et toutes les communications de la plateforme (factures, accès, rappels). L'email saisi dans le formulaire DUERP au champ « Contact qualité/sécurité » est un champ informatif qui apparaît sur le document généré ; aucun email transactionnel n'y est envoyé. Vous pouvez modifier ces deux emails séparément depuis votre espace client.

3.3 Données de facturation B2B

Pour les Clients réglant l'offre DUERP Express (ou une mise à jour) :

• Coordonnées légales par établissement (raison sociale, SIRET, TVA intracommunautaire, RCS)
• Adresse de facturation
• Contact comptabilité (email + téléphone, optionnel)
• Identifiant Stripe Customer (jamais de donnée bancaire)

Ces informations alimentent les factures émises par Stripe Invoicing.

3.4 Données de commande et paiement

• Historique des commandes (achat initial et mises à jour)
• Identifiants Stripe (customer, invoice, charge) — pas de donnée bancaire
• Factures et avoirs (PDFs émis par Stripe)

Pour les abonnements souscrits avant le 28/06/2026 et encore en cours (cf. CGV Article 8.1), nous conservons en outre les données nécessaires à l'exécution de l'abonnement jusqu'à son échéance (identifiant d'abonnement Stripe, solde de crédits associé).

3.5 Données de navigation

• Adresse IP (hashée pour les analytics, brute pour 30 jours max en logs sécurité)
• Pages visitées, parcours, durée
• Appareil et navigateur (user-agent)
• Cookies (cf. § 9)

3.6 Documents générés

• DUERP générés (conservés tant que votre compte est actif)
• Plans d'actions associés
• Mises à jour annuelles
• Form data ayant servi à la génération (effectifs, risques sélectionnés, cotations)
• Validation du document par l'employeur depuis votre espace client, quand elle est proposée : nom et fonction de la personne qui valide, email du compte, consultation déclarée (CSE ou personnel, date, avis), date et heure, adresse IP et navigateur, empreintes du document. Ces éléments constituent la preuve de la validation et sont conservés avec le document (base légale : exécution du contrat, art. 6.1.b). La validation faite par le client d'un cabinet d'expertise comptable, depuis son lien de suivi, est traitée pour le compte du cabinet (§ 3.8).

3.7 Demande d'essai de la plateforme cabinet

• Email professionnel, nom du cabinet, téléphone et nombre approximatif de dossiers clients (ces trois derniers facultatifs)
• Adresse IP et navigateur de la demande (sécurité du formulaire)

Ces informations servent à envoyer le lien d'activation de l'essai et, si vous avez laissé un téléphone, à vous rappeler au sujet de l'essai. Elles ne sont jamais transmises à des tiers.

Quand vous ouvrez l'essai (clic sur le lien d'activation), votre email, le nom du cabinet, le téléphone et le nombre de dossiers indiqués sont aussi enregistrés dans notre outil de suivi commercial : si vous avez laissé un téléphone, une personne de notre équipe vous rappelle au sujet de l'essai, depuis un numéro professionnel affiché, sans enregistrement de l'appel (voir § 12). Ces données y sont conservées 3 ans au plus après votre dernier échange avec nous ; si vous devenez client, tant que votre licence est en cours, puis 3 ans au plus après sa fin. Base légale : notre intérêt légitime (art. 6.1.f) à suivre l'essai que vous avez demandé et à vous aider à le démarrer. Pour ne pas être rappelé, dites-le simplement au téléphone ou écrivez à contact@duerp-express.fr : votre demande est prise en compte immédiatement.

La demande enregistre aussi la provenance de votre visite (lien de la signature de nos emails, email reçu après un appel, annonce…), la version de la page affichée et votre choix sur les cookies marketing, pour savoir quels canaux nous amènent des demandes (intérêt légitime). Si vous avez accepté les cookies marketing, l'identifiant de clic publicitaire Google de votre visite (gclid, gbraid ou wbraid) est aussi enregistré : il sert à mesurer l'efficacité de nos annonces, y compris quand l'essai est ouvert depuis un autre appareil, et il est effacé 90 jours après la demande. Base légale : votre consentement (cookies marketing, § 9.3).

Demande de démonstration (page experts-comptables) : prénom, nom, email professionnel, nom du cabinet, téléphone, nombre approximatif de dossiers, créneau souhaité et provenance de votre visite. Ils servent à vous rappeler pour organiser la démonstration que vous demandez ; ils sont enregistrés dans notre outil de suivi commercial, conservés 3 ans au plus après votre dernier échange avec nous et ne sont jamais transmis à des tiers. Base légale : mesures précontractuelles prises à votre demande (art. 6.1.b).

Message de la page contact avec le sujet « Je suis expert-comptable » : nom, email, nom du cabinet, téléphone (facultatif) et message. Ils servent à vous rappeler et à répondre à votre message ; ils sont enregistrés dans notre outil de suivi commercial, conservés 3 ans au plus après votre dernier échange avec nous et ne sont jamais transmis à des tiers. Base légale : mesures précontractuelles prises à votre demande (art. 6.1.b).

3.8 Clients des cabinets d'expertise comptable (questionnaire de préparation, validation du document)

Un cabinet d'expertise comptable qui prépare avec DUERP Express le document unique d'un de ses clients peut lui envoyer un questionnaire de préparation et lui ouvrir un lien de suivi. Nous traitons alors, pour le compte du cabinet et sur ses instructions :

• l'email et le nom du contact que le cabinet a saisis ;
• les réponses au questionnaire, qui servent à préparer le document unique de l'établissement ;
• quand la validation en ligne est proposée et que le client valide son document depuis son lien de suivi : nom et fonction de la personne qui valide, email du lien de suivi, consultation déclarée (CSE ou personnel, date, avis), date et heure, adresse IP et navigateur, empreintes du document. Ces éléments constituent la preuve de la validation et sont conservés avec le document validé.

Le cabinet est responsable de ce traitement ; DUERP Express agit comme son sous-traitant (RGPD art. 28). Les emails partent depuis notre adresse d'envoi, sous le seul nom du cabinet, et une réponse à ces emails arrive au cabinet ; ceux du questionnaire rappellent au contact que ses données sont traitées pour le compte du cabinet, auprès de qui il exerce ses droits. Sans réponse au questionnaire, le contact reçoit au plus deux rappels, en semaine, 3 puis 7 jours après l'envoi ; le lien « Ne plus être relancé » de chaque rappel les arrête. Les pages ouvertes depuis ces liens (questionnaire, suivi, validation) ne chargent aucun outil de mesure d'audience ni aucune balise publicitaire : ces visites ne sont pas mesurées. Ces données ne servent à rien d'autre : ni prospection, ni email du registre des évolutions réglementaires, ni transmission à des tiers en dehors de nos sous-traitants techniques (§ 6). Elles sont conservées avec le dossier, dans l'espace du cabinet, pendant la durée de conservation du compte du cabinet (§ 7). Pour exercer vos droits, adressez-vous au cabinet ; vous pouvez aussi écrire à contact@duerp-express.fr : nous transmettons votre demande au cabinet.

4. Finalités du traitement

Vos données sont utilisées pour :

• Créer et gérer votre compte
• Ouvrir l'essai de la plateforme cabinet que vous demandez et, si vous avez laissé un téléphone, vous rappeler à son sujet
• Générer votre DUERP personnalisé et son plan d'actions
• Traiter vos paiements (et, pour les abonnements souscrits avant le 28/06/2026 encore en cours, en assurer l'exécution jusqu'à échéance)
• Émettre vos factures et avoirs (Stripe Invoicing)
• Vous envoyer le document et les communications transactionnelles
• Vous notifier des échéances de mise à jour annuelle
• Vous informer des évolutions réglementaires publiées dans notre registre qui concernent votre document unique : bandeau dans votre espace client et, au plus une fois par mois, un email d'information (voir ci-dessous)
• Pour le compte des cabinets d'expertise comptable : envoyer le questionnaire de préparation à leurs clients et, sans réponse, deux rappels au plus, et enregistrer la validation de leur document par ces clients (§ 3.8)
• Respecter nos obligations légales (facturation, comptabilité, archivage)
• Améliorer nos services (analytics anonymisés)
• Prévenir la fraude et sécuriser la plateforme

5. Bases légales du traitement (RGPD art. 6)

Email mensuel du registre des évolutions réglementaires. Si votre document unique a été établi avec DUERP Express, nous vous écrivons au plus une fois par mois, et seulement lorsqu'un texte officiel publié dans notre registre des évolutions réglementaires concerne votre document (votre métier, votre effectif, un document établi avant la date d'effet du texte). Nous utilisons pour cela l'email de votre compte et les réponses de votre document (métier, effectif) ; nous enregistrons quelles fiches vous ont été signalées, pour ne jamais vous les renvoyer. Les dossiers gérés par un cabinet d'expertise comptable ne reçoivent pas cet email : le cabinet en est informé dans son récapitulatif hebdomadaire. Vous pouvez vous désinscrire en un clic, par le lien présent dans chaque email ou depuis votre espace client (Paramètres) ; les rappels de mise à jour annuelle de votre document ont leur propre lien d'arrêt. Lorsqu'un texte publié au registre recommande la mise à jour de votre document, le rappel de mise à jour vous est envoyé plus tôt, avec ce texte comme motif, et porte le même lien d'arrêt que les rappels annuels.

6. Destinataires des données

Vos données sont accessibles uniquement aux personnes habilitées de DUERP Express et peuvent être transmises aux sous-traitants suivants, tous conformes RGPD :

Aucune cession de données à des tiers à des fins commerciales propres n'est effectuée.

7. Durées de conservation

8. Vos droits RGPD

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) — obtenir la confirmation que vos données sont traitées et en recevoir une copie
• Droit de rectification (art. 16) — corriger des données inexactes
• Droit à l'effacement / oubli (art. 17) — supprimer vos données (sous réserve des obligations légales de conservation)
• Droit à la portabilité (art. 20) — recevoir vos données dans un format structuré (JSON)
• Droit d'opposition (art. 21) — vous opposer au traitement
• Droit à la limitation (art. 18) — restreindre le traitement
• Droit de retirer votre consentement à tout moment (art. 7.3)
• Droit de définir des directives post-mortem (loi Informatique et Libertés, art. 85)

Comment exercer vos droits

• Espace client, page Paramètres : export en libre-service de vos données et de vos documents (un fichier ZIP : vos données au format JSON et chaque version de vos documents, 3 exports par 24 heures). Suppression du compte depuis votre espace ; vos données et documents sont effacés définitivement 30 jours après, hors pièces comptables conservées 10 ans. Exportez d'abord vos documents : l'employeur doit les conserver au moins 40 ans (art. L.4121-3-1 du Code du travail).
• Centre RGPD : https://duerp-express.fr/rgpd (formulaire en ligne)
• Email : contact@duerp-express.fr (avec justificatif d'identité si nécessaire)

Délai de réponse : 1 mois maximum (prolongeable de 2 mois pour les demandes complexes, RGPD art. 12.3).

9. Cookies

Trois catégories de cookies sont utilisées :

9.1 Cookies strictement nécessaires (toujours actifs)

• Session utilisateur (authentification NextAuth)
• Token CSRF
• Préférences de consentement
• Base légale : intérêt légitime — exemption au consentement (CNIL délibération 2020-091)

9.2 Cookies de mesure d'audience (consentement requis)

• Google Analytics 4 (avec anonymisation IP)
• Suivi des conversions internes

9.3 Cookies marketing (consentement requis)

• Retargeting publicitaire
• Mesure d'efficacité des campagnes

Vous pouvez gérer vos préférences à tout moment depuis le Centre RGPD.

9.4 Pages ouvertes depuis un lien personnel

Les pages suivantes, dont l'adresse contient un code personnel, n'utilisent aucun cookie de mesure d'audience ni marketing et ne sont mesurées ni par Google ni par notre mesure interne ; le bandeau cookies n'y apparaît pas :

• pages des clients des cabinets : suivi du document unique (validation et dossier de contrôle compris) et questionnaire (arrêt des rappels compris) ;
• mise à jour du DUERP : page de mise à jour, formulaire de mise à jour et arrêt des rappels de mise à jour ;
• téléchargement du document et précisions demandées après le paiement, depuis leur lien personnel ;
• lien de connexion à l'espace client et activation d'un essai cabinet ;
• désinscription des emails de prospection, des relances de commande et de l'email du registre des évolutions réglementaires.

Le formulaire rouvert depuis l'email de relance d'une commande non finalisée n'en fait pas partie : il suit les § 9.1 à 9.3. Si l'adresse d'une page de la liste ci-dessus figure dans notre mesure interne (lien cliqué depuis une autre page, par exemple), le code qu'elle contient y est remplacé par une empreinte qui ne permet pas de rouvrir le lien.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• Connexions chiffrées (TLS)
• Authentification sans mot de passe : Google OAuth + lien magique à usage unique (pas de stockage de mot de passe client)
• Tokens de téléchargement aléatoires 256 bits, comparaison timing-safe
• Anonymisation des emails dans les logs applicatifs
• Sauvegarde quotidienne de la base, avec test de restauration automatique
• Accès restreint au principe du moindre privilège
• Authentification à deux facteurs (TOTP) pour les administrateurs
• Audits de sécurité périodiques (SAST, dépendances, exposition surface)

11. Transferts hors UE

Certains sous-traitants traitent vos données aux États-Unis (Resend, Anthropic, Google). Ces transferts sont encadrés par :

• L'adhésion au Data Privacy Framework (DPF) UE-US, validé par la décision d'adéquation de la Commission européenne du 10 juillet 2023
• Des Clauses Contractuelles Types (CCT / SCC) approuvées par la Commission européenne (décision 2021/914)

12. Prospection B2B — contacts professionnels non clients

Dans le cadre de son développement commercial, DUERP Express contacte par email et par téléphone des professionnels dont la fonction est en rapport direct avec son offre (notamment les cabinets d'expertise comptable et leurs pôles social/paie), sans relation client préalable. Chaque appel est passé et chaque email est envoyé par une personne de notre équipe : aucun appel automatisé, aucun envoi automatisé.

• Données traitées : identité (nom), fonction, email professionnel, numéro de téléphone fixe professionnel du cabinet (standard ou ligne directe ; jamais un numéro de mobile, sauf s'il nous a été communiqué par la personne elle-même), données de l'entreprise (nom, SIREN, taille estimée), historique des échanges, journal des appels (date, résultat de l'appel, notes de suivi). Les appels ne sont pas enregistrés. Aucune donnée sensible, aucune donnée relevant de la sphère privée.
• Sources : données professionnelles publiques — API Recherche d'entreprises (recherche-entreprises.api.gouv.fr, Licence Ouverte 2.0) et site web du cabinet concerné (notamment le numéro du standard ou de la ligne professionnelle qui y est publié) ; informations que la personne nous communique elle-même (par exemple un email ou un numéro direct donné pendant un appel). Pour les emails uniquement : profils LinkedIn publics (consultation manuelle), Dropcontact (génération algorithmique d'adresses professionnelles). La source précise de vos coordonnées est indiquée dans le premier email que vous recevez. Au téléphone, nous indiquons dès le début de l'appel qui nous sommes, pourquoi nous appelons et où nous avons trouvé le numéro composé.
• Base légale : intérêt légitime (art. 6.1.f RGPD) — prospection B2B en rapport direct avec la fonction du destinataire, conformément à la doctrine CNIL, avec information dès le premier contact (art. 14 RGPD).
• Durée de conservation : 3 ans après le dernier échange émanant du contact (à défaut, 3 ans après la collecte), journal des appels compris ; pour un cabinet devenu client, tant que sa licence est en cours, puis 3 ans après sa fin. Les coordonnées d'une personne nommément identifiée que nous n'avons pas pu informer dans les 30 jours suivant leur collecte sont supprimées. Les demandes d'opposition sont conservées sans limitation de durée, sous la forme d'une liste d'exclusion minimale (adresse email ou numéro de téléphone), afin d'empêcher tout nouveau contact.
• Vos droits : chaque email contient un lien de désinscription en un clic, effectif immédiatement ; répondre « STOP » produit le même effet. Au téléphone, il suffit de nous dire que vous ne souhaitez plus être contacté : votre opposition est prise en compte immédiatement, pendant l'appel, et inscrite dans notre liste d'exclusion (adresse email ou numéro de téléphone). Droits d'accès, rectification, effacement, limitation et opposition : contact@duerp-express.fr. Réclamation : CNIL (voir § 14).
• Essai de la plateforme cabinet : quand vous ouvrez un essai depuis notre site, les coordonnées que vous avez saisies rejoignent ce même outil de suivi commercial et, si vous avez laissé un téléphone, nous vous rappelons au sujet de l'essai (voir § 3.7). Ces coordonnées viennent de vous : il ne s'agit pas d'une collecte auprès d'une autre source. Les mêmes règles s'appliquent : appel passé par une personne de notre équipe, sans enregistrement, opposition prise en compte immédiatement, au téléphone ou par email.
• Destinataires : usage interne uniquement ; aucune cession ni revente. Sous-traitants techniques : Google (Gmail — boîte d'envoi), Resend (envoi des emails depuis notre serveur, chacun sur le clic d'une personne de notre équipe, et suivi de leur remise : remis, refusé, signalé comme indésirable ; aucun pixel de suivi), Ringover (téléphonie — passage des appels et historique technique des appels, sans enregistrement), Anthropic (aide à l'identification du site web du cabinet et à l'extraction des coordonnées professionnelles qui y sont publiées, à la préparation des appels et des brouillons d'email, au tri des réponses — aucun appel ni envoi automatisé), hébergeur du back-office.

13. Mineurs

Le service n'est pas destiné aux mineurs de moins de 16 ans. Nous ne collectons pas sciemment de données concernant les mineurs.

14. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

CNIL 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 www.cnil.fr — Téléphone : 01 53 73 22 22

15. Modifications

La présente politique peut être mise à jour pour refléter les évolutions réglementaires ou de nos pratiques. La date de dernière mise à jour figure en tête du document. En cas de modification substantielle, vous serez informé par email.

16. Contact

Pour toute question relative à cette politique : Email : contact@duerp-express.fr DPO / point de contact RGPD : dpo@duerp-express.fr Adresse postale : 231 rue Saint-Honoré, 75001 Paris