Remarque préliminaire 

Une des premières actions à mener pour la mise en conformité de votre entreprise avec les nouvelles règles de protection des données dans le cadre du RGPD est de constituer un registre des traitements de données.
Pour vous aider dans cette démarche, LD SYSTEME vous propose cette fiche de registre d’activité, conçue sur le modèle de registre élaboré par la CNIL.
Ce document doit cependant être revu et complété par vos soins, pour plusieurs raisons :
•	S’agissant d’un progiciel comme LDPaye, l’éventail des traitements pouvant être couverts par le logiciel est assez large. Il est donc probable que vous ne mettiez pas en œuvre la totalité des fonctionnalités. Il vous suffira dans ce cas de rayer les mentions inutiles.
•	Tout ce qui touche à la durée de conservation des données dans LDPaye est à votre main. Il vous faut donc renseigner les informations de ce chapitre en fonction de vos habitudes de gestion.
•	De même pour les destinataires des données gérées au sein de LDPaye : en dehors des administrations qui reçoivent « naturellement » ces données au travers de la DSN, seul vous savez s’il y a d’autres destinataires susceptibles de recevoir des données issues de LDPaye.
•	Enfin, le chapitre Mesures de sécurité doit lui aussi être complété, notamment pour ce qui touche aux sauvegardes des données. 
Pour faciliter le remplissage de cette fiche, la plupart des mentions qui doivent être revues ou complétées dans cette fiche apparaissent surlignées en jaune. 
Enfin, notez que cette fiche devra être tenue à jour régulièrement par le responsable du traitement.

Modèle d’origine proposé par LD SYSTEME - Version  1.00 – 22/06/2018

Fiche de registre de l’activité Gestion de la paie
(Reprise de l’activité 1 de la liste des activités)

Date de création de la fiche	A compléter 	
Date de dernière mise à jour de la fiche	A compléter	
Nom du responsable du traitement	A compléter	
Nom du logiciel ou de l’application	LDPaye 	

Objectifs poursuivis
Décrivez clairement l’objet du traitement de données personnelles et ses fonctionnalités.
Exemple : pour une activité « formation des personnels » : suivi des demandes de formation et des périodes de formation effectuées, organisation des sessions et évaluation des connaissances.

Gestion de la paye : 
•	Gestion du fichier du personnel, avec recueil de toutes les données nécessaires à l’établissement de la paye (Données attendues en DSN principalement, ou utiles pour certains OPS)
•	Etablissement des bulletins de paie, avec saisie des éléments variables (heures supplémentaires, absences, primes et indemnités…)
•	Diffusion des bulletins de paie (précisez le mode de diffusion : papier, email, coffre-fort électronique…)
•	Etablissement et transmission des ordres de virement bancaire à destination des salariés (précisez ici le mode de transmission utilisé : logiciel installé en local, portail Web…).
•	Gestion des arrêts de travail (maladie, accident du travail, maternité, paternité) et autres périodes de suspension du contrat de travail
•	Etablissement des DSN mensuelles et événementielles (arrêts de travail et fins de contrat)
Autres traitements optionnels (rayez les mentions inutiles) :
•	Suivi des droits et des absences congés payés, RTT, congés ancienneté 
•	Gestion des temps via le module LDTemps (si Oui, remplir la fiche dédiée à LDTemps)
•	Gestion du planning via le module LDPlanning (si Oui, remplir la fiche dédiée à LDPlanning)
•	Gestion des ayants-droits de salariés (Contrats Santé)
•	Gestion des événements pour les salariés : visites médicales, permis de conduire, autres permis ou certifications…
•	Gestion des prêts aux salariés
•	Etablissement des bulletins d’intéressement
•	Gestion des documents Bureautique : certificat de travail, solde de tout compte, aide à la déclaration de revenus…
•	Gestion électronique de documents (GED). Précisez alors les types de documents qui sont enregistrés dans la GED.
•	Gestion des honoraires
•	Autres : précisez ici par exemple si vous réalisez des exports de données depuis LDPaye pour d’autres finalités.

Catégories de personnes concernées 
Listez les différents types de personnes dont vous collectez ou utilisez les données.
Exemples : salariés, usagers, clients, prospects, bénéficiaires, etc.

1.	Salariés	
2.	Ayants-droits des salariés (rayez si non concerné)
3.	Bénéficiaires des honoraires (rayez si non concerné)
4.	Contacts en interne pour LDPaye, notamment pour la DSN
5.	Utilisateurs du portail Net-Entreprises

Catégories de données collectées
1.	Salariés
  	Données d'identification (rayez les mentions inutiles) : 
•	Nom, Prénom, Adresse
•	N° SS, Date et lieu de naissance, Nationalité
•	N° de téléphone (personnel, portable)
•	Nom et N° de téléphone de la personne à joindre en cas d’urgence
•	Adresse mail (personnelle, professionnelle)
•	Photographie

  	Vie personnelle (rayez les mentions inutiles)
•	Situation familiale
•	Nombre d’enfants, nombre de personnes à charge
•	Organisme d’affiliation (CPAM)
•	N° adhérent mutuelle
•	N° allocation familiale
•	N° de carte de séjour et date de validité
•	N° de carte de travail et date de validité

   	Vie professionnelle
•	Tous les éléments du contrat de travail, attendus notamment en DSN : dates début et fin de contrat, type de contrat, ancienneté, établissement d’affectation et service, convention collective de rattachement, classification au sein de cette convention, emploi occupé, statut catégoriel, facteurs de risque pénibilité, durée de travail, profil de paye…
•	Tous ces éléments du contrat sont historisés sans limitation de durée de cet historique. 

   	Autres éléments de la vie professionnelle (rayez les mentions inutiles)
•	Salarié handicapé
•	Délégué du personnel, délégué syndical, délégué CE
•	Collège électoral pour les élections DP et CE
•	Collège électoral pour les élections prud’homales

   	Informations d’ordre économique et financier (revenus, situation financière, données bancaires, etc.)
•	Coordonnées bancaires (IBAN)
•	Revenus (tous les éléments de salaire : salaire ou taux horaire de base, heures supplémentaires, primes…)

     	Données de connexion (adresses Ip, logs, identifiants des terminaux, identifiants de connexion, informations d'horodatage, etc.)

     	Données de localisation (déplacements, données GPS, GSM, …)

     	Internet (cookies, traceurs, données de navigation, mesures d’audience, …)

   	Autres catégories de données (précisez) : 
•	Un texte « libre » peut être enregistré au sein de chaque fiche salarié, à la convenance des personnes ayant accès à la mise à jour du fichier du personnel.
Sur l’écran de saisie de ce texte, une mention précise : « les données à caractère personnel ne peuvent être recueillies que pour un usage déterminé et légitime. Seules doivent être traitées les informations pertinentes et nécessaires au regard des objectifs poursuivis. ».

2.	Ayants-droits des salariés (prévoyance et santé) (rayez si non concerné)
  	Données d'identification : 
•	Nom, Prénom
•	Date de naissance
•	Type d’ayant droit : adulte (conjoint, concubin, PACS), enfant, autre (ascendant, collatéraux)
•	Scolarisé, avec éventuellement la date de fin d’étude
•	Code mutuelle

3.	Bénéficiaires des honoraires (rayez si non concerné)
  	Données d'identification : 
•	Nom, Prénom, Adresse
•	Profession ou qualité

   	Informations d’ordre économique et financier (revenus, situation financière, données bancaires, etc.)
•	Eléments déclarés en DSN : honoraires, commissions, droits d’auteur, avantages en nature…

4.	Contacts
  	Données d'identification : 
•	Nom, Prénom
•	Adresse mail professionnelle
•	N° de téléphone professionnel

5.	Utilisateurs du portail Net-Entreprises
  	Données d'identification : 
•	Nom, Prénom
•	Mot de passe de connexion au portail Net-Entreprises ou au portail MSA

Des données sensibles sont-elles traitées ?
La collecte de certaines données, particulièrement sensibles, est strictement encadrée par le RGPD et requiert une vigilance particulière. Il s’agit des données révélant l'origine prétendument raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale des personnes, des données génétiques et biométriques, des données concernant la santé, la vie sexuelle ou l’orientation sexuelle des personnes, des données relatives aux condamnations pénales ou aux infractions, ainsi que du numéro d'identification national unique (NIR ou numéro de sécurité sociale).

   	Oui			      Non	 

Si oui, lesquelles ? : 
Uniquement le N° d’identification national (NIR ou numéro de sécurité social), mais la collecte de ce numéro est indispensable à l’établissement des payes, ce N° étant l’identifiant unique d’un salarié utilisé par toutes les administrations dans le cadre de la DSN.

Durées de conservation des catégories de données
Combien de temps conservez-vous ces informations ?
Si vous ne pouvez pas indiquer une durée chiffrée, précisez les critères utilisés pour déterminer le délai d’effacement (par exemple, 3 ans à compter de la fin de la relation contractuelle). 
Si les catégories de données ne sont pas soumises aux mêmes durées de conservation, ces différentes durées doivent apparaître dans le registre.

.………………….………………………….	     	jours 		    	mois 		    	ans

   	Autre durée :

Salariés 
Les données constitutives du bulletin de paye sont conversées pendant 36 mois (modifiez ici le nombre de mois qui dans LDPaye peut être ajusté, généralement compris entre 36 et 60 mois).
Toutes les autres données des salariés et ayants-droits des salariés sont conservées sans limitation de durée.
Précisez ici si vous avez mis en place une procédure pour effacer régulièrement les données des salariés partis depuis un certain délai. 
Bénéficiaires des honoraires
sans limitation de durée.
Contacts en interne et utilisateurs du portail DSN
sans limitation de durée. 

Catégories de destinataires des données
Destinataires internes
(exemples : entité ou service, catégories de personnes habilitées, direction informatique, etc.)
1.	Les utilisateurs du service Paye
(à détailler si vous avez plusieurs niveaux d’habilitation dans le service paye)
2.	Complétez ici si nécessaire
Exemples (liste non exhaustive) :
•	Diffusion en interne (chefs de service, contrôleurs de gestion…) de journaux de paye nominatifs
•	Diffusion de la liste des salariés et ayants-droits (enfants) au Comité d’établissement
•	La comptabilité (si certaines données de paye sont transmises nominativement dans l’interface comptables, comme les acomptes ou avances)
3.	Complétez ici le cas échéant les utilisations de données nominatives issues de LDPaye au travers d’une solution décisionnelle (LDVision ou autre).
4.	Précisez ici les personnes du service informatique qui ont accès aux données de LDPaye au travers d’outils comme le centre de contrôle HyperFile (CCHF) ou un interrogateur SQL (WDSql, LDSql).
Notez qu’à compter de la version 9.60 de LDPaye, l’accès aux données nominatives de LDPaye au travers de CCHF ou WDSql est impossible, les fichiers de données étant chiffrés. Seul l’accès via LDSQL reste possible, mais nécessite une authentification (code utilisateur et mot de passe reconnus par LDPaye et correspondant à un utilisateur disposant d’un accès de niveau Administrateur sur le dossier de paye demandé).

Organismes externes
(Exemples : filiales, partenaires, etc.)
1.	Les administrations (CNAM , CNAV, URSSAF, DGFiP, AGIRC-ARRCO, MSA), les caisses de prévoyance-Santé, qui reçoivent toutes les données nominatives au travers de la DSN.
2.	La ou les banques pour les ordres de virement
3.	Complétez ici si nécessaire
Précisez par exemple si tout ou partie des données nominatives sont transmises à une société mère, à un partenaire (cabinet comptable)…

Sous-traitants 
(Exemples : hébergeurs, prestataires et maintenance informatiques, etc.)
1.	A renseigner le cas échéant
2.	

Transferts des données hors UE
Des données personnelles sont-elles transmises hors de l’Union européenne ?

     Oui			   Non	 

Si oui, vers quel(s) pays : ………….………………………………………………………………………..…………………..

Dans des situations particulières (transfert vers un pays tiers non couvert par une décision d’adéquation de la Commission européenne, et sans les garanties mentionnées aux articles 46 et47 du RGPD), des garanties spécifiques devront être prévues et documentées dans le registre (article 49 du RGPD). Consultez le site de la CNIL.  

Mesures de sécurité
Décrivez les mesures de sécurité organisationnelles et techniques prévues pour préserver la confidentialité des données.
Le niveau de sécurité doit être adapté aux risques soulevés par le traitement. Les exemples suivants constituent des garanties de base à prévoir et peuvent devoir être complétés.

   	Contrôle d'accès des utilisateurs 
L’accès au logiciel LDPaye nécessite une authentification (code utilisateur et mot de passe).
A partir de la version 9.50 de LDPaye, cette authentification a été renforcée : mot de passe à 5 caractères minimum (modifiez ici si vous avez opté pour un plus grand nombre de caractères) ou contrôle des accès via Active Directory (code utilisateur et mot de passe du domaine Windows).

     	Mesures de traçabilité
Précisez la nature des traces (exemple : journalisation des accès des utilisateurs), les données enregistrées (exemple : identifiant, date et heure de connexion, etc.) et leur durée de conservation :
……………………………………..………………………..………………………..………………..……………………………..……………………………………..………………………..………………………..………………..……………………………..

   	Mesures de protection des logiciels
              (antivirus, mises à jour et correctifs de sécurité, tests, etc.) 
A partir de la version 9.60 de LDPaye, les exports de données nominatives (liste des salariés par exemple, journaux de paye…) peuvent être protégés.  Par défaut, seuls les utilisateurs ayant été autorisés explicitement (voir documentation du logiciel) peuvent réaliser ces exports.
Précisez ici les choix que vous avez fait quant à ces autorisations.
 
   	Sauvegarde des données
Une sauvegarde régulière (mensuelle à minima) est requise. A partir de la version 9.50 de LDPaye, les données de chaque sauvegarde sont enregistrées dans un format chiffré.
Précisez ici sur quels supports sont enregistrées ces sauvegardes, quels sont les lieux de stockage, quelles personnes y ont accès, la durée de conservation de ces sauvegardes…

   	Chiffrement des données
Décrivez les mesures (exemple : site accessible en https, utilisation de TLS, etc.) : 
A partir de la version 9.50 de LDPaye, tous les fichiers utilisés pour l’authentification des utilisateurs sont chiffrés (méthode RC5 16 boucles, avec mot de passe « fort » propre à chaque environnement).
A partir de la version 9.60 de LDPaye, tous les fichiers de donnée contenant des données nominatives sont eux aussi chiffrés, avec la même méthode de chiffrage, mais avec un mot de passe « fort » propre à chaque répertoire de donnée.

     	Contrôle des sous-traitants
Décrivez les modalités :  
……………………………………..………………………..………………………..………………..……………………………..
……………………………………..………………………..………………………..………………..……………………………..
     	Autres mesures : 
……………………………………..………………………..………………………..………………..……………………………..
……………………………………..………………………..………………………..………………..……………………………..