La présente politique de confidentialité décrit la manière dont Hippolit SAS (ci-après « Hippolit », « nous ») collecte, traite et protège les données à caractère personnel dans le cadre de deux périmètres distincts :
Le rôle d'Hippolit au regard du RGPD diffère selon ces deux périmètres : sous-traitant au sens de l'article 28 dans l'application, responsable de traitement sur le site vitrine. Ces deux régimes sont décrits respectivement aux articles 3 et 4.
Cette politique complète les mentions légales.
Conformément à l'article 5 du Règlement européen 2016/679, les données à caractère personnel sont :
Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
Dans le cadre de la fourniture du Service à ses clients, Hippolit agit en qualité de sous-traitant au sens de l'article 28 du RGPD. L'entreprise cliente est responsable de traitement : c'est elle qui détermine les finalités et les moyens du traitement des données personnelles de ses collaborateurs. Hippolit traite ces données exclusivement pour le compte du client et selon ses instructions documentées.
Conséquence : toute demande d'exercice de droits (accès, rectification, suppression…) émanant d'un collaborateur doit être adressée à son employeur (entreprise cliente), qui mandatera Hippolit pour son exécution technique si nécessaire.
Un Accord de Sous-Traitance (DPA) bilatéral et signable, conforme à l'article 28 du RGPD, est disponible sur demande auprès de votre interlocuteur Hippolit.
Hippolit traite un sous-ensemble limité de données personnelles relatives aux collaborateurs du client, dans la majorité des cas synchronisées depuis le SIRH de l'entreprise :
Aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions politiques, biométrie, etc.) n'est collectée.
Ces données sont traitées pour les finalités suivantes : gestion du parc IT, automatisation des flux d'onboarding et d'offboarding, gestion des demandes internes (ticketing IT), journalisation pour la sécurité et la traçabilité de la plateforme. Les bases légales correspondantes sont l'exécution du contrat (art. 6.1.b RGPD) et l'intérêt légitime du responsable de traitement (art. 6.1.f RGPD).
Les données sont hébergées et traitées exclusivement en France et au sein de l'Union européenne. Aucun transfert vers un pays tiers n'est effectué sans l'accord préalable écrit du responsable de traitement. Nos sous-traitants techniques sont :
Toute modification de cette liste fait l'objet d'une notification préalable au responsable de traitement, qui dispose d'un droit d'opposition dans les conditions définies au DPA.
L'intégration Google Workspace est une fonctionnalité optionnelle du module de gestion des accès d'Hippolit. Elle n'est activée qu'à l'initiative explicite du client et n'est pas un prérequis à l'utilisation du Service. Les clients qui n'activent pas ce module ne sont concernés par aucun traitement de données Google.
Lorsque l'intégration est activée, Hippolit accède aux données Google strictement nécessaires au fonctionnement de ce module (par exemple : annuaire des collaborateurs, gestion des comptes Workspace, automatisation des arrivées et départs).
Ces données ne sont jamais vendues, jamais utilisées à des fins publicitaires, et ne sont pas exploitées pour entraîner des modèles d'intelligence artificielle. Aucun humain ne lit ces données, sauf accord explicite de l'utilisateur, pour des raisons de sécurité, pour respecter une obligation légale, ou pour des opérations internes anonymisées.
L'utilisateur peut révoquer l'accès à tout moment depuis les paramètres de sécurité de son compte Google ; les jetons d'accès correspondants sont alors invalidés sans délai.
API Google - Utilisation limitée.
L'utilisation et le transfert par Hippolit, vers toute autre application, des informations reçues des API Google respecteront la Google API Services User Data Policy, y compris les exigences d'utilisation limitée (Limited Use).
Pendant toute la durée du contrat, une demande de suppression de données peut être effectuée et sera exécutée en 72 heures maximum.
Sur le site www.hippolit.io, Hippolit agit en qualité de responsable de traitement.
Les données personnelles collectées dans ce cadre sont les suivantes : nom de famille, prénom, adresse e-mail. Elles sont collectées uniquement lorsque vous effectuez activement l'une des opérations suivantes :
Aucune donnée n'est collectée automatiquement lors de la simple navigation. Le traitement répond aux finalités suivantes : répondre à vos demandes, gérer la prise de rendez-vous, et le cas échéant assurer la contractualisation au logiciel Hippolit. La base légale est l'exécution de mesures précontractuelles prises à votre demande (art. 6.1.b RGPD) et notre intérêt légitime à répondre à vos sollicitations (art. 6.1.f RGPD).
Ces données sont conservées jusqu'à traitement de votre demande, puis pendant trois (3) ans à compter du dernier contact à des fins de prospection commerciale, conformément aux recommandations de la CNIL.
Le site www.hippolit.io est hébergé par Cloudflare, Inc. - 101 Townsend Street, San Francisco, CA 94107 - https://www.cloudflare.com.
Le site utilise uniquement les cookies strictement nécessaires à son fonctionnement et, sous réserve de votre consentement, des cookies de mesure d'audience anonymisée. Aucun cookie publicitaire tiers n'est déposé.
Hippolit SAS, société par actions simplifiée au capital de 15 000 €, immatriculée au RCS de Marseille sous le numéro 987 353 497.
Siège social : 45 boulevard André Aune, 13006 Marseille.
Contact : team@hippolit.io.
Hippolit a désigné un Délégué à la Protection des Données déclaré auprès de la CNIL sous le numéro DPO-171602.
DPO : Morgan Lebois - 45 boulevard André Aune, 13006 Marseille - team@hippolit.io.
Le DPO est votre interlocuteur privilégié pour toute question relative à la protection des données, y compris les demandes d'exercice de droits, les questions de conformité et les audits.
Conformément aux articles 15 à 22 du RGPD et à la Loi Informatique et Libertés (Loi 78-17 du 6 janvier 1978), vous disposez des droits suivants : droit d'accès, de rectification, à l'effacement, à la portabilité, d'opposition, de limitation, droit de ne pas faire l'objet d'une décision exclusivement automatisée, droit de définir des directives relatives au sort de vos données après votre décès.
Comment exercer ces droits selon votre situation :
Pour vérifier votre identité, nous pouvons être amenés à vous demander certaines informations complémentaires.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL - www.cnil.fr.
Hippolit met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD : chiffrement AES-256 au repos via Fscrypt sur les volumes PostgreSQL, TLS 1.2+ en transit, base de données dédiée par client, accès internes sous SSO + MFA obligatoire, principe du moindre privilège, journalisation centralisée, tests d'intrusion réguliers (dernier réalisé en avril 2025). Le détail complet est disponible dans notre page sécurité et dans notre Notice RGPD et Politique de Sécurité, communiquée aux clients sur demande.
En cas de violation de données personnelles, Hippolit notifiera le responsable de traitement sans délai excessif, et au plus tard dans les 72 heures suivant sa prise de connaissance, conformément à l'article 33 du RGPD.
Hippolit se réserve le droit de modifier la présente politique à tout moment afin d'assurer sa conformité avec le droit en vigueur et de refléter les évolutions du Service. La date en haut de page indique la version applicable.
La présente politique a été éditée le 16 mai 2024 et mise à jour le 1ᵉʳ juin 2026.