Politique de confidentialité

inQuiro Signalement et inQuiro Enquête — traitement des données à caractère personnel dans le cadre du dispositif d’alerte professionnelle et de la conduite d’enquêtes internes
Éditeur : société PROTEIN, exploitant les marques inQuiro Signalement et inQuiro Enquête — Version 1.1 du 22 août 2026

Synthèse

La présente politique décrit comment sont traitées les données à caractère personnel des personnes concernées par le fonctionnement du dispositif inQuiro Signalement : lanceur d’alerte, personne mise en cause, témoins et tiers mentionnés dans un signalement. Au-delà de l’hébergement technique du canal d’alerte, inQuiro (société PROTEIN) exerce à titre d’activité principale la conduite d’enquêtes internes destinées à établir la matérialité des faits signalés (harcèlement moral ou sexuel, discrimination, violences sexistes et sexuelles, accident du travail) ; la présente politique décrit également le traitement de données propre à cette seconde activité, lorsque l’Entreprise cliente y recourt. Elle précise la répartition des responsabilités entre l’Entreprise cliente et inQuiro selon le service concerné, les finalités et bases légales des traitements, les données collectées, leur durée de conservation, les personnes qui y ont accès, les garanties propres à la conduite de l’enquête, les mesures de sécurité mises en œuvre, ainsi que les droits dont disposent les personnes concernées et les modalités de leur exercice.

Plan

  • Objet
  • Responsable(s) du traitement
  • Finalités et bases légales du traitement
  • Données traitées
  • Garanties procédurales propres à la conduite de l’enquête interne
  • Personnes concernées et information de la personne mise en cause
  • Destinataires des données
  • Durées de conservation
  • Sécurité des données
  • Transferts hors Union européenne
  • Droits des personnes concernées
  • Contact et réclamation
  • Mise à jour de la politique

Développement

1.      Objet

La présente politique de confidentialité décrit les conditions dans lesquelles les données à caractère personnel des utilisateurs des services inQuiro Signalement et inQuiro Enquête sont traitées, dans le respect du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données à caractère personnel (« RGPD »)[1] et de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée[2]. Elle s’applique à toute personne dont les données sont traitées à l’occasion du fonctionnement de ces dispositifs : lanceur d’alerte, personne mise en cause, témoin, ou toute autre personne mentionnée dans un signalement ou entendue dans le cadre d’une enquête.

inQuiro Signalement s’inscrit dans une offre plus large : au-delà de l’hébergement du canal de signalement, inQuiro exerce, sous la marque inQuiro Enquête, la conduite de l’enquête interne destinée à vérifier les faits rapportés — activité qui constitue le cœur de métier de la société PROTEIN. Lorsque l’Entreprise cliente mandate inQuiro Enquête à cette fin, un traitement de données distinct de celui lié à l’hébergement de la plateforme inQuiro Signalement est mis en œuvre ; ses spécificités sont décrites aux articles 2 à 5 ci-dessous.

2. Responsable(s) du traitement

Le traitement de données réalisé via inQuiro Signalement met en présence deux acteurs, dont les rôles respectifs sont qualifiés conformément à l’article 4 du RGPD.

L’Entreprise cliente est responsable du traitement, au sens de l’article 4, point 7, du RGPD[1], pour les opérations relatives à l’instruction du signalement : décision quant aux suites à donner, mesures disciplinaires ou correctives, communication finale à l’auteur du signalement et, le cas échéant, à la personne mise en cause. Elle détermine les finalités et les moyens essentiels du dispositif d’alerte qu’elle met à la disposition de son personnel.

inQuiro (société PROTEIN) intervient en qualité de sous-traitant, au sens de l’article 28 du RGPD, pour les opérations techniques qu’elle réalise pour le compte de l’Entreprise cliente : hébergement de la plateforme, réception sécurisée et horodatage des signalements, mise à disposition d’un canal de dialogue chiffré et anonymisé entre le Destinataire désigné par l’Entreprise cliente et l’auteur du signalement, sauvegarde et sécurisation des données. Ces opérations sont réalisées sur instruction documentée de l’Entreprise cliente, dans les conditions prévues par un contrat de sous-traitance conforme à l’article 28, paragraphe 3, du RGPD, conclu entre inQuiro et chaque Entreprise cliente.

Point d’attention pour les Entreprises clientes de deux cent cinquante salariés et plus. Le référentiel de la Commission nationale de l’informatique et des libertés (CNIL) relatif aux dispositifs d’alertes professionnelles rappelle que, s’agissant de la gestion du canal de signalement institué au titre de la loi n° 2022-401 du 21 mars 2022, la délégation à un tiers ne peut porter que sur la réception du signalement, son enregistrement et l’analyse initiale de sa recevabilité : les opérations de vérification approfondie, d’enquête et de décision doivent demeurer sous la responsabilité de personnes désignées par l’organisme lui-même[3][4]. Il appartient en conséquence à chaque Entreprise cliente relevant de ce seuil de désigner, au sein de sa propre organisation, la ou les personnes compétentes pour assurer l’instruction et la décision relatives aux signalements reçus via inQuiro Signalement au titre de la seule gestion du canal d’alerte. Le rôle de Destinataire sur la plateforme peut ainsi être occupé par une personne de l’Entreprise cliente elle-même ou, pour les entreprises de moins de deux cent cinquante salariés, par une personne habilitée par inQuiro dans les conditions permises par ce même référentiel. Cette restriction, propre à la gestion du canal d’alerte, ne fait pas obstacle à ce que l’Entreprise cliente mandate par ailleurs inQuiro, dans le cadre du second service décrit ci-dessous, pour conduire l’enquête sur les faits signalés : le recours à un enquêteur externe pour cette mission distincte est une pratique usuelle, expressément recommandée par la Défenseure des droits pour garantir l’impartialité de l’enquête, notamment lorsque des membres de la direction de l’Entreprise cliente sont mis en cause.

Pour les données techniques propres au fonctionnement et à la sécurité de la plateforme elle-même (données de compte des utilisateurs internes Administrateur, Destinataire et Gardien, journaux techniques d’erreur, données nécessaires à la sécurité du service), inQuiro agit en qualité de responsable de traitement autonome.

Second service : inQuiro Enquête, la conduite de l’enquête interne

 

Ce montage doit être distingué du second service proposé par inQuiro sous la marque inQuiro Enquête : la conduite, par ses propres enquêteurs, de l’enquête interne destinée à vérifier les faits objet d’un signalement (harcèlement moral ou sexuel, discrimination, violences sexistes et sexuelles, accident du travail). Lorsque l’Entreprise cliente mandate inQuiro Enquête à cette fin, par un contrat de prestation de services distinct du contrat d’hébergement de la plateforme inQuiro Signalement, inQuiro agit dans l’exercice d’une mission d’expertise professionnelle impliquant une appréciation autonome des faits : choix des personnes à entendre, conduite des auditions, analyse des éléments recueillis, rédaction du rapport et de ses conclusions.

Cette autonomie professionnelle, recherchée par l’Entreprise cliente pour garantir l’impartialité de l’enquête, ainsi que le recommande la décision-cadre de la Défenseure des droits n° 2025-021 du 5 février 2025[6], conduit à qualifier inQuiro de responsable du traitement pour les données traitées dans le cadre spécifique de la conduite de cette enquête, agissant le cas échéant conjointement avec l’Entreprise cliente au sens de l’article 26 du RGPD[1] pour les opérations qu’elles déterminent ensemble (déclenchement de l’enquête, périmètre, destinataires du rapport). La répartition précise des obligations entre l’Entreprise cliente et inQuiro à ce titre — information des personnes concernées, réponse aux demandes d’exercice des droits, durée de conservation du rapport — est fixée dans le contrat de prestation d’enquête conclu entre elles, dont les termes essentiels relatifs à la protection des données sont tenus à la disposition des personnes concernées sur demande.

Les coordonnées du responsable de traitement applicables à un signalement déterminé sont celles de l’Entreprise cliente concernée, disponibles auprès de celle-ci. Pour toute question relative au fonctionnement technique de la plateforme, inQuiro peut être contactée aux coordonnées indiquées à l’article 12 ci-dessous.

3. Finalités et bases légales du traitement

Les traitements mis en œuvre poursuivent les finalités suivantes, conformément au référentiel de la CNIL relatif aux dispositifs d’alertes professionnelles[3][4] :

  • le recueil, l’enregistrement et le traitement des signalements
  • la réalisation des vérifications et, le cas échéant, des enquêtes internes nécessaires pour apprécier l’exactitude des allégations
  • la conduite, par les enquêteurs d’inQuiro, de l’enquête interne destinée à établir la matérialité des faits signalés, lorsque l’Entreprise cliente mandate inQuiro à cette fin
  • la détermination des suites données au signalement et, le cas échéant, la mise en œuvre de mesures correctives ou disciplinaires
  • la protection des personnes concernées (auteur du signalement, personne mise en cause, témoins)
  • le cas échéant, l’exercice ou la défense de droits en justice

Ces traitements reposent, selon les cas, sur les bases légales suivantes (article 6 du RGPD) :

  • l’obligation légale, pour les Entreprises clientes tenues de mettre en place une procédure de recueil des signalements en application de la loi n° 2022-401 du 21 mars 2022 et du décret n° 2022-1284 du 3 octobre 2022[5]
  • l’obligation de sécurité de l’employeur, au titre de l’article L. 4121-1 du code du travail[7], qui peut le conduire à faire vérifier par une enquête les faits qui lui sont rapportés. La Cour de cassation a précisé qu’aucune disposition du code du travail n’impose, en tant que telle, la réalisation d’une enquête interne préalablement à toute décision, et que l’absence d’enquête n’établit pas à elle seule un manquement à l’obligation de sécurité[8]. L’enquête demeure néanmoins la voie recommandée par la Défenseure des droits[6] pour établir les faits de façon fiable et sécuriser juridiquement la décision qui en découle
  • l’intérêt légitime, pour les Entreprises clientes qui recourent volontairement au dispositif ou à l’enquête sans y être tenues par la loi, ou pour l’extension du dispositif à des faits excédant le périmètre légal du statut de lanceur d’alerte (par exemple certains faits de risques psychosociaux ou de discrimination), l’Entreprise cliente s’assurant en ce cas de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux des personnes concernées

Des catégories particulières de données au sens de l’article 9 du RGPD (par exemple des données de santé, en cas de signalement de risques psychosociaux ou de harcèlement ayant affecté la santé de la victime) ne sont traitées que si elles sont fournies spontanément par l’auteur du signalement ou par une personne entendue dans le cadre de l’enquête, et dans la stricte mesure nécessaire à l’instruction de celle-ci.

4. Données traitées

Selon la nature du signalement, les catégories de données suivantes peuvent être traitées :

  • données d’identification et de contact de l’auteur du signalement, uniquement si celui-ci choisit de les communiquer
  • données d’identification de la ou des personnes mises en cause et des tiers mentionnés dans le signalement (nom, fonction, service)
  • description des faits signalés et pièces jointes le cas échéant transmises
  • échanges entre le Destinataire et l’auteur du signalement au cours du traitement
  • compte rendu des opérations de vérification et des suites données
  • données techniques de connexion strictement nécessaires à la sécurité de la plateforme
  • lorsqu’une enquête interne est conduite par inQuiro : comptes rendus des auditions de la personne s’estimant victime, de la ou des personnes mises en cause et des témoins ; déclarations recueillies et pièces produites à l’appui ; le cas échéant, données relatives à la santé physique ou mentale des personnes entendues, lorsqu’elles sont mentionnées spontanément en lien avec les faits examinés (par exemple un arrêt de travail) ; rapport d’enquête exposant les faits établis, l’analyse et les conclusions des enquêteurs

Aucune donnée de géolocalisation ni aucun identifiant publicitaire n’est collecté. Le niveau de journalisation technique est volontairement limité aux événements de type erreur, et inQuiro Signalement ne recourt à aucun outil de mesure d’audience ni de télémétrie transmettant des données à un tiers.

5. Garanties procédurales propres à la conduite de l’enquête interne

Lorsqu’elle conduit une enquête interne sous la marque inQuiro Enquête, inQuiro applique une méthodologie conforme aux recommandations de la décision-cadre de la Défenseure des droits n° 2025-021 du 5 février 2025 relative au recueil des signalements et à l’enquête interne en cas de discrimination et de harcèlement sexuel dans l’emploi[6] :

  • l’enquête est conduite par au moins deux personnes, encadrées par un juriste, sans lien hiérarchique ni personnel avec les personnes concernées
  • les auditions se déroulent, dans la mesure du possible, pendant le temps de travail des personnes entendues
  • la personne mise en cause et la personne s’estimant victime sont, autant que possible, tenues éloignées l’une de l’autre pendant la durée de l’enquête, sans que cet éloignement ne constitue une sanction à l’égard de l’une ou de l’autre
  • chaque personne entendue est informée de l’objet de l’enquête, du caractère confidentiel de ses déclarations et des conditions de traitement de ses données
  • le principe du contradictoire est respecté : la personne mise en cause est mise en mesure de s’expliquer sur les faits qui lui sont reprochés avant la remise du rapport définitif
  • l’enquête est conduite dans un délai raisonnable, de l’ordre de deux mois, sauf complexité particulière justifiant un délai plus long
  • le rapport d’enquête et son contenu ne sont communiqués qu’aux personnes de l’Entreprise cliente habilitées à en connaître pour décider des suites à donner, et, dans les conditions prévues au contrat de prestation, aux personnes d’inQuiro chargées du suivi du dossier

Ces garanties s’ajoutent, sans s’y substituer, à celles décrites dans la politique de lancement d’alerte d’inQuiro Signalement lorsque l’enquête fait suite à un signalement déposé sur la plateforme.

6. Personnes concernées et information de la personne mise en cause

Sont susceptibles d’être concernées par un traitement de données dans le cadre du dispositif : l’auteur du signalement, la ou les personnes mises en cause, les témoins éventuellement cités, et toute autre personne mentionnée dans le signalement.

Conformément au référentiel de la CNIL[3][4], la personne mise en cause est informée, dans un délai raisonnable qui ne peut excéder un mois à compter de l’enregistrement du signalement, qu’un signalement la concernant a été enregistré, sauf lorsque cette information serait susceptible de compromettre gravement l’établissement de la preuve ou la réalisation des objectifs poursuivis — notamment en cas de risque de dissimulation ou de destruction d’éléments de preuve —, auquel cas l’information peut être différée jusqu’à la mise en œuvre de mesures conservatoires. L’information délivrée à la personne mise en cause ne révèle ni l’identité de l’auteur du signalement, ni celle des tiers mentionnés.

Cette information est délivrée par l’Entreprise cliente, en sa qualité de responsable de traitement pour cette opération ; inQuiro n’y procède pas elle-même.

7. Destinataires des données

Ont accès aux données relatives à un signalement, dans la stricte mesure nécessaire à l’exercice de leurs missions respectives :

  • le ou les Destinataires désignés par l’Entreprise cliente pour traiter les signalements qui la concernent : ils ont accès au contenu du signalement et peuvent échanger avec son auteur, mais n’ont pas accès par défaut à l’identité de celui-ci lorsqu’il a choisi de rester anonyme
  • le Gardien (« custodian ») désigné, dont le rôle se limite à autoriser, sur demande motivée d’un Destinataire, la levée ponctuelle de l’anonymat d’un auteur de signalement ; il n’a lui-même pas accès au contenu des signalements
  • l’Administrateur technique de la plateforme, personnel d’inQuiro habilité, qui assure la maintenance et la sécurité techniques du service, sans accès par défaut au contenu des signalements
  • le cas échéant, les conseils (avocats) assistant l’Entreprise cliente ou inQuiro, ainsi que l’autorité judiciaire, dans les cas de communication prévus par la loi

Aucune donnée n’est cédée, louée ou communiquée à des fins commerciales ou publicitaires. Les éléments de nature à identifier l’auteur d’un signalement ne sont divulgués à un tiers qu’avec son consentement, ou sur réquisition de l’autorité judiciaire dans les conditions prévues par la loi.

8. Durées de conservation

Conformément au référentiel de la CNIL[3][4] :

  • les données relatives à un signalement sont conservées le temps nécessaire à son traitement, jusqu’à la décision définitive sur les suites à lui donner
  • lorsque le signalement n’est pas suivi de suites (signalement infondé, incomplet, ou hors périmètre), les données sont conservées pour une durée strictement proportionnée aux besoins de traitement et de protection des personnes concernées, puis supprimées ou anonymisées
  • lorsque le signalement donne lieu à une procédure disciplinaire ou judiciaire, les données sont conservées jusqu’au terme de cette procédure, y compris les voies de recours
  • le rapport d’enquête établi par inQuiro est conservé par l’Entreprise cliente et par inQuiro selon les mêmes principes, la durée de conservation applicable étant précisée dans le contrat de prestation d’enquête
  • des durées de conservation complémentaires peuvent s’appliquer lorsqu’une obligation légale le requiert (obligations comptables, fiscales ou probatoires)

Les modalités précises de conservation applicables à un signalement déterminé relèvent de la politique de conservation définie par l’Entreprise cliente concernée pour son propre dispositif.

9. Sécurité des données

inQuiro met en œuvre les mesures techniques et organisationnelles suivantes, conformément aux préconisations du référentiel de la CNIL en matière de sécurité[3][4] : chiffrement des données stockées et des communications, authentification à deux facteurs recommandée pour les comptes des utilisateurs internes (Administrateur, Destinataire, Gardien), gestion des habilitations selon le principe du besoin d’en connaître, journalisation technique limitée aux événements de type erreur, absence de toute télémétrie transmise à un tiers, hébergement sur un serveur dédié situé en France, et application régulière des mises à jour de sécurité du logiciel de la plateforme.

10. Transferts hors Union européenne

Les données traitées via inQuiro Signalement sont hébergées en France, chez un prestataire d’hébergement établi dans l’Union européenne. Aucun transfert de données hors de l’Union européenne ou de l’Espace économique européen n’est effectué à ce jour. Si un tel transfert devenait nécessaire, il ne serait réalisé que dans le respect des articles 44 et suivants du RGPD[1] (décision d’adéquation, clauses contractuelles types, ou toute autre garantie appropriée), et la présente politique serait mise à jour en conséquence.

11. Droits des personnes concernées

Toute personne concernée par un traitement de données réalisé dans le cadre d’inQuiro Signalement ou d’inQuiro Enquête dispose, dans les conditions prévues par les articles 15 à 22 du RGPD[1], d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, d’opposition pour motif légitime, ainsi que, lorsque la base légale le permet, d’un droit à la portabilité de ses données.

Ces droits s’exercent auprès du responsable de traitement compétent : en principe auprès de l’Entreprise cliente à l’origine du dispositif d’alerte pour les données liées au canal de signalement, et auprès d’inQuiro ou de l’Entreprise cliente, conjointement responsables au sens de l’article 2.1 ci-dessus, pour les données traitées dans le cadre d’une enquête interne conduite par inQuiro. Ils peuvent, à titre subsidiaire et dans tous les cas, être adressés à inQuiro, qui les transmettra le cas échéant à l’Entreprise cliente concernée.

L’exercice de ces droits connaît des limites propres à la nature du dispositif : l’anonymat choisi par l’auteur d’un signalement fait, par construction, obstacle à ce qu’il puisse être identifié pour l’exercice, par un tiers, d’un droit le concernant ; de même, le droit d’accès ou de rectification de la personne mise en cause peut être différé ou limité tant que la communication des informations correspondantes serait susceptible de compromettre la vérification du signalement, dans les conditions prévues par l’article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée[2] et par le référentiel de la CNIL[3][4].

12. Contact et réclamation

Pour toute question relative au fonctionnement technique de la plateforme inQuiro Signalement, à la conduite d’une enquête interne par inQuiro Enquête, ou pour l’exercice des droits mentionnés à l’article 11, inQuiro peut être contactée à l’adresse suivante : [référent protection des données à désigner par inQuiro — coordonnées à compléter ; à défaut, info@inquiro.fr].

Toute personne concernée dispose également du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne à l’adresse www.cnil.fr.

13. Mise à jour de la politique

La présente politique de confidentialité est applicable à compter du 21 août 2026. Elle peut être mise à jour pour tenir compte de toute évolution législative, réglementaire, technique ou contractuelle ; la version en vigueur est celle publiée sur la plateforme.

 

Notes et références

  1. Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) — eur-lex.europa.eu
  2. Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés — legifrance.gouv.fr
  3. Délibération n° 2023-064 du 6 juillet 2023 de la CNIL portant adoption d’un référentiel relatif aux traitements de données à caractère personnel destinés à la mise en œuvre d’un dispositif d’alertes professionnelles, et abrogeant la délibération n° 2019-139 du 18 juillet 2019 — legifrance.gouv.fr
  4. CNIL, Référentiel relatif aux dispositifs d’alertes professionnelles, juillet 2023 — cnil.fr
  5. Loi n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte ; décret n° 2022-1284 du 3 octobre 2022 relatif aux procédures de recueil et de traitement des signalements émis par les lanceurs d’alerte — legifrance.gouv.fr (loi) ; legifrance.gouv.fr (décret) : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000046357368
  6. Défenseure des droits, décision-cadre n° 2025-021 du 5 février 2025 relative au recueil des signalements et à l’enquête interne en cas de discrimination et de harcèlement sexuel dans l’emploi privé et public — juridique.defenseurdesdroits.fr
  7. Art. L. 4121-1 du code du travail (obligation de sécurité de l’employeur) — legifrance.gouv.fr
  8. Cass. soc., 12 juin 2024, n° 23-13.975, publié au bulletin (l’absence d’enquête interne n’établit pas à elle seule un manquement de l’employeur à son obligation de sécurité). Confiance moyenne sur la portée exacte de la consolidation ultérieure de cette position par la jurisprudence la plus récente (2025-2026), vérifiée par recoupement de sources secondaires concordantes plutôt que par lecture directe des arrêts sur Légifrance — legifrance.gouv.fr
Share This