POLITIQUE DE CONFIDENTIALITÉ NEOPASS
Protection des données à caractère personnel

La présente Politique de confidentialité décrit la manière dont les données à caractère personnel sont traitées dans le cadre du site et du service SaaS NEOPASS. Elle complète les Conditions Générales de Vente (CGV) et les Conditions Générales d’Utilisation (CGU) applicables.

NEOPASS est développé et exploité par MUNEO, marque de la société AIR & STYLE SAS, immatriculée au RCS de Grenoble sous le numéro 480 466 416, dont le siège social est situé 94 rue des Allobroges, 38180 SEYSSINS, France.

La protection des données est mise en œuvre conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et à la loi Informatique et Libertés modifiée.

1. À qui s’adresse cette politique ?

Cette politique s’adresse aux personnes dont les données personnelles peuvent être traitées dans le cadre de l’utilisation ou du fonctionnement de NEOPASS.

Elle concerne notamment les travailleurs ou bénéficiaires accompagnés par un établissement utilisant NEOPASS, les professionnels, référents et administrateurs des établissements clients, les titulaires d’un compte personnel NEOPASS ainsi que les personnes utilisant le site internet de NEOPASS ou contactant MUNEO au sujet du service.

2. Qui est responsable du traitement de vos données ?

La personne ou l’organisme responsable du traitement de vos données dépend du contexte dans lequel NEOPASS est utilisé.

Lorsque vous êtes accompagné par un établissement client, cet établissement détermine les finalités et les moyens essentiels des traitements réalisés au moyen de NEOPASS. Il agit en principe en qualité de responsable du traitement. MUNEO intervient alors en qualité de sous-traitant pour la mise à disposition, l’hébergement, la maintenance, la sécurisation, l’assistance et l’administration du service, conformément aux CGV NEOPASS.

Lorsque MUNEO détermine elle-même les finalités et les moyens d’un traitement, notamment pour la gestion de sa relation commerciale ou la sécurité de ses propres systèmes, MUNEO agit en qualité de responsable du traitement pour les finalités concernées.

Lorsqu’un compte personnel NEOPASS est maintenu après son détachement d’un établissement, MUNEO assure directement la gestion de ce compte et agit en qualité de responsable du traitement pour les traitements nécessaires à son fonctionnement, selon les conditions applicables au compte personnel.

3. Quelles données peuvent être traitées dans NEOPASS ?

Selon les fonctionnalités utilisées et les choix du responsable du traitement, NEOPASS peut notamment traiter les catégories de données suivantes :

• Données d’identification et de contact : nom, prénom, date de naissance, coordonnées, photographie et informations nécessaires à l’identification et à la gestion du compte ;
• Données administratives utiles au parcours ou à l’accompagnement professionnel : notamment informations relatives à la mobilité, au permis de conduire, à la situation administrative ou à certains dispositifs et reconnaissances liés à l’emploi ou au handicap, lorsqu’elles sont nécessaires à l’accompagnement ;
• Données relatives au parcours professionnel : métiers, expériences, stages ou PMSMP, formations, projets, objectifs et souhaits professionnels ;
• Données relatives aux compétences et évaluations, y compris l’auto-évaluation du travailleur et l’évaluation réalisée par un professionnel ;
• Informations relatives aux conditions de travail, à l’autonomie et aux besoins utiles à l’accompagnement professionnel. Certaines de ces informations peuvent constituer des données sensibles lorsqu’elles révèlent directement ou indirectement des informations relatives à la santé ou au handicap ;
• Documents et contenus déposés dans les espaces autorisés ;
• Données relatives aux utilisateurs professionnels, aux comptes, aux habilitations et aux invitations ;
• Données techniques nécessaires à la sécurité et au fonctionnement du service, telles que l’adresse IP, les informations de connexion, les journaux techniques et les traces d’activité lorsque celles-ci sont enregistrées.

Les champs métier de NEOPASS sont, par principe, facultatifs. L’existence d’un champ ne signifie pas que son renseignement est nécessaire. Le responsable du traitement doit limiter les données saisies à celles qui sont adéquates, pertinentes et nécessaires aux finalités poursuivies.

4. Données sensibles, santé et handicap

NEOPASS n’est pas destiné à constituer un dossier médical. Les diagnostics médicaux, informations relatives à des traitements ou prescriptions, ordonnances, comptes rendus médicaux, dossiers médicaux et autres documents médicaux ne doivent pas être volontairement déposés dans NEOPASS.

Certaines informations relatives aux besoins, à l’autonomie ou aux conditions de travail peuvent néanmoins constituer des données sensibles au sens du RGPD lorsqu’elles révèlent directement ou indirectement des informations relatives à la santé ou au handicap.

Leur traitement doit être limité aux informations strictement nécessaires aux finalités poursuivies et reposer sur une base juridique permettant le traitement des données personnelles ainsi que, lorsqu’il s’agit de données concernant la santé, sur l’une des conditions prévues par l’article 9 du RGPD. Il appartient au responsable du traitement de déterminer et de documenter ces fondements.

5. Pourquoi les données sont-elles traitées ?

Les finalités du traitement dépendent du contexte d’utilisation de NEOPASS et de l’organisme agissant en qualité de responsable du traitement.

Dans le cadre de l’utilisation de NEOPASS par un établissement client, les données peuvent notamment être traitées pour :

• Créer, administrer et sécuriser les comptes et les accès à NEOPASS ;
• Permettre la constitution, la consultation et la mise à jour du carnet de parcours et de compétences ;
• Suivre les compétences, évaluations, formations, expériences, stages, objectifs et autres éléments utiles au parcours professionnel ;
• Faciliter l’accompagnement professionnel et la prise en compte des besoins et conditions de travail utiles au parcours professionnel ;
• Permettre les exports, invitations et opérations de rattachement ou de détachement prévues par le service.

Pour les traitements dont MUNEO détermine les finalités et les moyens, les données peuvent notamment être traitées pour :

• Assurer le fonctionnement, l’assistance, la maintenance, la sécurité, la sauvegarde et l’administration technique de NEOPASS ;
• Gérer la relation contractuelle, administrative et commerciale avec les établissements clients ;
• Assurer la gestion et la sécurité des comptes personnels NEOPASS maintenus après leur détachement d’un établissement ;
• Répondre aux demandes adressées à MUNEO et assurer l’exercice des droits lorsque MUNEO agit en qualité de responsable du traitement ;
• Respecter les obligations légales applicables et assurer la constatation, l’exercice ou la défense de droits en justice.

6. Sur quelles bases juridiques les données sont-elles traitées ?

Lorsque MUNEO agit en qualité de sous-traitant, la détermination des bases juridiques des traitements relève de l’établissement agissant en qualité de responsable du traitement. MUNEO traite alors les données conformément aux instructions documentées de ce dernier et aux obligations qui lui sont applicables.

Lorsque MUNEO agit en qualité de responsable du traitement, la base juridique dépend de la finalité concernée. Le traitement peut notamment reposer sur :

• l’exécution d’un contrat ou de mesures précontractuelles, notamment pour la gestion de la relation avec les clients et, lorsqu’il est maintenu à la demande de son titulaire, le fonctionnement du compte personnel NEOPASS après détachement ;
• le respect d’une obligation légale à laquelle MUNEO est soumis ;
• l’intérêt légitime de MUNEO, notamment pour assurer la sécurité de ses systèmes, prévenir les usages frauduleux et assurer la défense de ses droits, sous réserve des droits et libertés des personnes concernées ;
• le consentement de la personne concernée, lorsque celui-ci constitue la base juridique appropriée au traitement concerné.

Lorsque des données relevant des catégories particulières visées à l’article 9 du RGPD sont traitées, leur traitement doit également répondre à l’une des conditions spécifiques prévues par cet article. Lorsque l’établissement est responsable du traitement, il lui appartient de déterminer et de documenter la condition applicable.

7. Qui peut accéder aux données ?

Les données sont accessibles uniquement aux personnes dont les fonctions ou les droits le justifient, dans la limite de leurs habilitations et des besoins liés à l’utilisation de NEOPASS.

Selon le contexte, peuvent notamment accéder à tout ou partie des données :

• Le travailleur ou bénéficiaire, pour les informations auxquelles son compte lui donne accès ;
• Les professionnels et référents autorisés par l’établissement, pour les travailleurs ou bénéficiaires auxquels ils sont habilités à accéder ;
• Les administrateurs de l’établissement, dans la limite des droits associés à leur fonction, notamment pour la gestion des comptes, des rattachements et des habilitations ;
• Les personnes invitées par le titulaire d’un compte personnel, lorsqu’une fonctionnalité de partage ou d’invitation est utilisée et dans la limite des droits qui leur sont accordés ;
• Les personnels MUNEO habilités, uniquement lorsque leur intervention est nécessaire à l’administration, l’assistance, la maintenance, la sécurité ou au traitement d’une demande concernant NEOPASS ;
• Les prestataires techniques autorisés, dans la stricte limite des missions qui leur sont confiées et sous réserve des obligations de confidentialité et de protection des données applicables.

Les règles d’accès peuvent différer selon la nature des informations. En particulier, les comptes rendus professionnels et les documents relevant de l’espace de l’établissement peuvent être soumis à des règles d’accès distinctes de celles applicables au carnet du travailleur ou bénéficiaire.

Lorsqu’un travailleur ou bénéficiaire est détaché d’un établissement, les professionnels de cet établissement perdent l’accès à son carnet conformément aux modalités prévues par NEOPASS. Le maintien éventuel d’un compte personnel n’autorise pas l’ancien établissement à continuer d’accéder aux données qui y sont conservées.

MUNEO ne vend ni ne loue les données personnelles hébergées dans NEOPASS à des tiers à des fins publicitaires ou commerciales.

8. Sous-traitants techniques et hébergement

MUNEO peut recourir à des prestataires techniques participant à la fourniture de NEOPASS, notamment pour l’hébergement, l’infrastructure, la maintenance ou certains services techniques. Ces prestataires sont sélectionnés et encadrés conformément aux exigences applicables en matière de protection des données et n’interviennent que dans le cadre des missions qui leur sont confiées.

À la date de la présente politique, l’hébergement de NEOPASS est assuré par o2switch.

MUNEO documente les prestataires auxquels elle a recours et vérifie, dans la mesure applicable aux services concernés, la localisation des traitements ainsi que l’existence éventuelle de transferts de données en dehors de l’Espace économique européen. Lorsqu’un tel transfert est réalisé, il est encadré conformément aux exigences du RGPD et au moyen des garanties applicables.

9. Sécurité et confidentialité

MUNEO met en œuvre des mesures techniques et organisationnelles destinées à assurer un niveau de sécurité adapté aux risques et à protéger notamment la confidentialité, l’intégrité et la disponibilité des données, en tenant compte de l’état de l’art, de la nature des traitements et des risques identifiés.

Ces mesures comprennent notamment des mécanismes d’authentification, de gestion des habilitations et des accès, de sécurisation des communications, de sauvegarde, ainsi que des mesures de protection et de surveillance de l’infrastructure technique. Elles sont régulièrement réévaluées et font l’objet d’améliorations dans le cadre de la démarche de sécurité et de conformité de NEOPASS.

Aucun système d’information ne pouvant garantir une sécurité absolue, MUNEO met également en œuvre des procédures destinées à identifier, traiter et documenter les incidents de sécurité et les éventuelles violations de données personnelles conformément à la réglementation applicable.

10. Combien de temps les données sont-elles conservées ?

Les données personnelles sont conservées pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont traitées. Cette durée dépend notamment de la nature des données, du contexte dans lequel elles sont traitées, de la durée de la relation contractuelle, de l’activité du compte et des obligations légales applicables.

Lorsque NEOPASS est utilisé dans le cadre de l’accompagnement par un établissement client, les durées de conservation des données traitées pour les finalités de cet établissement sont déterminées sous sa responsabilité, conformément à ses obligations et aux finalités qu’il poursuit.

À la fin de la relation contractuelle avec l’établissement, les données traitées par MUNEO exclusivement pour son compte font l’objet des opérations de restitution et de suppression prévues par les CGV et les procédures de réversibilité applicables à NEOPASS, sous réserve des obligations légales de conservation.

Lorsqu’un compte personnel NEOPASS est maintenu après son détachement d’un établissement, les données associées à ce compte sont conservées indépendamment de l’abonnement de l’ancien établissement, pendant la durée nécessaire à la fourniture et à l’utilisation du compte personnel. Les modalités de conservation, de fermeture du compte et de suppression des données sont précisées dans les conditions applicables au compte personnel.

Certaines données peuvent faire l’objet d’une conservation distincte lorsqu’elle est nécessaire au respect d’une obligation légale, à la sécurité du service ou à la constatation, à l’exercice ou à la défense de droits en justice.

Enfin, après la suppression des données des systèmes actifs, des copies résiduelles peuvent subsister temporairement dans les sauvegardes jusqu’à l’expiration de leur cycle normal de rétention. Ces données ne sont pas réutilisées à d’autres fins et sont supprimées au terme de ce cycle.

11. Détachement et compte personnel NEOPASS

Lorsqu’un travailleur ou bénéficiaire est détaché de son établissement, les professionnels de cet établissement perdent l’accès à son carnet selon le processus prévu dans NEOPASS.

Lorsque le titulaire choisit de conserver son compte personnel NEOPASS après son détachement, MUNEO assure directement la gestion de ce compte conformément aux CGU et à la présente Politique de confidentialité. L’ancien établissement ne peut plus accéder au compte personnel ni aux données qui y sont conservées du seul fait de son ancien rattachement.

Le titulaire peut continuer à accéder à son carnet personnel et aux informations qui lui sont accessibles, dans les conditions prévues par NEOPASS.

En cas de rattachement ultérieur à un nouvel établissement utilisant NEOPASS, l’accès de ce nouvel établissement au carnet est organisé avec l’accord du titulaire, selon le processus applicable. Ce rattachement n’entraîne pas la création d’un nouveau carnet et permet de préserver la continuité des informations relevant du carnet personnel.

Les documents, comptes rendus professionnels et autres informations relevant exclusivement de l’espace de l’ancien établissement ne sont pas automatiquement transférés ni rendus accessibles au nouvel établissement.

Selon le traitement concerné et dans les conditions prévues par le RGPD, vous pouvez disposer d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, d’opposition ainsi que, lorsque les conditions sont réunies, d’un droit à la portabilité de vos données.

Lorsque le traitement repose sur votre consentement, vous pouvez retirer celui-ci à tout moment, sans remettre en cause la licéité du traitement effectué avant ce retrait.

Lorsque vos données sont traitées dans le cadre de votre accompagnement par un établissement client, vos demandes relatives à l’exercice de vos droits doivent en principe être adressées à cet établissement, qui agit en qualité de responsable du traitement. MUNEO l’assiste, lorsque cela est nécessaire, dans le traitement de ces demandes.

Lorsque MUNEO agit en qualité de responsable du traitement, notamment pour les traitements liés à un compte personnel NEOPASS maintenu après détachement, vous pouvez exercer directement vos droits auprès de MUNEO selon les modalités précisées à l’article suivant.

Vous pouvez également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).

Concernant les évaluations professionnelles, le droit de rectification permet notamment de faire corriger les données factuellement inexactes. Il ne permet pas de modifier librement une appréciation professionnelle exprimée par son auteur. Le point de vue du travailleur ou bénéficiaire peut être conservé au moyen des fonctionnalités prévues par NEOPASS, sans altérer l’origine ni le contenu de l’évaluation réalisée par le professionnel.

13. Comment exercer vos droits ?

Lorsque votre demande concerne des données traitées dans le cadre de votre accompagnement par un établissement client, cet établissement est en principe votre interlocuteur en qualité de responsable du traitement. Vous pouvez également contacter MUNEO qui, lorsqu’il intervient en qualité de sous-traitant, transmettra votre demande à l’établissement concerné ou l’assistera dans son traitement.

Lorsque votre demande concerne un traitement pour lequel MUNEO agit en qualité de responsable du traitement, notamment la gestion d’un compte personnel NEOPASS maintenu indépendamment d’un établissement, vous pouvez exercer directement vos droits auprès de MUNEO.

Les demandes peuvent être adressées par email à contact@neopass.fr ou par courrier à :
AIR & STYLE SAS – MUNEO / NEOPASS

94 rue des Allobroges – 38180 SEYSSINS – France

Afin de protéger vos données, des informations complémentaires permettant de vérifier votre identité peuvent être demandées lorsqu’il existe un doute raisonnable sur celle-ci. Une pièce d’identité n’est pas demandée systématiquement et toute vérification doit rester nécessaire et proportionnée à la nature de la demande.

Lorsque MUNEO agit en qualité de responsable du traitement, il répond aux demandes dans les délais prévus par le RGPD, en principe dans un délai d’un mois à compter de leur réception. Ce délai peut être prolongé de deux mois lorsque la complexité ou le nombre de demandes le justifie ; la personne concernée en est alors informée dans le délai initial d’un mois.

14. Export, portabilité et suppression

NEOPASS permet notamment au titulaire d’exporter son carnet au format PDF. Cette fonctionnalité facilite la consultation et la conservation des informations contenues dans le carnet, mais ne se substitue pas nécessairement à l’exercice des droits d’accès ou de portabilité prévus par le RGPD.

Lorsqu’une personne exerce un droit d’accès ou, lorsque les conditions prévues par le RGPD sont réunies, un droit à la portabilité de ses données, MUNEO et/ou l’établissement responsable du traitement mettent en œuvre les moyens appropriés pour répondre à la demande, selon leur rôle respectif.

Une demande d’effacement est examinée au regard du traitement concerné, du rôle de chaque acteur, des finalités poursuivies, des obligations légales de conservation et, le cas échéant, des droits et intérêts légitimes de tiers. Le droit à l’effacement ne constitue donc pas un droit à la suppression systématique et immédiate de l’ensemble des informations.

Lorsqu’un effacement doit être réalisé, les données concernées sont supprimées des systèmes actifs selon les procédures applicables. Des copies résiduelles peuvent toutefois subsister temporairement dans les sauvegardes jusqu’à l’expiration de leur cycle normal de rétention. Pendant cette période, elles ne sont pas réutilisées à d’autres fins et sont supprimées au terme de ce cycle.

15. Intelligence artificielle et décisions automatisées

À la date de la présente politique, NEOPASS ne transmet pas les données personnelles contenues dans les carnets des travailleurs ou bénéficiaires à un service d’intelligence artificielle à des fins d’analyse, de profilage ou de génération de contenu.

NEOPASS ne met pas non plus en œuvre de décision individuelle fondée exclusivement sur un traitement automatisé produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative au sens de l’article 22 du RGPD.

Toute évolution substantielle de NEOPASS impliquant l’utilisation d’un système d’intelligence artificielle pour traiter des données personnelles ou la mise en œuvre d’un mécanisme de décision automatisée fera l’objet d’une analyse préalable de ses finalités, de sa base juridique, des données utilisées et des risques pour les personnes concernées. Lorsque cela est requis, l’information des personnes et la présente Politique de confidentialité seront mises à jour avant la mise en œuvre du traitement concerné.

16. Cookies et données du site web

Le site internet de NEOPASS peut utiliser des cookies ou autres traceurs nécessaires à son fonctionnement et à la fourniture des services demandés par l’utilisateur.

Lorsque des cookies ou traceurs non strictement nécessaires sont utilisés, notamment à des fins de mesure d’audience ou pour d’autres finalités nécessitant le consentement de l’utilisateur, ils ne sont déposés ou lus qu’après recueil de ce consentement, sauf lorsqu’une exemption prévue par la réglementation applicable permet leur utilisation sans consentement.

Lorsqu’un dispositif de gestion des cookies est proposé sur le site, il permet à l’utilisateur d’accepter ou de refuser les traceurs soumis à son consentement et, le cas échéant, de modifier ultérieurement ses choix.

Les informations relatives aux traceurs effectivement utilisés, à leurs finalités, à leurs fournisseurs et à leurs durées de conservation sont présentées dans le dispositif d’information et de gestion des cookies mis à disposition sur le site.

17. Personnes mineurs

NEOPASS peut être utilisé dans le cadre de l’accompagnement d’une personne mineure par un établissement. Dans cette situation, l’établissement responsable du traitement veille à prendre en compte l’âge, le degré d’autonomie et la situation juridique de la personne concernée, notamment pour son information et l’exercice de ses droits.

L’accès aux données ou l’exercice de droits par un représentant légal ou par un tiers est apprécié en fonction de la situation de la personne mineure et des règles légales applicables. La qualité de représentant légal ne conduit pas nécessairement à un accès automatique et permanent à l’ensemble des informations contenues dans NEOPASS.

À ce jour, NEOPASS ne prévoit pas de mécanisme autonome de maintien d’un compte personnel pour une personne mineure après son détachement d’un établissement. Une telle situation doit faire l’objet d’un traitement adapté tenant compte notamment de l’âge de la personne, de son autonomie et des règles de représentation qui lui sont applicables.

18. Données après le décès

En cas de décès d’un utilisateur, le compte NEOPASS et ses identifiants ne sont pas automatiquement transférés ou communiqués à un proche, à un héritier ou à un tiers.

Le devenir des données personnelles de la personne décédée est traité conformément à la législation française applicable et, le cas échéant, aux directives qu’elle a laissées concernant la conservation, l’effacement ou la communication de ses données après son décès.

Toute demande adressée à MUNEO concernant les données d’une personne décédée est examinée au regard de la nature de la demande, des éventuelles directives laissées par la personne, de la qualité du demandeur et des justificatifs nécessaires à son traitement.

19. Modification de la Politique de confidentialité

MUNEO peut faire évoluer la présente Politique de confidentialité afin de tenir compte notamment des évolutions de NEOPASS, des traitements de données réalisés, des prestataires auxquels MUNEO a recours ou du cadre juridique applicable.

En cas de modification substantielle susceptible d’avoir une incidence sur les personnes concernées ou sur la manière dont leurs données personnelles sont traitées, MUNEO les en informe par un moyen approprié, lorsque cela est nécessaire, avant l’entrée en vigueur de la modification concernée.

La version en vigueur de la Politique de confidentialité est accessible sur le site NEOPASS et indique sa date d’entrée en vigueur.

20. Contact

Pour toute question concernant la présente Politique de confidentialité, la protection des données personnelles ou les traitements mis en œuvre dans le cadre de NEOPASS, vous pouvez contacter MUNEO :

Par email : contact@neopass.fr

Par courrier :
AIR & STYLE SAS – MUNEO / NEOPASS
94 rue des Allobroges
38180 SEYSSINS – France

Les demandes relatives à l’exercice des droits des personnes concernées peuvent également être adressées à ces coordonnées, dans les conditions précisées à l’article 13 de la présente Politique.

Version du 28 mars 2026 – Entrée en vigueur le 31 mars 2026