Politique de confidentialité
Dernière mise à jour : 26 août 2026
Welcome est le kit d'accueil que votre entreprise vous remet pour votre arrivée. Vous y êtes invité par un lien personnel, avant même d'avoir un compte : cette page dit exactement ce que nous faisons de vos données, dès ce premier lien.
Elle est écrite pour être lue. Si un point vous paraît obscur, écrivez-nous.
Qui traite vos données
Le responsable du traitement est BiDrasil (CDI SAS), société par actions simplifiée, dont le siège social est situé 58 rue Monceau, 75008 Paris, France, immatriculée au RCS de Paris sous le numéro 925 280 091.
Welcome est édité au sein de la suite BiDrasil et vendu aux sociétés qui l'utilisent pour accueillir leurs arrivants. C'est BiDrasil (CDI SAS) qui porte juridiquement le service et répond de vos données ; la société qui vous accueille reste responsable du contenu qu'elle y dépose et des personnes à qui elle donne accès à votre fiche (cf. « Qui a accès à vos données » ci-dessous).
Pour toute question relative à vos données personnelles ou pour exercer vos droits : now@bidrasil.com.
Le principe
Welcome accompagne votre arrivée : mission, vision, valeurs et écosystème de la société, une checklist de démarrage, et les missions qui vous sont confiées une fois votre accès scellé. Les données que vous saisissez et celles qui décrivent votre progression servent à vous rendre ce service, et à le rendre visible à la société qui vous accueille.
Nous ne vendons pas vos données. Nous ne les cédons pas à des tiers à des fins publicitaires. Nous ne les exploitons pas pour du profilage publicitaire, et nous ne prenons aucune décision automatisée produisant des effets juridiques à votre égard.
Aucun mot de passe d'outil tiers n'est jamais conservé chez nous : l'accès à un outil de votre kit se fait par l'activation de votre compte BiDrasil ou par l'invitation propre de l'outil, jamais par des identifiants en clair stockés en base.
Quelles données, pourquoi, et pour combien de temps
Le tableau ci-dessous récapitule l'ensemble des traitements mis en œuvre : les catégories de données concernées, la finalité poursuivie, la base légale au sens de l'article 6 du RGPD, et la durée de conservation applicable.
| Finalité | Données concernées | Base légale | Conservation |
|---|---|---|---|
| Créer et gérer votre compte de la console d'admin (compte BiDrasil, activation Welcome) | Identifiant, adresse email, mot de passe (conservé sous forme d'empreinte, jamais en clair), prénom et nom | Exécution du contrat (art. 6.1.b) | Durée de vie du compte, puis 3 ans après la dernière connexion ; suppression immédiate sur demande |
| Vous accueillir en tant qu'arrivant et vous fournir votre kit d'accueil personnel | Prénom, nom, adresse email, téléphone, profil (salarié, stagiaire, alternant, prestataire), poste, pôle, dates d'arrivée et de fin, identifiant et mot de passe une fois votre accès scellé, réponses à la checklist de démarrage, missions confiées et leur suivi, humeurs et retours que vous laissez | Exécution du contrat (art. 6.1.b), au bénéfice de la société qui vous accueille | Durée de vie du compte, puis 3 ans après la fin de votre parcours ; suppression sous 30 jours après clôture du compte |
| Vous transmettre un lien d'accueil personnel et unique | Jeton d'accès (conservé uniquement sous forme d'empreinte, jamais en clair), date de création, d'expiration et de révocation | Exécution du contrat (art. 6.1.b) | Le jeton meurt dès la première ouverture ou son remplacement ; l'empreinte est conservée pour la traçabilité de l'accès pendant 12 mois |
| Activer les applications BiDrasil associées aux outils de votre kit, une fois votre accès scellé | Identifiant de compte, liste des applications activées | Exécution du contrat (art. 6.1.b) | Durée de vie du compte |
| Sécuriser le service et prévenir les abus | Tentatives de connexion horodatées, empreinte technique de votre session | Intérêt légitime : protéger les comptes contre les accès non autorisés (art. 6.1.f) | 12 mois |
| Assurer le fonctionnement technique et tracer les incidents | Journaux du serveur : adresse IP, page consultée, date et heure | Intérêt légitime : sécurité et bon fonctionnement du service (art. 6.1.f), et obligation légale de conservation des données de connexion | 12 mois |
| Vous envoyer votre lien d'accueil et les emails de service (réinitialisation de mot de passe) | Adresse email, jeton à usage unique | Exécution du contrat (art. 6.1.b) | Jeton valable jusqu'à son expiration ou son remplacement, puis invalidé |
D'où viennent ces données
Une partie provient de la société qui vous accueille : c'est elle qui crée votre fiche arrivant (prénom, nom, email, poste, dates, mentor) avant même votre premier lien. Le reste provient directement de vous : votre mot de passe au moment du scellement, vos réponses à la checklist, et les retours que vous choisissez de laisser.
S'y ajoutent des données techniques générées automatiquement par la consultation du service (adresse IP, pages consultées, horodatage), nécessaires à son fonctionnement et à sa sécurité.
Ce qui est obligatoire, ce qui ne l'est pas
Votre prénom, votre nom et votre adresse email sont nécessaires : c'est par eux que la société qui vous accueille vous invite et que le lien vous parvient. Le mot de passe que vous choisissez au moment de sceller votre accès est également obligatoire.
Tout le reste, en particulier le mot personnel, l'humeur du jour ou une suggestion que vous laissez, est facultatif : vous restez libre de ce que vous choisissez d'y écrire.
Cookies et traceurs
Le détail des cookies déposés est présenté ci-dessous.
| Nom | Finalité | Durée | Consentement |
|---|---|---|---|
sec_session_id | Maintenir votre session ouverte après connexion, côté console comme côté parcours d'accueil. Sans lui, il est impossible de rester connecté. | Durée de la session : supprimé à la fermeture du navigateur | Non requis : strictement nécessaire au service (art. 82 loi Informatique et Libertés) |
Qui a accès à vos données
En interne chez BiDrasil (CDI SAS), l'accès aux données est limité aux personnes qui en ont besoin pour exploiter et maintenir le service, et est tracé.
La société qui vous accueille (via sa propre console d'administration Welcome) voit votre fiche, votre progression sur la checklist, les missions qui vous sont confiées et validées, ainsi que les retours que vous laissez : c'est le principe même d'un outil d'accueil RH, et la raison pour laquelle elle vous y a inscrit.
En externe, Welcome fait appel au prestataire suivant, qui agit en qualité de sous-traitant au sens de l'article 28 du RGPD, sur instruction documentée et sans droit d'usage propre sur vos données :
| Prestataire | Rôle | Données concernées | Localisation |
|---|---|---|---|
| o2switch (SAS o2switch, 222-224 boulevard Gustave Flaubert, 63000 Clermont-Ferrand, France) | Hébergement du site, de la base de données et des fichiers déposés | L'ensemble des données du service | France (Union européenne) |
| La société qui vous accueille (votre employeur ou l'organisme qui vous a inscrit) | Accès à votre profil, votre progression et vos missions depuis sa propre console d'administration Welcome | Identité, poste, progression sur la checklist de démarrage, missions confiées et leur statut, humeurs et retours que vous laissez | France |
Transferts hors de l'Union européenne
Les données de Welcome sont hébergées en France, chez o2switch (SAS o2switch, 222-224 boulevard Gustave Flaubert, 63000 Clermont-Ferrand, France), et ne quittent pas l'Union européenne.
Comment vos données sont protégées
Les échanges entre votre navigateur et Welcome sont chiffrés (HTTPS).
Le lien d'accueil qui vous est transmis n'est valable qu'une fois : dès que vous scellez votre accès (ou qu'un nouveau lien vous est envoyé), l'ancien jeton meurt définitivement, même s'il a été transféré à quelqu'un d'autre. Les pages du parcours sont servies avec l'en-tête `Referrer-Policy: no-referrer`, pour que ce lien ne fuite pas via l'historique d'un autre site.
Les mots de passe ne sont jamais stockés en clair : ils sont conservés sous forme d'empreintes calculées avec un algorithme de hachage lent et salé (bcrypt), qui ne permet pas de retrouver le mot de passe d'origine.
L'accès aux données est cloisonné par compte et par société : chaque requête vérifie que le contenu demandé appartient bien à l'utilisateur connecté et à son client. Les écritures sont protégées contre la falsification de requête (jeton anti-CSRF), et le contenu qui n'est pas encore public pour vous (outils, missions) n'est ni affiché ni même lu en base tant que votre accès n'est pas scellé.
Aucun système n'est infaillible. En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en seriez informé conformément à l'article 34 du RGPD.
Vos droits
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès
- Obtenir la confirmation que vos données sont traitées, en obtenir une copie, et connaître les informations relatives à ce traitement (article 15).
- Droit de rectification
- Faire corriger des données inexactes ou compléter des données incomplètes (article 16).
- Droit à l'effacement
- Demander la suppression de vos données, notamment lorsqu'elles ne sont plus nécessaires ou que vous retirez votre consentement (article 17).
- Droit à la limitation
- Demander le gel temporaire d'un traitement, par exemple le temps de vérifier l'exactitude de données contestées (article 18).
- Droit à la portabilité
- Recevoir les données que vous avez fournies dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement (article 20).
- Droit d'opposition
- Vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime (article 21).
- Retrait du consentement
- Retirer à tout moment un consentement donné, sans que cela ne remette en cause la licéité des traitements effectués avant ce retrait (article 7-3).
- Directives post-mortem
- Définir des directives relatives au sort de vos données après votre décès, conformément à l'article 85 de la loi Informatique et Libertés.
Comment exercer vos droits
Écrivez à now@bidrasil.com, en précisant votre demande et, si possible, le nom de la société qui vous a accueilli. Nous répondons dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois si la demande est complexe, vous en seriez alors informé.
En cas de doute raisonnable sur votre identité, un justificatif complémentaire pourra vous être demandé.
Si la réponse apportée ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 - https://www.cnil.fr
Âge minimum
Welcome n'est pas destiné aux personnes de moins de 15 ans et ne collecte pas sciemment leurs données. Si vous constatez qu'un compte a été créé par un mineur de moins de 15 ans sans le consentement du titulaire de l'autorité parentale, signalez-le à now@bidrasil.com : le compte et les données associées seront supprimés.
Modifications de cette politique
Cette politique peut évoluer avec le service. Toute modification substantielle vous sera signalée par un moyen adapté (message dans l'application ou email) avant son entrée en vigueur.
Dernière mise à jour : 26 août 2026.