Qui est concerné
Deux seuils, deux obligations distinctes
La loi Sapin II, complétée par la loi du 21 mars 2022 qui transpose la directive européenne sur les lanceurs d’alerte, impose une procédure de recueil des signalements à partir de 50 salariés. Le programme anticorruption vise les entreprises d’au moins 500 salariés dont le chiffre d’affaires dépasse 100 millions d’euros.
Dans beaucoup d’organisations, le dispositif se résume à une boîte mail partagée, qui ne garantit ni l’anonymat, ni un registre horodaté, ni le suivi des délais. Les salariés ne lui font pas confiance, et un signalement légitime peut s’y perdre.
Sapin II Toolkit est mis en place par le responsable conformité, le DRH, le RSSI ou le référent éthique, souvent après un contrôle, une fusion, un appel d’offres ou une prise de poste. Le traitement des alertes reste entre vos mains, et nos partenaires peuvent vous accompagner sur ce volet. L’hébergement sur votre propre infrastructure n’est pas proposé.
À partir de 50 salariés
Entreprises et associations d’au moins 50 salariés, entités publiques et collectivités d’au moins 50 agents. Base légale : loi Sapin II, modifiée par la loi du 21 mars 2022 (directive UE 2019/1937).
500 salariés et 100 millions d’euros de chiffre d’affaires
Base légale : loi Sapin II (2016). Sanctions de l’AFA jusqu’à 200 000 € pour les personnes physiques et 1 000 000 € pour les personnes morales. Le module dédié aux huit piliers du programme est en cours de développement.
Tableau de bord
Le registre du référent éthique, délais compris
- Vue d’ensemble des signalements, suivi des délais réglementaires, alertes en retard mises en évidence. Registre horodaté, filtres par statut, catégorie et entité, export CSV pour vos audits.
- Chaque alerte est rattachée à l’entité ou au site concerné. Un groupe configure ses entités juridiques comme autant de sites distincts, et le tableau de bord agrège l’ensemble.
- Si le référent éthique quitte l’entreprise, l’accès se transfère depuis la configuration : le nouveau référent reçoit une invitation et reprend les dossiers existants.
Confidentialité
La confidentialité du lanceur, garantie techniquement
Le lanceur choisit un mot de passe au dépôt. Les échanges avec le référent éthique sont protégés par ce mot de passe, que personne d’autre ne détient, y compris chez l’éditeur. Ce mot de passe ne se réinitialise pas, et c’est voulu : c’est le seul moyen d’accéder à la messagerie.
Le dispositif s’aligne sur le référentiel CNIL du 10 janvier 2019. La base légale du traitement est l’obligation légale (article 6.1.c du RGPD) et le consentement n’est pas requis. Le formulaire affiche le bloc d’information RGPD, l’adresse du DPO se paramètre, et les durées de conservation sont automatisées : deux mois si l’alerte n’est pas retenue, cinq ans en cas de suite disciplinaire.
Chaque organisation dispose de son propre espace de données, et le formulaire public est protégé contre les soumissions automatisées. Rapport d’audit de sécurité sous accord de confidentialité, analyse d’impact RGPD, registre des traitements et grille de conformité CNIL sont disponibles sur demande. Le détail des mesures est publié sur la page Sécurité et conformité de l’application.
Identité et contenu séparés
L’identité du lanceur, s’il la donne, et le contenu de l’alerte sont traités séparément. Le référent éthique accède au contenu de l’alerte mais pas à l’identité du lanceur, sauf s’il détient le rôle de garant de confidentialité.
Aucune donnée sensible par email
Les notifications ne contiennent ni la description de l’alerte, ni l’identité du lanceur, ni les pièces jointes. Seulement une référence de dossier et un lien vers la plateforme.
Une URL non devinable
L’adresse du formulaire de chaque organisation intègre un identifiant aléatoire. Elle ne se retrouve ni par énumération, ni à partir du nom de l’entreprise.
La suite Make IT Safe