Politique de confidentialité ROHI

1 Responsable du traitement

Le responsable du traitement est le Ministère de l'Économie et des Finances, pour les traitements réalisés dans le cadre de la gestion administrative, RH et applicative de ROHI.

Les services habilités de la Direction des ressources humaines, des directions métiers et des équipes techniques interviennent uniquement dans les limites de leurs missions et habilitations.

2 Cadre juridique applicable

ROHI est soumis notamment à la loi malgache n° 2014-038 relative à la protection des données à caractère personnel, à ses textes d'application et au contrôle de la Commission Malagasy de l'Informatique et des Libertés (CMIL).

Pour les traitements automatisés mis en œuvre pour le compte de l'État, l'encadrement juridique applicable doit préciser la finalité, le service auprès duquel les droits s'exercent, les catégories de données, les destinataires habilités et les durées de conservation. Lorsque requis, les formalités ou avis de la CMIL sont réalisés avant mise en œuvre.

3 Finalités des traitements

Les données traitées dans ROHI peuvent être utilisées pour :

• la gestion administrative des agents et des dossiers RH ;
• la gestion des comptes, profils, habilitations et sessions applicatives ;
• la gestion des absences, décisions, actes administratifs, affectations, structures, sites et portes ;
• la gestion des évaluations, du suivi de carrière, de la formation, du recrutement et des workflows RH lorsque ces modules sont activés ;
• la production de statistiques, tableaux de bord, historiques et journaux nécessaires au pilotage RH ;
• la sécurité du système, la traçabilité, l'audit, la prévention des abus, la détection d'incidents et la maintenance ;
• la gestion des campagnes de prise de connaissance, la preuve d'acceptation des chartes SMSI et la vérification des attestations électroniques ;
• la communication institutionnelle et les notifications liées aux services ROHI.

4 Catégories de données traitées

Les données sensibles, notamment les données biométriques ou assimilées, ne peuvent être traitées que dans les cas autorisés par le droit applicable et avec les garanties requises.

5 Données obligatoires ou facultatives

Certaines informations sont obligatoires pour permettre l'identification, l'habilitation, l'instruction d'une demande ou l'exécution d'une obligation administrative. Les informations facultatives sont signalées comme telles lorsqu'elles sont collectées. L'absence de données obligatoires peut empêcher l'accès au service ou le traitement d'une demande.

6 Destinataires et habilitations

Les données sont accessibles uniquement aux personnes et services habilités selon leurs missions : services RH, responsables hiérarchiques, administrateurs fonctionnels, services techniques, contrôleurs ou auditeurs autorisés, et prestataires agissant sur instruction documentée lorsque leur intervention est nécessaire.

Les habilitations sont limitées, journalisées lorsque nécessaire et revues selon les procédures internes.

7 Sous-traitance, hébergement et messagerie

L'application principale ROHI est hébergée au Datacenter du Ministère de l'Économie et des Finances. Certains modules spécialisés peuvent être exploités, hébergés ou maintenus par des prestataires habilités agissant en qualité de sous-traitants, sur instruction documentée du responsable de traitement.

Les notifications techniques du SIRH (réinitialisation de mot de passe, relances, accusés) sont émises depuis l'adresse applicative noreply@rohi.pro, domaine du service ROHI. L'acheminement de ces courriels transite par l'infrastructure de messagerie du domaine rohi.pro (prestataire Hostinger). Il ne s'agit pas d'une messagerie personnelle, ni d'un substitut à la messagerie institutionnelle @mef.gov.mg utilisée pour les échanges entre agents sur les dossiers du MEF.

Lorsque l'hébergement, le support ou la maintenance implique un stockage ou un accès hors de Madagascar, ROHI précise le ou les pays ou régions concernés, la nature des opérations réalisées, les garanties contractuelles et techniques appliquées, ainsi que, le cas échéant, les autorisations ou formalités requises par la CMIL.

Aucun transfert non encadré de données personnelles n'est autorisé. Les prestataires ne peuvent pas réutiliser les données ROHI pour leurs propres finalités.

8 Cookies, journaux et sécurité

ROHI utilise des cookies ou mécanismes équivalents strictement nécessaires à l'authentification, à la sécurité, à la conservation de session et au bon fonctionnement du service. Ces mécanismes ne poursuivent pas de finalité publicitaire.

Des journaux techniques et fonctionnels peuvent être conservés pour assurer la sécurité, détecter les anomalies, établir la preuve d'une action, analyser un incident, administrer le service ou répondre à une obligation légale. Leur accès est limité aux personnes habilitées et leur durée de conservation est définie selon leur finalité.

9 Traitements algorithmiques et intelligence artificielle

Lorsque ROHI recourt à des traitements algorithmiques ou à des fonctionnalités d'intelligence artificielle portant sur des données personnelles, les personnes concernées sont informées de leur finalité, des catégories de données utilisées, de la logique générale du traitement, des conséquences principales attendues et des modalités d'exercice de leurs droits.

Aucune décision administrative impliquant une appréciation sur le comportement, la carrière, la promotion, la discipline, le recrutement, l'évaluation ou l'accès à un service n'est prise sur le seul fondement d'un traitement automatisé, d'un score, d'un profilage ou d'un système d'intelligence artificielle. Une intervention humaine compétente est maintenue pour les décisions sensibles.

Tout nouveau déploiement d'un traitement algorithmique avancé ou d'un système d'intelligence artificielle impliquant des données personnelles fait l'objet d'un examen préalable de conformité, des formalités CMIL requises, d'une analyse des risques, d'une documentation des finalités, d'une mise à jour de la présente politique lorsque nécessaire, et de garanties de supervision humaine, de traçabilité, d'auditabilité et de recours.

10 Durées de conservation

Les données sont conservées pendant la durée nécessaire aux finalités pour lesquelles elles sont traitées, puis archivées ou supprimées selon les obligations légales, les règles d'archivage public, les besoins probatoires et les décisions applicables au traitement ROHI.

Les durées précises par catégorie de données sont documentées dans les registres, actes, décisions ou tableaux d'archivage applicables. Les journaux de sécurité courants sont conservés au maximum un an, sauf obligation légale, contentieux, incident ou besoin probatoire documenté justifiant une conservation plus longue.

Les preuves d'acceptation SMSI sont rattachées au dossier administratif de l'agent et conservées pendant la durée nécessaire à la relation professionnelle, puis selon les règles d'archivage public et les délais de prescription applicables.

11 Droits des personnes concernées

Conformément au droit applicable, les personnes concernées peuvent exercer leurs droits d'information, d'accès, de rectification et, lorsque les conditions légales sont remplies, d'opposition ou de limitation. Lorsqu'une décision produisant des effets juridiques est fondée sur un traitement automatisé, la personne concernée peut demander les informations utiles sur la logique générale du traitement et solliciter une intervention humaine.

La demande doit permettre d'identifier la personne concernée et le traitement visé. Une pièce ou information d'identification peut être demandée lorsque cela est nécessaire pour protéger les données contre un accès non autorisé.

12 Contact protection des données

Pour exercer vos droits ou signaler une question relative aux données personnelles, vous pouvez contacter le canal de protection des données désigné par le Ministère de l'Économie et des Finances ou, à défaut, le service RH/technique habilité pour transmettre la demande au délégué à la protection des données ou à la fonction compétente.

Contact institutionnel ROHI : Ministère de l'Économie et des Finances, Direction des ressources humaines / administration ROHI.

En cas de difficulté persistante, la personne concernée peut saisir l'autorité de contrôle compétente, la CMIL, selon les modalités prévues par les textes applicables.

13 Signature électronique et vérification

Lorsqu'une campagne SMSI est obligatoire, l'accès aux fonctionnalités authentifiées de ROHI est suspendu jusqu'à la lecture et l'acceptation explicite des documents en vigueur. Le refus de signer ne produit aucune action dans ROHI, hormis la possibilité de se déconnecter et de consulter les textes accessibles publiquement.

Chaque attestation comporte un code de vérification aléatoire sous forme de QR code. La page publique de vérification confirme l'existence de la preuve, l'identité professionnelle, le document, sa version et son horodatage. Ce code ne permet ni l'accès au compte ni la modification de données.

14 Mise à jour de la politique

La présente politique peut être mise à jour pour tenir compte de l'évolution de ROHI, des modules activés, des sous-traitants, des mesures de sécurité, des usages algorithmiques ou d'intelligence artificielle, des exigences de la CMIL et du cadre juridique applicable.