Comment vos données sont-elles utilisées ?

Le Vérificateur de bulletin de paie a une finalité unique et strictement limitée : vous permettre de vérifier vous-même votre bulletin de paie. Lorsque suffisamment d’agents y ont participé, il propose en complément une comparaison indicative de votre rémunération avec celle d’agents d’un grade ou d’un cadre d’emplois comparable. Une seule case à cocher, facultative, couvre trois usages : les statistiques collectives, le comptage des lignes non reconnues après une explication volontaire, et l’amélioration de la façon dont l’outil reconnaît les libellés de grade imprimés par les logiciels de paie. Cette page explique précisément ce que chacun implique.

Comment votre bulletin est lu

Avant l’envoi, agrandissez les aperçus pour vérifier le masquage de votre nom, de votre adresse, de vos identifiants et de toute information permettant de vous reconnaître. Seule la version masquée est transmise. Le masquage manuel et les filtres automatiques ne garantissent pas un anonymat absolu.

Pour produire votre analyse, l’image de votre bulletin, après que vous en avez masqué les données personnelles dans votre navigateur, est lue par Claude, le service d’intelligence artificielle d’Anthropic. Notre serveur vérifie ensuite que les lignes lues retombent exactement sur le net imprimé et que les taux fixés par la loi (CSG, CRDS, retraite) sont à leur place. Si ce n’est pas le cas, l’image est relue par le lecteur optique de Google (Cloud Vision), qui relève seulement le texte de l’image : notre serveur range alors les lignes et refait le contrôle. Si aucune des deux lectures ne passe ce contrôle, l’outil s’arrête et vous demande de reprendre la photo ou d’importer le PDF, plutôt que de vous donner un résultat qui pourrait être faux. Quand beaucoup de personnes utilisent l’outil en même temps, le lecteur optique passe en premier. Si Claude est indisponible, l’image est transmise à OpenAI (modèle GPT) ou à Google Gemini. L’outil de la FSU ne conserve pas votre image après l’analyse : elle n’est écrite dans aucun fichier, dans aucune table, à aucun moment.

Si vous êtes agent du Département du Pas-de-Calais et que vous déposez le PDF d’origine de votre bulletin, aucune image n’est envoyée : voir plus bas, « Bulletins PDF du Département du Pas-de-Calais ».

Si vous êtes agent du Département du Pas-de-Calais et que vous envoyez une photo, l’image masquée est d’abord lue par le lecteur optique de Google (Cloud Vision) : voir plus bas, « Photos de bulletins du Département du Pas-de-Calais ».

La FSU utilise l’offre payante de Google pour cet outil. Google indique que, pour ses services payants, les contenus qui lui sont transmis ne sont pas utilisés pour améliorer ses produits. Google indique conserver ces contenus 55 jours, uniquement pour détecter les abus. Nous ne pouvons pas affirmer à quel endroit Google traite ces contenus.

OpenAI indique que les contenus transmis par son API ne sont pas utilisés pour entraîner ses modèles, sauf accord explicite du client, et qu’il peut les conserver jusqu’à 30 jours pour fournir le service et détecter les abus, sauf obligation légale de conservation plus longue. Comme pour Google, nous ne pouvons pas affirmer à quel endroit OpenAI traite ces contenus.

Anthropic indique que les contenus transmis par son API ne sont pas utilisés pour entraîner ses modèles. Il les supprime sous 30 jours, ou les conserve jusqu’à 2 ans s’ils sont signalés par ses systèmes de sécurité pour une violation de ses règles d’usage. Le contrat qui lie la FSU à Anthropic comprend un accord de traitement des données et les clauses contractuelles types de la Commission européenne pour les transferts hors de l’Union. Comme pour Google Gemini et OpenAI, nous ne pouvons pas affirmer à quel endroit Anthropic traite ces contenus.

Pour le lecteur optique, Google indique que l’image est traitée en mémoire, sans être enregistrée sur ses disques, et qu’elle ne sert pas à entraîner ni à améliorer ses services. Nous utilisons son point d’accès européen : Google indique que la lecture est alors faite dans l’Union européenne.

Pendant une période d’essai, limitée aux premières analyses, votre image peut aussi être relue, après l’envoi de votre résultat, par un autre modèle de Claude et par le lecteur optique de Google, uniquement pour comparer la qualité des lectures et améliorer l’outil. Ces lectures ne changent rien à votre résultat. Nous n’en gardons que des nombres et des catégories : combien de montants et d’informations d’en-tête sont bien lus, la qualité de la photo (cadrée, penchée, pliée, floue), le type d’erreur, la durée et le coût. Votre image, vos montants, vos libellés et votre grade ne sont jamais conservés.

Une ligne d’absence pour maladie peut être lue

Si votre bulletin comporte une ligne d’absence pour maladie, de carence ou de demi-traitement, et que vous ne l’avez pas masquée, cette ligne sera lue comme les autres pour vérifier le calcul qui lui correspond. Cette vérification porte uniquement sur le calcul de la ligne de paie : l’outil ne pose ni ne suggère aucune appréciation médicale, et ne conserve aucune trace de cette information au-delà du temps de l’analyse. Si vous préférez que cette ligne ne soit pas transmise, masquez-la avant de lancer l’analyse, comme pour toute autre donnée personnelle.

La contribution est facultative

Au moment de lancer l’analyse de votre bulletin, une case à cocher vous propose de contribuer. Elle est toujours décochée par défaut. Elle couvre les statistiques collectives, le comptage des lignes non reconnues après une explication volontaire et l’amélioration de la reconnaissance des libellés de grade.

Vous pouvez lancer exactement la même analyse, avec le même rapport complet, que vous cochiez cette case ou non. Un refus n’a aucune conséquence sur le service rendu.

Cette case est distincte de la confirmation obligatoire, par laquelle vous attestez avoir masqué vos données personnelles et acceptez que votre image soit transmise à Claude d’Anthropic, au lecteur optique de Google, et si besoin à OpenAI ou à Google Gemini, pour produire votre analyse. Cocher la confirmation obligatoire n’active jamais la contribution facultative.

Ce que nous utilisons si vous acceptez

Si vous cochez la case, les données suivantes, déjà lues et vérifiées pour produire votre propre rapport, sont utilisées pour mettre à jour des compteurs collectifs :

• la période mensuelle de votre bulletin ;
• le grade ou cadre d’emplois et l’échelon résolus par l’outil ;
• votre temps de travail (temps plein, temps partiel), utilisé pour ramener les montants à un équivalent temps plein comparable ;
• le net avant prélèvement à la source, transformé en une estimation hors supplément familial de traitement (SFT) ;
• le montant de l’indemnité de fonctions, de sujétions et d’expertise (IFSE) ;
• la présence et, le cas échéant, le montant de la nouvelle bonification indiciaire (NBI).

Ce que nous ne conservons jamais

Aucune de ces informations n’est jamais enregistrée dans les compteurs statistiques :

• l’image de votre bulletin ;
• votre identité, votre nom ou tout identifiant vous concernant ;
• votre employeur ou votre commune ;
• le document individuel lui-même, sous quelque forme que ce soit ;
• un montant exact : chaque valeur est immédiatement transformée en une tranche de 20 € avant tout enregistrement ;
• le nombre d’enfants ou tout élément lié au SFT au-delà de son usage technique décrit ci-dessus.

Comment vos données sont transformées

Dès qu’une contribution est acceptée, chaque montant est immédiatement converti en une tranche de 20 € (par exemple : entre 1 940 € et 1 960 €) avant tout enregistrement. Nous n’enregistrons jamais votre montant exact : seul un compteur, incrémenté pour cette tranche, ce grade, cet échelon et ce mois, est mis à jour.

Un seuil minimum avant affichage

Une comparaison ne s’affiche que lorsqu’au moins 20 contributions existent déjà pour le groupe concerné (ce seuil peut être relevé, jamais abaissé en dessous de 20). En dessous de ce seuil, l’outil indique simplement qu’il n’y a pas encore assez de contributions comparables.

Une conservation limitée dans le temps

Les compteurs sont conservés au maximum 48 mois à compter du mois du bulletin concerné, puis supprimés automatiquement chaque mois par une tâche technique. Passé ce délai, ils ne comptent plus dans aucune comparaison.

Une contribution agrégée et irréversible

Les statistiques collectives ne conservent aucune ligne individuelle : seul un compteur est incrémenté. Il n’existe donc pas de contribution individuelle à retrouver ou à retirer après coup, et c’est précisément cette absence de trace qui protège votre confidentialité.

Explication des lignes non reconnues

Lorsque vous demandez une explication, les libellés et montants des lignes sélectionnées sont transmis à Google Gemini, ou à OpenAI selon le même choix automatique que pour la lecture. Ces textes ont déjà été extraits : leur explication ne demande pas de relire l’image. Un filtre bloque notamment les identifiants manifestes et certaines adresses, mais ne reconnaît pas tous les noms de personnes. Vérifiez les lignes affichées avant de demander leur explication.

La même case facultative, celle qui couvre les statistiques collectives et la reconnaissance des grades, s’applique aussi au comptage des lignes non reconnues, indépendant de la comparaison ci-dessus : lorsque vous demandez volontairement une explication sur une ligne de votre bulletin que l’outil n’a pas reconnue, une empreinte technique et une catégorie prudente du libellé (jamais le montant, la réponse obtenue, votre grade, votre employeur ou votre bulletin) peuvent servir à compter les lignes récurrentes. Les nouveaux libellés inconnus ne sont pas conservés en texte lisible, même après simplification (le parcours du Département du Pas-de-Calais fait exception pour les seuls intitulés de son logiciel de paie, voir plus bas) ; seuls une empreinte, une catégorie, un sens, un compteur et des dates sont enregistrés. Cette écriture n’a lieu que si vous avez accepté de contribuer ; en cas de refus, l’explication reste disponible normalement, simplement sans cette mise à jour statistique.

Améliorer la reconnaissance des libellés de grade

Chaque logiciel de paie écrit les grades à sa façon : « ADJ TECH PPAL 2CL » sur un bulletin, « Adjoint technique principal 2e classe » sur un autre. Reconnaître ces variantes permettra à l’outil de proposer le bon grade plus souvent, et de s’appuyer moins sur l’intelligence artificielle pour le deviner.

L’intelligence artificielle lit déjà ce libellé pour produire votre analyse : aucune information supplémentaire ne lui est demandée, et aucun second traitement automatique n’est effectué (sauf pour les PDF du Département du Pas-de-Calais, voir plus bas). Tout ce qui suit se passe ensuite, sur notre serveur.

Si vous acceptez de contribuer, l’outil conserve une forme simplifiée du libellé imprimé (en minuscules, sans accent ni ponctuation), associée au grade que vous avez confirmé, avec un compteur et le mois d’observation. Le texte tel qu’il figure sur votre bulletin n’est jamais conservé. Ce libellé simplifié est filtré, et n’est relié ni à votre identité, ni à votre employeur, ni à votre bulletin.

Avant d’être conservé, le libellé passe une série de vérifications automatiques. Il est refusé s’il contient une adresse électronique, un numéro, une adresse postale, une balise, du texte sur plusieurs lignes, ou s’il ne ressemble pas au grade que vous avez confirmé. En cas de doute, il est refusé.

Ne sont associés à ce libellé ni votre nom, ni votre employeur, ni aucun montant, ni votre bulletin, ni votre adresse IP, ni aucun identifiant qui permettrait de relier deux analyses entre elles. La date précise de votre analyse n’est pas conservée non plus : seul le mois l’est.

Ces observations ne sont jamais utilisées automatiquement. Chacune reste à l’état de proposition jusqu’à ce qu’une personne de la FSU la relise et décide si elle mérite d’être ajoutée à notre liste de grades. Une proposition qui n’est pas retenue est supprimée automatiquement douze mois après sa dernière observation.

Photos de bulletins du Département du Pas-de-Calais

Ce fonctionnement est réservé au parcours des agents du Département du Pas-de-Calais. Il ne s’applique pas au vérificateur général.

La photo de votre bulletin, après que vous en avez masqué les données personnelles dans votre navigateur, passe par notre serveur, qui ne l’enregistre pas. Elle est d’abord lue par le lecteur optique de Google (Cloud Vision). Ce service relève seulement le texte de l’image. Notre serveur range ensuite ce texte en lignes de paie et contrôle que les totaux retombent juste.

Google indique que, pour cette lecture, l’image est traitée en mémoire, sans être enregistrée sur ses disques, et qu’elle ne sert pas à entraîner ni à améliorer ses services. Nous utilisons son point d’accès européen : Google indique que la lecture est alors faite dans l’Union européenne.

Deux suites sont possibles :

• si les totaux lus ne retombent pas juste, l’outil s’arrête et vous demande de refaire la photo : l’image n’est transmise à aucun autre service ;
• si le lecteur optique ne reconnaît pas la mise en page du bulletin, ou s’il est en panne, l’image masquée est transmise à Google Gemini ou à OpenAI, dans les conditions décrites en haut de cette page.

La confirmation obligatoire de ce parcours nomme ces trois services.

Bulletins PDF du Département du Pas-de-Calais

Ce fonctionnement est réservé au parcours des agents du Département du Pas-de-Calais. Il ne s’applique ni au vérificateur général, ni aux autres employeurs.

Un PDF lu directement, sans image et sans intelligence artificielle. Le PDF d’origine, produit par le logiciel de paie du Département, contient son texte. Votre navigateur le lit lui-même : aucune image n’est envoyée, et vous n’avez rien à masquer. Seules les valeurs utiles à la vérification sont transmises : la période, le grade, la fonction et le métier tels qu’ils sont imprimés, l’échelon, l’indice, la NBI, le nombre d’enfants pris en compte pour le SFT, le taux d’emploi, les jours, les lignes du bulletin (code, libellé, base, taux, montants), les totaux et les nets. Votre nom, votre adresse, votre numéro de sécurité sociale et votre IBAN ne sont jamais lus. Le serveur refait les contrôles au centime près. Si la lecture ne passe pas ces contrôles, le PDF est traité comme une image : vous le masquez, puis l’intelligence artificielle le lit, comme décrit plus haut. Une photo, un scan (même enregistré en PDF) ou le bulletin d’un autre employeur suivent toujours ce parcours habituel.

Un outil qui apprend au fil des bulletins. Il arrive qu’un bulletin porte un intitulé que l’outil ne connaît pas encore : l’abréviation d’un grade, ou une ligne nouvelle. Dans ce cas, ce seul intitulé est soumis, séparément, à Google Gemini et à OpenAI (modèle GPT). Pour un grade, c’est le libellé imprimé ; pour une ligne, son code et son libellé, jamais son montant. Rien d’autre de votre bulletin n’est envoyé. Pour une ligne, cela vaut que le bulletin ait été lu dans le PDF ou à partir d’une image.

• Un grade n’est proposé que si les deux services donnent le même. Vous le voyez déjà rempli au moment de la relecture, et vous le confirmez ou le changez. S’ils ne sont pas d’accord, vous choisissez votre grade dans la liste, comme d’habitude.
• L’explication d’une ligne n’est affichée que si les deux services la classent dans la même catégorie (prime, cotisation, retenue…). Elle est rédigée avec prudence, et porte la mention « Explication rédigée automatiquement à partir du seul libellé de la ligne. Elle ne vérifie pas le montant. » tant qu’une personne de la FSU ne l’a pas relue.

Ce qui est conservé. Ces intitulés sont ceux du logiciel de paie du Département : ils sont identiques pour tous les agents qui ont le même grade ou la même ligne, et ne désignent personne. Pour ne pas interroger l’intelligence artificielle à chaque bulletin, l’outil garde l’intitulé tel qu’il est imprimé, la réponse obtenue (grade ou explication), la date de la première rencontre et le nombre de fois où il a été rencontré. Rien ne relie ces informations à vous, à votre bulletin ou à votre analyse : ni nom, ni montant, ni adresse IP. Une personne de la FSU les relit, les corrige, les rend définitives ou les supprime. Cette mémoire est tenue que vous ayez coché ou non la case de contribution, puisqu’elle ne porte sur aucune personne.

Si vous avez coché la case de contribution, votre relecture aide aussi l’outil : il compte si vous gardez le grade proposé. Après trois confirmations sans désaccord, ce grade n’est plus à confirmer. Si vous en choisissez un autre, seul l’intitulé officiel du grade choisi est noté, sans lien avec vous, et le grade proposé ne l’est plus jusqu’à la relecture de la FSU.

Le récapitulatif PDF

À la fin du rapport, vous pouvez télécharger un récapitulatif en PDF : l’essentiel, une version pour votre service paie, le rapport complet ou les chapitres de votre choix. Pour le fabriquer, votre navigateur renvoie au serveur une copie du rapport que le serveur lui a remise, signée par lui : le PDF ne peut reprendre que ce que l’outil a réellement calculé. Cette copie contient les montants et les explications du rapport, jamais l’image de votre bulletin, et elle n’est plus acceptée deux heures après le rapport.

Le PDF est fabriqué à la demande, en mémoire, puis envoyé aussitôt à votre navigateur. Il n’est ni enregistré sur nos serveurs, ni transmis à une intelligence artificielle, ni indexé. Pour limiter les abus, le serveur compte les demandes pendant une heure, sous forme d’empreinte, sans conserver votre adresse IP en clair.

Le récapitulatif ne comporte pas votre nom : la version pour le service paie prévoit une case à remplir à la main. Il peut reprendre une ligne d’absence pour maladie si elle figure dans votre rapport ; si vous ne souhaitez pas la transmettre, choisissez les chapitres à garder. Une fois téléchargé, le fichier est sous votre seule responsabilité.

Cookies et protection contre les abus

Un cookie de sécurité propre au navigateur, valable 30 jours, permet de limiter les analyses répétées sans bloquer tous les agents d’un même employeur. Les limites sont appliquées au navigateur, avec un plafond plus large pour le réseau partagé. Ce cookie ne constitue pas une identification individuelle et ne sert pas à la publicité. Des cookies temporaires assurent aussi la continuité de l’analyse et des explications.

Le serveur conserve pour ces protections des empreintes techniques, des compteurs et des expirations, sans image ni libellé de paie. Ces empreintes sont calculées à partir de votre adresse IP, qui n’est jamais conservée en clair. Les compteurs peuvent durer jusqu’à 30 jours ; la purge quotidienne retire les états expirés depuis plus de 24 heures. Les jetons signés utilisés pendant le parcours peuvent contenir des données extraites lisibles par votre navigateur ; une signature protège contre la modification, pas contre la lecture.

Les journaux techniques

Indépendamment de votre choix, l’outil tient un journal technique de ses appels à l’intelligence artificielle : la date, le modèle utilisé, le type d’appel, le nombre de jetons consommés, le coût, la durée et, le cas échéant, le code d’erreur. Ce journal sert à surveiller le budget et le bon fonctionnement du service. Il ne contient aucun montant de votre bulletin, et chaque nouvelle entrée est purgée au bout de 45 jours.

Une information, jamais un verdict

Cette comparaison est strictement informative. Un écart entre votre situation et la médiane observée ne signifie ni une erreur sur votre bulletin, ni une anomalie de votre employeur : nos vérifications de conformité restent entièrement séparées de cette comparaison collective.

Contact

Pour toute question sur cette fonctionnalité, vous pouvez contacter la FSU Territoriale du Pas-de-Calais via notre page de contact. Consultez également nos mentions légales.