MyArkevia is gebaseerd op een architectuur met twee afzonderlijke portalen, en het verwarren van de twee is de eerste beveiligingsfout. Het portaal myarkevia.com is de werknemeromgeving, waar de medewerkers van Leroy Merlin loonstroken, contracten en attesten kunnen raadplegen. Het portaal arkevia.com is daarentegen gereserveerd voor de werkgever voor het indienen van documenten. Deze technische scheiding, uitgevoerd door Cegedim, garandeert dat het bedrijf nooit toegang heeft tot de inhoud van de kluis zodra de bestanden zijn ingediend.
Scheiding van de portalen MyArkevia en Arkevia: een onderschat technisch punt
Het onderscheid tussen werknemerportaal en werkgeverportaal is niet cosmetisch. Het past een principe van minimalisering van toegang toe dat voldoet aan de AVG: elke actor ziet alleen wat hem aangaat.
Voor de werknemer is het account persoonsgebonden en gekoppeld aan een persoonlijk e-mailadres. Dit detail heeft een directe consequentie: de kluis blijft actief na vertrek uit het bedrijf, op voorwaarde dat het persoonlijke e-mailadres is ingevuld en up-to-date is. Veel werknemers van Leroy Merlin ontdekken te laat dat ze hun zakelijke e-mailadres als enige identificatie hebben achtergelaten, wat het onmogelijk maakt om te herstellen zodra het ADEO-account is gedeactiveerd.
Om in te loggen op MyArkevia Leroy Merlin zonder risico, raden we aan bij de eerste inlog te controleren of het e-mailadres dat aan het account is gekoppeld een persoonlijk adres is, geen adres in @leroymerlin.fr of @adeo.com.
Voor de werkgever dient het portaal arkevia.com uitsluitend om de automatische verzending van loonstroken in te stellen. Er is geen lees toegang tot de kluis van de werknemer mogelijk vanuit deze interface. Deze scheiding van rollen is een structureel beveiligingsmechanisme, geen eenvoudige kwestie van ergonomie.
Wachtwoordherstel MyArkevia: een zwakke schakel die moet worden vergrendeld
De procedure voor het herstellen van het wachtwoord op MyArkevia is uitsluitend gebaseerd op e-mail. Geen verificatie per sms, geen beveiligingsvragen, geen native dubbele authenticatie. Dit is het meest concrete kwetsbaarheidspunt van het platform.
In de praktijk kan iedereen die toegang heeft tot de mailbox die aan het account is gekoppeld het wachtwoord resetten en de volledige archiefdocumenten raadplegen. Voor een werknemer die een Gmail- of Outlook-adres gebruikt zonder tweefactorauthenticatie, is de digitale kluis alleen beschermd door de sterkte van het wachtwoord van de e-mail.
Beschermingsmaatregelen die onmiddellijk moeten worden toegepast
- De tweefactorauthenticatie (2FA) inschakelen op het persoonlijke e-mailadres dat aan MyArkevia is gekoppeld, hetzij via een app zoals Google Authenticator of per sms
- Een uniek wachtwoord voor MyArkevia gebruiken, dat verschilt van dat van de e-mail en van andere online diensten
- Regelmatig controleren in de accountinstellingen of het herstel e-mailadres nog steeds geldig en toegankelijk is
- Nooit inloggen op MyArkevia vanaf een openbaar Wi-Fi-netwerk zonder VPN, omdat de inloggegevens in het openbaar worden verzonden op een niet-versleuteld netwerk
Het ontbreken van 2FA aan de kant van MyArkevia legt de volledige verantwoordelijkheid voor de beveiliging bij de werknemer. We merken op dat deze overdracht van verantwoordelijkheid zelden wordt uitgelegd bij het activeren van de kluis in het bedrijf.
Langdurige bewaring en bewijswaarde van gearchiveerde documenten
MyArkevia belooft een duurzame bewaring van documenten, vaak gepresenteerd als een “levenslange” archivering. Deze formulering verdient een technische precisering. De aangekondigde bewaartijd bedraagt meerdere tientallen jaren, wat ruim voldoet aan de wettelijke verplichtingen voor het bewaren van loonstroken.
De bewijswaarde van de ingediende documenten is gebaseerd op een mechanisme van tijdstempeling en verzegeling dat garandeert dat het bestand niet is gewijzigd na indiening. Een loonstrook die op MyArkevia wordt geraadpleegd, heeft dezelfde juridische waarde als het papieren origineel, op voorwaarde dat de kluis voldoet aan de normen voor archivering met bewijswaarde.
Wat dit concreet verandert voor een werknemer van Leroy Merlin
In geval van een arbeidsconflict of een aanvraag voor een hypotheek zijn de documenten die zijn gedownload van MyArkevia ontvankelijk. Het elektronische zegel dat bij de indiening door de werkgever is aangebracht, dient als bewijs van integriteit.
Een veelvoorkomende valstrik: een document downloaden, het wijzigen (zelfs onopzettelijk door het opnieuw op te slaan in een ander formaat), en het vervolgens als bewijsstuk presenteren. Het bestand verliest dan zijn integriteitszegel. We raden aan altijd de originele PDF zoals gedownload te verstrekken, zonder conversie of annotatie.
Beheer van het MyArkevia-account na vertrek bij Leroy Merlin
De digitale kluis van MyArkevia is niet gekoppeld aan de arbeidsovereenkomst maar aan de werknemer. Na een ontslag, een beëindiging of het aflopen van een tijdelijk contract blijft het account toegankelijk. De werkgever stopt gewoon met het indienen van nieuwe documenten.
De technische voorwaarde is duidelijk: het persoonlijke e-mailadres moet zijn ingevuld voordat het ADEO-account wordt gedeactiveerd. Zodra de toegang tot het interne netwerk is afgesloten, is er geen herstelmechanisme via het bedrijf.
- Voor vertrek een lokale kopie van alle documenten op een persoonlijk opslagmedium (harde schijf, versleutelde USB-stick) downloaden
- Het e-mailadres van het MyArkevia-account bijwerken naar een duurzaam persoonlijk adres
- De verbinding testen vanaf een persoonlijk apparaat buiten het Leroy Merlin-netwerk om te bevestigen dat de toegang werkt
Een werknemer die Leroy Merlin verlaat zonder zijn e-mail te hebben bijgewerkt, verliest potentieel de toegang tot meerdere jaren aan loonstroken. Deze situatie, hoewel theoretisch omkeerbaar via de ondersteuning van Cegedim, kost tijd en vereist een handmatige identiteitsverificatie.
De beveiliging van een digitale kluis hangt niet alleen af van de technische infrastructuur. Op MyArkevia is het in grote mate afhankelijk van eenvoudige handelingen van de werknemer: keuze van het e-mailadres, sterkte van het wachtwoord van de e-mail, behoud van de originele bestanden. Dit zijn de details, die zelden worden behandeld in de inloggidsen, die het verschil maken tussen betrouwbare archivering en schijnbeveiliging.