Politique de confidentialité

1. L’essentiel en cinq points

2. Qui est responsable de quoi

Deux situations doivent être distinguées, car elles n’ont pas le même responsable.

Données du registre salariés

L’employeur est responsable de traitement. C’est lui qui décide de tenir un registre, qui crée les comptes, qui active ou non la géolocalisation, qui informe ses salariés. Thomas HERY agit comme sous-traitant au sens de l’article 28 du RGPD : il héberge et fait fonctionner l’outil, sur instruction de l’employeur, sans usage propre des données. Les conditions de cette sous-traitance figurent en annexe.

Site vitrine et création d’un registre employeurs

Thomas HERY est responsable de traitement pour les données recueillies lors de la création d’un registre (nom et SIRET de l’entreprise, adresse et position de l’établissement, adresse électronique de l’administrateur), pour les échanges de support et pour les journaux techniques du serveur.

Si vous êtes salarié et que vous vous interrogez sur les données vous concernant, adressez-vous d’abord à votre employeur : c’est lui qui décide de ce qui est collecté.

3. Données traitées et bases légales

Aucune donnée n’est utilisée pour une décision entièrement automatisée produisant des effets juridiques, ni pour du profilage. Les alertes du service (pointage hors zone, hors planning, absence signalée) sont des signalements portés à un responsable humain, qui décide seul de la suite. De même, la lecture d’un contrat propose des valeurs : l’administrateur les vérifie une à une, et rien n’est écrit sans lui.

4. Ce que La Badgeuse ne fait pas

• Aucune donnée biométrique n’est transmise ni stockée. Lorsqu’un salarié déverrouille par visage ou empreinte, la vérification est faite par son appareil ; le service ne reçoit qu’une confirmation cryptographique d’identité. Aucune image, aucun gabarit d’empreinte ne quitte l’appareil.
• Aucun suivi de consultation. Quand l’employeur veut savoir si un changement de planning a été vu, le service retient seulement le moment où la personne concernée l’a affiché pour la première fois. Ni l’adresse, ni l’appareil, ni le lieu, ni la liste de ses visites ne sont retenus.
• Aucun suivi de déplacement. La position n’est demandée qu’au moment où l’on badge, et uniquement si la zone de badgeage est activée. Entre deux pointages, rien n’est collecté. L’application ne fonctionne pas en arrière-plan.
• Aucun traceur publicitaire, aucun outil de mesure d’audience tiers, aucun bouton de réseau social, aucune balise externe — ni sur le site, ni dans l’application.
• Aucune revente ni partage commercial des données, sous quelque forme que ce soit, y compris agrégée.
• Aucun entraînement de modèle d’intelligence artificielle sur vos données.
• Aucune écoute, aucune caméra, aucune capture d’écran. Le service ne demande ni micro, ni caméra.

5. Cookies

Le service dépose un unique cookie de session, strictement nécessaire au fonctionnement : il maintient votre connexion le temps de votre visite. Il est limité à l’adresse exacte de votre registre, n’est pas partagé entre entreprises et disparaît à la fermeture de la session.

Aucun cookie publicitaire, de mesure d’audience ou de personnalisation n’est utilisé. C’est pourquoi aucun bandeau de consentement ne vous est présenté : il n’y a rien à consentir.

6. Durées de conservation

À la clôture d’un registre, les données sont supprimées ou anonymisées dans un délai de 30 jours, sauf obligation légale de conservation ou instruction contraire de l’employeur. Exportez votre registre avant la clôture.

7. Le cas du registre inaltérable

La valeur d’un registre de temps de travail tient à ce qu’on ne puisse pas le réécrire après coup. Chaque écriture est donc chaînée à la précédente par empreinte cryptographique, puis scellée quotidiennement avec un horodatage indépendant. Supprimer une ligne romprait la chaîne et détruirait la preuve pour toutes les autres.

Le droit à l’effacement s’exerce donc par pseudonymisation, procédé expressément admis par le RGPD lorsque la conservation répond à une obligation légale ou à la constatation d’un droit en justice (article 17.3 b et e) :

• l’identité de la personne est remplacée dans sa fiche par une mention neutre, son adresse électronique et son téléphone sont effacés, son compte est désactivé ;
• toutes les interfaces — consultation, administration, export — n’affichent plus que la mention neutre ;
• l’opération elle-même est inscrite au registre (date, demandeur, motif), pour être vérifiable ;
• seules subsistent les écritures historiques nécessaires à l’intégrité de la chaîne, dont l’accès est restreint.

Cette limite est assumée et documentée : elle est le prix de l’inaltérabilité, qui protège aussi le salarié — un employeur ne peut pas effacer discrètement une journée travaillée.

8. Qui d’autre voit les données

Au sein de votre entreprise : les administrateurs que vous avez désignés, et chaque salarié pour ses propres pointages. Aucun registre n’est visible depuis un autre registre.

En dehors, la liste est courte et complète :

Les données du registre ne font l’objet d’aucun transfert hors de l’Union européenne. Seuls en sortent, vers Anthropic aux États-Unis, le texte masqué d’un contrat qu’un administrateur choisit de faire lire et, pour la lecture d’un tableau des gardes, ce tableau public avec les noms à y chercher. Elles peuvent être communiquées à une autorité (inspection du travail, autorité judiciaire) sur réquisition régulière ; l’employeur en est alors informé, sauf interdiction légale.

Lecture d’un contrat : ce qui est retiré avant l’envoi

Quand un administrateur dépose un contrat de travail ou un avenant pour remplir la fiche d’un salarié, le document est traité sur nos serveurs, en France. Seul en sort un texte dont on a retiré ce qui identifie une personne. Voici comment, dans l’ordre.

1. Le texte est extrait sur place

Le texte d’un PDF est lu directement ; un scan ou une photo passe par un logiciel de reconnaissance de caractères installé sur le serveur, sans aucun service extérieur ; un fichier Word est ouvert sur place. Le fichier est effacé dès que son texte est extrait (s’il n’a pas pu l’être, au plus tard une heure après le dépôt). Le nom du fichier, qui porte souvent celui du salarié, n’est jamais conservé.

2. Les numéros et les coordonnées

Ce qui se reconnaît à sa forme est retiré en premier : numéro de sécurité sociale, IBAN et le code BIC qui l’accompagne, adresse de courriel, numéro de téléphone, SIRET et SIREN.

3. Les noms que le registre connaît

Le nom du salarié, celui de chacun de ses collègues (anciens compris), la dénomination et la raison sociale de l’établissement, ses sites et son SIRET sont retirés partout où ils apparaissent : en majuscules ou non, avec ou sans accents, en entier ou en morceaux. C’est pourquoi la création d’un profil fait saisir le nom avant de déposer le contrat.

4. Ce que le contrat présente lui-même

Un nom qui suit « Madame », « Monsieur », « Je soussigné(e) » ou un champ « Nom : » est retiré, puis retiré partout où il revient, jusque dans la signature. Sont retirés aussi : la date et le lieu de naissance, la nationalité, l’adresse qui suit « demeurant » ou « domicilié(e) », les adresses postales (numéro et voie, code postal et ville), les montants (salaire, primes), la ville de signature, et le motif d’absence d’un salarié remplacé par un CDD (congé de maternité, maladie, accident du travail…), qui est une donnée de santé. Enfin, toute suite d’au moins neuf chiffres encore visible est retirée par précaution.

5. Ce qui reste lisible

Ce que la lecture cherche : le type de contrat, ses dates, l’intitulé du poste, la durée du travail, les jours et les horaires. Les dates du contrat, les heures et les jours de la semaine ne sont jamais retirés, même quand un salarié s’appelle « Avril » ou « Mai ».

6. Ce qui part, et ce que l’administrateur en voit

Chaque élément retiré est remplacé par une étiquette entre crochets — [SALARIÉ], [EMPLOYEUR], [NIR], [ADRESSE]… — et seul ce texte est envoyé à Anthropic, avec la consigne de lecture et la date du jour. Ni le fichier, ni le nom de l’établissement, ni aucune donnée du registre ne sont envoyés, et Claude a pour consigne de ne jamais chercher ce que cachent les étiquettes. Avant de valider, l’administrateur voit ce qui a été retiré et le texte exact qui a été envoyé.

7. Ce qui est conservé

Chaque valeur proposée est accompagnée du passage qui la justifie, contrôlée par le serveur, puis validée une à une par l’administrateur. Le texte masqué et la réponse de la lecture sont effacés dès la validation ou l’abandon ; une lecture restée sans décision expire 24 heures après le dépôt. Le registre garde les valeurs écrites dans la fiche, l’empreinte du document et le nom du modèle qui l’a lu ; la trace de la lecture garde sa date, le type et la taille du fichier, et le nombre d’éléments retirés par catégorie.

Ce masquage est une pseudonymisation, pas une anonymisation. Il retire ce qui désigne directement une personne, mais une clause très particulière peut encore la faire reconnaître, et sur un scan de mauvaise qualité un nom mal reconnu peut échapper aux règles. C’est pourquoi le texte envoyé reste consultable par l’administrateur, et le RGPD continue de s’appliquer à ce texte comme au contrat.

9. Sécurité

• Chiffrement systématique des échanges (HTTPS obligatoire, y compris sur les sous-domaines).
• Cloisonnement des registres : chaque entreprise dispose de sa propre adresse, de ses propres sessions et de ses propres caches ; les requêtes sont filtrées par entreprise à tous les niveaux.
• Secrets jamais stockés en clair : les codes PIN sont hachés, et la recherche d’un salarié par son PIN passe par un index non réversible, calculé avec une clé secrète conservée hors de la base.
• Authentification forte par clé d’accès (WebAuthn) sur les appareils de confiance, et re-vérification exigée pour les actions d’administration sensibles.
• Intégrité vérifiable : chaînage par empreinte SHA-256, scellement quotidien horodaté, export accompagné d’une signature vérifiable par un tiers.
• Sauvegardes quotidiennes de la base, contrôlées par empreinte et conservées en plusieurs copies.
• Traçabilité des actions d’administration, et accès aux serveurs restreint à l’éditeur.

Aucun système n’est infaillible. En cas de violation de données susceptible d’engendrer un risque, l’éditeur en informe l’employeur concerné dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les éléments nécessaires à sa propre notification à la CNIL. Une faille peut être signalée à support@la-badgeuse.fr ; un signalement de bonne foi n’expose son auteur à aucune poursuite.

10. Vos droits et comment les exercer

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de retirer votre consentement lorsque le traitement s’y appuie (récapitulatif hebdomadaire, notifications).

• Salarié : adressez votre demande à votre employeur, responsable du traitement. Vous pouvez déjà consulter vos pointages à tout moment depuis votre historique, et demander une correction directement dans l’application.
• Employeur : écrivez à contact@la-badgeuse.fr. L’éditeur vous assiste dans le traitement des demandes de vos salariés, y compris l’anonymisation décrite à l’article 7.
• Délai : un mois, prolongeable de deux mois si la demande est complexe. Une réponse motivée est donnée dans tous les cas.
• Portabilité : l’export du registre (PDF et CSV) est disponible à tout moment depuis l’interface d’administration.

Aucun délégué à la protection des données n’a été désigné : le service ne remplit pas les conditions qui l’imposent, et l’éditeur répond personnellement à contact@la-badgeuse.fr.

Si une réponse ne vous satisfait pas, vous pouvez saisir la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.

11. Annexe — sous-traitance (article 28 RGPD)

Cette annexe constitue l’acte juridique encadrant le traitement des données du registre par l’éditeur pour le compte de l’employeur. Elle est acceptée en même temps que les conditions d’utilisation, et peut être remplacée par un contrat distinct signé entre les parties.

Objet et finalité

Hébergement et exploitation d’un registre de temps de travail pour le compte de l’employeur, à l’exclusion de toute finalité propre à l’éditeur.

Nature des opérations

Collecte au moment du badgeage, enregistrement, structuration, conservation, consultation, extraction, communication à l’employeur, effacement ou anonymisation ; lecture d’un contrat déposé par l’administrateur, après masquage, pour en proposer les horaires.

Catégories de données

Identité, données de connexion et d’authentification, horaires de travail, position au moment du badgeage lorsque cette option est activée, données d’organisation (planning, tâches) lorsque ces modules sont activés, clauses de durée et d’horaires d’un contrat de travail que l’administrateur dépose. Aucune donnée biométrique ; aucune donnée de santé ni relevant de l’article 9 du RGPD n’est enregistrée — le motif d’absence qu’un contrat de remplacement peut citer est retiré avant tout envoi et effacé avec le texte (article 8).

Personnes concernées

Salariés et administrateurs inscrits au registre par l’employeur.

Durée

Celle de l’utilisation du service, prolongée des durées de conservation de l’article 6.

Instructions

L’éditeur ne traite les données que sur instruction documentée de l’employeur — les réglages de l’application et les demandes écrites valant instructions. Il informe l’employeur s’il estime qu’une instruction constitue une violation du RGPD.

Confidentialité

L’éditeur est seul à disposer d’un accès technique ; il est tenu à la confidentialité, sans limitation de durée. Toute personne qui viendrait à l’assister serait soumise au même engagement écrit.

Sécurité

Mesures techniques et organisationnelles décrites à l’article 9, revues à mesure de l’évolution du service.

Sous-traitants ultérieurs

Ceux listés à l’article 8, autorisés de façon générale par l’employeur. Tout ajout ou remplacement est annoncé par courriel avec un préavis de 30 jours, l’employeur pouvant s’y opposer et, à défaut d’accord, clôturer son registre après export.

Assistance

L’éditeur assiste l’employeur pour répondre aux demandes d’exercice de droits, pour notifier une violation de données et, le cas échéant, pour une analyse d’impact.

Sort des données en fin de contrat

Au choix de l’employeur : restitution par export complet, puis suppression ou anonymisation dans les 30 jours, sous réserve des obligations légales de conservation. La restitution est possible avant toute clôture, et sans frais.

Documentation et audit

L’éditeur met à disposition les informations nécessaires pour démontrer le respect de l’article 28 et se prête aux audits raisonnables de l’employeur, sous réserve de préavis, de confidentialité et de préservation de la sécurité des autres registres.

Registre des traitements

L’éditeur tient un registre des catégories d’activités de traitement effectuées pour le compte des employeurs, communicable sur demande.

Le service étant aujourd’hui fourni par une personne physique, cette annexe engage Thomas HERY personnellement. Elle sera reprise à l’identique par la société lors de son immatriculation, sans nouvelle acceptation requise si aucune de ses clauses ne change.

12. Contact et mise à jour

Pour toute question relative à cette politique ou à vos données : contact@la-badgeuse.fr.

Cette politique peut évoluer avec le service ou la réglementation. Toute modification substantielle est annoncée par courriel aux administrateurs des registres actifs avant son entrée en vigueur. La version applicable est celle publiée ici, datée en tête de document.

Consulter les conditions d’utilisation · Mentions légales