Politique de confidentialité

1. L’essentiel en cinq points

2. Qui est responsable de quoi

Deux situations doivent être distinguées, car elles n’ont pas le même responsable.

Données du registre salariés

L’employeur est responsable de traitement. C’est lui qui décide de tenir un registre, qui crée les comptes, qui active ou non la géolocalisation, qui informe ses salariés. Thomas HERY agit comme sous-traitant au sens de l’article 28 du RGPD : il héberge et fait fonctionner l’outil, sur instruction de l’employeur, sans usage propre des données. Les conditions de cette sous-traitance figurent en annexe.

Site vitrine et création d’un registre employeurs

Thomas HERY est responsable de traitement pour les données recueillies lors de la création d’un registre (nom et SIRET de l’entreprise, adresse et position de l’établissement, adresse électronique de l’administrateur), pour les échanges de support et pour les journaux techniques du serveur.

Si vous êtes salarié et que vous vous interrogez sur les données vous concernant, adressez-vous d’abord à votre employeur : c’est lui qui décide de ce qui est collecté.

3. Données traitées et bases légales

Aucune donnée n’est utilisée pour une décision entièrement automatisée produisant des effets juridiques, ni pour du profilage. Les alertes du service (pointage hors zone, hors planning, absence signalée) sont des signalements portés à un responsable humain, qui décide seul de la suite.

4. Ce que La Badgeuse ne fait pas

• Aucune donnée biométrique n’est transmise ni stockée. Lorsqu’un salarié déverrouille par visage ou empreinte, la vérification est faite par son appareil ; le service ne reçoit qu’une confirmation cryptographique d’identité. Aucune image, aucun gabarit d’empreinte ne quitte l’appareil.
• Aucun suivi de déplacement. La position n’est demandée qu’au moment où l’on badge, et uniquement si la zone de badgeage est activée. Entre deux pointages, rien n’est collecté. L’application ne fonctionne pas en arrière-plan.
• Aucun traceur publicitaire, aucun outil de mesure d’audience tiers, aucun bouton de réseau social, aucune balise externe — ni sur le site, ni dans l’application.
• Aucune revente ni partage commercial des données, sous quelque forme que ce soit, y compris agrégée.
• Aucun entraînement de modèle d’intelligence artificielle sur vos données.
• Aucune écoute, aucune caméra, aucune capture d’écran. Le service ne demande ni micro, ni caméra.

5. Cookies

Le service dépose un unique cookie de session, strictement nécessaire au fonctionnement : il maintient votre connexion le temps de votre visite. Il est limité à l’adresse exacte de votre registre, n’est pas partagé entre entreprises et disparaît à la fermeture de la session.

Aucun cookie publicitaire, de mesure d’audience ou de personnalisation n’est utilisé. C’est pourquoi aucun bandeau de consentement ne vous est présenté : il n’y a rien à consentir.

6. Durées de conservation

À la clôture d’un registre, les données sont supprimées ou anonymisées dans un délai de 30 jours, sauf obligation légale de conservation ou instruction contraire de l’employeur. Exportez votre registre avant la clôture.

7. Le cas du registre inaltérable

La valeur d’un registre de temps de travail tient à ce qu’on ne puisse pas le réécrire après coup. Chaque écriture est donc chaînée à la précédente par empreinte cryptographique, puis scellée quotidiennement avec un horodatage indépendant. Supprimer une ligne romprait la chaîne et détruirait la preuve pour toutes les autres.

Le droit à l’effacement s’exerce donc par pseudonymisation, procédé expressément admis par le RGPD lorsque la conservation répond à une obligation légale ou à la constatation d’un droit en justice (article 17.3 b et e) :

• l’identité de la personne est remplacée dans sa fiche par une mention neutre, son adresse électronique et son téléphone sont effacés, son compte est désactivé ;
• toutes les interfaces — consultation, administration, export — n’affichent plus que la mention neutre ;
• l’opération elle-même est inscrite au registre (date, demandeur, motif), pour être vérifiable ;
• seules subsistent les écritures historiques nécessaires à l’intégrité de la chaîne, dont l’accès est restreint.

Cette limite est assumée et documentée : elle est le prix de l’inaltérabilité, qui protège aussi le salarié — un employeur ne peut pas effacer discrètement une journée travaillée.

8. Qui d’autre voit les données

Au sein de votre entreprise : les administrateurs que vous avez désignés, et chaque salarié pour ses propres pointages. Aucun registre n’est visible depuis un autre registre.

En dehors, la liste est courte et complète :

Les données du registre ne font l’objet d’aucun transfert hors de l’Union européenne. Elles peuvent être communiquées à une autorité (inspection du travail, autorité judiciaire) sur réquisition régulière ; l’employeur en est alors informé, sauf interdiction légale.

9. Sécurité

• Chiffrement systématique des échanges (HTTPS obligatoire, y compris sur les sous-domaines).
• Cloisonnement des registres : chaque entreprise dispose de sa propre adresse, de ses propres sessions et de ses propres caches ; les requêtes sont filtrées par entreprise à tous les niveaux.
• Secrets jamais stockés en clair : les codes PIN sont hachés, et la recherche d’un salarié par son PIN passe par un index non réversible, calculé avec une clé secrète conservée hors de la base.
• Authentification forte par clé d’accès (WebAuthn) sur les appareils de confiance, et re-vérification exigée pour les actions d’administration sensibles.
• Intégrité vérifiable : chaînage par empreinte SHA-256, scellement quotidien horodaté, export accompagné d’une signature vérifiable par un tiers.
• Sauvegardes quotidiennes de la base, contrôlées par empreinte et conservées en plusieurs copies.
• Traçabilité des actions d’administration, et accès aux serveurs restreint à l’éditeur.

Aucun système n’est infaillible. En cas de violation de données susceptible d’engendrer un risque, l’éditeur en informe l’employeur concerné dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les éléments nécessaires à sa propre notification à la CNIL. Une faille peut être signalée à support@la-badgeuse.fr ; un signalement de bonne foi n’expose son auteur à aucune poursuite.

10. Vos droits et comment les exercer

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de retirer votre consentement lorsque le traitement s’y appuie (récapitulatif hebdomadaire, notifications).

• Salarié : adressez votre demande à votre employeur, responsable du traitement. Vous pouvez déjà consulter vos pointages à tout moment depuis votre historique, et demander une correction directement dans l’application.
• Employeur : écrivez à contact@la-badgeuse.fr. L’éditeur vous assiste dans le traitement des demandes de vos salariés, y compris l’anonymisation décrite à l’article 7.
• Délai : un mois, prolongeable de deux mois si la demande est complexe. Une réponse motivée est donnée dans tous les cas.
• Portabilité : l’export du registre (PDF et CSV) est disponible à tout moment depuis l’interface d’administration.

Aucun délégué à la protection des données n’a été désigné : le service ne remplit pas les conditions qui l’imposent, et l’éditeur répond personnellement à contact@la-badgeuse.fr.

Si une réponse ne vous satisfait pas, vous pouvez saisir la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.

11. Annexe — sous-traitance (article 28 RGPD)

Cette annexe constitue l’acte juridique encadrant le traitement des données du registre par l’éditeur pour le compte de l’employeur. Elle est acceptée en même temps que les conditions d’utilisation, et peut être remplacée par un contrat distinct signé entre les parties.

Objet et finalité

Hébergement et exploitation d’un registre de temps de travail pour le compte de l’employeur, à l’exclusion de toute finalité propre à l’éditeur.

Nature des opérations

Collecte au moment du badgeage, enregistrement, structuration, conservation, consultation, extraction, communication à l’employeur, effacement ou anonymisation.

Catégories de données

Identité, données de connexion et d’authentification, horaires de travail, position au moment du badgeage lorsque cette option est activée, données d’organisation (planning, tâches) lorsque ces modules sont activés. Aucune donnée biométrique, aucune donnée de santé, aucune donnée relevant de l’article 9 du RGPD.

Personnes concernées

Salariés et administrateurs inscrits au registre par l’employeur.

Durée

Celle de l’utilisation du service, prolongée des durées de conservation de l’article 6.

Instructions

L’éditeur ne traite les données que sur instruction documentée de l’employeur — les réglages de l’application et les demandes écrites valant instructions. Il informe l’employeur s’il estime qu’une instruction constitue une violation du RGPD.

Confidentialité

L’éditeur est seul à disposer d’un accès technique ; il est tenu à la confidentialité, sans limitation de durée. Toute personne qui viendrait à l’assister serait soumise au même engagement écrit.

Sécurité

Mesures techniques et organisationnelles décrites à l’article 9, revues à mesure de l’évolution du service.

Sous-traitants ultérieurs

Ceux listés à l’article 8, autorisés de façon générale par l’employeur. Tout ajout ou remplacement est annoncé par courriel avec un préavis de 30 jours, l’employeur pouvant s’y opposer et, à défaut d’accord, clôturer son registre après export.

Assistance

L’éditeur assiste l’employeur pour répondre aux demandes d’exercice de droits, pour notifier une violation de données et, le cas échéant, pour une analyse d’impact.

Sort des données en fin de contrat

Au choix de l’employeur : restitution par export complet, puis suppression ou anonymisation dans les 30 jours, sous réserve des obligations légales de conservation. La restitution est possible avant toute clôture, et sans frais.

Documentation et audit

L’éditeur met à disposition les informations nécessaires pour démontrer le respect de l’article 28 et se prête aux audits raisonnables de l’employeur, sous réserve de préavis, de confidentialité et de préservation de la sécurité des autres registres.

Registre des traitements

L’éditeur tient un registre des catégories d’activités de traitement effectuées pour le compte des employeurs, communicable sur demande.

Le service étant aujourd’hui fourni par une personne physique, cette annexe engage Thomas HERY personnellement. Elle sera reprise à l’identique par la société lors de son immatriculation, sans nouvelle acceptation requise si aucune de ses clauses ne change.

12. Contact et mise à jour

Pour toute question relative à cette politique ou à vos données : contact@la-badgeuse.fr.

Cette politique peut évoluer avec le service ou la réglementation. Toute modification substantielle est annoncée par courriel aux administrateurs des registres actifs avant son entrée en vigueur. La version applicable est celle publiée ici, datée en tête de document.

Consulter les conditions d’utilisation · Mentions légales