Politique de confidentialité

Responsable du traitement

Raison sociale: pas encore renseigné
Rue et numéro: pas encore renseigné
Code postal: pas encore renseigné Ville: pas encore renseigné Pays du siège: pas encore renseigné
E-mail : pas encore renseigné

Quelles données nous traitons

Compte : Adresse e-mail, prénom et nom, société et numéro de TVA (obligatoires — SchnurPlan s’adresse aux entreprises), adresse postale (rue, numéro, code postal, localité, pays), numéro de téléphone, mot de passe (stocké uniquement sous forme de hachage Argon2id), horodatages de connexion. Base juridique : exécution du contrat (art. 6, § 1, b RGPD).

Sessions : Cinq cookies techniquement nécessaires, rien de plus. La connexion est maintenue par le cookie de session (sp_session, HttpOnly, 30 jours). S’y ajoutent sp_lang (la langue choisie pour le site, un an), sp_pending et sp_signup_email (attente de la confirmation de l’adresse e-mail, 24 heures chacun, HttpOnly) ainsi que sp_active_org (la dernière organisation choisie, un an, HttpOnly). Pas de tracking, pas de cookies publicitaires, pas de services d’analyse.

Paiement : Traitement via Stripe Payments Europe Ltd. Nous ne stockons pas de données de carte ; Stripe reçoit les informations nécessaires au paiement. Base juridique : exécution du contrat. Détails : stripe.com/de/privacy.

Vérification de licence : Lors de la connexion et de la vérification de licence, l’application de bureau transmet l’identifiant du compte, un identifiant d’appareil et la version de l’application. Cela est nécessaire pour activer automatiquement la licence et faire respecter la limite d’appareils (art. 6, § 1, b et f RGPD).

Synchronisation de projet (optionnelle) : Si le client utilise la synchronisation basée sur serveur, les données de projet sont stockées chiffrées sur des serveurs que nous exploitons et synchronisées entre les appareils de l’organisation. Le traitement s’effectue en tant que sous-traitance au sens de l’art. 28 RGPD ; sans cette fonction, les données de projet restent exclusivement locales chez le client. Base juridique : exécution du contrat (art. 6, § 1, b RGPD).

Journaux serveur & sécurité : Adresses IP dans les journaux d’audit (tentatives de connexion, téléchargements) pour prévenir les abus, conservées pas encore renseigné. Distribution via Cloudflare (proxy/CDN) ; pour des raisons techniques, Cloudflare traite alors des adresses IP.

Données de l’application dans l’entreprise

Si une entreprise utilise l’application pour enregistrer la présence de son personnel, c’est elle, en tant qu’employeur, qui décide de la finalité et de l’étendue de ce traitement ; elle en est le responsable. Nous traitons ces données pour son compte (sous-traitance au sens de l’art. 28 RGPD). Les questions sur la finalité, l’étendue et la durée de conservation sont traitées par l’entreprise.

Présence et temps de travail : Heure d’arrivée et de départ, pauses pointées, chantier ou projet attribué, temps de travail qui en découlent (prévu, réalisé, écart), absences ainsi que demandes de correction et leur motif.

Localisation : Si l’entreprise utilise la localisation, l’appareil transmet lors du pointage la latitude et la longitude, la précision de la localisation, la distance jusqu’au chantier attribué et le résultat qui en découle (à l’intérieur ou à l’extérieur de la zone). Sans autorisation de localisation sur l’appareil, aucune position n’est transmise ; l’entreprise peut en outre subordonner la localisation à un consentement.

Appareil et connexion : Un identifiant d’appareil, les informations sur l’appareil et le navigateur, la version de l’application et le message brut envoyé par l’appareil. La connexion crée en outre des entrées de journal avec l’adresse IP, le pays et la ville, l’appareil et l’identification du navigateur.

Photos et documents : Les fichiers téléversés dans un projet — par exemple des photos de chantier, des plans et des pièces jointes — sont stockés chiffrés sur nos serveurs et ne sont remis qu’aux membres autorisés de l’organisation. Une photo peut montrer un lieu, un moment et des personnes.

Messages, agenda, avis : Messages de la messagerie avec leurs pièces jointes et l’état de lecture, entrées d’agenda avec participants et rappels, ainsi que les avis adressés aux membres de l’organisation.

Notifications : Si quelqu’un active les notifications push dans l’application, nous enregistrons l’adresse du service de notification de son navigateur ou de son appareil, deux clés associées, la plateforme et l’identifiant de l’appareil. La notification elle-même est distribuée par le service du fabricant du navigateur ou de l’appareil. Elle peut être désactivée à tout moment dans l’application.

Consentement et signature : Si l’entreprise exige un consentement, la signature sous forme d’image, le texte signé, le moment, l’adresse IP et l’identification du navigateur sont conservés. Le consentement peut être retiré dans l’application ; la preuve de la signature antérieure est conservée.

Dans l’application, l’accès aux données personnelles montre les données de présence enregistrées — pointages, temps de travail, corrections, état du consentement et durée de conservation — et les exporte sous forme de fichier. Pour les messages, les entrées d’agenda, les fichiers déposés et les journaux de connexion, il faut s’adresser à l’entreprise. C’est l’entreprise qui décide de la suppression de ces données, notamment parce que les temps de travail peuvent être soumis à des obligations légales de conservation. Les salariés adressent donc leurs demandes de suppression à leur entreprise ; nous les exécutons pour son compte.

Destinataires

Stripe (paiements), Cloudflare (DNS/proxy/protection anti-bots Turnstile, stockage de téléchargements R2), le service de notification du fabricant du navigateur ou de l’appareil concerné (uniquement si les notifications push sont activées), pas encore renseigné.

Durée de conservation

Données de compte jusqu’à la suppression du compte ; données de facturation selon les obligations légales de conservation (10 ans) ; journaux d’audit pas encore renseigné.

Vos droits

Accès, rectification, effacement, limitation, portabilité des données, opposition (art. 15 à 21 RGPD) ainsi que réclamation auprès d’une autorité de contrôle. Demandes à : pas encore renseigné. Un export de vos données de compte est possible à tout moment sur demande.