Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel collectées via le Service PlanSSIAP est :

• D!Clario, micro-entreprise, [ADRESSE À COMPLÉTER]
• Contact : contact.diclario@gmail.com

La présente politique décrit comment les données personnelles sont collectées, utilisées et protégées dans le cadre de l'utilisation du Service, conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et à la loi Informatique et Libertés modifiée.

Pour les données relatives à leurs propres agents (identité, planning, heures), les Agences clientes agissent en qualité de responsables de traitement, D!Clario intervenant comme sous-traitant au sens du RGPD pour l'hébergement et le traitement technique. Un contrat de sous-traitance (DPA) encadre cette relation.

2. Données collectées

Données d'identité des Agents

Nom, prénom, matricule, numéro de téléphone, niveau de qualification SSIAP, éventuellement numéro de carte professionnelle, date d'expiration de la certification FCO.

Données de planning

Vacations affectées, sites d'intervention, horaires, statuts (planifié, confirmé, absent, remplacé).

Données de géolocalisation

Coordonnées GPS transmises par l'Agent au moment du pointage sur site, utilisées uniquement pour vérifier sa présence dans le périmètre autorisé. Ces données ne sont pas utilisées pour un suivi permanent de localisation.

Coordonnées de contact

Adresse email et numéro de téléphone du Responsable et des Agents, utilisés pour les notifications, alertes et communications liées au Service.

Données de paie et heures travaillées

Heures de vacation, catégorisation des heures (normales, nuit, dimanche, jours fériés), utilisées pour la génération des exports de paie et des factures.

Données de compte utilisateur

Identifiants de connexion et historique d'activité sur le Service.

3. Base légale et finalités du traitement

• Exécution du contrat (article 6.1.b du RGPD) : gestion du planning, du pointage, des remplacements d'urgence, de la facturation et de l'abonnement — ces traitements sont nécessaires à la fourniture du Service souscrit par l'Agence.
• Intérêt légitime (article 6.1.f du RGPD) : amélioration du Service, sécurité et prévention de la fraude, statistiques d'usage anonymisées, et pointage géolocalisé — la géolocalisation n'est JAMAIS utilisée pour calculer les heures rémunérées (seul le planning fait foi), le suivi ne s'effectue que pendant les missions déclarées, et les agents doivent être informés de ce dispositif par l'Agence, conformément aux recommandations CNIL sur la géolocalisation des salariés.
• Obligation légale (article 6.1.c du RGPD) : conservation de certaines données à des fins comptables et fiscales.

Ces traitements répondent aux finalités suivantes : planification et gestion des remplacements d'urgence ; suivi du temps de présence sur site (à titre informatif, non substitutif au planning pour le calcul de la paie) ; préparation des exports de paie et de la facturation ; communication opérationnelle (notifications email/SMS) ; gestion des comptes et sécurité du Service.

4. Durée de conservation

• Données de compte (Responsable, Agent) : pendant toute la durée de l'abonnement, puis 5 ans après la fin de la relation contractuelle, durée correspondant à la prescription civile de droit commun (article 2224 du Code civil), pour couvrir un éventuel litige contractuel après résiliation, sauf demande d'effacement anticipé.
• Données de planning et de paie : conservées 5 ans, durée cohérente avec les obligations de conservation des documents relatifs au temps de travail en droit du travail français.
• Données de géolocalisation (pointage GPS) : conservées 6 mois à 1 an, sauf litige en cours.
• Données de facturation : conservées 10 ans conformément aux obligations comptables et fiscales.
• Logs techniques et de sécurité : conservés 1 an maximum.

5. Destinataires des données

Les données sont accessibles à l'équipe D!Clario dans la limite de leurs fonctions, ainsi qu'aux sous-traitants techniques listés ci-dessous, strictement dans le cadre de la fourniture du Service. Les données d'une Agence ne sont jamais accessibles aux autres Agences clientes de la plateforme (architecture multi-tenant avec isolation stricte par agence via Row Level Security au niveau de la base de données). Les personnes habilitées de l'Agence cliente concernée y ont également accès, dans la limite de leurs propres données.

6. Sous-traitants

• Supabase (hébergement de la base de données et authentification) — infrastructure cloud hébergée dans l'Union européenne (région configurable). Voir les engagements RGPD de Supabase sur supabase.com/privacy.
• Vercel Inc. (hébergement de l'application) — société américaine. Transferts encadrés par des clauses contractuelles types (CCT) approuvées par la Commission européenne. Voir vercel.com/legal/dpa.
• Resend (envoi des emails transactionnels — notifications, factures, exports) — société américaine et européenne, transferts encadrés par des clauses contractuelles types.
• Stripe (traitement des paiements de l'abonnement) — société américaine (Stripe Inc.) et irlandaise (Stripe Payments Europe), certifiée PCI-DSS, transferts encadrés par des clauses contractuelles types. PlanSSIAP ne stocke aucune donnée de carte bancaire.
• Twilio (envoi de SMS d'alerte et de notification) — société américaine. Ce sous-traitant est intégré techniquement mais n'est pas encore activé en production à la date de mise à jour de cette page ; cette section sera mise à jour lors de son activation effective.

Aucune donnée n'est vendue ou cédée à des tiers à des fins commerciales ou publicitaires.

7. Droits des personnes concernées

Conformément au RGPD, toute personne dont les données sont traitées dispose des droits suivants :

• Droit d'accès : obtenir la confirmation que ses données sont traitées et en obtenir une copie.
• Droit de rectification : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de ses données, dans les limites prévues par la loi.
• Droit à la limitation du traitement : demander la suspension temporaire d'un traitement.
• Droit à la portabilité : recevoir ses données dans un format structuré et couramment utilisé.
• Droit d'opposition : s'opposer à un traitement fondé sur l'intérêt légitime, pour des raisons tenant à sa situation particulière.

8. Modalités d'exercice des droits

Pour exercer l'un de ces droits, toute personne concernée peut adresser sa demande à contact.diclario@gmail.com, en précisant son identité et l'objet de sa demande. Une réponse sera apportée dans un délai maximum d'un mois à compter de la réception de la demande, ce délai pouvant être prolongé de deux mois supplémentaires en cas de demande complexe, l'Utilisateur en étant alors informé.

Pour les agents d'une Agence cliente, il est recommandé de contacter en priorité son employeur, responsable de traitement pour ses données.

9. Réclamation auprès de la CNIL

Si une personne concernée estime, après nous avoir contactés, que ses droits ne sont pas respectés, elle peut adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (CNIL) : www.cnil.fr, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

10. Sécurité des données

D!Clario met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre tout accès non autorisé, perte, altération ou divulgation, notamment :

• chiffrement des données en transit (HTTPS/TLS) et au repos ;
• isolation stricte des données entre agences clientes par des politiques de sécurité au niveau des lignes (Row Level Security) sur la base de données ;
• authentification sécurisée des accès (comptes Responsable et Agent distincts, jetons de session) ;
• accès aux données restreint aux membres de l'équipe D!Clario dans la limite de leurs fonctions.

11. Cookies

Le site utilise uniquement des cookies strictement nécessaires au fonctionnement du Service (maintien de la session de connexion, préférences d'affichage). Ces cookies ne nécessitent pas de consentement préalable au titre de la réglementation applicable. Aucun cookie de mesure d'audience ou publicitaire tiers n'est déposé sur le site à ce jour.

12. Contact

Pour toute question relative à la présente politique de confidentialité ou au traitement de vos données personnelles, vous pouvez contacter le responsable de traitement à l'adresse contact.diclario@gmail.com.