Politique de Confidentialité

Introduction

Chez SimpliTeam (BUREAU DU COLOMBIER Thomas, 13 rue Henri IV, 11170 Villesèquelande), nous accordons une grande importance à la protection de vos données personnelles. Cette politique de confidentialité explique quelles informations nous collectons, comment nous les utilisons, les traceurs déployés sur le site, et comment exercer vos droits.

1. Données collectées

Nous collectons et traitons les catégories de données suivantes :

• Identification : nom, prénom, adresse email, avatar
• Données RH et contractuelles : type de contrat, heures hebdomadaires ou annuelles, forfait jours, RTT, dates de début et fin de contrat
• Planning et présence : horaires planifiés et enregistrements de présence
• Absences : dates, catégories, motifs, statut d'approbation
• Messagerie interne : contenu des messages échangés entre utilisateurs au sein de l'application
• Facturation : adresse de facturation, N° de TVA, identifiant client Stripe, statut et historique d'abonnement

Lors de la navigation, des données techniques sont collectées à des fins de sécurité : adresse IP, navigateur (User-Agent), pages visitées — conservées 30 jours maximum dans nos journaux serveur.

Des logs d'audit utilisateur sont également générés pour chaque action de modification (création, édition, suppression) : ils enregistrent l'identifiant de l'utilisateur, l'action effectuée, la ressource concernée, l'horodatage, l'adresse IP et le navigateur (User-Agent). Ces logs sont conservés 30 jours maximum.

1bis. Journaux d'audit : un dispositif permettant le contrôle de l'activité

Nous tenons à qualifier ce traitement pour ce qu'il est, plutôt que de le présenter comme un simple journal technique. Parce qu'ils rattachent chaque modification de planning, de présence ou d'absence à une personne identifiée, à une heure et à une adresse IP, les logs d'audit constituent, lorsqu'ils sont appliqués aux salariés d'une entreprise cliente, un dispositif permettant le contrôle de l'activité des salariés — et non seulement une mesure de sécurité.

Finalités : sécurité du service et prévention des abus, d'une part ; traçabilité des modifications apportées aux plannings et aux absences, d'autre part. Cette traçabilité sert l'employeur comme le salarié : c'est elle qui permet d'établir qui a modifié un horaire et à quel moment, ce dont dépend la valeur probante du décompte du temps de travail (Art. L3171-4 du Code du travail).

Base légale : l'intérêt légitime du responsable de traitement (article 6.1.f du RGPD) à sécuriser son système d'information et à assurer la traçabilité des données de gestion du temps de travail.

Obligations incombant à l'entreprise cliente. L'entreprise qui utilise SimpliTeam est responsable de traitement pour les données de ses salariés (voir l'annexe de sous-traitance de nos CGU). À ce titre, et préalablement à la mise en service de l'outil, il lui appartient :

• d'informer individuellement ses salariés de l'existence de ce dispositif, de ses finalités et de la durée de conservation des journaux ;
• de consulter le comité social et économique (CSE) lorsqu'il en existe un, préalablement à la décision de mise en œuvre (Art. L2312-38 du Code du travail) ;
• d'inscrire ce traitement à son registre des activités de traitement (article 30 du RGPD).

Ces journaux ne sont pas utilisés pour évaluer individuellement les salariés, ni exploités à des fins statistiques de productivité. Leur consultation est réservée à l'administrateur technique du service, pour les besoins de sécurité et de support.

2. Utilisation des données

• Assurer le bon fonctionnement de l'application
• Gérer votre abonnement et la facturation (via Stripe)
• Améliorer l'expérience utilisateur (via PostHog, avec votre consentement)
• Répondre à vos questions et demandes d'assistance
• Sécuriser le service et prévenir les abus

3. Protection des données

• Stockage sur des serveurs sécurisés
• Transmission via des protocoles sécurisés (HTTPS)
• Accès limité aux données par le personnel autorisé uniquement
• Cookies d'authentification configurés avec HttpOnly, Secure et SameSite

4. Cookies et traceurs

SimpliTeam utilise les cookies suivants :

Les cookies statistiques (PostHog) ne sont déposés qu'après votre consentement explicite. Vous pouvez modifier vos préférences à tout moment depuis la page Gestion des cookies.

5. Services tiers et transferts hors UE

• Stripe (paiements) — hébergé aux États-Unis, encadré par les clauses contractuelles types de la Commission européenne.
• PostHog (analytics) — traitement effectué sur des serveurs européens (eu.i.posthog.com), pas de transfert hors UE.
• Brevo (envoi d'emails transactionnels) — hébergé en Europe.
• Google Fonts (polices) — requêtes vers les serveurs Google (États-Unis). Nous travaillons à héberger ces polices localement.
• Wistia (vidéo de présentation) — Wistia Inc., États-Unis.
• jsDelivr / Cloudflare CDN (bibliothèques JS/CSS) — États-Unis. Aucun cookie déposé, attributs integrity vérifiés.

5bis. Messagerie interne : qui peut lire quoi

La messagerie interne est un canal d'annonce descendant : seuls les responsables d'entreprise peuvent rédiger et envoyer des messages, à destination de leurs collaborateurs. Il ne s'agit pas d'une messagerie entre collègues, et aucun échange privé entre salariés n'y transite.

• Le responsable d'entreprise accède aux messages de son entreprise, dont il est l'auteur.
• Chaque collaborateur reçoit les messages qui lui sont adressés.
• L'éditeur du service n'accède pas au contenu des messages, sauf incident technique documenté nécessitant une intervention, et dans ce seul cadre.

Les messages sont conservés un an à compter de leur envoi (voir section 7).

6. Partage des données

Nous ne partageons pas vos données personnelles avec des tiers à des fins commerciales. Le partage est limité aux sous-traitants techniques (Stripe, Brevo, PostHog) dans le cadre strict de la fourniture du service.

7. Conservation des données

Chaque catégorie de données est conservée pour une durée déterminée, puis supprimée :

Suppression de compte. Elle est disponible en self-service depuis votre espace personnel, ou sur demande à sio.bureauducolombier@gmail.com. La suppression efface immédiatement votre adresse e-mail, votre téléphone, votre mot de passe, votre avatar et vos préférences, et rend anonymes les enregistrements de planning et d'absence : ceux-ci ne sont plus rattachables à votre personne, mais sont conservés pour la durée ci-dessus, l'employeur étant légalement tenu de les tenir à disposition de l'inspection du travail.

Une exception, si vous êtes salarié d'une entreprise utilisatrice. Vos nom, prénom, nationalité, date de naissance et sexe sont alors conservés cinq ans après votre départ, malgré votre demande de suppression. Votre employeur doit en effet tenir un registre unique du personnel (Art. L1221-13 du Code du travail) et en conserver les mentions pendant cette durée (Art. R1221-26) ; l'article 17.3.b du RGPD écarte le droit à l'effacement lorsque la conservation est nécessaire au respect d'une obligation légale. Ces mentions ne servent qu'à ce registre et ne sont visibles que du responsable de votre entreprise. Tout le reste est bien effacé, et votre compte ne permet plus de se connecter.

État de mise en œuvre. Par souci de transparence : la suppression au terme de ces durées s'effectue aujourd'hui sur demande et par intervention de notre part. L'automatisation de cette purge est en cours de déploiement. Vous pouvez à tout moment exiger la suppression de vos données sans attendre l'échéance.

8. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

• Accéder à vos données personnelles
• Rectifier vos informations
• Demander la suppression de vos données (disponible depuis votre espace personnel)
• Limiter ou vous opposer au traitement de vos données
• Portabilité de vos données
• Retirer votre consentement aux cookies à tout moment

Pour exercer vos droits, contactez-nous à : sio.bureauducolombier@gmail.com

Vous pouvez également déposer une réclamation auprès de la CNIL.

9. Modifications de cette politique

Nous nous réservons le droit de modifier cette politique à tout moment. Toute modification substantielle sera communiquée par email.