Politique de confidentialité

Derniere mise a jour : 5 juin 2026

1. Responsable du traitement et rôles RGPD

MRH SAS, société par actions simplifiée au capital de 1 500 €, dont le siège est situé au 5 rue Carnot, 54300 Lunéville, immatriculée au RCS de Nancy sous le numéro 105 321 806 (ci-après « MRH » ou « l'Éditeur »), est responsable des traitements décrits dans la présente politique pour les données collectées via le site easypointage.fr et la plateforme Pointeo.

Concernant les données de pointage des Employés des Entreprises clientes, MRH agit en qualité de sous-traitant au sens de l'article 28 du RGPD, l'Entreprise cliente étant le responsable de traitement vis-à-vis de ses propres Employés. La présente politique vaut accord de sous-traitance entre MRH et l'Entreprise cliente.

2. Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement du Service :

  • Données d'identification : nom, prénom, adresse email, rôle (Administrateur ou Employé), entreprise de rattachement
  • Données de pointage : horodatage d'entrée/sortie, méthode de pointage (QR code, kiosque, web), site de rattachement
  • Données de géolocalisation : coordonnées GPS au moment du pointage, uniquement si la fonctionnalité est activée par l'Administrateur et avec le consentement explicite de l'Employé
  • Données techniques : adresse IP, user-agent, empreinte de l'appareil (hash) — utilisées pour la sécurité, la lutte contre la fraude et les logs
  • Données de facturation : raison sociale, adresse, n° SIRET (pour les Administrateurs souscrivant à un plan payant)

Les données bancaires (numéro de carte, IBAN) ne sont jamais collectées ni stockées par MRH : elles sont traitées exclusivement par Stripe (voir article 7).

3. Finalités et base légale du traitement

  • Exécution du contrat (art. 6.1.b RGPD) : fourniture du Service de pointage, gestion des abonnements, support client
  • Obligation légale (art. 6.1.c RGPD) : décompte du temps de travail et tenue des documents à disposition de l'inspection du travail pendant un an (articles L. 3171-2 et D. 3171-16 du Code du travail), facturation et obligations comptables
  • Exécution du contrat (art. 6.1.b RGPD) : conservation des données de pointage 5 ans, durée de la fenêtre d'export paie ouverte par le plan Business et alignée sur la conservation des bulletins de paie que ces relevés justifient (article L. 3243-4 du Code du travail)
  • Intérêt légitime (art. 6.1.f RGPD) : pouvoir justifier les horaires réalisés pendant la prescription de l'action en paiement du salaire, soit 3 ans (articles L. 3245-1 et L. 3171-4 du Code du travail)
  • Intérêt légitime (art. 6.1.f RGPD) : sécurité du Service (détection d'intrusion, lutte contre la fraude au pointage), amélioration du produit, communications transactionnelles non commerciales
  • Consentement (art. 6.1.a RGPD) : cookies analytiques (PostHog), géolocalisation des Employés, communications commerciales facultatives

4. Durée de conservation

  • Données de pointage : 5 ans à compter de leur création, puis purge automatique. Cette durée n'est pas celle de l'article D. 3171-16 du Code du travail — qui n'impose qu'un an de tenue à disposition de l'inspection du travail — mais celle de la fenêtre d'export paie du plan Business, alignée sur la conservation des bulletins de paie (article L. 3243-4)
  • Comptes utilisateurs : durée de la relation contractuelle, puis 3 ans pour archivage (prescription civile)
  • Données de facturation : 10 ans (obligation comptable, article L. 123-22 Code de commerce)
  • Logs de sécurité et adresses IP : 12 mois
  • Empreintes d'appareil pour anti-fraude : 30 jours glissants
  • Cookies analytiques : 13 mois maximum après la dernière visite

5. Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

  • Droit d'accès : obtenir une copie de vos données personnelles
  • Droit de rectification : faire corriger des données inexactes
  • Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, sous réserve des obligations légales de conservation
  • Droit à la limitation : suspendre temporairement le traitement de vos données
  • Droit à la portabilité : recevoir vos données dans un format structuré (JSON) réutilisable
  • Droit d'opposition : vous opposer au traitement basé sur l'intérêt légitime
  • Droit de retirer votre consentement à tout moment, sans remettre en cause les traitements antérieurs
  • Droit de définir des directives post-mortem sur le sort de vos données

Pour exercer ces droits, l'Administrateur peut utiliser les fonctionnalités d'export et de suppression intégrées à l'application, ou écrire à dpo@easypointage.fr. Une réponse est apportée dans un délai d'un mois (extensible à trois mois pour les demandes complexes).

Les Employés des Entreprises clientes exercent en priorité leurs droits auprès de leur employeur (responsable de traitement). MRH les assiste si la demande nécessite une intervention technique (export, suppression).

6. Cookies et traceurs

Le site et l'application utilisent :

  • Cookies strictement nécessaires (session, authentification, préférences linguistiques) — exemptés de consentement conformément aux recommandations CNIL
  • Cookies analytiques (PostHog) — déposés uniquement après consentement explicite via la bannière cookies, avec adresse IP anonymisée, données hébergées dans l'UE

Le consentement peut être retiré à tout moment via le lien « Gérer les cookies » accessible en pied de page.

7. Sous-traitants et destinataires des données

Pour fournir le Service, MRH a recours aux sous-traitants suivants, tous engagés par contrat à respecter le RGPD :

  • Scaleway SAS (8 rue de la Ville l'Évêque, 75008 Paris) — hébergement et stockage (données applicatives dans la région FR-PAR Paris, sauvegardes chiffrées répliquées sur NL-AMS Amsterdam)
  • Stripe Payments Europe Ltd. (Dublin, Irlande) — traitement des paiements (certification PCI DSS niveau 1)
  • Resend (San Francisco, US — Data Processing Addendum + Clauses Contractuelles Types) — envoi des emails transactionnels (création de compte, notifications, factures)
  • PostHog (UE, région eu.i.posthog.com) — analytiques de produit, IP anonymisée au niveau du SDK (option ip: false), session recording désactivé
  • Sentry (US — Clauses Contractuelles Types) — monitoring d'erreurs applicatives, traces serveur à 5% d'échantillonnage en production. Les données collectées sont les piles d'erreurs, identifiants techniques et métadonnées de requête ; les payloads sensibles (mots de passe, tokens) sont redacted en amont par notre middleware Pino.

Les données ne sont jamais cédées ou louées à des tiers à des fins commerciales. Les transferts hors UE (le cas échéant pour Resend) sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne.

8. Sécurité

MRH met en oeuvre des mesures techniques et organisationnelles pour protéger vos données :

  • Chiffrement des données en transit (TLS 1.3) et au repos (AES-256)
  • Authentification par mot de passe hachés en bcrypt + JWT RS256 à durée limitée
  • Authentification à deux facteurs (TOTP) obligatoire pour les comptes Super Administrateur de MRH
  • Contrôle d'accès basé sur les rôles (RBAC) cloisonnant chaque Entreprise cliente (tenant isolation)
  • Rate limiting, protection contre la force brute, journaux de sécurité
  • Sauvegardes chiffrées quotidiennes
  • Mises à jour de sécurité suivies via des audits de dépendances continus

9. Violation de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, MRH s'engage à :

  • Notifier la CNIL dans un délai de 72 heures (article 33 RGPD)
  • Informer sans délai les Entreprises clientes concernées, qui informeront leurs Employés le cas échéant (article 34 RGPD)
  • Documenter la violation, ses effets et les mesures prises

10. Délégué à la protection des données (DPO)

Au sein de MRH SAS, la fonction de Délégué à la protection des données est exercée par :

Monsieur Hugo MANGINOT, Directeur général et responsable technique de la plateforme Pointeo.
Email dédié : dpo@easypointage.fr

Cette désignation est volontaire : MRH ne dépasse pas les seuils rendant la nomination d'un DPO obligatoire au sens de l'article 37 du RGPD. Le DPO est néanmoins joignable à tout moment pour répondre aux demandes des personnes concernées et de la CNIL.

11. Contact et réclamation

Pour toute question relative à la protection de vos données personnelles :

Email : dpo@easypointage.fr
Courrier : MRH SAS — À l'attention du DPO Hugo MANGINOT, 5 rue Carnot, 54300 Lunéville

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL :
Commission Nationale de l'Informatique et des Libertés — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr