Politique de confidentialité

1. Responsable du traitement et rôles RGPD

MRH SAS, société par actions simplifiée au capital de 1 500 €, dont le siège est situé au 5 rue Carnot, 54300 Lunéville, immatriculée au RCS de Nancy sous le numéro 105 321 806 (ci-après « MRH » ou « l'Éditeur »), est responsable des traitements décrits dans la présente politique pour les données collectées via le site easypointage.fr et la plateforme Pointalys (anciennement Pointeo).

Concernant les données de pointage des Employés des Entreprises clientes, MRH agit en qualité de sous-traitant au sens de l'article 28 du RGPD, l'Entreprise cliente étant le responsable de traitement vis-à-vis de ses propres Employés. La présente politique vaut accord de sous-traitance entre MRH et l'Entreprise cliente.

2. Ce que nous traitons, pourquoi et combien de temps

Chaque traitement est décrit ci-dessous : les données concernées, leur finalité, la base légale au sens de l'article 6 du RGPD, la durée de conservation et les destinataires. Les prestataires et leur pays sont détaillés à l'article 4.

2.1 Comptes et configuration de l'Entreprise

Données : nom, prénom, adresse email, rôle, téléphone de l'Administrateur s'il le fournit (facultatif), nom et adresse de l'Entreprise, n° de TVA, fuseau horaire, adresse et position des sites de pointage, matricule de paie s'il est renseigné.
Finalité : créer et faire fonctionner les comptes, rattacher chaque Utilisateur à son Entreprise.
Base légale : exécution du contrat (art. 6.1.b).
Durée : tant que le compte existe. À la suppression d'un compte, ses données d'identification sont effacées sans délai ; à la fermeture du compte de l'Entreprise, ses informations d'identification sont effacées et les comptes de ses Utilisateurs anonymisés.

2.2 Pointages et gestion du temps (MRH sous-traitant de l'Entreprise)

Données : heures d'arrivée, de départ et de pause, méthode de pointage (GPS, QR code, kiosque, web, télétravail, saisie par l'Administrateur), site ; corrections et leur motif ; plannings et adresses de mission ; demandes de congé (type, dates, motif facultatif) ; alertes (retards, dépassements).
Position : relevée uniquement au moment du pointage, jamais en continu, lorsque le site de pointage l'exige (mode GPS ou zone autorisée en mode QR) : à l'arrivée et au départ, et à la reprise après une pause pour les salariés itinérants. Jamais au début d'une pause, jamais en télétravail. L'Administrateur peut en dispenser un salarié.
Photo de vérification : uniquement si l'Entreprise active cette option et si le salarié l'a acceptée ; sans son accord, aucune photo n'est prise. Il peut retirer son accord à tout moment depuis la page « Mon compte ».
Finalité : permettre à l'Entreprise de décompter le temps de travail de ses salariés, de préparer la paie et de justifier les horaires réalisés.
Base légale, déterminée par l'Entreprise en sa qualité de responsable de traitement : obligation légale de décompte du temps de travail et de tenue des relevés à disposition de l'inspection du travail pendant un an (art. 6.1.c ; articles L. 3171-2 et D. 3171-16 du Code du travail) ; exécution du contrat de travail (art. 6.1.b) ; intérêt légitime (art. 6.1.f) pour justifier les horaires pendant la prescription de l'action en paiement des salaires, soit 3 ans (articles L. 3245-1 et L. 3171-4), et pour la position relevée au pointage (fiabilité du décompte). La géolocalisation ne repose pas sur le consentement du salarié ; elle a fait l'objet d'une analyse d'impact.
Durée : pointages, positions et corrections : 5 ans à compter de leur création, puis purge automatique. Cette durée, plus longue que l'obligation d'un an, correspond à la fenêtre d'export paie du plan Business et à la conservation des bulletins de paie que ces relevés justifient (article L. 3243-4). Photos : 30 jours, puis suppression automatique. Congés, plannings et alertes : tant que le compte du salarié existe.

2.3 Facturation et paiement

Données : raison sociale, adresse de facturation, n° de TVA, email de l'Administrateur, historique des abonnements et des factures.
Finalité : gérer les abonnements, encaisser les paiements, émettre les factures.
Base légale : exécution du contrat (art. 6.1.b) et obligation comptable (art. 6.1.c).
Durée : 10 ans pour les pièces comptables (article L. 123-22 du Code de commerce).
Les données bancaires (numéro de carte, IBAN) ne sont jamais collectées ni stockées par MRH : elles sont saisies et traitées exclusivement chez Stripe.

2.4 Sécurité du Service

Données : adresse IP, navigateur, adresse des pages demandées et identifiant du compte connecté (journaux du serveur) ; empreinte de l'appareil, sous forme non réversible, à la connexion et au pointage ; tentatives de connexion échouées.
Finalité : protéger les comptes, détecter les intrusions et la fraude au pointage, diagnostiquer les incidents.
Base légale : intérêt légitime (art. 6.1.f).
Durée : journaux du serveur et empreintes d'appareil : 30 jours glissants. Journal des opérations de l'équipe MRH (voir article 4) : 3 ans.

2.5 Emails de service

Données : adresse email, prénom, contenu du message (invitation, confirmation, alerte, facture, récapitulatif).
Finalité : envoyer les messages nécessaires au fonctionnement du Service.
Base légale : exécution du contrat (art. 6.1.b).
Durée : MRH ne conserve pas de copie des messages envoyés ; le prestataire d'envoi conserve un historique technique d'envoi.

2.6 Conseils d'utilisation et offres (Administrateurs uniquement)

Données : adresse email, prénom, plan souscrit et ancienneté du compte.
Finalité : envoyer aux Administrateurs des conseils de prise en main et des offres portant sur Pointalys.
Base légale : intérêt légitime (art. 6.1.f), dans le cadre de l'article L. 34-5 du Code des postes et des communications électroniques : ces messages portent sur le service que l'Administrateur utilise déjà. Il peut s'y opposer dès l'inscription (case à cocher) puis à tout moment, sans frais, par le lien de désabonnement présent dans chaque message. Les salariés ne reçoivent jamais ces messages.
Durée : tant que le compte est actif et que l'Administrateur ne s'y est pas opposé. Son opposition est conservée pour être respectée.

2.7 Mesure d'audience et diagnostic (avec votre accord)

Données : pages consultées, clics, provenance de la visite, type d'appareil et de navigateur, identifiant aléatoire stocké dans un cookie ; dans l'application, identifiant du compte, rôle et entreprise de rattachement. En cas d'erreur dans l'application, enregistrement des dernières secondes de l'écran, textes et images masqués.
Finalité : comprendre l'usage du site et de l'application pour les améliorer, et comprendre les erreurs rencontrées.
Base légale : consentement (art. 6.1.a), recueilli par le bandeau cookies et retirable à tout moment (voir la Politique de cookies).
Durée : le cookie de mesure expire au bout d'un an ; votre choix est conservé 6 mois, puis vous est redemandé. Les données d'audience sont conservées 1 an chez PostHog ; les enregistrements d'erreur, 90 jours au plus.
Indépendamment de ce consentement, l'application transmet à PostHog des statistiques d'usage rattachées à l'Entreprise (nombre de pointages, méthode, plan), sans nom, email ni identifiant de personne.

2.8 Suivi des erreurs techniques

Données : description technique de l'erreur, adresse de la page ou de la requête concernée, sans son contenu, navigateur et identifiants techniques.
Finalité : détecter et corriger les dysfonctionnements du Service.
Base légale : intérêt légitime (art. 6.1.f).
Durée : 90 jours au plus.

2.9 Contact et support

Données : nom, adresse email et message envoyés par le formulaire de contact ou à nos adresses ; sujet et messages des tickets ouverts depuis l'application.
Finalité : répondre à vos questions et demandes d'assistance.
Base légale : intérêt légitime (art. 6.1.f) pour les messages de contact ; exécution du contrat (art. 6.1.b) pour les tickets des clients.
Durée : messages de contact : 3 ans à compter du dernier échange. Tickets : tant que le compte de l'Utilisateur existe ; ils sont supprimés avec lui ou à la fermeture du compte de l'Entreprise.
Merci de ne communiquer aucune information relative à la santé dans un message ou un ticket.

3. Sauvegardes

La base de données est sauvegardée chaque jour ; les sauvegardes, chiffrées, sont conservées 30 jours glissants dans l'Union européenne. Une donnée supprimée ou purgée disparaît donc des sauvegardes au plus tard 30 jours après.

4. Destinataires et prestataires

Les données sont accessibles aux seules personnes qui en ont besoin : dans l'Entreprise cliente, ses Administrateurs ; chez MRH, les membres habilités de l'équipe (voir ci-dessous). Elles ne sont jamais cédées ni louées à des tiers à des fins commerciales. MRH a recours aux prestataires suivants :

Scaleway SAS (8 rue de la Ville l'Évêque, 75008 Paris, France) : hébergement du site et de la plateforme, base de données et fichiers (logos, photos de vérification, exports) à Paris, sauvegardes à Amsterdam (Pays-Bas), envoi des emails de service depuis Paris.
Stripe Payments Europe Ltd. (Dublin, Irlande) : paiements et factures.
PostHog : mesure d'audience, instance hébergée dans l'Union européenne.
Sentry (Functional Software Inc., États-Unis) : suivi des erreurs techniques.
Institut national de l'information géographique et forestière (IGN, France) : fonds de carte affichés dans l'application (plan d'un site, positions de pointage). Le navigateur lui demande les zones de carte à afficher ; aucun nom n'est transmis.
OpenStreetMap Foundation (Royaume-Uni) : fonds de carte de secours si ceux de l'IGN sont indisponibles, et recherche d'adresse lorsque l'Administrateur saisit l'adresse d'un site ou d'une mission.
Services de notification des navigateurs (Google, Apple, Mozilla ou Microsoft selon l'appareil) : acheminement des notifications que l'Utilisateur a choisi de recevoir ; leur contenu est chiffré pendant l'acheminement.
ImprovMX (ImprovMX Inc., États-Unis ; serveurs de redirection en France) et Google (Gmail, États-Unis), pour les seuls messages que vous adressez à nos adresses email (contact, support) et ceux du formulaire de contact : ImprovMX les redirige, sans en conserver le contenu, vers la messagerie de l'équipe hébergée par Google. Les données de pointage et les fiches des salariés n'y transitent jamais.

Transferts hors de l'Union européenne. Les données de la plateforme (pointages, fiches salariés, données de paie, emails envoyés par le Service) sont hébergées dans l'Union européenne. Les transferts se limitent :

aux erreurs techniques transmises à Sentry, encadrées par les Clauses Contractuelles Types de la Commission européenne ;
aux données de paiement que Stripe peut traiter aux États-Unis, encadrées par les Clauses Contractuelles Types ;
aux messages adressés à nos adresses email (ImprovMX ; Google, certifié Data Privacy Framework UE–États-Unis) ;
au Royaume-Uni (OpenStreetMap Foundation), qui bénéficie d'une décision d'adéquation de la Commission européenne ;
aux notifications acheminées par le service du navigateur de l'Utilisateur.

Accès de l'équipe MRH à votre espace. Pour répondre à une demande de support ou diagnostiquer un dysfonctionnement, un membre habilité de l'équipe MRH peut consulter l'espace de votre Entreprise en lecture seule : aucune modification n'est possible. Chaque consultation est enregistrée avec son motif, son début et sa fin, et conservée 3 ans ; l'Administrateur peut en obtenir la liste en écrivant à dpo@pointalys.fr.

5. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

Droit d'accès : obtenir une copie de vos données personnelles
Droit de rectification : faire corriger des données inexactes
Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, sous réserve des obligations légales de conservation
Droit à la limitation : suspendre temporairement le traitement de vos données
Droit à la portabilité : recevoir vos données dans un format structuré (JSON) réutilisable
Droit d'opposition : vous opposer au traitement basé sur l'intérêt légitime, et, à tout moment et sans avoir à vous justifier, aux messages de conseils et d'offres
Droit de retirer votre consentement à tout moment, sans remettre en cause les traitements antérieurs
Droit de définir des directives post-mortem sur le sort de vos données

Pour exercer ces droits, l'Administrateur peut utiliser les fonctionnalités d'export et de suppression intégrées à l'application, ou écrire à dpo@pointalys.fr. Une réponse est apportée dans un délai d'un mois (extensible à trois mois pour les demandes complexes).

Les Employés des Entreprises clientes exercent en priorité leurs droits auprès de leur employeur (responsable de traitement). MRH les assiste si la demande nécessite une intervention technique (export, suppression).

6. Cookies et traceurs

Le site et l'application déposent des traceurs strictement nécessaires à leur fonctionnement, et, uniquement avec votre accord, des traceurs de mesure d'audience et de diagnostic. La liste complète, avec leur émetteur, leur finalité et leur durée, figure dans la Politique de cookies.

Vous pouvez modifier ou retirer votre choix à tout moment : sur le site, par le lien « Gérer mes cookies » en pied de page ; dans l'application, depuis la page « Mon compte ».

7. Accord de sous-traitance

Pour les données de pointage de ses salariés, l'Entreprise cliente est responsable de traitement et MRH son sous-traitant. Les engagements de MRH à ce titre (article 28 du RGPD) sont décrits dans la présente politique ; un accord de sous-traitance signé est fourni sur simple demande à dpo@pointalys.fr. MRH informe les Entreprises clientes au moins 30 jours à l'avance de tout changement de prestataire ayant accès à leurs données.

8. Sécurité

MRH met en oeuvre des mesures techniques et organisationnelles pour protéger vos données :

Chiffrement des données en transit, et des sauvegardes
Mots de passe jamais conservés en clair, sessions à durée limitée
Accès d'administration réservé à un nombre restreint de personnes désignées, avec double authentification obligatoire
Contrôle d'accès par rôle et cloisonnement strict des données de chaque Entreprise cliente
Protection contre les tentatives d'intrusion et journaux de sécurité
Sauvegardes quotidiennes chiffrées, conservées 30 jours dans l'Union européenne, et restauration testée
Mises à jour de sécurité suivies en continu

9. Violation de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, MRH s'engage à :

Notifier la CNIL dans un délai de 72 heures (article 33 RGPD)
Informer sans délai, et au plus tard sous 48 heures, les Entreprises clientes concernées, qui informeront leurs Employés le cas échéant (article 34 RGPD)
Documenter la violation, ses effets et les mesures prises

10. Délégué à la protection des données (DPO)

Au sein de MRH SAS, la fonction de Délégué à la protection des données est exercée par :

Monsieur Hugo MANGINOT, Directeur général et responsable technique de la plateforme Pointalys.
Email dédié : dpo@pointalys.fr

Cette désignation est volontaire : MRH ne dépasse pas les seuils rendant la nomination d'un DPO obligatoire au sens de l'article 37 du RGPD. Le DPO est néanmoins joignable à tout moment pour répondre aux demandes des personnes concernées et de la CNIL.

11. Contact et réclamation

Pour toute question relative à la protection de vos données personnelles :

Email : dpo@pointalys.fr
Courrier : MRH SAS, à l'attention du DPO Hugo MANGINOT, 5 rue Carnot, 54300 Lunéville

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL :
Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 : www.cnil.fr (nouvel onglet)