Données personnelles

JAVRYQO traite des données concernant des personnes qui, pour la plupart, n'ont pas choisi l'outil : les salariés de nos clients. Cette page dit ce qui est collecté, pourquoi, pendant combien de temps, et comment reprendre la main dessus.

Qui est responsable de quoi

L'entreprise qui utilise JAVRYQO est responsable de traitement pour les données de ses salariés, clients et chantiers : c'est elle qui décide de les saisir et de ce qu'elle en fait.

BOUMOON intervient comme sous-traitant : nous hébergeons et faisons fonctionner le service, sans exploiter ces données pour notre compte. Nous sommes en revanche responsables de traitement pour les données de gestion de nos propres abonnés — compte, facturation.

Ce qui est collecté

Pour faire fonctionner le service

Compte : nom, adresse e-mail, mot de passe (jamais lisible, haché en bcrypt), rôle
Salariés : nom, téléphone, e-mail, compétences, coût horaire, absences et leur motif
Clients et chantiers : coordonnées, adresses, contrats, tarifs
Passages : horaires prévus et réels, tâches effectuées, rapports de terrain, photos, messages échangés

Techniquement nécessaires

Un cookie de session, strictement nécessaire au fonctionnement. Il ne sert à aucun suivi — c'est pourquoi JAVRYQO ne vous demande aucun consentement aux cookies.
Adresse IP lors des tentatives de connexion et des demandes de réinitialisation, pour contenir les attaques par force brute.
Journal des modifications sensibles, pour permettre à une direction de savoir qui a changé quoi.

Ce qui n'est pas collecté

Aucun traceur publicitaire, aucun outil de mesure d'audience tiers, aucun revente de données. Les photos de chantier sont dépouillées de leurs métadonnées à l'envoi, coordonnées GPS comprises : une photo prise chez un particulier ne transporte pas son adresse.

JAVRYQO ne géolocalise pas les salariés. L'application ne suit personne à la trace : elle enregistre ce qui est déclaré sur un passage, pas où se trouve une personne.

Sur quel fondement

Exécution du contrat pour tout ce qui fait fonctionner le service.
Intérêt légitime pour la sécurité — limitation des tentatives de connexion, journal des modifications.
Obligation légale pour la conservation des pièces comptables.

Combien de temps

Compte et identifiants: Toute la durée du contrat, puis 3 mois
Chantiers, passages, rapports de terrain: 5 ans (obligation comptable)
Photos de chantier: 2 ans, sauf suppression demandée avant
Messages entre direction et salariés: 1 an
Journal des modifications: 1 an
Compteurs anti-abus (tentatives de connexion): 24 heures

Qui d'autre y a accès

Uniquement les prestataires nécessaires au fonctionnement, chacun lié par contrat et sans droit d'exploiter les données pour son compte :

Vercel Inc. — Hébergement de l'application et des photos de chantier. Union européenne (région Paris), société de droit américain.
Neon Inc. — Hébergement de la base de données. Union européenne, société de droit américain.
Resend Inc. — Acheminement des e-mails transactionnels. États-Unis.
Whop Inc. — Encaissement des abonnements. États-Unis.

Les prestataires établis aux États-Unis traitent ces données sur le fondement des clauses contractuelles types de la Commission européenne. L'application, la base de données et les photos de chantier sont hébergées dans l'Union européenne — région de Paris. Les photos sont déposées en accès privé : elles ne sont atteignables par aucune adresse, même connue, et ne sont servies qu'après vérification de vos droits.

Vos droits

Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, leur portabilité, ou vous opposer à un traitement.

Sans attendre de réponse : depuis les paramètres de votre espace, vous pouvez à tout moment exporter l'intégralité de vos données dans un fichier lisible, et supprimer définitivement votre entreprise et tout ce qu'elle contient.

Si vous êtes salarié et que vos données ont été saisies par votre employeur, adressez-vous d'abord à lui : c'est lui qui en décide. Nous relaierons sa décision.

Pour toute autre demande : bonjour@skaeva.org. Nous répondons sous un mois. En cas de désaccord, vous pouvez saisir la CNIL — cnil.fr.

Sécurité

Chiffrement de bout en bout des échanges (HTTPS strict)
Mots de passe hachés en bcrypt, jamais réversibles
Cloisonnement strict entre entreprises, vérifié à chaque lecture et chaque écriture
Photos servies par une route authentifiée, jamais par une adresse publique
Limitation des tentatives de connexion

En cas de violation de données susceptible d'engendrer un risque pour les personnes, nous en informons la CNIL sous 72 heures et les personnes concernées sans délai.