Informations légales

Éditeur de l'application

Hébergement

Qui est responsable de quoi ? (à lire en premier)

KADENCEO intervient dans deux rôles distincts, qu'il est essentiel de ne pas confondre : ils déterminent à qui vous devez vous adresser pour exercer vos droits.

Données traitées pour le compte des entreprises clientes (rôle A — sous-traitant)

Dans le cadre de l'utilisation de l'application KADENCEO, les données suivantes sont traitées pour le compte de l'entreprise cliente, qui en est responsable :

• Données d'identification des salariés : prénom, nom, poste, code employé
• Données de pointage : date, heures travaillées, heures supplémentaires, heures de nuit, chantier, adresse du chantier, zone de déplacement, paniers, indemnités de déplacement (voiture personnelle, grand déplacement, chauffeur de véhicule d'entreprise)
• Données d'absence et de santé au travail : congés, absences, arrêts maladie, intempéries, RTT, journées de formation
• Données de connexion : token d'accès unique par salarié, sessions administrateur (JWT)
• Données techniques : données temporairement stockées dans le navigateur (localStorage)

Finalités du traitement

Les données sont traitées pour les finalités suivantes :

• Gestion du temps de travail et du pointage des salariés
• Suivi des présences, absences et congés
• Calcul des indemnités (paniers, zones de déplacement)
• Édition de rapports et exports à destination de la paie
• Gestion administrative des chantiers

Base légale

Les traitements reposent sur les bases légales suivantes (Art. 6 RGPD) :

• Exécution du contrat de travail (Art. 6.1.b) : pointage, heures, absences
• Obligation légale (Art. 6.1.c) : conservation des données de paie conformément au Code du travail
• Intérêt légitime (Art. 6.1.f) : sécurité de l'accès à l'application

Durée de conservation

Données traitées par KADENCEO pour son propre compte (rôle B — responsable)

Distinctes des précédentes, ces données concernent la relation commerciale et non les salariés des entreprises clientes :

• Compte client : prénom, nom, fonction, adresse e-mail professionnelle — base légale : exécution du contrat (Art. 6.1.b). Conservation : durée de l'abonnement, puis 3 ans à compter du dernier contact.
• Facturation : raison sociale, SIRET, numéro de TVA, adresse, historique des paiements — base légale : obligation légale comptable (Art. 6.1.c). Conservation : 10 ans (Art. L123-22 du Code de commerce).
• Formulaire de contact : nom, e-mail, message — base légale : intérêt légitime à répondre à une sollicitation (Art. 6.1.f). Conservation : 3 ans à compter du dernier contact.
• Journaux techniques : horodatage, adresse IP, action réalisée — base légale : intérêt légitime à la sécurité du service (Art. 6.1.f). Conservation : 2 ans.

Destinataires des données

Les données sont accessibles uniquement :

• Aux salariés concernés (accès à leurs propres pointages uniquement)
• À l'administrateur de l'entreprise (gérant ou personne habilitée)
• À l'hébergeur Railway Corp. (données localisées dans l'Union européenne — région EU-West Amsterdam) et à MongoDB Atlas (base de données, cluster UE), dans le cadre de la prestation d'hébergement, soumis à un accord de traitement des données conforme au RGPD
• À Resend, Inc. (prestataire d'envoi d'e-mails) pour le rapport de surveillance quotidien adressé à l'administrateur (extraits du journal d'audit : noms, adresses IP) et les messages du formulaire de contact
• À Stripe, Inc. (prestataire de paiement) pour les données de facturation des entreprises clientes (e-mail, raison sociale, SIRET) — les coordonnées bancaires sont traitées exclusivement par Stripe
• À LinkedIn Ireland Unlimited Company, sur le site vitrine uniquement et seulement si vous avez accepté le traceur de mesure publicitaire (LinkedIn Insight Tag) : LinkedIn reçoit alors un cookie, votre adresse IP et les pages vues, pour mesurer nos campagnes — voir la page Cookies. Aucune donnée de l'application (salariés, pointages) n'est jamais transmise à LinkedIn
• À Sentry (supervision technique des erreurs de l'application, région de stockage Union européenne) : la supervision est configurée pour ne transmettre aucune donnée à caractère personnel — ni adresse IP, ni cookie, ni en-tête d'authentification, ni corps de requête, ni identité d'utilisateur — et aucune trace de navigation n'est collectée. Seuls le message d'erreur technique et la route concernée sont transmis

Aucune donnée n'est vendue ni transmise à des tiers à des fins commerciales.

Hébergement dans l'Union européenne & transferts hors UE

Les données de l'application sont hébergées dans l'Union européenne : l'infrastructure Railway est configurée en région EU-West (Amsterdam, Pays-Bas) et la base de données MongoDB Atlas est située dans un cluster de l'Union européenne (chiffrement TLS obligatoire, accès restreint par liste d'adresses IP).

Certains prestataires sont toutefois des sociétés établies aux États-Unis (Railway Corp. comme hébergeur, Resend, Inc. pour l'envoi d'e-mails, Stripe, Inc. pour le paiement, Sentry pour la supervision technique) : un accès à des données depuis les États-Unis (support, facturation) reste donc possible. Ces transferts éventuels sont encadrés par des mécanismes appropriés au sens des articles 44 et suivants du RGPD : clauses contractuelles types de la Commission européenne et, pour Stripe, EU-US Data Privacy Framework.

Vos droits

Conformément au RGPD (Art. 15 à 22), chaque personne concernée dispose des droits suivants :

Réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) :

3 Place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07
Tél. : 01 53 73 22 22 — www.cnil.fr

Ce que nous déposons sur votre appareil

Application (espace administrateur et salariés) : aucun cookie de traçage ni de publicité. Un seul cookie technique de session (kdc_admin, jeton signé, 1 heure, httpOnly) maintient la connexion de l'administrateur ; il est strictement nécessaire au service et exempté de consentement. Aucune donnée n'est transmise à des services tiers d'analyse ou de ciblage depuis l'application.

Site vitrine (www.kadenceo.fr, pages de présentation, contact, inscription) : avec votre accord uniquement, nous utilisons le traceur publicitaire LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company) pour mesurer l'efficacité de nos campagnes sur LinkedIn (visites, inscriptions à l'essai gratuit issues d'une publicité). Ce traceur n'est jamais déposé avant votre choix : un bandeau vous propose « Accepter » ou « Refuser » de manière équivalente, votre choix est conservé 6 mois et modifiable à tout moment via le lien « Gérer mes cookies » du pied de page. Détail complet sur la page Cookies.

La mesure de nos campagnes repose d'abord sur nos propres serveurs, sans traceur : les paramètres de campagne présents dans l'adresse d'une page (utm_*) sont recopiés dans les liens jusqu'au formulaire d'inscription et enregistrés avec le compte créé. Aucune écriture sur votre appareil, aucune donnée personnelle : uniquement le nom de la campagne, le site d'origine et la page d'entrée.

Stockage local (localStorage)

L'application utilise le stockage local de votre navigateur (localStorage) pour son fonctionnement et vos préférences. Les données suivantes peuvent y être conservées :

• File des pointages saisis hors connexion, en attente de synchronisation
• Lien d'accès personnel du salarié (appareil du salarié uniquement)
• Préférences de l'interface (guide de démarrage masqué, bandeau d'installation)
• Votre choix concernant les cookies du site vitrine (kdc_consent, 6 mois)

Ces données restent sur votre appareil et ne sont jamais transmises à des tiers. Elles peuvent être supprimées à tout moment en effaçant les données du site dans les paramètres de votre navigateur.

Cookie de session

Un jeton de session (JWT) est utilisé pour maintenir la connexion de l'administrateur. Ce jeton expire automatiquement après 1 heure et n'est pas partagé avec des tiers. Un second cookie technique (kdc_preview, 7 jours) peut exister pendant les phases de prévisualisation du site.