Politique de confidentialité

La présente politique explique quelles données personnelles nous traitons dans le cadre du service MyDUERP, pourquoi, sur quelle base légale, avec qui elles sont partagées, combien de temps elles sont conservées, et comment exercer vos droits.

1. Responsable du traitement

Le responsable du traitement est FlowBrix, éditeur de My DUERP (voir mentions légales). Contact pour toute question relative aux données : privacy@myduerp.fr.
Délégué à la protection des données (DPO) : [À COMPLÉTER : nom / non désigné].

2. Données que nous traitons

• Compte & identité : nom, adresse email, téléphone (facultatif), mot de passe (chiffré), rôle.
• Organisation : raison sociale, SIRET, code APE, adresse, effectif, convention collective.
• Contenu métier (DUERP): unités de travail, risques évalués, plans d'action, sites, signature (identité du signataire et horodatage).
• Vidéos des locauxque vous filmez et importez, ainsi que les détections produites par l'analyse automatisée. Ces vidéos peuvent contenir l'image de personnes (salariés) — voir §7.
• Paiement: email, plan choisi, identifiants d'abonnement. Les données de carte bancaire sont traitées directement par Stripe et ne transitent jamais par nos serveurs.
• Usage & support: événements d'utilisation (mesure d'audience interne), messages de feedback, journaux techniques.

3. Finalités et bases légales

4. Destinataires et sous-traitants

Nous faisons appel à des sous-traitants qui traitent des données pour notre compte, encadrés par des accords de traitement (DPA) :

5. Transferts hors Union européenne

Certains sous-traitants (Stripe, Vercel, Resend) sont établis aux États-Unis ou peuvent y traiter des données. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et/ou le Data Privacy Framework. Nos données métier sont hébergées dans l'Union européenne (Supabase, Paris).

6. Durées de conservation

• Compte : jusqu'à la suppression du compte, puis suppression/anonymisation.
• DUERP signés : conservés conformément à l'obligation légale (jusqu'à 40 ans pour les versions successives).
• Vidéos brutes: elles sont supprimées après l'analyse, selon le délai choisi pour l'organisation (30 jours par défaut, réglable de 1 à 3 650 jours par son propriétaire). Captures d'images associées aux risques: elles suivent une durée distincte (365 jours par défaut, également réglable de 1 à 3 650 jours). La durée de 365 jours est un choix de conservation du service, pas un délai imposé par la loi. Pour les médias déjà envoyés, l'échéance annoncée lors de leur ajout reste inchangée. Les photos ajoutées manuellement comme preuves à un risque ne sont pas analysées par l'IA; leur échéance est déterminée au moment de leur ajout. Les descriptions textuelles des risques restent dans le DUERP. Si vous souhaitez archiver une vidéo, gardez votre fichier original avant l'envoi.
• Feedback, journaux, mesure d'audience : [À COMPLÉTER : durée à préciser (ex. 13 mois)].

7. Vidéos et image des salariés

Lorsque vous filmez vos locaux, la vidéo peut capter l'image de vos salariés. Dans ce cadre, vous (l'employeur) êtes responsable du traitement et MyDUERP agit comme sous-traitant. Il vous appartient d'informer vos salariés de ce traitement et, le cas échéant, de consulter les instances représentatives. Évitez de filmer les visages, les badges et les informations personnelles non nécessaires. Ne considérez pas les médias comme anonymes. Les vidéos brutes sont supprimées selon leur propre délai après l'analyse (30 jours par défaut). Les captures associées aux risques ont un délai distinct (365 jours par défaut); ces durées sont des choix de conservation configurables par le propriétaire de l'organisation, pas des durées légales. Les échéances annoncées pour les médias déjà envoyés ne changent pas. Les photos ajoutées manuellement à un risque comme preuves ne sont pas analysées par l'IA; leur délai est celui annoncé lors de leur ajout. Conservez votre fichier original si vous souhaitez archiver la vidéo.

Le nouveau worker masque les visages qu'il détecte sur les images extraites avant leur stockage et leur analyse visuelle. Cette mesure peut manquer certains visages et ne masque pas les voix, les badges ou le contexte. Elle ne s'applique pas rétroactivement aux anciens médias, ni aux photos déposées séparément, ni à la vidéo brute. Vérifiez les preuves avant partage.

8. Décision automatisée / IA

Les vidéos sont analysées par un modèle d'intelligence artificielle hébergé par Scaleway en France, qui proposedes risques. Ces propositions ne sont jamais appliquées automatiquement : un utilisateur les valide, les ajuste ou les écarte. Aucune décision produisant des effets juridiques n'est prise sur le seul fondement d'un traitement automatisé.

9. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilitéet d'opposition.

• Rectifier vos informations : depuis Paramètres → Profil / Organisation.
• Exporter vos données : depuis Paramètres → Confidentialité → Exporter mes données.
• Supprimer votre compte : depuis Paramètres → Confidentialité → Supprimer mon compte.
• Pour toute autre demande : privacy@myduerp.fr.

Certaines données ne peuvent être supprimées immédiatement lorsqu'une obligation légale impose leur conservation (ex. DUERP signé).

10. Réclamation

Vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr.

11. Cookies

Voir notre politique cookies. Nous n'utilisons aucun traceur publicitaire tiers.