Politique de confidentialité
Dernière mise à jour : 7 juillet 2026
La présente politique explique quelles données personnelles nous traitons dans le cadre du service My DUERP, pourquoi, sur quelle base légale, avec qui elles sont partagées, combien de temps elles sont conservées, et comment exercer vos droits.
1. Responsable du traitement
Le responsable du traitement est FlowBrix, éditeur de My DUERP (voir mentions légales). Contact pour toute question relative aux données : privacy@myduerp.fr.
Délégué à la protection des données (DPO) : [À COMPLÉTER : nom / non désigné].
2. Données que nous traitons
- Compte & identité : nom, adresse email, téléphone (facultatif), mot de passe (chiffré), rôle.
- Organisation : raison sociale, SIRET, code APE, adresse, effectif, convention collective.
- Contenu métier (DUERP): unités de travail, risques évalués, plans d'action, sites, signature (identité du signataire et horodatage).
- Vidéos des locauxque vous filmez et importez, ainsi que les détections produites par l'analyse automatisée. Ces vidéos peuvent contenir l'image de personnes (salariés) — voir §7.
- Paiement: email, plan choisi, identifiants d'abonnement. Les données de carte bancaire sont traitées directement par Stripe et ne transitent jamais par nos serveurs.
- Usage & support: événements d'utilisation (mesure d'audience interne), messages de feedback, journaux techniques.
3. Finalités et bases légales
| Finalité | Base légale (RGPD) |
|---|---|
| Fournir le service (compte, génération du DUERP, analyse vidéo) | Exécution du contrat (art. 6.1.b) |
| Facturation et paiement | Exécution du contrat + obligation légale |
| Sécurité, prévention de la fraude, journaux | Intérêt légitime (art. 6.1.f) |
| Amélioration du produit (mesure d'audience interne) | Intérêt légitime (art. 6.1.f) |
| Emails de service (invitation, rappel de mise à jour du DUERP) | Exécution du contrat / intérêt légitime |
| Conservation du DUERP signé | Obligation légale (Code du travail) |
4. Destinataires et sous-traitants
Nous faisons appel à des sous-traitants qui traitent des données pour notre compte, encadrés par des accords de traitement (DPA) :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Supabase | Base de données, authentification, stockage | Union européenne (Paris) |
| Google (Gemini) | Analyse automatisée des vidéos | [À COMPLÉTER : UE via Vertex AI, à confirmer] |
| Stripe | Paiement | Irlande / États-Unis |
| Resend | Envoi des emails | UE (envoi) / États-Unis |
| Vercel | Hébergement applicatif | États-Unis |
5. Transferts hors Union européenne
Certains sous-traitants (Stripe, Vercel, Resend, selon le cas Google) sont établis aux États-Unis ou peuvent y traiter des données. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et/ou le Data Privacy Framework. Nos données métier sont hébergées dans l'Union européenne (Supabase, Paris).
6. Durées de conservation
- Compte : jusqu'à la suppression du compte, puis suppression/anonymisation.
- DUERP signés : conservés conformément à l'obligation légale (jusqu'à 40 ans pour les versions successives).
- Vidéos brutes : supprimées automatiquement après l'analyse ; seules les détections issues de l'analyse sont conservées avec le DUERP.
- Feedback, journaux, mesure d'audience : [À COMPLÉTER : durée à préciser (ex. 13 mois)].
7. Vidéos et image des salariés
Lorsque vous filmez vos locaux, la vidéo peut capter l'image de vos salariés. Dans ce cadre, vous (l'employeur) êtes responsable du traitement et My DUERP agit comme sous-traitant. Il vous appartient d'informer vos salariés de ce traitement et, le cas échéant, de consulter les instances représentatives. Nous minimisons la conservation : la vidéo brute est supprimée après analyse.
8. Décision automatisée / IA
Les vidéos sont analysées par un modèle d'intelligence artificielle (Google Gemini) qui proposedes risques. Ces propositions ne sont jamais appliquées automatiquement : un utilisateur les valide, les ajuste ou les écarte. Aucune décision produisant des effets juridiques n'est prise sur le seul fondement d'un traitement automatisé.
9. Vos droits
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilitéet d'opposition.
- Rectifier vos informations : depuis Paramètres → Profil / Organisation.
- Exporter vos données : depuis Paramètres → Confidentialité → Exporter mes données.
- Supprimer votre compte : depuis Paramètres → Confidentialité → Supprimer mon compte.
- Pour toute autre demande : privacy@myduerp.fr.
Certaines données ne peuvent être supprimées immédiatement lorsqu'une obligation légale impose leur conservation (ex. DUERP signé).
10. Réclamation
Vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr.
11. Cookies
Voir notre politique cookies. Nous n'utilisons aucun traceur publicitaire tiers.