Politique de confidentialité
Shiftly est un logiciel de planning, de pointage, de gestion des absences et de préparation de la paie, utilisé par des entreprises pour leurs équipes. Cette page explique, sans jargon inutile, quelles données personnelles sont traitées, pourquoi, avec qui elles sont partagées, combien de temps elles sont gardées et comment exercer vos droits. Elle s'applique au site Shiftly, à l'application web et aux applications mobiles.
1. Qui est responsable de vos données
Selon qui vous êtes, le responsable n'est pas le même :
- Vous êtes salarié d'une entreprise qui utilise Shiftly. Votre employeur est responsable du traitement : c'est lui qui décide d'utiliser Shiftly pour le planning, le pointage et les absences. L'éditeur de Shiftly agit pour son compte, comme sous-traitant au sens de l'article 28 du RGPD, selon l'accord de sous-traitance annexé aux conditions générales.
- Vous êtes client de Shiftly (dirigeant ou gestionnaire d'un compte), visiteur du site, ou vous essayez la démo ou demandez à être rappelé. L'éditeur de Shiftly est responsable du traitement.
Une personne qui gère plusieurs établissements dans Shiftly passe d'une entreprise à l'autre ; chaque établissement reste une entreprise distincte, responsable des données de son équipe.
Éditeur : Rayane TALEB, entrepreneur individuel (EI), 5 allée de la Caravelle, 94430 Chennevières-sur-Marne, France, SIRET 988 905 394 00025.
Contact données personnelles : contact@shiftlyapp.fr. Aucun délégué à la protection des données n'est désigné.
2. Les données traitées
Pour les équipes des entreprises clientes
- Identité et compte : nom, prénom, adresse e-mail, rôle, intitulé de poste, initiales, mot de passe (enregistré sous forme hachée : personne, pas même l'éditeur, ne peut le lire).
- Contrat et paie, si l'employeur les renseigne : matricule, type de contrat, horaire hebdomadaire, dates d'entrée et de fin de contrat, période d'essai, statut cadre, salaire, titre de transport et son coût. Ces informations ne sont visibles que des personnes que le dirigeant y autorise.
- Coordonnées personnelles, si l'employeur les renseigne : téléphone et adresse.
- Temps de travail : planning, heures d'arrivée et de départ, retards, absences constatées, corrections de pointage, soldes de congés, éléments variables préparés pour la paie (heures supplémentaires, dimanches, jours fériés, titres-restaurant).
- Pointage : chaque passage du badge (date, heure, appareil utilisé). Le badge est un QR code signé, propre à chaque salarié. Sur une tablette de pointage, la caméra ne sert qu'à lire ce QR code : aucune image n'est enregistrée.
- Position de l'appareil de pointage, uniquement si l'employeur active le contrôle de zone et que l'appareil la transmet : elle sert à vérifier que le pointage a lieu près du lieu de travail et est enregistrée avec ce pointage. Shiftly ne suit jamais la position d'une personne en continu.
- Demandes : congés, absences, échanges de créneaux, messages échangés et pièces jointes.
- Données de santé : le fait qu'une absence soit un arrêt maladie ou un accident du travail, et le justificatif éventuellement joint. Ce sont des données sensibles (article 9 du RGPD) : seuls les responsables habilités par le dirigeant y accèdent.
- Préférences de planning que le salarié choisit de donner dans l'application mobile : jours « volontiers » ou « si besoin », tranches horaires préférées, une note courte.
- Appareils et notifications : appareils de confiance (nom de l'appareil, dernière utilisation), jeton de notification du téléphone, préférences de notification.
- Traçabilité : historique des modifications (qui a changé quoi, quand, avec la valeur d'avant).
- Signalements de bug et propositions d'amélioration envoyés depuis l'application : le message, l'écran où l'on se trouvait, la plateforme, la version de l'application, le navigateur ou le modèle de téléphone et la taille d'écran, rattachés au compte qui les envoie.
Pour les clients, visiteurs et prospects
- Compte client : identité et coordonnées professionnelles du dirigeant, nom de l'entreprise, formule choisie, éléments de facturation.
- Demande de rappel (« Être rappelé ») : nom, entreprise, e-mail, téléphone si vous le donnez, nombre d'établissements, formule envisagée, moment où vous rappeler, votre question si vous en posez une.
- Démo (« Essayer Shiftly ») : l'e-mail si vous choisissez de le laisser. L'entreprise de démonstration ne contient que des personnes fictives.
- Données techniques : adresse IP, date et heure, page demandée, navigateur, utilisées pour faire fonctionner et protéger le service (par exemple limiter le nombre de démos ouvertes depuis une même adresse).
3. Pourquoi, et sur quelle base légale
| Finalité | Base légale |
|---|---|
| Planning, décompte du temps de travail, gestion des absences et des congés, préparation des éléments de paie | Obligations légales de l'employeur (Code du travail, notamment art. L3171-2 et D3171-8 sur le décompte de la durée du travail) et exécution du contrat de travail |
| Traitement des arrêts maladie et accidents du travail | Obligations de l'employeur en droit du travail et de la sécurité sociale (art. 9.2.b du RGPD) |
| Contrôle de zone au moment du pointage, s'il est activé | Intérêt légitime de l'employeur à fiabiliser le décompte du temps de travail ; l'employeur informe ses salariés au préalable |
| Sécurité du service, historique des modifications, prévention des fraudes et des abus | Intérêt légitime de l'employeur et de l'éditeur |
| Fourniture du service au client, facturation, support | Exécution du contrat entre l'éditeur et le client ; obligations comptables pour les factures |
| Traiter les bugs et améliorations signalés depuis l'application, et y répondre | Intérêt légitime de l'éditeur à corriger et améliorer le service |
| Rappeler une personne qui l'a demandé, lui présenter l'offre | Consentement donné dans le formulaire « Être rappelé » |
| Recontacter une personne qui a laissé son e-mail en ouvrant la démo | Intérêt légitime de l'éditeur à faire connaître son offre à des professionnels intéressés ; vous pouvez vous y opposer à tout moment |
Shiftly ne vend aucune donnée, n'en fait pas d'usage publicitaire et ne dépose aucun traceur publicitaire ou de mesure d'audience. Aucune décision produisant des effets juridiques n'est prise de manière entièrement automatisée.
4. Qui a accès à vos données
- Au sein de l'entreprise : vous-même, et les responsables selon les droits que le dirigeant leur accorde. Votre comptable reçoit les éléments de paie que l'employeur lui transmet.
- L'éditeur de Shiftly : uniquement les personnes qui en ont besoin pour le support, la maintenance et la sécurité, tenues à la confidentialité.
- Les sous-traitants techniques de l'éditeur, chacun pour une mission précise :
| Prestataire | Mission | Lieu de traitement |
|---|---|---|
| Supabase | Base de données et stockage des fichiers (pièces jointes, documents) | Union européenne (Irlande) |
| Render | Hébergement du site et des serveurs de l'application | Union européenne (Francfort) |
| Brevo (Sendinblue SAS) | E-mails d'invitation, codes de vérification et de connexion, réinitialisation du mot de passe | Union européenne (France) |
| Google (Firebase Cloud Messaging) | Notifications sur les téléphones | Union européenne et États-Unis |
| Apple et Google | Badge ajouté au Wallet du téléphone, à l'initiative du salarié | Union européenne et États-Unis |
| Vérification de l'identité quand un salarié choisit « Continuer avec Google » à l'inscription | Union européenne et États-Unis |
Transferts hors de l'Union européenne. Lorsque des données sont traitées aux États-Unis (Google, Apple), le transfert repose sur la certification de ces sociétés au Data Privacy Framework UE–États-Unis (décision d'adéquation de la Commission européenne du 10 juillet 2023), complétée par les clauses contractuelles types de la Commission européenne. Supabase et Render conservent les données dans l'Union européenne (Irlande, Francfort) ; ces sociétés ayant leur siège hors de l'Union (Singapour, États-Unis), un accès ponctuel de leurs équipes reste possible pour le support technique, encadré par leur accord de sous-traitance et les clauses contractuelles types.
L'application web charge aussi quelques bibliothèques techniques (mise en forme, graphiques, export Excel) depuis des réseaux de diffusion publics (cdn.tailwindcss.com, cdn.jsdelivr.net), qui reçoivent à cette occasion l'adresse IP du navigateur, sans autre donnée.
Les données peuvent enfin être communiquées aux autorités qui les demandent dans le cadre de la loi (inspection du travail, autorités judiciaires).
5. Combien de temps elles sont conservées
| Données | Durée |
|---|---|
| Pointages, planning, absences, congés, demandes et pièces jointes | Pendant l'utilisation de Shiftly par l'employeur, et au plus 5 ans après la période concernée, pour lui permettre de justifier les heures et les salaires versés (art. L3243-4 et D3171-16 du Code du travail ; prescription des salaires, art. L3245-1). L'employeur peut demander une durée plus courte. |
| Données de santé (nature d'un arrêt, justificatif) | Comme l'absence à laquelle elles se rattachent, accès restreint aux responsables habilités |
| Compte d'un salarié qui a quitté l'entreprise | Désactivé à son départ (il ne peut plus se connecter) ; ses données de temps de travail suivent la durée ci-dessus, puis sont supprimées |
| Historique des modifications | 5 ans, comme les données dont il trace les changements |
| Codes de vérification, de connexion et de réinitialisation | Quelques minutes : ils expirent puis ne peuvent plus servir |
| Appareils de confiance | 30 jours sans utilisation, ou jusqu'à leur révocation depuis le profil |
| Jetons de notification | Jusqu'à la déconnexion de l'appareil ou à leur invalidation |
| Journaux techniques (adresse IP, requêtes) | 12 mois au plus |
| Données d'un client qui cesse d'utiliser Shiftly | Exportables pendant 30 jours après la fin de l'abonnement, puis supprimées dans les 90 jours, sauf obligation légale de conservation |
| Factures et pièces comptables | 10 ans (art. L123-22 du Code de commerce) |
| Signalements de bug et propositions d'amélioration | 2 ans après leur envoi |
| Demandes de rappel et e-mails laissés pour la démo | 3 ans après le dernier contact de votre part |
| Entreprise de démonstration | Effacée dès que vous quittez la démo, ou 30 minutes après la fermeture de la page |
6. Sécurité
- Échanges chiffrés (HTTPS) entre votre appareil et les serveurs.
- Mots de passe hachés ; sur mobile, la session est rangée dans le trousseau sécurisé du téléphone.
- Cloisonnement des données par entreprise, vérifié à chaque accès ; droits d'accès fixés par le dirigeant, personne par personne.
- Le déverrouillage par Face ID ou empreinte se fait sur le téléphone : Shiftly n'a jamais accès à ces données biométriques.
- Sur mobile, code envoyé par e-mail à la première connexion depuis un nouvel appareil ; appareils de confiance révocables à tout moment depuis le profil.
- Badges signés, impossibles à fabriquer pour un autre salarié ; badgeuses jumelées par code et révocables.
- Limitation des tentatives de connexion et des formulaires publics ; historique des modifications.
En cas de violation de données présentant un risque pour vos droits, l'éditeur prévient sans délai l'employeur concerné, et la CNIL et les personnes concernées lorsque la loi l'exige.
7. Cookies et stockage sur votre appareil
Shiftly ne dépose aucun cookie publicitaire ni de mesure d'audience, et les polices sont servies par Shiftly (seules les bibliothèques techniques citées à la section 4 viennent de réseaux publics). Seuls des éléments strictement nécessaires au service sont enregistrés sur votre appareil, ce qui ne demande pas de consentement (art. 82 de la loi Informatique et Libertés) :
- votre session de connexion et les informations d'affichage de votre compte (nom, rôle) ;
- vos préférences d'affichage (mode sombre) et les notifications déjà lues ;
- l'indication que vous êtes dans la démo, le cas échéant ;
- sur mobile, la session dans le trousseau sécurisé et l'avancement de l'accueil de première ouverture.
La déconnexion efface la session ; vous pouvez aussi effacer ces données depuis les réglages de votre navigateur ou de votre téléphone.
8. Vos droits
Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, la limitation de leur traitement, vous opposer à un traitement fondé sur l'intérêt légitime, retirer votre consentement à tout moment, recevoir vos données dans un format réutilisable (portabilité) et définir des directives sur le sort de vos données après votre décès.
- Salariés : adressez votre demande à votre employeur, responsable du traitement. L'éditeur l'aide à y répondre dans les délais.
- Clients, visiteurs et prospects : écrivez à contact@shiftlyapp.fr. Pour ne plus être recontacté après une demande de rappel ou une démo, un simple e-mail suffit.
Supprimer son compte
Un compte Shiftly est ouvert par l'employeur, sur le site comme dans l'application mobile. Pour demander sa suppression, le plus simple est de passer par l'application : Profil › Aide › Supprimer mon compte. La marche à suivre complète est sur la page Supprimer son compte. Sans l'application :
- Salariés : demandez-le à votre employeur, qui ferme le compte depuis Shiftly. Vous pouvez aussi écrire à contact@shiftlyapp.fr depuis l'adresse de votre compte, en indiquant le nom de votre entreprise : la demande est transmise à votre employeur et vous recevez une réponse dans le mois.
- Clients : écrivez à contact@shiftlyapp.fr depuis l'adresse du compte du dirigeant.
Un compte fermé ne peut plus se connecter. Les pointages, plannings et absences qui s'y rattachent restent conservés pour l'employeur pendant la durée indiquée à la section 5, qu'impose le Code du travail, puis sont supprimés.
Une réponse vous est apportée dans un délai d'un mois, qui peut être prolongé de deux mois pour une demande complexe ; une pièce d'identité peut être demandée en cas de doute raisonnable sur votre identité. Vous pouvez aussi introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr).
9. Demande de rappel et démo, en bref
Quand vous cliquez sur « Être rappelé », vos coordonnées sont enregistrées et transmises par e-mail à l'équipe Shiftly, uniquement pour vous rappeler au sujet de l'offre. Elles ne sont ni revendues ni communiquées à des tiers, et sont supprimées 3 ans après votre dernier contact. Quand vous ouvrez la démo, vous n'avez rien à fournir ; si vous laissez votre e-mail, il peut servir à vous recontacter, ce à quoi vous pouvez vous opposer à tout moment. L'entreprise de démonstration ne contient que des personnes fictives et s'efface dès que vous quittez la démo, ou 30 minutes après la fermeture de la page.
10. Ce que l'employeur doit faire de son côté
Avant de mettre en place Shiftly, l'employeur informe ses salariés du dispositif de décompte du temps de travail (finalités, destinataires, durées, droits), consulte le comité social et économique lorsqu'il en existe un (art. L2312-38 du Code du travail), et inscrit le traitement à son registre des activités de traitement. S'il active le contrôle de zone au pointage, il en informe préalablement les salariés. Ces obligations sont rappelées dans les conditions générales.
11. Modifications
Cette politique peut évoluer, notamment avec les fonctions de Shiftly. La date de version figure en haut de page ; les changements importants sont signalés dans l'application avant de s'appliquer.