Sécurité et confidentialité
Les données de temps de travail en disent long sur les personnes : où elles travaillent, quand et pour qui. Cette page explique comment TimeTracking les protège, ce que nous ne collectons pas et où trouver les détails. Nos documents juridiques sont en cours de finalisation ; cette page résume leurs engagements.
Informations sur la société
- Name
- TimeTracking
- KvK
- 84956526
- Address
- 31, 6165 BH Geleen, Netherlands
- Demandes relatives à la vie privée
- privacy@timetracking.tech
- Signalements de sécurité (divulgation responsable)
- security@timetracking.tech
RGPD et rôles
TimeTracking est utilisé par des organisations : employeurs, agences d’intérim et leurs clients. Pour les heures, missions et validations que votre organisation enregistre dans TimeTracking, votre organisation est responsable de traitement et TimeTracking est sous-traitant. Nous ne traitons ces données que sur vos instructions documentées, et les paramètres que vous choisissez dans l’application, par exemple l’activation de la localisation et sa durée de conservation, valent instructions.
Notre accord de traitement des données (DPA) fait partie des conditions générales et est accepté avec elles lors de l’inscription. Il couvre la confidentialité, les mesures de sécurité, la notification des violations, les sous-traitants, l’assistance pour les demandes des personnes concernées, les audits et la suppression en fin de contrat. Pour les données de compte, de facturation et du site web, TimeTracking est responsable de traitement, comme décrit dans la politique de confidentialité.
Hébergement dans l’UE et sous-traitants
Les données clients sont stockées dans l’UE. La base de données principale fonctionne sur Supabase, chez AWS en Irlande (eu-west-1). L’application web est hébergée chez Vercel, avec des fonctions dans une région de l’UE lorsque c’est possible ; le contenu statique est servi par un CDN mondial.
Nous publions chaque sous-traitant avec sa finalité, sa localisation, son mécanisme de transfert et son statut : actif, ou prévu et activé uniquement après préavis. Nous informons les clients au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant, et les clients peuvent s’y opposer pendant ce délai. Nous n’utilisons aucun réseau publicitaire, aucun courtier en données et aucun outil de capture d’écran ou d’enregistrement des frappes.
Chiffrement
Toutes les connexions, entre navigateur, application mobile, API et base de données, utilisent TLS 1.2 ou supérieur, avec HSTS sur timetracking.tech. Au repos, la base de données, le stockage de fichiers et les sauvegardes sont protégés par un chiffrement de disque AES-256 avec des clés gérées par le fournisseur.
Les liens magiques de validation sont des jetons aléatoires de 256 bits. Nous ne conservons qu’une empreinte (hash) de chaque jeton ; les liens expirent après 14 jours, peuvent être révoqués et ne servent qu’une seule fois pour la validation.
Isolation des clients et contrôle d’accès
Les données de chaque client se trouvent dans la même base de données mais sont strictement séparées. Chaque table client est protégée par la sécurité au niveau des lignes (RLS) de PostgreSQL : la base elle-même refuse de renvoyer des lignes appartenant à une autre organisation. Les règles sont testées pour chaque rôle par des tests automatisés.
Au sein d’une organisation, les rôles limitent ce que chacun voit. Les salariés ne peuvent consulter que leurs propres missions et heures, et un interlocuteur client ne voit que les missions couvertes par son lien. L’authentification à deux facteurs protège les rôles d’administration. L’accès de notre propre personnel aux données de production est limité à des personnes nommément désignées, uniquement pour le support à votre demande ou la gestion d’incidents, et chaque accès est journalisé.
Journal d’audit et validations signées
Chaque modification des feuilles d’heures, missions, périodes, validations, exports et conflits est enregistrée dans un journal d’audit en ajout seul : qui a modifié quoi, quand, depuis quelle source, avec l’ancienne et la nouvelle valeur. Le journal d’audit ne peut être ni modifié ni supprimé. Les périodes clôturées ne peuvent pas être modifiées, seulement corrigées par une nouvelle ligne de référence, et les exports portent une empreinte de contenu permettant de les reproduire.
Lorsqu’un client valide des heures, il ouvre un lien magique sécurisé et signe avec un code à usage unique reçu par e-mail. La validation enregistre le nom du signataire, sa fonction, sa décision, l’heure, l’adresse IP et le navigateur. Il s’agit d’une signature électronique simple au sens du règlement eIDAS, qui donne aux deux parties une trace claire de qui a approuvé quelles heures.
Ni captures d’écran, ni enregistrement des frappes
TimeTracking ne fait pas de captures d’écran, n’enregistre pas les frappes au clavier et ne surveille pas les applications ni les sites web utilisés. Nous pensons que ce type de surveillance détruit la confiance et est rarement proportionné au regard du RGPD.
TimeTracking ne collecte aujourd’hui aucune donnée de localisation. Des rappels par geofencing sont prévus : à leur arrivée, la localisation sera facultative et activée par l’employeur, et l’application ne relèvera une position qu’au pointage d’entrée, au pointage de sortie et à l’entrée ou à la sortie d’une zone de geofencing autour d’un lieu de travail, jamais sous forme de suivi continu. Les coordonnées brutes seront conservées 30 jours par défaut (paramétrable de 0 à 90), après quoi seule l’information dedans ou hors de la zone sera conservée. Les notifications push prévues ne contiendront ni heures ni noms.
Traitement par IA
TimeTracking utilise l’IA (Anthropic Claude) pour des fonctionnalités comme la lecture des feuilles d’heures envoyées par e-mail par les clients, la détection d’anomalies telles que des heures impossibles ou des doublons, et la catégorisation des saisies. Le résultat de l’IA est toujours une suggestion. Les extractions à faible niveau de confiance passent en revue humaine, et l’IA ne peut rien valider, envoyer ni supprimer. Les validations, exports et décisions de paie sont pris par des personnes.
Les e-mails entrants sont traités comme des données : le modèle ne peut que remplir un schéma d’extraction fixe et ne peut déclencher aucune action. Les données clients ne servent pas à entraîner des modèles d’IA. L’exécution du modèle via AWS Bedrock dans l’UE (Francfort) est prévue ; d’ici là, la liste des sous-traitants indique le statut actuel. Vous pouvez désactiver les fonctionnalités d’IA pour votre organisation.
Sauvegardes, incidents et suppression
La restauration à un instant donné (point-in-time recovery) est activée pour la base de données. Les environnements de développement, de préproduction et de production sont séparés, et les données de production ne sont pas utilisées pour le développement. En cas de violation de données personnelles, nous informons les clients concernés dans les meilleurs délais, avec un objectif de 48 heures après la découverte, afin qu’ils puissent respecter leur propre obligation de 72 heures.
Vous pouvez exporter vos données à tout moment en CSV ou XLSX, ou via l’API. À la fin du contrat, vous disposez de 30 jours pour exporter, après quoi nous supprimons les données clients de la production puis, à l’expiration de la fenêtre de sauvegarde, des sauvegardes.
Divulgation responsable
Si vous pensez avoir découvert une vulnérabilité de sécurité, signalez-la à notre adresse dédiée à la sécurité. Joignez une description du problème, l’URL ou le composant concerné, les étapes pour le reproduire, l’impact attendu et la manière de vous joindre. Des captures d’écran ou une courte preuve de concept sont utiles.
Nous demandons une divulgation coordonnée : laissez-nous un délai raisonnable pour analyser et corriger le problème avant de le rendre public. N’accédez pas à des données qui ne vous appartiennent pas, ne les modifiez ni ne les supprimez, ne dégradez pas le service pour les autres utilisateurs et arrêtez vos tests dès que vous avez démontré le problème.
Questions fréquentes
Où mes données sont-elles stockées ?
Dans l’UE. La base de données principale fonctionne sur Supabase, chez AWS en Irlande. La liste complète des sous-traitants, avec leur localisation et leur statut, figure sur notre page des sous-traitants.
TimeTracking est-il certifié ISO 27001 ou SOC 2 ?
Non, TimeTracking ne détient pas lui-même ces certifications. Nos fournisseurs d’infrastructure publient leurs propres rapports de certification, et les mesures de sécurité que nous appliquons sont décrites dans l’annexe 2 de notre accord de traitement des données.
Proposez-vous un accord de traitement des données ?
Oui. Le DPA fait partie de nos conditions générales et est accepté avec elles lors de l’inscription. Nos documents juridiques sont en cours de finalisation ; le projet actuel est disponible sur le site.
TimeTracking suit-il en permanence la localisation des salariés ?
Non. TimeTracking ne collecte aujourd’hui aucune donnée de localisation. Les rappels par geofencing prévus seront facultatifs, activés par l’employeur, et ne relèveront une position qu’aux pointages et à l’entrée ou à la sortie de la zone d’un lieu de travail. Pas de suivi continu, pas de captures d’écran, pas d’enregistrement des frappes.
Nos données servent-elles à entraîner des modèles d’IA ?
Non. Les données clients ne servent pas à entraîner des modèles d’IA, et les fonctionnalités d’IA peuvent être désactivées pour votre organisation.
Essayez TimeTracking gratuitement
Gratuit jusqu’à 5 utilisateurs. Core dès 1 € par utilisateur et par mois, tout compris.