Politique de confidentialité

Le responsable du traitement des données de votre compte est le prestataire du service, identifié sous Qui sommes-nous, en bas de cette page.

Lorsqu’une entreprise utilise PainelObra pour gérer son équipe, c’est cette entreprise qui est responsable des données qu’elle enregistre sur ses salariés et ses clients — heures, localisation des pointages, rapports, photos. Nous agissons en tant que sous-traitant : nous traitons ces données uniquement pour fournir le service, selon les instructions de l’entreprise et les règles de la section « Traitement des données pour le compte de l’entreprise » des Conditions d’utilisation.

Si vous travaillez dans une entreprise qui utilise PainelObra et avez une question sur vos données de travail, adressez-vous d’abord à votre entreprise — c’est elle qui décide à leur sujet. Nous l’aidons à répondre.

Nous n’avons pas désigné de délégué à la protection des données, car nous n’y sommes pas tenus. Toute demande relative à la vie privée est à adresser au contact indiqué en bas de cette page.

• Compte : e-mail, mot de passe (stocké chiffré, jamais en clair), nom, téléphone, pays et langue. Si vous vous connectez avec Google, nous recevons de Google le nom, l’adresse e-mail et la photo de profil de ce compte.
• Entreprise : nom, code d’adhésion et, si vous les renseignez, adresse, numéro fiscal, téléphone, e-mail et logo pour l’en-tête des rapports.
• Travail : chantiers (nom, client, localité, budget, notes), rapports journaliers, réserves et incidents, matériaux, coûts, planning, registres de sécurité et documents.
• Photos : les images et leurs légendes, avec le niveau de visibilité que vous leur donnez (équipe, client ou direction).
• Situations de travaux : les fichiers Excel que l’entreprise crée ou importe pour chaque chantier, avec les versions précédentes de chacun.
• Pointage : heure d’arrivée et de départ, chantier et coordonnées GPS de chaque pointage — voir la section suivante.
• Rémunération : le taux horaire que l’entreprise fixe pour chaque membre. Seuls le propriétaire et les responsables le voient.
• Flotte : véhicules, immatriculations, kilométrage, dates de contrôle technique, d’assurance et d’entretien, pleins et conducteur attribué.
• Clients des chantiers : l’e-mail des personnes que l’entreprise invite sur le portail client, où elles voient les photos que l’entreprise leur destine.
• Paiement : les données de facturation sont traitées par Stripe. Nous ne recevons que l’état de l’abonnement et les derniers chiffres de la carte ; jamais le numéro complet.
• Journal d’audit : qui a fait quoi et quand, au sein de l’entreprise.
• Techniques : adresse IP et données de requête dans les journaux du serveur, conservées peu de temps pour la sécurité et le diagnostic.

Lorsqu’une personne pointe, nous enregistrons les coordonnées de ce moment et la distance au chantier. Cela sert à une seule chose : montrer aux responsables si le pointage a été fait sur le chantier ou en dehors, afin de pouvoir le valider.

Ce que nous ne faisons pas : nous ne suivons personne en temps réel, nous n’enregistrons pas de trajets et nous ne collectons pas la localisation en dehors du moment du pointage, ni lorsque l’application est fermée.

La localisation est collectée par le téléphone uniquement avec l’autorisation du système d’exploitation, que vous pouvez retirer à tout moment dans les réglages de l’appareil. Sans elle, le pointage continue de fonctionner et il est signalé comme sans localisation.

Pour l’entreprise qui utilise ce registre : surveiller des salariés obéit à des règles propres à chaque pays. Au Portugal, il faut informer préalablement les salariés et respecter les limites du Code du travail ; au Brésil, la CLT et la LGPD s’appliquent. Le respect de ces règles relève de la responsabilité de l’entreprise.

• Fournir le service : gérer le compte, conserver et afficher le travail de l’équipe, synchroniser le téléphone et le site. Base : exécution du contrat conclu avec vous.
• Facturer : gérer les abonnements et émettre les factures. Base : exécution du contrat et obligations légales de facturation.
• Sécurité et prévention des abus : journaux techniques, limites d’utilisation et journal d’audit. Base : intérêt légitime à garder le service sûr et disponible.
• Communications de service : avis concernant le compte, l’abonnement et les modifications de ces documents. Base : exécution du contrat. Nous n’envoyons pas de publicité sans votre consentement.
• Connexion avec Google : uniquement si vous choisissez cette option. Base : votre demande, dans le cadre du contrat.

Nous ne prenons aucune décision automatisée produisant des effets juridiques à l’égard de quiconque et ne faisons pas de profilage. Nous ne vendons pas de données personnelles, ne les partageons pas à des fins publicitaires et ne les utilisons pas pour entraîner des modèles d’intelligence artificielle.

Nous faisons appel à un petit nombre de prestataires, qui traitent des données pour notre compte, chacun dans son rôle et tenu par contrat de les protéger :

• Supabase — base de données, authentification et stockage de fichiers. Les données sont hébergées sur des serveurs dans l’Union européenne (Francfort, Allemagne).
• Cloudflare — hébergement du site, réseau de diffusion et protection contre les attaques.
• Stripe — traitement des paiements et facturation.
• Google — envoi des e-mails du service (confirmation de compte et récupération du mot de passe) et, si vous l’utilisez, l’option de connexion avec un compte Google.

Lorsque nous ajoutons ou remplaçons un prestataire, nous mettons cette liste à jour ; si vous êtes une entreprise cliente, nous vous prévenons à l’avance afin que vous puissiez vous y opposer.

Nous ne partageons vos données avec personne d’autre, sauf obligation légale imposée par une autorité compétente — et, dans ce cas, uniquement ce qui est exigé.

La base de données et les photos restent dans l’Union européenne. Cloudflare, Stripe et Google sont des sociétés établies aux États-Unis et peuvent traiter certaines données hors de l’UE — par exemple pour acheminer une requête ou délivrer un e-mail.

Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis, auquel ces sociétés ont adhéré, et par les clauses contractuelles types approuvées par la Commission européenne.

• Compte et contenus : tant que le compte existe.
• Lorsque vous supprimez votre compte : nous supprimons vos données personnelles et vos photos. Ce qui appartient à l’entreprise et a été créé par vous — un rapport de chantier, par exemple — peut rester dans l’entreprise, sans vous identifier, car c’est son registre de travail.
• Lorsqu’une entreprise cesse de payer : elle passe à l’offre gratuite et les données restent en place, en lecture seule. Rien n’est supprimé pour défaut de paiement.
• Facturation : les pièces de facturation sont conservées pendant la durée exigée par la loi fiscale — au Portugal, dix ans.
• Journaux techniques : uniquement le temps nécessaire à la sécurité et au diagnostic.
• Sauvegardes : lorsqu’elles existent, elles sont remplacées par cycles ; une donnée supprimée disparaît des sauvegardes lorsqu’elles sont remplacées.

Vous avez le droit d’accéder à vos données, de les rectifier, de les effacer, de limiter leur traitement ou de vous y opposer, de les recevoir dans un format portable et de retirer un consentement donné, sans remettre en cause ce qui a été fait sur cette base.

Deux de ces droits s’exercent seuls, tout de suite, sans rien demander à personne : dans Confidentialité et données, un bouton exporte tout dans un fichier JSON et un autre supprime le compte.

Pour les autres, écrivez au contact indiqué en bas de cette page. Nous répondons dans un délai d’un mois, prolongeable dans les cas prévus par la loi.

Si vous êtes au Brésil, vous disposez aussi des droits prévus à l’article 18 de la LGPD, notamment la confirmation que nous traitons vos données et l’information sur les entités avec lesquelles nous les partageons.

Si vous estimez que nous avons mal traité vos données, vous pouvez saisir l’autorité de contrôle : au Portugal la CNPD, au Brésil l’ANPD.

Nous n’utilisons que ce qui est strictement nécessaire au fonctionnement du site :

• Session : des cookies qui maintiennent votre connexion.
• Langue : un cookie qui mémorise la langue choisie.
• Préférences : le stockage local du navigateur mémorise le thème clair ou sombre, les avis que vous avez fermés et votre parcours récent dans le tableau de bord, pour que le bouton Retour sache où vous ramener.
• Paiements : sur les pages de paiement, qui appartiennent à Stripe, Stripe utilise ses propres cookies pour prévenir la fraude.

Nous n’utilisons ni cookies publicitaires ni traçage entre sites, et il n’y a pas de bandeau de consentement parce que rien ne le nécessite.

L’accès aux données est décidé sur le serveur, ligne par ligne, par les règles de la base de données — et pas seulement par ce que l’écran affiche. Les photos et les situations de travaux sont conservées dans un stockage privé et servies par des liens signés et temporaires.

Tout le trafic est chiffré en transit et les données sont chiffrées au repos. Les mots de passe sont stockés avec des algorithmes conçus à cet effet et ne sont jamais lisibles par nous.

En cas de violation de données présentant un risque pour vos droits, nous la notifions à l’autorité de contrôle dans un délai de 72 heures et vous en informons dans les meilleurs délais. Si vous êtes une entreprise cliente, nous vous prévenons afin que vous puissiez remplir vos propres obligations.

Le service ne s’adresse pas aux moins de 16 ans et nous ne collectons pas sciemment de données d’enfants. Si nous apprenons l’existence d’un tel compte, nous le supprimons.

Lorsque cette politique change de manière importante, nous prévenons par e-mail ou dans l’application au moins 30 jours à l’avance. La version en vigueur et sa date d’entrée en vigueur sont toujours indiquées en haut de cette page.