Confidentialité

Le principe

Orkalys traite des données de salariés : des heures travaillées, un chantier, un corps d’état. Ce sont des données professionnelles, et elles servent à une chose : préparer la paie et suivre les chantiers. Elles ne sont ni revendues, ni analysées pour autre chose, ni utilisées pour entraîner des modèles.

Orkalys n’est pas un mouchard. Aucune géolocalisation, aucune badgeuse, aucun relevé de position. La déclaration d’heures est un acte volontaire de la personne, validé par son responsable. Il n’existe aucun réglage permettant d’activer un suivi de position : ce n’est pas une option désactivée par défaut, c’est une fonction que le logiciel n’a pas.

Deux rôles, à ne pas confondre

Sur ce site

Orkalys est responsable de traitement : c’est nous qui décidons de collecter une demande d’essai ou de démonstration, et qui en répondons.

Dans l’application

Votre entreprise est responsable de traitement : c’est elle qui décide de collecter des heures et qui en répond auprès de ses salariés. Orkalys est sous-traitant au sens de l’article 28 du RGPD : nous hébergeons et traitons pour son compte, sur ses instructions, et rien d’autre.

Sur le site : ce que vous nous laissez

Un seul formulaire collecte quelque chose : celui de la demande d’essai. Il demande le nom de l’entreprise, sa ville, son SIRET (facultatif), votre prénom, votre nom, votre adresse électronique et un effectif approximatif.

Pourquoi

Ouvrir votre essai, vous envoyer le lien d’activation, puis les avis de fin d’essai. Vous recontacter si vous nous l’avez demandé.

Sur quelle base

L’exécution de mesures précontractuelles prises à votre demande (art. 6.1.b du RGPD), et notre intérêt légitime à répondre à une entreprise qui nous sollicite.

Ce qui est obligatoire

Le nom de l’entreprise, votre nom et votre adresse électronique. Sans eux, l’essai ne peut pas être ouvert. Le reste est facultatif.

Combien de temps

Le lien d’activation expire au bout de 72 heures. Une demande qui n’est jamais activée est supprimée trente jours après le dernier envoi de ce lien. La suppression est faite par une purge qui tourne chaque nuit, pas sur bonne intention. Si la demande devient un contrat, elle suit la vie de ce contrat.

Dans l’application : ce qui est traité

Les finalités sont décidées par votre employeur ; nous les mettons en œuvre. Voici les catégories de données concernées.

Salariés

Nom, prénom, identifiant de connexion, langue, matricule et type de contrat, corps d’état. Une adresse électronique seulement pour les comptes du bureau.

Activité

Heures déclarées, chantier et corps d’état de chaque créneau, paniers et trajets, validations et corrections avec leur auteur.

Rémunération

Un taux horaire, quand il est saisi. Il est isolé du reste et lisible des seuls rôles qui préparent la paie. Cette séparation est appliquée par les données elles-mêmes, pas par une case à cocher.

Contenus

Photos de chantier, plans, consignes et leurs accusés de lecture.

Journaux

Connexions et opérations d’administration, conservés pour la sécurité et la traçabilité.

Aucune donnée sensible au sens de l’article 9 du RGPD n’est demandée : ni santé, ni opinion, ni appartenance syndicale. Aucune donnée biométrique non plus, ce qui exclut la badgeuse à empreinte, et c’est délibéré.

Qui y a accès

Chez votre entreprise : les personnes à qui elle a ouvert un compte, selon leur rôle. Chez Orkalys : les seules personnes dont le travail l’exige, pour l’exploitation et l’assistance, et ces accès sont journalisés.

Nous faisons appel à des sous-traitants pour l’hébergement, l’encaissement des paiements et la protection des formulaires contre les robots. Leur liste nominative n’est pas publiée : le détail de l’infrastructure n’apprend rien à un client et beaucoup à qui cherche une prise. Elle est communiquée sur demande à bonjour@orkalys.fr et figure au contrat de sous-traitance, avec information préalable en cas de changement.

Où c’est hébergé

Dans l’Union européenne, exclusivement. Aucune donnée n’est transférée hors de l’Union européenne dans le cadre du service, et aucun sous-traitant n’y est établi.

Combien de temps

Heures et validations

Pendant toute la durée du contrat. Elles ne sont jamais supprimées physiquement : une annulation laisse la ligne et son motif. C’est ce qui protège l’entreprise comme le salarié en cas de litige.

Journaux d’administration

Pendant la durée du contrat : c’est leur immuabilité qui en fait une preuve.

Demandes d’essai sans suite

Trente jours après le dernier envoi du lien, puis suppression automatique.

Factures et pièces comptables

Dix ans, comme la loi l’impose à toute entreprise.

À la fin du contrat

L’export reste disponible trente jours ; ensuite, sur instruction de votre entreprise, les données lui sont restituées puis effacées, sous réserve des durées de conservation légales.

Aucune décision automatisée

Aucun traitement ne produit de décision automatisée au sens de l’article 22 du RGPD. La validation des heures est un acte humain : c’est un responsable qui valide, qui corrige et qui signe son geste. Aucun arbitrage n’est rendu par un automatisme.

Vos droits

Toute personne dispose d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur ses données.

Vous êtes salarié d’une entreprise cliente

Adressez votre demande à votre employeur : c’est lui le responsable de traitement. Nous l’assistons pour y répondre, et nous ne pouvons pas agir sur vos données sans son instruction.

Vous avez rempli un formulaire sur ce site

Écrivez-nous directement à bonjour@orkalys.fr. Nous répondons dans un délai d’un mois.

Sécurité

Le cloisonnement entre entreprises est appliqué au niveau des données elles-mêmes, et non par le code de l’application : une requête qui sortirait du périmètre d’une entreprise ne renvoie rien, même si le code se trompe.

Les échanges entre votre appareil et le service sont chiffrés ; les données le sont également au repos. Les accès sont nominatifs, les opérations d’administration journalisées, et ce journal est en écriture seule : il ne peut pas être effacé, y compris par nous. Les sauvegardes sont quotidiennes et restent dans l’Union européenne.

En cas de violation de données

Si une violation de données survenait, votre entreprise en serait informée dans les meilleurs délais, avec ce que nous savons et ce que nous ignorons encore, afin qu’elle puisse tenir ses propres obligations envers la CNIL et ses salariés. Nous ne diluons pas ce genre de nouvelle dans une lettre d’information.

Cookies, traceurs et polices

Ce site ne dépose aucun cookie, et aucune bannière de consentement n’est donc nécessaire. Les polices de caractères sont celles de votre appareil : aucune requête n’est faite vers un serveur tiers pour les charger.

Seule exception, sur la page d’essai : Cloudflare Turnstile distingue un humain d’un robot. Ce dispositif peut poser un témoin technique le temps du défi et reçoit l’adresse IP du visiteur pour évaluer la demande ; il ne dépose aucun traceur publicitaire et ne sert pas à profiler le visiteur. La base légale est notre intérêt légitime à protéger le formulaire des inscriptions automatisées.

Modifications

Cette politique porte une date de mise à jour. Toute modification substantielle est notifiée aux entreprises clientes par courriel avant son entrée en vigueur.

Nous écrire

Pour toute question sur cette politique, ou pour obtenir la liste de nos sous-traitants : bonjour@orkalys.fr.