Politique de confidentialite

1. Responsable du traitement

Le responsable du traitement des donnees personnelles collectees sur OnPulse est :

Raison sociale du responsable : [A COMPLETER]

Adresse postale : [A COMPLETER]

Contact : dpo@onpulse.fr (a adapter)

2. Delegue a la protection des donnees (DPO)

Un delegue a la protection des donnees peut etre contacte a l'adresse suivante : dpo@onpulse.fr.

Note : la designation d'un DPO peut etre obligatoire si le traitement de donnees de sante (handicap) est realise a grande echelle (Art. 37 RGPD). A evaluer avec un juriste.

3. Donnees collectees

Selon le role de l'utilisateur, OnPulse collecte les categories suivantes :

• Donnees d'identification : nom, prenom, adresse email (optionnelle pour les travailleurs), telephone (optionnel), photo de profil (optionnelle).
• Donnees d'authentification : identifiants Supabase, jetons de session, date de derniere connexion.
• Donnees de rattachement : association, ESAT, metier, atelier, equipe d'appartenance.
• Donnees liees aux competences (travailleurs) : niveaux de competence, historique des changements de niveau, reponses aux quiz, bilans de competence, scores EMA.
• Donnees de quiz : questions creees, photos et videos (y compris generees par IA) associees, pieces jointes.
• Donnees techniques : journaux d'audit (actions effectuees dans l'application), preferences de notifications.

4. Finalites et bases legales

5. Decisions automatisees et profilage

OnPulse utilise un algorithme de moyenne mobile exponentielle (EMA) pour calculer et mettre a jour automatiquement les niveaux de competence des travailleurs a partir de leurs reponses aux quiz.

Cette evaluation automatisee n'a pas de consequence juridique ou comparable : elle est un outil d'accompagnement pedagogique. Un moniteur ou un administrateur peut a tout moment ajuster manuellement un niveau via l'interface d'administration, et les travailleurs peuvent contester une evaluation en s'adressant a leur encadrant ou au DPO (Art. 22 RGPD).

6. Contenus generes par intelligence artificielle

Certaines videos utilisees dans les quiz sont generees par intelligence artificielle via le service fal.ai / Kling 2.6 Pro. Ces videos sont signalees dans l'interface par un label visible. Les prompts optimises sont produits avec OpenRouter / Claude Haiku (Anthropic). Aucune donnee personnelle de travailleur n'est envoyee a ces services IA : seuls des descriptifs generiques de scenes pedagogiques sont transmis.

Conformement au Reglement (UE) 2024/1689 (AI Act), OnPulse marque les contenus synthetiques a destination des utilisateurs finaux.

7. Destinataires et sous-traitants

Les donnees personnelles peuvent etre communiquees aux categories de destinataires suivantes :

• personnel autorise de l'ESAT et de l'association (moniteurs, admins) dans la limite de leur perimetre ;
• administrateurs techniques d'OnPulse (support, maintenance) ;
• sous-traitants techniques listes ci-dessous, lies par contrat (DPA) conformement a l'Art. 28 RGPD.

8. Transferts hors UE

Certains de nos sous-traitants sont situes hors de l'Union europeenne (Etats-Unis, Chine). Les transferts sont encadres par :

• le EU-US Data Privacy Framework (DPF) lorsque le prestataire y est adherent (ex : Google) ;
• des Clauses Contractuelles Types (SCC) de la Commission europeenne et un Transfer Impact Assessment (TIA) pour les autres prestataires (notamment fal.ai et le transfert vers la Chine via Kling).

Note interne : les DPA + SCC + TIA sont en cours de formalisation avec l'ensemble des sous-traitants.

9. Durees de conservation

• Comptes utilisateur : conserves pendant toute la duree de la relation contractuelle, puis archives ou anonymises apres 3 ans d'inactivite.
• Donnees de competences et historique : conservees pendant la duree du contrat entre l'ESAT et OnPulse, puis anonymisees.
• Journaux d'audit : conserves 1 an puis purges automatiquement (en cours d'implementation).
• Donnees de connexion : conservees 1 an conformement a la reglementation applicable.
• Medias (photos, videos) : conserves tant que rattaches a un quiz actif ; supprimes sur demande ou lors de la suppression du quiz.

Note : la politique de retention complete est en cours de formalisation et sera integree au registre des traitements (ROPA).

10. Vos droits

Conformement aux articles 15 a 22 du RGPD, vous disposez des droits suivants :

• Acces a vos donnees (Art. 15)
• Rectification des donnees inexactes (Art. 16)
• Effacement (« droit a l'oubli », Art. 17)
• Limitation du traitement (Art. 18)
• Portabilite de vos donnees (Art. 20)
• Opposition au traitement (Art. 21)
• Retrait du consentement a tout moment, sans affecter la liceite du traitement fonde sur le consentement effectue avant ce retrait (Art. 7-3)
• Ne pas faire l'objet d'une decision exclusivement automatisee ayant des effets juridiques ou comparables (Art. 22)

Pour exercer ces droits, contactez dpo@onpulse.fr en joignant un justificatif d'identite. Nous nous engageons a repondre dans un delai maximum d'un mois (Art. 12-3).

Vous disposez egalement du droit d'introduire une reclamation aupres de la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectes (Art. 77).

11. Securite

OnPulse met en oeuvre des mesures techniques et organisationnelles pour proteger vos donnees (Art. 32 RGPD) :

• chiffrement des communications (HTTPS / TLS, HSTS preload) ;
• hachage des mots de passe (bcrypt via Supabase Auth) ;
• Content Security Policy avec nonces, 7 en-tetes de securite ;
• limitation du debit (rate limiting) sur les endpoints sensibles ;
• controle d'acces par roles (ADMIN_SAAS, ADMIN_ASSOCIATION, MONITEUR, TRAVAILLEUR) et par perimetre d'association ;
• journalisation des actions sensibles (creation, modification, suppression, connexion, deconnexion).

12. Cookies

OnPulse utilise uniquement des cookies strictement necessaires au fonctionnement du service :

• Session Supabase : maintien de la connexion utilisateur (cookie essentiel, exempte de consentement).
• sidebar_state : memorisation de l'etat de la barre laterale (cookie fonctionnel).

Aucun cookie publicitaire, de mesure d'audience tiers ou de reseau social n'est depose par OnPulse.

13. Modifications de la politique

OnPulse peut etre amene a modifier la presente politique. Les utilisateurs sont informes de toute modification substantielle par email ou via une notification dans l'application. La version en vigueur est identifiee par un numero de version et une date de derniere mise a jour affiches en tete de page.