Politique de confidentialité

1.1 Identité du responsable de traitement

Shift Express Micro-entreprise immatriculée au répertoire SIRENE sous le numéro 851 776 138 Siège social : Menton, France Email : hello@shift.express

1.2 Hébergement des données

Les données de la plateforme web sont hébergées par : Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA Les données de l'application mobile sont hébergées sur des serveurs situés en Europe (France et Allemagne). Bien que Vercel soit basé aux États-Unis, nos données européennes sont stockées sur l'infrastructure européenne de Vercel (région Frankfurt, Allemagne) conformément aux exigences du RGPD.

1.3 Délégué à la Protection des Données (DPO)

Pour toute question relative à la protection de vos données personnelles, vous pouvez contacter notre équipe à : hello@shift.express

2.1 Données d'identification

• Nom et prénom
• Adresse email professionnelle ou personnelle
• Numéro de téléphone (optionnel)
• Nom de l'établissement (pour les employeurs)
• Fonction/poste occupé

2.2 Données de connexion et d'usage

• Adresse IP
• Logs de connexion (date, heure, pages visitées)
• Type de navigateur et système d'exploitation
• Données de géolocalisation approximative (ville, pays)
• Interactions avec la plateforme (clics, durée de session)

2.3 Données liées au service

• Shifts publiés, acceptés, refusés ou effectués
• Horaires de travail et établissements associés
• Historique des notifications envoyées et reçues
• Points, badges et statistiques de gamification (pour les employés)
• Messages échangés via la plateforme
• Données analytiques et statistiques d'utilisation

2.4 Données de paiement

Les informations de paiement (carte bancaire) ne sont jamais stockées sur nos serveurs. Elles sont traitées directement par notre prestataire de paiement sécurisé Stripe, certifié PCI-DSS. Nous conservons uniquement les 4 derniers chiffres de la carte et la date d'expiration pour faciliter la gestion de votre abonnement.

2.5 Cookies et technologies similaires

Nous utilisons des cookies essentiels pour le fonctionnement du service, ainsi que des cookies analytiques (avec votre consentement) pour améliorer l'expérience utilisateur. Pour plus de détails, consultez notre Politique de Cookies.

3.1 Exécution du contrat

• Création et gestion de votre compte utilisateur
• Fourniture du service Shift Express (publication, notification, acceptation de shifts)
• Gestion des abonnements et facturation
• Communication relative au service (confirmations, rappels)
• Support client et assistance technique

3.2 Obligations légales

• Conservation des données de facturation (obligations comptables et fiscales)
• Réponse aux réquisitions judiciaires
• Prévention de la fraude et des abus

3.3 Intérêt légitime

• Amélioration et optimisation de nos services
• Analyse statistique et mesure d'audience
• Détection et prévention des bugs et problèmes techniques
• Sécurisation de la plateforme contre les cyberattaques
• Envoi d'emails transactionnels et notifications système

3.4 Consentement

• Communications marketing et newsletters (vous pouvez vous désabonner à tout moment)
• Cookies analytiques et de mesure d'audience
• Partage de témoignages ou études de cas (uniquement avec votre accord explicite)

4.1 Personnel de Shift Express

Nos équipes techniques, support client et commerciales ont accès à vos données dans la limite nécessaire à l'exercice de leurs fonctions, sous obligation de confidentialité.

4.2 Prestataires techniques

• Vercel (hébergement web, serveurs européens)
• Stripe (traitement des paiements sécurisés)
• Google Analytics ou Plausible Analytics (analyse de trafic, avec consentement)
• Services de notifications push (Firebase Cloud Messaging)
• Services d'envoi d'emails transactionnels

Tous nos prestataires sont soigneusement sélectionnés et contractuellement tenus de respecter la confidentialité et la sécurité de vos données conformément au RGPD.

4.3 Autorités publiques

Nous pouvons être amenés à communiquer vos données aux autorités compétentes (police, justice, administration fiscale) en cas de réquisition légale ou pour se conformer à la loi.

4.4 Partage avec d'autres utilisateurs

Dans le cadre du service, certaines informations sont partagées entre employeurs et employés de la même organisation (nom, prénom, shifts acceptés/refusés). Les employés ne voient que les informations nécessaires au bon fonctionnement du service.

6.1 Données de compte actif

Tant que votre compte est actif, nous conservons l'ensemble de vos données pour assurer le bon fonctionnement du service.

6.2 Après résiliation du compte

• Accès en lecture seule : 30 jours (pour vous permettre de récupérer vos données)
• Suppression définitive des données utilisateur : après 30 jours
• Conservation des données de facturation : 10 ans (obligation légale comptable)
• Logs de sécurité et de connexion : 1 an maximum

6.3 Données marketing

Si vous vous êtes abonné à notre newsletter, nous conservons votre email jusqu'à votre désinscription ou 3 ans après votre dernière interaction.

6.4 Cookies

Les cookies ont une durée de vie maximale de 13 mois, conformément aux recommandations de la CNIL.

7.1 Droit d'accès

Vous pouvez demander une copie de l'ensemble des données personnelles que nous détenons sur vous.

7.2 Droit de rectification

Vous pouvez corriger ou mettre à jour vos données inexactes ou incomplètes directement depuis les paramètres de votre compte, ou en nous contactant.

7.3 Droit à l'effacement (« droit à l'oubli »)

Vous pouvez demander la suppression de vos données personnelles, sauf si nous avons une obligation légale de les conserver (par exemple, données de facturation).

7.4 Droit à la limitation du traitement

Vous pouvez demander le gel temporaire du traitement de vos données dans certaines situations (contestation de l'exactitude, traitement illicite, etc.).

7.5 Droit à la portabilité

Vous pouvez récupérer vos données dans un format structuré, couramment utilisé et lisible par machine (JSON, CSV) pour les transférer à un autre service.

7.6 Droit d'opposition

Vous pouvez vous opposer à tout moment au traitement de vos données à des fins de prospection commerciale. Pour les autres finalités, vous pouvez vous opposer pour des motifs légitimes.

7.7 Droit de retirer votre consentement

Lorsque le traitement est fondé sur votre consentement (newsletters, cookies analytiques), vous pouvez le retirer à tout moment sans affecter la licéité du traitement antérieur.

7.8 Directives post-mortem

Vous pouvez définir des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès.

Comment exercer vos droits ?

Pour exercer vos droits, contactez-nous par email à hello@shift.express en précisant : • Votre nom et prénom • Votre adresse email de compte • Le droit que vous souhaitez exercer • Une pièce d'identité en cas de doute sur votre identité Nous nous engageons à répondre à votre demande dans un délai maximum de 1 mois (prorogeable de 2 mois en cas de complexité).

Droit de réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : Site web : www.cnil.fr Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

8.1 Mesures techniques

• Chiffrement SSL/TLS pour toutes les communications (HTTPS)
• Chiffrement des données sensibles en base de données
• Authentification sécurisée avec hachage des mots de passe (bcrypt)
• Protection contre les attaques courantes (XSS, CSRF, injection SQL)
• Pare-feu et systèmes de détection d'intrusion
• Sauvegardes quotidiennes automatiques et chiffrées
• Mises à jour régulières des systèmes et correctifs de sécurité

8.2 Mesures organisationnelles

• Contrôle d'accès strict aux données (principe du moindre privilège)
• Authentification à deux facteurs (2FA) pour les comptes administrateurs
• Audits de sécurité réguliers et tests de pénétration
• Formation du personnel aux bonnes pratiques de sécurité
• Clauses de confidentialité dans les contrats employés et prestataires
• Procédures de gestion des incidents de sécurité

8.3 En cas de violation de données

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à vous notifier dans les 72 heures suivant la découverte de l'incident, conformément au RGPD. Nous notifierons également la CNIL dans les délais légaux.