Politique de confidentialité de Vardify

1. Objet et champ d'application

La présente politique de confidentialité fournit les informations requises par les articles 13 et 14 du règlement général sur la protection des données (UE) 2016/679 (« RGPD ») concernant les données à caractère personnel que Nivorbit Teknoloji Limited Şirketi (« Nivorbit ») traite en tant que responsable du traitement (art. 4, point 7) par l'intermédiaire du panneau web Vardify, de l'application mobile, de l'écran de borne et du site web vardify.com (ensemble, le « Service »). Elle couvre :

• les données de compte, d'abonnement et d'assistance des personnes qui ouvrent et utilisent un compte Vardify ;
• les données techniques et d'usage collectées auprès de toute personne utilisant le Service (salariés compris) afin d'assurer la sécurité du Service, de suivre les erreurs et de l'améliorer ;
• les données des personnes qui visitent le site web et en remplissent les formulaires.

Pour les données des salariés des entreprises abonnées, telles que les postes, feuilles de temps, congés, rémunérations, documents du personnel et relevés de pointage (les « Données d'exploitation »), l'employeur est le responsable du traitement ; Nivorbit ne traite ces données que sur instructions documentées de l'employeur, en tant que sous-traitant (art. 4, point 8, art. 28), conformément à l'accord de traitement des données. L'information des salariés sur ces données et la réponse à leurs demandes relèvent de la responsabilité de l'employeur. Les demandes adressées à Nivorbit à ce sujet sont transmises à l'employeur, et Nivorbit l'assiste pour y répondre (art. 28, par. 3, point e)).

2. Responsable du traitement

• Nom : Nivorbit Teknoloji Limited Şirketi
• Adresse : Sarıcaeli Köyü, Sarıcaeli Küme Evleri No: 29 İç Kapı No: 109, 17100 Merkez / Çanakkale, Türkiye
• Registre du commerce (MERSİS) : 0631151313600001
• Contact en matière de confidentialité : kvkk@vardify.com
• Personne de contact : pas encore renseigné
• Représentant dans l'Union (art. 27) : pas encore renseigné

Nivorbit est établie en Türkiye ; lorsque l'art. 27 s'applique, son représentant dans l'Union est celui désigné ci-dessus.

3. Catégories de données à caractère personnel

• Identité et coordonnées : nom et prénom, adresse e-mail, numéro de téléphone, nom de l'entreprise.
• Authentification : le fournisseur avec lequel vous vous connectez (Google ou Apple) et l'identifiant de compte, le nom et l'adresse e-mail qu'il communique ; enregistrements de session et de connexion.
• Abonnement : formule, période et statut de l'abonnement. Le paiement et la facturation sont gérés par Paddle en qualité de vendeur officiel (section 6.3) ; Nivorbit ne voit ni ne conserve aucune donnée de carte.
• Enregistrements des contrats et des consentements : la version de chaque texte que vous avez accepté ou lu, l'heure, l'adresse IP et les informations sur l'appareil ; vos choix en matière de messages commerciaux et de cookies.
• Assistance et contact : les messages et pièces jointes que vous nous envoyez ; ce que vous saisissez dans les formulaires de contact, de lettre d'information et de candidature au programme pilote du site web.
• Sécurité des transactions : adresse IP, informations sur le navigateur et l'appareil, journaux de requêtes et d'audit.
• Application mobile et appareil : modèle de l'appareil et système d'exploitation, version de l'application, clé d'installation aléatoire générée par l'application pour l'association de l'appareil, jeton de notification (push).
• Journaux d'erreurs : lorsqu'une erreur d'application ou de serveur survient, le type d'erreur, la trace de pile, la version de l'application et de l'appareil, ainsi que les transitions de pages et les adresses de requêtes précédant immédiatement l'erreur.
• Données d'usage : les écrans et pages consultés ; les noms des actions effectuées, telles qu'une demande de poste, une demande de congé ou la publication d'un planning ; l'identifiant Vardify opaque du compte, son rôle et l'identifiant de son établissement. Les noms, adresses e-mail et textes libres ne sont pas transmis à ce titre. Ces données ne sont collectées que si vous l'avez autorisé : dans le panneau web et sur le site web par vos choix en matière de cookies, dans l'application mobile par votre réponse à la question de l'application ou ses paramètres.
• Mesure marketing : uniquement si vous avez autorisé les cookies de marketing, les données de cookies et de pixel qui mesurent votre arrivée depuis une campagne publicitaire et les événements de conversion tels que l'inscription et l'abonnement.

4. Sources

La plupart des données proviennent de vous : ce que vous saisissez dans le panneau web, l'application mobile, la borne et le site web. Votre fournisseur d'identité (Google ou Apple) communique votre identifiant de compte, votre nom et votre adresse e-mail lorsque vous vous connectez avec lui. Paddle communique le statut de votre abonnement. Les données techniques, d'erreurs et d'usage sont créées automatiquement lors de l'utilisation du Service.

5. Finalités et bases juridiques

• Ouverture du compte, authentification et fourniture du Service : exécution d'un contrat (art. 6, par. 1, point b)).
• Gestion de l'abonnement : exécution d'un contrat (art. 6, par. 1, point b)).
• Conservation des documents commerciaux et fiscaux : obligation légale (art. 6, par. 1, point c)).
• Preuve des acceptations contractuelles et défense de droits en justice : intérêt légitime (art. 6, par. 1, point f)).
• Réponse aux demandes d'assistance et aux envois de formulaires : exécution d'un contrat ou mesures précontractuelles (art. 6, par. 1, point b)), à défaut intérêt légitime (art. 6, par. 1, point f)).
• Acheminement des notifications et des e-mails transactionnels : exécution d'un contrat (art. 6, par. 1, point b)).
• Sécurité de l'information, prévention des abus et de la fraude : intérêt légitime (art. 6, par. 1, point f)).
• Suivi et correction des erreurs : intérêt légitime (art. 6, par. 1, point f)).
• Mesure de l'usage dans l'application mobile (Google Analytics for Firebase) : consentement (art. 6, par. 1, point a) ; directive « vie privée et communications électroniques », art. 5, par. 3) ; uniquement si vous avez autorisé la mesure de l'usage lorsque l'application vous l'a demandé ou dans les paramètres de l'application. Tant que vous ne l'avez pas autorisée, la mesure est désactivée et toutes les fonctionnalités de l'application restent disponibles. Les données utilisées se limitent à celles énumérées à la section 3 et ne comportent ni nom, ni adresse e-mail, ni texte libre.
• Mesure de l'usage dans le panneau web et sur le site web (Google Analytics) : consentement (art. 6, par. 1, point a) ; directive « vie privée et communications électroniques », art. 5, par. 3) ; uniquement si vous avez autorisé l'analyse dans vos choix en matière de cookies.
• Mesure des campagnes publicitaires (Meta Pixel) : consentement (art. 6, par. 1, point a) ; directive « vie privée et communications électroniques », art. 5, par. 3) ; uniquement si vous avez autorisé le marketing dans vos choix en matière de cookies.
• Envoi de messages électroniques commerciaux : consentement (art. 6, par. 1, point a)) ; recueilli séparément et de manière facultative lors de l'inscription.

Nos intérêts légitimes sont d'exploiter un service sûr et fonctionnel, de conserver la preuve de ce qui a été convenu, et de détecter et corriger les erreurs. Lorsque le traitement repose sur l'intérêt légitime, vous pouvez vous y opposer à tout moment (art. 21) ; nous cessons alors le traitement, sauf s'il existe des motifs légitimes et impérieux qui prévalent sur vos intérêts, ou si le traitement est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice.

Vous pouvez retirer votre consentement à tout moment, sans que cela affecte la licéité du traitement fondé sur le consentement effectué avant ce retrait (art. 7, par. 3) : modifiez vos choix en matière de cookies dans les paramètres de cookies du site web ou du panneau, votre consentement à la mesure de l'usage de l'application mobile dans les paramètres de l'application, et votre consentement aux messages commerciaux au moyen du lien figurant dans le message ou en écrivant à kvkk@vardify.com. Le retrait du consentement n'affecte pas votre accès au Service.

La fourniture des données d'identité, de contact et d'authentification est nécessaire à la conclusion du contrat ; sans elles, aucun compte ne peut être ouvert. Tout le reste est facultatif ou résulte de l'utilisation du Service.

6. Destinataires et transferts

6.1 Destinataires

Vos données à caractère personnel sont communiquées, dans la mesure nécessaire, aux prestataires qui les traitent pour le compte de Nivorbit (art. 28), à nos experts-comptables, commissaires aux comptes et conseils juridiques et, lorsque la loi l'exige, aux autorités publiques compétentes. La liste complète des prestataires, des données qu'ils traitent, de leur localisation et de leurs mécanismes de transfert figure dans la liste des sous-traitants.

6.2 Transferts en dehors de l'UE/EEE

Les serveurs et le stockage de fichiers de Vardify sont situés dans l'Union européenne (Hetzner, Falkenstein, Allemagne). Les transferts suivants en dehors de l'Union ont néanmoins lieu :

• L'accès propre de Nivorbit depuis la Türkiye, pour exploiter et assister le Service. La Commission européenne n'a adopté aucune décision d'adéquation pour la Türkiye ; le transfert est donc effectué sur la base des clauses contractuelles types (art. 46, par. 2, point c), décision (UE) 2021/914) assorties de mesures supplémentaires.
• Les prestataires dont le siège est aux États-Unis (Google, Resend, Sentry, Cloudflare), pour l'acheminement des notifications, l'envoi d'e-mails, le suivi des erreurs, la mesure de l'usage et la redirection des e-mails entrants, sur la base des clauses contractuelles types et, lorsque le prestataire est certifié, du cadre de protection des données UE-États-Unis (art. 45).

Les données sont protégées par TLS en transit et chiffrées sur disque (base de données et sauvegardes comprises). Les catégories particulières de données au titre de l'art. 9 sont en outre chiffrées au niveau des colonnes. Le chiffrement est une mesure de sécurité, non un mécanisme de transfert ; les deux sont prévus séparément. Vous pouvez obtenir une copie des garanties en écrivant à kvkk@vardify.com.

6.3 Tiers agissant en tant que responsables du traitement

Les parties suivantes sont des responsables du traitement indépendants pour le service qu'elles fournissent, et sont soumises à leurs propres politiques de confidentialité :

• Google et Apple : celui que vous choisissez pour vous connecter vérifie votre identité au moyen de votre propre compte.
• Paddle.com Market Ltd : le vendeur officiel (Merchant of Record) qui vend l'abonnement en son nom propre ; il traite lui-même les données de paiement et de facturation.
• Meta Platforms Ireland Ltd. : traite les données de Meta Pixel si vous avez autorisé les cookies de marketing.
• Services de cartes et de recherche d'adresses : lorsque l'emplacement d'un établissement est défini dans le panneau web, votre navigateur se connecte directement à Google Maps, aux serveurs de cartes d'OpenStreetMap ou à la recherche d'adresses Photon (komoot GmbH) ; ces services reçoivent votre adresse IP et votre requête de recherche ou de carte.

7. Durées de conservation

Les données à caractère personnel sont conservées aussi longtemps que l'exigent la finalité pour laquelle elles sont traitées et la loi ; à l'issue de cette durée, elles sont effacées ou anonymisées.

• Données de compte et de contact : la durée de l'abonnement et le délai de prescription de droit commun du droit applicable, au maximum 10 ans (défense de droits en justice).
• Documents commerciaux et fiscaux : 10 ans (droit de la tenue des documents commerciaux et fiscaux).
• Enregistrements de session et de connexion : 2 ans (sécurité).
• Journaux d'audit : 5 ans (responsabilité, art. 5, par. 2).
• Correspondance d'assistance et envois de formulaires : 3 ans (possibilité de litige).
• Consentement aux messages commerciaux : jusqu'au retrait et 3 ans après (charge de la preuve, art. 7, par. 1).
• Enregistrements d'acceptation des contrats : la durée de l'abonnement et le délai de prescription de droit commun (charge de la preuve).
• Journaux d'erreurs : au maximum 90 jours dans le service de suivi des erreurs.
• Données de mesure de l'usage : la durée définie dans le paramètre de conservation de Google Analytics, au maximum 14 mois.
• Choix en matière de cookies : 6 mois ; votre choix vous est ensuite redemandé.
• Sauvegardes : les données supprimées ou dont la durée de conservation est échue restent dans les sauvegardes chiffrées au maximum 6 mois (180 jours) et sont supprimées avec cette sauvegarde.

La conservation des Données d'exploitation est régie par l'accord de traitement des données : une fenêtre d'export de 30 jours après la fin du contrat, puis destruction.

8. Vos droits

En vertu des articles 15 à 22, vous disposez du droit d'accès ; de rectification ; d'effacement ; à la limitation du traitement ; à la portabilité des données ; d'opposition ; et du droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire. Nivorbit ne prend aucune décision automatisée de ce type concernant les titulaires de compte. Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment (section 5).

Vous pouvez exercer le droit à l'effacement au sein du produit : pour votre propre compte, dans le panneau web sous Paramètres → Sécurité, dans l'application mobile sous Profil → Supprimer mon compte ; pour l'ensemble de l'entreprise, sous Paramètres → Entreprise. La suppression d'une entreprise prend effet après 30 jours et peut être annulée pendant ce délai.

Adressez vos demandes à kvkk@vardify.com. Il y est répondu sous un mois, prorogeable de deux mois supplémentaires lorsqu'une demande est complexe ou que les demandes sont nombreuses, auquel cas vous en êtes informé dans le premier mois (art. 12, par. 3). Nous pouvons vous demander des informations pour confirmer votre identité. Vous pouvez introduire une réclamation auprès d'une autorité de contrôle (art. 77), en particulier dans l'État membre de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation présumée.

9. Application mobile et autorisations

L'application mobile ne demande les autorisations d'appareil ci-dessous que lorsque la fonctionnalité correspondante est utilisée. Le refus d'une autorisation n'affecte que cette fonctionnalité, et vous pouvez retirer les autorisations à tout moment dans les paramètres de l'appareil.

• Appareil photo : scanner le code QR de l'établissement lors du pointage d'arrivée et de départ ; photographier un arrêt maladie ou un document à joindre à une absence, et une photo de liste de contrôle.
• Localisation (uniquement pendant l'utilisation de l'application) : confirmer que vous vous trouvez dans l'établissement lorsque vous pointez à l'arrivée ou au départ, et lire le nom du réseau lorsque l'entreprise exige le Wi-Fi de l'établissement (Android ne le fournit pas sans l'autorisation de localisation) ; classer les résultats par proximité lorsque vous recherchez votre entreprise sur Google lors de la création d'une entreprise ou d'un établissement. Si l'autorisation a déjà été accordée, le fait que vous soyez dans l'établissement est déterminé sur l'appareil pour les rappels pendant que l'application est ouverte ; cette localisation n'est pas envoyée au serveur. La localisation n'est jamais relevée en arrière-plan et il n'y a aucun suivi continu de la localisation.
• Notifications : rappels de poste, notifications d'approbation et d'annonce. Sous Android, l'autorisation d'alarme exacte est également demandée afin que les rappels arrivent à l'heure.
• NFC : lecture de l'étiquette de l'établissement lors du pointage d'arrivée et de départ ; écriture d'étiquettes pour les responsables.
• Photos et fichiers : seuls la photo ou le document que vous choisissez de joindre sont consultés.

Les informations de localisation et de réseau envoyées lors d'un scan de pointage sont des Données d'exploitation et sont traitées sur instructions de l'employeur. L'application n'affiche aucune publicité, ne lit pas l'identifiant publicitaire (Android Advertising ID, IDFA d'Apple) et ne vous suit pas à travers les applications ou sites web d'autres entreprises. La mesure de l'usage n'est activée que si vous l'autorisez lorsque l'application vous le demande, et vous pouvez la désactiver à tout moment dans les paramètres de l'application. L'application mobile n'utilise aucun cookie ; les informations de session sont conservées dans le stockage sécurisé de l'appareil.

10. Cookies

L'application mobile n'utilise aucun cookie. Le panneau web et le site web utilisent des cookies strictement nécessaires et le stockage du navigateur ; les cookies d'analyse et de marketing ne sont chargés qu'avec votre consentement. Les détails figurent dans la politique en matière de cookies.

11. Sécurité

Nivorbit met en œuvre des mesures techniques et organisationnelles appropriées (art. 32). Les principales sont les suivantes :

• les données des entreprises sont isolées les unes des autres au niveau de la base de données par une sécurité au niveau des lignes (RLS) ;
• toutes les connexions sont chiffrées par TLS ; la base de données, les sauvegardes et les documents sont chiffrés sur disque ; les catégories particulières de données sont en outre chiffrées au niveau des colonnes ;
• l'accès est fondé sur les rôles ; les champs de rémunération et d'identité sont masqués selon le rôle ; les actions sont consignées dans un journal d'audit ;
• les noms, adresses e-mail et textes libres ne sont pas transmis au suivi des erreurs ni à la mesure de l'usage.

Vardify ne traite aucune donnée biométrique et n'utilise aucune reconnaissance faciale. En cas de violation de données à caractère personnel concernant des données de compte, l'autorité de contrôle compétente est notifiée dans un délai de 72 heures lorsque cela est requis (art. 33), et les personnes concernées sont informées dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé pour elles (art. 34).

12. Enfants

Le Service est destiné aux entreprises et n'est pas proposé directement aux personnes de moins de 18 ans. Lorsque de jeunes travailleurs sont employés, leurs données sont des Données d'exploitation et relèvent de la responsabilité de l'employeur.

13. Modifications

Lorsque la présente politique est modifiée, la version en vigueur est publiée avec sa date d'effet et la modification est annoncée au moins 30 jours à l'avance. Les versions antérieures restent accessibles.

14. Contact

Nivorbit Teknoloji Limited Şirketi · Sarıcaeli Köyü, Sarıcaeli Küme Evleri No: 29 İç Kapı No: 109, 17100 Merkez / Çanakkale, Türkiye · kvkk@vardify.com · Personne de contact : pas encore renseigné · Représentant dans l'Union : pas encore renseigné