Politique de confidentialité

En vigueur depuis le 23 octobre 2026. Dernière mise à jour : 23 octobre 2026.

Cette politique explique quelles données personnelles ClockWitness traite, pourquoi, sur quelle base juridique, pendant combien de temps et quels droits vous avez sur elles. Elle s'applique dans le monde entier : quel que soit le pays où vous vivez ou travaillez, nous accordons à toutes les personnes le niveau de protection du Règlement général sur la protection des données (RGPD) de l'Union européenne.

Qui sommes-nous et comment nous contacter

ClockWitness est fourni par Espírito Rebelde Publicidade e Marketing Lda.

Adresse : Rua da Fábrica 222, Armazém 2, 4470-768 Maia, Portugal

Numéro d'immatriculation : 509360378

Contact pour la confidentialité et la protection des données (DPO) : Bruna Teixeira, privacy@clockwitness.com. Utilisez cette adresse pour toute question sur cette politique ou sur vos données.

Qui décide de vos données

ClockWitness est utilisé par des entreprises, nos clients, pour enregistrer le temps de travail de leurs équipes. Selon les données, nous avons donc l'un de deux rôles :

Données de l'espace de travail — les heures, les captures d'écran, l'activité et la localisation des collaborateurs d'une entreprise cliente. C'est l'entreprise (l'employeur) qui décide quelles données sont collectées, dans quel but et pendant combien de temps : elle est le responsable du traitement. ClockWitness est le sous-traitant : il traite ces données uniquement pour le compte de l'entreprise et selon ses instructions.
Données de compte, de facturation et du site — ici, le responsable du traitement est ClockWitness.

Si vous travaillez pour une entreprise qui utilise ClockWitness et avez une question ou une demande concernant vos données de l'espace de travail, contactez d'abord votre employeur : c'est lui qui décide de ces données. Si vous nous contactez directement, nous transmettrons la demande à l'entreprise et l'aiderons à y répondre.

Quelles données nous traitons et pourquoi

Nous utilisons les données uniquement à des fins professionnelles : fournir le service, le facturer, en assurer la sécurité et respecter la loi. Nous ne vendons pas de données personnelles, ne les utilisons pas pour la publicité et ne créons pas de profils marketing.

Données de compte

Nom, adresse e-mail, mot de passe (conservé uniquement sous forme de hachage, jamais en clair), entreprise, rôle (propriétaire, responsable ou collaborateur), langue et fuseau horaire et, si vous activez l'authentification à deux facteurs, le secret de ce second facteur. Nous enregistrons aussi les appareils liés au compte (nom de l'ordinateur, version du système d'exploitation et de l'agent) et, dans un journal d'audit, les actions importantes, avec la date, l'heure et l'adresse IP. Ces données servent à créer et gérer le compte, authentifier la personne qui se connecte et protéger le service.

Heures et relevés de temps

Début et fin de chaque session de travail, pauses, projet et activité, descriptions des tâches et corrections apportées aux relevés. Si l'entreprise utilise ces fonctionnalités, également les horaires, les plannings, les absences et les congés, ainsi que les taux horaires pour calculer la paie ou facturer ses propres clients.

Captures d'écran

Pendant qu'une session enregistre sur l'ordinateur, l'agent de bureau prend des captures de tous les écrans, à la fréquence définie par l'entreprise (par défaut, environ une toutes les 2 minutes). L'entreprise peut désactiver les captures pour toute l'équipe ou pour certaines personnes. Chaque consultation des captures d'une autre personne est consignée dans le journal d'audit.

Activité

Par intervalle de temps : s'il y a eu une activité du clavier et de la souris (jamais ce qui est tapé ni quelles touches sont pressées), les périodes d'inactivité et un résumé statistique du rythme des mouvements de la souris, utilisé pour signaler des schémas qui semblent automatisés — un signal soumis à l'examen d'une personne, jamais une décision automatique. Si l'entreprise le laisse activé, également le nom des applications et le titre des fenêtres au premier plan, ainsi que le temps passé dans chacune. ClockWitness n'est pas un enregistreur de frappe et n'enregistre pas de vidéo de l'écran.

Localisation (application mobile)

Uniquement si l'entreprise l'exige et que la personne accorde l'autorisation de localisation sur son téléphone : les coordonnées GPS au moment du pointage d'entrée et de sortie et le lieu de travail auquel elles correspondent. Si l'entreprise active le pointage automatique par zone, l'application envoie sa position pour détecter l'arrivée sur un lieu de travail ou le départ de celui-ci. Nous ne conservons ni le trajet ni la localisation continue au cours de la journée.

Facturation

Nom de l'entreprise, pays, numéro de TVA, e-mail du propriétaire du compte, formule, nombre de personnes, historique des paiements et des crédits, ainsi que les identifiants de client et de moyen de paiement que le prestataire de paiement nous renvoie. L'adresse de facturation et les données de carte sont saisies directement sur la page du prestataire de paiement ; les données de carte ne passent jamais par nos serveurs.

Site et communications

Lorsque vous visitez le site, nos serveurs traitent votre adresse IP et des données techniques de la requête (navigateur, page demandée) pour servir les pages et prévenir les abus. Si vous demandez un compte ou vous inscrivez, nous traitons ce que vous indiquez dans le formulaire (entreprise, nom, e-mail, téléphone, taille de l'équipe, code partenaire). Nous envoyons des e-mails de service (invitations, récupération du mot de passe, avis concernant la période d'essai et les paiements, rapports et alertes que vous configurez) et, si vous les activez, des notifications du navigateur. Si vous nous écrivez, nous utilisons votre message pour répondre. Pour diagnostiquer les pannes, nous collectons des rapports techniques d'erreur, configurés pour exclure les données personnelles telles que les adresses IP et les cookies.

Base juridique

Contrat — pour créer et gérer le compte, fournir le service souscrit par l'entreprise, le facturer et envoyer les communications de service.
Intérêt légitime — pour assurer la sécurité du site et du service, prévenir les abus et la fraude, tenir le journal d'audit et diagnostiquer les erreurs. Nous le faisons de manière proportionnée, et vous pouvez vous y opposer (voir « Vos droits »).
Consentement — lorsque nous vous le demandons, par exemple pour activer les notifications du navigateur. Vous pouvez le retirer à tout moment, sans que cela affecte ce qui a été fait auparavant.
Obligation légale — pour conserver les documents de facturation pendant la durée exigée par la loi et répondre aux demandes légitimes des autorités.

Pour les données de l'espace de travail, c'est l'entreprise, en tant que responsable du traitement, qui détermine la base juridique (par exemple, le contrat de travail, une obligation légale d'enregistrer le temps de travail ou son intérêt légitime) et qui doit en informer son équipe. Dans tous les cas, ces données ne servent qu'à des fins professionnelles.

Qui reçoit les données

Nous ne vendons ni ne louons de données personnelles. Nous faisons uniquement appel à des services d'hébergement externes, où fonctionnent l'application, la base de données, le stockage des captures et les sauvegardes, et qui ne traitent les données que selon nos instructions ; et à un prestataire de paiement, qui traite les paiements des abonnements. Si vous activez les notifications du navigateur, elles sont acheminées par le service de notifications de votre propre navigateur, avec un contenu chiffré. Au sein d'une entreprise cliente, chaque personne ne voit que ce que son rôle lui permet. Nous ne communiquons de données aux autorités que lorsque la loi l'exige.

Transferts internationaux

Nous hébergeons les données personnelles que nous traitons dans des centres de données situés dans l'Union européenne, et nous stockons nos sauvegardes dans l'Union européenne, sous forme chiffrée.

Une partie de notre personnel autorisé et certains prestataires de services externes (par exemple des services externes d'hébergement, d'infrastructure, de paiement, d'e-mail et d'assistance technique) peuvent accéder à des données personnelles ou les traiter depuis des pays situés hors de l'Espace économique européen (EEE), y compris des pays que la Commission européenne n'a pas reconnus comme assurant un niveau de protection des données adéquat. Dans ce cas, nous ne transférons des données personnelles, ou n'en permettons l'accès, qu'en vertu de l'une des garanties prévues au chapitre V du RGPD :

une décision d'adéquation de la Commission européenne pour le pays concerné, y compris, pour les États-Unis, le cadre de protection des données UE-États-Unis lorsque le destinataire est certifié au titre de celui-ci ; ou
les clauses contractuelles types adoptées par la Commission européenne, accompagnées d'une analyse d'impact du transfert et des mesures supplémentaires que celle-ci révèle nécessaires.

Toute personne qui accède à des données personnelles depuis l'extérieur de l'EEE doit les protéger au même niveau que celui que nous vous devons en vertu du RGPD, et jamais moins. En particulier : elle est tenue à des obligations de confidentialité ; elle ne reçoit que l'accès nécessaire à son rôle ; elle n'accède aux données que par des connexions chiffrées et authentifiées, et cet accès est journalisé ; elle ne doit pas conserver de copies hors de nos systèmes ; et elle ne peut utiliser les données que selon nos instructions.

Dans des cas exceptionnels où aucune de ces garanties ne s'applique, nous nous fondons uniquement sur une dérogation prévue à l'article 49 du RGPD, par exemple lorsque le transfert est nécessaire à l'exécution d'un contrat conclu avec vous ou à votre demande.

Vous pouvez demander plus d'informations sur ces garanties, ou une copie de celles-ci, en écrivant à privacy@clockwitness.com.

Pour les clients : si vous, ou des utilisateurs que vous autorisez dans votre espace de travail, accédez à des données de ClockWitness depuis l'extérieur de l'EEE, cet accès a lieu selon vos instructions et sous votre responsabilité en tant que responsable du traitement, et il vous appartient de veiller à ce qu'il respecte les lois sur la protection des données qui vous sont applicables.

Combien de temps nous conservons les données

Captures d'écran : pendant la durée définie par chaque entreprise cliente, entre 30 et 365 jours (90 jours par défaut). À l'issue de cette durée, elles sont définitivement supprimées.
Heures, activité, applications et localisation : tant que le compte de l'entreprise existe, jusqu'à ce que l'entreprise le ferme.
Données de compte : tant que le compte existe. Lorsqu'une entreprise ferme son compte, nous lui remettons un export de ses relevés, puis nous supprimons l'organisation, ses relevés et les captures stockées.
Facturation : pendant la durée exigée par la législation fiscale et comptable.
Sauvegardes : les sauvegardes quotidiennes de la base de données sont conservées pendant 30 jours ; les autres sauvegardes sont renouvelées par rotation. Les données supprimées disparaissent des sauvegardes à mesure que celles-ci expirent.

Vos droits

Vous avez le droit d'accéder à vos données et d'en obtenir une copie ; de rectifier des données inexactes ; de demander leur effacement ; de limiter le traitement ; de recevoir vos données dans un format structuré et couramment utilisé (portabilité) ; de vous opposer au traitement fondé sur l'intérêt légitime ; et de retirer votre consentement à tout moment, lorsque le traitement repose sur celui-ci.

Pour exercer ces droits, écrivez à privacy@clockwitness.com. Nous répondons dans un délai d'un mois ; dans les cas complexes, ce délai peut être prolongé, et nous vous en informerons. Nous pouvons vous demander de confirmer votre identité. Pour les données de l'espace de travail, adressez votre demande à votre employeur ; si vous nous l'envoyez, nous la transmettrons et aiderons l'entreprise à y répondre.

Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données, notamment celle du pays où vous vivez ou travaillez, ou du pays où la violation présumée a eu lieu.

Sécurité

Toutes les connexions sont chiffrées (HTTPS) ; les mots de passe et les jetons des appareils ne sont conservés que sous forme de hachage ; l'authentification à deux facteurs est disponible pour tous et l'entreprise peut la rendre obligatoire ; l'accès aux captures dépend du rôle de chaque personne et est journalisé ; et les sauvegardes sont chiffrées avant de quitter le serveur. Plus de détails sur la page Sécurité et confidentialité.

Cookies

Le site n'utilise que ses propres cookies, aucun cookie publicitaire ni de mesure d'audience. La liste complète, avec la finalité et la durée de chacun, figure dans la Politique relative aux cookies.

Décisions automatisées

Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière similaire et significative.

Modifications de cette politique

Nous pouvons mettre à jour cette politique. La date de la dernière mise à jour figure en haut de cette page ; si les modifications sont importantes, nous en informerons les propriétaires des comptes par e-mail.