Politique de confidentialité

CLIMB est édité par BeGOOD Solutions Ltd (« nous »), une société immatriculée en Angleterre et au Pays de Galles sous le numéro 16854996, sise au 128 City Road, London EC1V 2NX. Nous sommes enregistrés auprès de l’Information Commissioner’s Office (ICO) sous le numéro ZC286091.

Cette politique couvre notre site web (climb.begood.solutions), l’application CLIMB pour les employés, l’application CLIMB Coach pour les dirigeants et responsables, leurs versions web accessibles dans un navigateur ainsi que les services sous-jacents. Pour toute question concernant vos données, écrivez à privacy@begood.solutions.

En vertu de la législation britannique sur la protection des données, nous jouons deux rôles distincts.

• Nous sommes le responsable du traitement (controller) pour les informations relatives aux visiteurs de notre site web, aux personnes qui nous contactent et aux données de compte que vous utilisez pour vous connecter à CLIMB. Nous décidons de la manière dont ces informations sont utilisées, comme l’explique la présente politique.
• Nous sommes un sous-traitant (processor) pour les informations professionnelles qu’une entreprise renseigne dans CLIMB au sujet de ses collaborateurs, telles que les dossiers du personnel et les présences. L’entreprise (votre employeur, si vous travaillez pour un client CLIMB) est le responsable du traitement : elle décide de ce qui est collecté et pourquoi, et nous ne traitons ces données que sur ses instructions, conformément aux clauses de traitement des données de nos conditions d’utilisation.

Si vous utilisez CLIMB par l’intermédiaire de votre employeur, la notice de confidentialité de votre employeur s’applique à vos données professionnelles, et celui-ci est votre premier interlocuteur pour toute question ou demande à ce sujet. Nous l’aiderons à vous répondre.

Lorsque vous visitez notre site web

Nous utilisons un service d’analyse pour compter les pages vues, voir sur quelles parties d’une page les visiteurs cliquent, mesurer la vitesse de chargement et détecter les erreurs sur le site. Ce service n’utilise pas de cookies, ne stocke rien dans votre navigateur, ne vous identifie pas et ne vous suit pas sur d’autres sites web. Il enregistre des éléments tels que la page visitée, l’endroit cliqué, le site référent, votre type de navigateur et d’appareil ainsi que votre pays approximatif. Il distingue les visites répétées grâce à un code généré à partir de votre adresse IP et de votre navigateur qui change chaque jour et ne permet pas de remonter jusqu’à vous ; l’adresse IP elle-même n’est pas conservée. Notre hébergeur conserve également des journaux serveur de courte durée, incluant les adresses IP, afin d’assurer la sécurité et le bon fonctionnement du site.

Lorsque vous regardez une vidéo

Notre site web présente des vidéos du produit hébergées sur YouTube, un service de Google. Rien n’est chargé depuis YouTube avant que vous appuyiez sur lecture. Lorsque vous le faites, votre navigateur se connecte au mode de confidentialité renforcée de YouTube (youtube-nocookie.com). YouTube reçoit votre adresse IP, des informations sur votre navigateur et votre appareil ainsi que la page sur laquelle vous vous trouviez, et peut stocker des informations dans votre navigateur pour lire la vidéo et mesurer la façon dont elle est regardée. Google décide de l’usage de ces informations en tant que responsable de traitement indépendant, selon sa propre politique de confidentialité (policies.google.com/privacy), et peut les traiter aux États-Unis.

Lorsque vous nous contactez

Si vous nous envoyez un e-mail, par exemple pour demander un accès anticipé, nous recevons votre nom, votre adresse e-mail et tout ce que vous choisissez de nous communiquer au sujet de votre entreprise.

Lorsque vous avez un compte CLIMB

• Informations de compte : votre nom, votre adresse e-mail et le fait que vous l’ayez vérifiée ou non.
• Mot de passe : stocké uniquement sous forme de hachage à sens unique. Nous ne voyons ni ne stockons jamais le mot de passe lui-même.
• Authentification à deux facteurs : si elle est activée (obligatoire pour les dirigeants et responsables), la clé utilisée par votre application d’authentification et vos codes de secours, tous deux chiffrés.
• Clés d’accès (passkeys) : si vous en ajoutez une, sa clé publique, le nom donné (par exemple « iPhone ») et un compteur d’utilisation. Votre empreinte digitale, votre visage et votre code PIN ne quittent jamais votre téléphone.
• Votre entreprise et votre rôle : les entreprises auxquelles vous appartenez, votre rôle dans chacune d’elles (dirigeant, responsable ou employé) et les invitations que vous envoyez ou recevez, y compris l’adresse e-mail de la personne invitée.
• Journaux de connexion et de sécurité : les sessions actives avec l’adresse IP et l’appareil ou le navigateur depuis lesquels elles ont été créées, ainsi que des relevés de courte durée des tentatives de connexion par adresse IP, utilisés pour bloquer les attaques par essais de mots de passe.

Informations professionnelles (traitées pour votre employeur)

Selon les fonctionnalités utilisées par une entreprise, cela peut inclure :

• Dossiers du personnel : nom, matricule, coordonnées et adresse.
• Présences : heures d’arrivée et de départ, badge d’établissement scanné et site concerné, heures travaillées ainsi que les scans échoués ou refusés, avec le type de système téléphonique (iOS ou Android) d’où provient chaque scan.
• Un historique des modifications indiquant qui a modifié une fiche ou une présence, ce qui a changé et quand. Les valeurs sensibles sont masquées dans cet historique.

Notifications

Lorsque vous vous connectez à une application CLIMB, celle-ci enregistre votre téléphone auprès de notre fournisseur de notifications push et l’associe à votre identifiant utilisateur CLIMB, afin que les alertes telles qu’une nouvelle invitation parviennent à la bonne personne. Le fournisseur reçoit un identifiant pour l’application sur votre téléphone ainsi que des informations de base sur l’appareil (modèle, système d’exploitation et langue). Cela se produit que vous autorisiez ou non les notifications, et le lien est supprimé lorsque vous vous déconnectez. Les notifications ne s’affichent que si vous les autorisez, et vous pouvez les désactiver à tout moment dans les réglages de votre téléphone.

Comment vous utilisez CLIMB

Nous enregistrons les écrans que vous ouvrez dans les applications ainsi que les actions clés effectuées dans CLIMB : création de compte, vérification d’e-mail, création d’entreprise, envoi ou acceptation d’une invitation, pointage d’arrivée ou de départ et enregistrement d’un badge NFC. Chaque événement est lié à votre identifiant utilisateur CLIMB, à votre entreprise et, le cas échéant, à votre rôle ou au mode de pointage (bouton ou badge), mais jamais à votre nom ou à votre e-mail, ni à ce que vous avez saisi. Nos serveurs enregistrent les actions clés ; les applications enregistrent les écrans consultés. Si vous travaillez pour nous, ces enregistrements sont marqués comme internes afin d’être exclus de nos statistiques. Nous utilisons ces données pour voir quelles fonctionnalités sont utilisées et où les utilisateurs rencontrent des blocages.

Vous pouvez désactiver ce suivi : option « Partager mon utilisation de l’application » dans Compte (ou Paramètres dans CLIMB Coach). Ce choix est enregistré sur votre compte et s’applique donc sur chaque appareil ainsi qu’à ce que nos serveurs enregistrent. Les rapports de plantage sont envoyés dans tous les cas : nature de l’erreur, modèle du téléphone, versions du système et de l’application, et votre identifiant utilisateur CLIMB.

Ce que nous ne collectons pas

CLIMB ne collecte pas votre position géographique. Lorsque vous pointez, l’application enregistre quel badge de votre lieu de travail vous avez scanné, et non l’endroit où se trouve votre téléphone. Si nous ajoutons à l’avenir des vérifications de localisation facultatives, nous mettrons d’abord à jour cette politique, et les entreprises qui les activeront devront informer leur personnel du moment et de la raison de l’utilisation de la localisation. Nous ne demandons aucune donnée dite de catégorie particulière, comme des informations de santé ; merci de ne pas en saisir dans CLIMB.

• Pour fournir CLIMB : créer et gérer votre compte, vous permettre de rejoindre votre entreprise et d’utiliser les fonctionnalités autorisées par votre rôle. Base légale : exécution d’un contrat.
• Pour envoyer les e-mails de service : vérification d’adresse e-mail, réinitialisation de mot de passe et invitations. Ces messages font partie intégrante du service, vous ne pouvez donc pas vous y désabonner tant que vous possédez un compte. Base légale : exécution d’un contrat.
• Pour envoyer des notifications push : enregistrer votre téléphone auprès de notre fournisseur de notifications lors de votre connexion afin que les alertes parviennent à la bonne personne. Base légale : intérêt légitime à délivrer les alertes de service de manière fiable. Les notifications ne sont affichées qu’après votre autorisation sur votre appareil. Base légale : consentement, que vous pouvez retirer dans les réglages de votre téléphone.
• Pour assurer la sécurité de CLIMB : prévenir la fraude, les abus et les accès non autorisés, notamment par la limitation du nombre de requêtes (rate limiting) par adresse IP. Base légale : intérêt légitime à protéger nos utilisateurs et nos services.
• Pour répondre aux demandes de renseignements et gérer l’accès anticipé. Base légale : intérêt légitime à répondre aux personnes qui nous contactent.
• Pour comprendre et améliorer notre site web et nos applications, à l’aide des statistiques du site et des données d’utilisation de l’application (que vous pouvez désactiver). Base légale : intérêt légitime à améliorer le service.
• Pour afficher les vidéos du produit à votre demande : une vidéo de notre site web ne se charge depuis YouTube qu’après que vous avez appuyé sur lecture. Base légale : consentement, que vous donnez en appuyant sur lecture. Vous pouvez le retirer en ne lisant pas de vidéos et en effaçant les données de YouTube de votre navigateur.
• Pour respecter nos obligations légales, telles que la conservation de documents ou la réponse aux demandes légitimes des autorités. Base légale : obligation légale.

Nous ne vendons aucune donnée personnelle, ne les utilisons pas à des fins publicitaires et n’envoyons d’e-mails marketing que si vous en avez fait la demande. CLIMB ne prend aucune décision automatisée produisant des effets juridiques ou similairement significatifs à l’égard des personnes.

Nous faisons appel à des prestataires de services (sous-traitants ultérieurs) appartenant aux catégories suivantes pour faire fonctionner CLIMB. Ils ne peuvent utiliser les données personnelles que pour nous fournir leur service, dans le cadre d’accords écrits qui les protègent. Écrivez à privacy@begood.solutions si vous souhaitez connaître la liste de nos prestataires actuels.

• Des hébergeurs : exploitent notre site web et nos services, transmettent les requêtes des versions web des applications vers nos serveurs et conservent des journaux serveur de courte durée incluant les adresses IP.
• Un fournisseur de base de données : stocke les données de CLIMB dans un centre de données situé au Royaume-Uni ou dans l’UE.
• Un prestataire d’envoi d’e-mails : achemine nos e-mails de service.
• Un fournisseur d’analyse et de supervision (centre de données dans l’UE) : stocke nos journaux de service (connexions, requêtes bloquées et erreurs avec votre identifiant utilisateur CLIMB et votre adresse IP), les rapports d’erreur et de plantage associés à votre identifiant utilisateur CLIMB, les données d’utilisation de l’application et les statistiques de notre site web, afin de détecter les attaques, corriger les anomalies et améliorer CLIMB. Jamais les mots de passe, codes à deux facteurs ou contenus de messages.
• Un fournisseur de notifications push : envoie les notifications push aux applications CLIMB.
• Des fournisseurs de plateformes mobiles : délivrent les notifications sur les téléphones et distribuent les applications via leurs boutiques d’applications.
• Notre entité opérationnelle au Sri Lanka : participe à la fourniture de CLIMB et ne peut traiter des données personnelles que sur nos instructions.

Au sein d’une entreprise, chaque personne accède aux données de CLIMB selon son rôle : par exemple, les responsables voient les présences de leur équipe et les employés voient les leurs. Nous pouvons également partager des informations avec des conseillers professionnels, avec les autorités lorsque la loi l’exige, ou avec un acquéreur en cas de cession de notre entreprise, auquel cas la présente politique continuera de s’appliquer.

Si vous regardez une vidéo sur notre site web, YouTube (Google) reçoit les informations décrites dans « Lorsque vous regardez une vidéo » directement depuis votre navigateur, en tant que responsable de traitement indépendant et non comme l’un de nos prestataires.

Nous stockons les données de CLIMB au Royaume-Uni ou dans l’Espace économique européen. Certains prestataires sont établis aux États-Unis ou y accèdent depuis ce pays, et notre entité sri-lankaise peut accéder à des données personnelles depuis le Sri Lanka. Lorsque des données personnelles quittent le Royaume-Uni, nous veillons à ce qu’elles soient protégées par une décision d’adéquation (telle que l’extension britannique du cadre de protection des données UE-États-Unis) ou par l’accord ou l’addendum britannique sur le transfert international de données (IDTA). Écrivez-nous pour plus de précisions sur ces garanties.

• Les sessions de connexion des dirigeants et responsables expirent après 30 minutes d’inactivité et au plus tard 12 heures après la connexion ; pour les employés, elles durent jusqu’à 30 jours dans l’application mobile. Dans un navigateur web, les sessions de tous les utilisateurs prennent fin après 30 minutes d’inactivité et au maximum 12 heures après la connexion. Elles prennent fin immédiatement lorsque vous vous déconnectez, réinitialisez votre mot de passe, modifiez vos paramètres à deux facteurs ou changez de rôle. Les relevés de tentatives de connexion ainsi que les liens de vérification d’e-mail et de réinitialisation expirent en quelques heures. Les journaux de service sont conservés 14 jours, et les relevés d’événements de sécurité (tels que les connexions et requêtes bloquées) pendant 90 jours. Les données d’utilisation de l’application et les rapports de plantage sont conservés jusqu’à un an.
• Les informations de compte sont conservées tant que votre compte est ouvert, puis supprimées ou anonymisées dans les 90 jours suivant sa fermeture.
• Les informations professionnelles sont conservées aussi longtemps que l’entreprise utilise CLIMB ou selon ses instructions. Lorsqu’une entreprise nous quitte, elle peut exporter ses données pendant 30 jours, puis nous les supprimons dans les 90 jours suivant la clôture du compte. Les entreprises restent responsables de la conservation des documents exigés par la loi, tels que les archives de paie.
• Les demandes de renseignements sont conservées jusqu’à 2 ans après notre dernier échange, sauf si elles donnent lieu à une relation client.

• Les données sont chiffrées lors de leur transit entre les applications et nos serveurs.
• Les mots de passe sont stockés uniquement sous forme de hachages robustes à sens unique et doivent comporter au moins 12 caractères. Les nouveaux mots de passe sont comparés à une liste publique de mots de passe compromis lors de fuites de données : seuls les cinq premiers caractères d’un hachage du mot de passe sont envoyés au service de vérification, jamais le mot de passe lui-même.
• Les dirigeants et responsables doivent utiliser l’authentification à deux facteurs et confirmer à nouveau leur identité (par code ou clé d’accès) avant de supprimer des fiches, d’annuler des services, de modifier des badges ou de changer le rôle d’un collaborateur.
• Les applications se verrouillent automatiquement lorsqu’elles ne sont pas utilisées (Climb après 30 minutes, Climb Coach après 2 minutes) et se déverrouillent avec votre visage, votre empreinte digitale ou le code de votre téléphone. Cette vérification est effectuée par votre téléphone ; nous ne recevons jamais de données biométriques. Dans un navigateur web, les applications vous déconnectent après 15 minutes d’inactivité.
• La connexion est protégée par la vérification de l’adresse e-mail et la limitation des tentatives. Les applications conservent votre session dans le stockage sécurisé de votre téléphone ; dans un navigateur, dans un cookie sécurisé que le code de la page ne peut pas lire et que d’autres sites ne peuvent pas envoyer.
• L’accès est restreint selon le rôle, et les modifications apportées aux dossiers et aux présences sont journalisées.
• Nos hébergeurs chiffrent les données stockées.

Aucun système n’est parfaitement inviolable. Si une violation de données affecte vos informations personnelles et présente un risque pour vos droits, nous vous en informerons (ainsi que l’entreprise pour laquelle nous les traitons) et préviendrons l’Information Commissioner’s Office conformément à la loi.

En vertu de la législation britannique sur la protection des données, vous pouvez nous demander de :

• vous fournir une copie de vos données personnelles ;
• les rectifier si elles sont inexactes ou incomplètes ;
• les supprimer ou limiter la manière dont nous les utilisons ;
• cesser de les utiliser lorsque nous nous fondons sur nos intérêts légitimes ;
• vous les transmettre, ou les transmettre à un autre prestataire, dans un format portable.

Lorsque nous nous appuyons sur votre consentement, vous pouvez le retirer à tout moment. Pour exercer l’un de ces droits, envoyez un e-mail à privacy@begood.solutions. Nous vous répondrons dans un délai d’un mois. Pour les informations professionnelles, veuillez d’abord vous adresser à votre employeur : il est responsable de ces données et nous l’aiderons à vous répondre.

Si vous n’êtes pas satisfait de la façon dont nous traitons vos données, merci de nous en faire part en premier lieu afin que nous puissions y remédier. Vous pouvez également déposer une réclamation auprès de l’Information Commissioner’s Office sur ico.org.uk ou par téléphone au +44 303 123 1113.

Notre site web ne dépose aucun cookie et ne stocke rien dans votre navigateur à des fins d’analyse ou de publicité ; il n’y a donc rien à accepter ou à refuser. Deux éléments ne sont stockés qu’à votre demande. Si vous choisissez le mode clair ou sombre avec le bouton en haut de la page, votre navigateur mémorise ce choix (dans son stockage local, sous le nom « climb-theme ») afin que le site conserve votre réglage ; il ne quitte jamais votre appareil et disparaît si vous choisissez à nouveau ou effacez les données de votre navigateur pour notre site. Si vous lancez une vidéo, YouTube peut stocker des informations dans votre navigateur, comme décrit dans « Lorsque vous regardez une vidéo ». Les applications CLIMB stockent un jeton de connexion dans l’espace sécurisé de votre téléphone pour maintenir votre session active, ce qui est strictement nécessaire à leur fonctionnement. Elles stockent également un identifiant pour les données d’utilisation et les rapports de plantage, ainsi qu’une copie de votre choix concernant le partage des données d’utilisation afin qu’il s’applique avant même votre connexion. Les versions web des applications font de même dans votre navigateur : un cookie de connexion strictement nécessaire au fonctionnement, ainsi que l’heure de votre dernière activité (pour vous déconnecter en cas d’inactivité), l’identifiant de données d’utilisation et votre préférence dans le stockage du navigateur.

Notre site web et nos services s’adressent aux entreprises et ne sont pas destinés aux enfants. Lorsqu’une entreprise emploie de jeunes travailleurs, il lui incombe d’utiliser CLIMB d’une manière légale et adaptée à leur situation.

Nous mettrons à jour cette politique lorsque CLIMB ou la législation évoluera, et modifierons la date figurant en haut de page. Si un changement affecte de manière substantielle l’utilisation de vos données, nous en informerons les titulaires de compte par e-mail ou dans les applications avant son entrée en vigueur.

Questions ou demandes relatives à la confidentialité : privacy@begood.solutions, ou par courrier à BeGOOD Solutions Ltd, 128 City Road, London EC1V 2NX.