Confidentialité et protection des données

Version 2026-07-02-v4

Avant d'utiliser Novteam, merci de prendre connaissance des règles de confidentialité, de protection des données et d'utilisation des informations RH.

Novteam est utilisé pour le suivi interne des évaluations du personnel, l'accompagnement, la formation, la préparation des entretiens et la gestion RH.

Le service est édité par Novteam — Raphaël Di Marco (entreprise individuelle), Chemin du Vignoble 14 b, 2022 Bevaix, Suisse. Cette politique s'applique dans le cadre de la loi fédérale suisse sur la protection des données (LPD) et, lorsque le droit européen s'applique, du RGPD. Contact pour toute question liée aux données : contact@novteam.com.

La prise de connaissance de ces règles est obligatoire avant d'accéder à l'application. Elle ne remplace pas les obligations légales de l'entreprise utilisatrice, qui reste responsable de l'utilisation de ses données RH.

Les réponses et résultats sont traités de manière confidentielle. Les résultats individuels sont accessibles uniquement aux personnes autorisées par l'entreprise, par exemple l'administrateur RH ou les responsables désignés.

Les données ne sont pas vendues, ne sont pas utilisées à des fins commerciales externes et ne sont accessibles qu'aux personnes ayant un besoin professionnel légitime.

Responsable du traitement

L'entreprise qui crée son espace Novteam est responsable du traitement des données RH de ses collaborateurs.
Novteam fournit l'outil technique permettant de collecter, organiser et consulter les évaluations internes selon les droits définis dans l'application ; l'éditeur agit comme sous-traitant pour ces données.
Pour toute demande liée à vos données, contactez en priorité l'administrateur de votre entreprise.

Données traitées

Identité professionnelle : nom, prénom, adresse e-mail, poste, équipe, rôle applicatif, statut actif ou désactivé et — si renseignées — date de naissance et photo de profil.
Données d'évaluation et de suivi RH : évaluations, questionnaires, notes, commentaires, recommandations, entretiens, formations, reconnaissances, objectifs, attestations, historique et dates de réponse.
Planning et temps de travail : horaires et shifts planifiés, échanges de shifts, pointages (heures d'entrée et de sortie, pauses), feuilles d'heures et validations mensuelles.
Absences : demandes de congé et absences, y compris les absences pour raison médicale ou accident et leur motif éventuel — susceptibles de constituer des données de santé (catégorie particulière, art. 9 RGPD / art. 5 al. 2 LPD).
Pièces d'identité et documents RH : lorsque l'entreprise active cette fonction, pièces d'identité, permis de travail et documents d'onboarding (images et métadonnées), pouvant révéler la nationalité ou le statut de séjour.
Géolocalisation des pointages : uniquement si l'entreprise l'active (désactivée par défaut) — position au moment du badge, ou simple indicateur « sur site / hors site » en mode geofence (voir la section dédiée ci-dessous).
Missions et répertoire : missions et interventions planifiées, contacts et carnet clients professionnels saisis par l'entreprise.
Baromètre social : réponses au baromètre d'ambiance et humeurs, y compris commentaires en texte libre (traités de façon à préserver l'anonymat statistique lorsque le nombre de réponses le permet).
Données techniques de sécurité : date et version d'acceptation, adresse IP si disponible, navigateur utilisé, journaux d'audit et traces de connexion.
Notifications : adresse e-mail et, si l'utilisateur l'active, abonnement technique aux notifications push du navigateur.

Finalités

Organiser les évaluations internes, le suivi RH, les entretiens et le développement des collaborateurs.
Planifier le travail (horaires, shifts, absences) et suivre le temps de travail (pointage, feuilles d'heures).
Gérer les absences, y compris pour raison médicale ou accident, dans le cadre de la gestion RH et des obligations de l'employeur.
Le cas échéant, vérifier la présence sur le lieu de travail (géolocalisation du pointage), lorsque l'entreprise l'a activée et en a informé les personnes.
Assurer la sécurité, l'audit, la prévention des abus et la maintenance de l'application.

Base juridique et cadre d'utilisation

Dans un contexte employeur/employé, l'application repose principalement sur la gestion RH, l'exécution de la relation de travail, les obligations légales applicables et l'intérêt légitime de l'entreprise à organiser un suivi interne loyal et proportionné.
Les données de santé liées aux absences (médicales, accident) et, le cas échéant, les pièces d'identité sont traitées pour le compte de l'entreprise responsable, sur une base relevant du droit du travail et de la sécurité sociale (art. 9 §2 b) RGPD ; art. 5 al. 2 et dispositions applicables de la LPD), aux seules fins de gestion RH et des absences.
La validation demandée dans Novteam correspond à une prise de connaissance obligatoire et à un engagement de confidentialité. Elle ne doit pas être comprise comme l'unique base juridique du traitement.
L'entreprise doit informer ses collaborateurs de sa propre politique RH, de ses procédures internes et des personnes habilitées à consulter les résultats.

Destinataires et accès

Les données sont visibles selon les droits prévus dans Novteam : administrateurs, responsables autorisés et utilisateur concerné.
Les résultats hors administration peuvent être anonymisés, limités ou masqués lorsque le nombre de réponses est insuffisant.
Les prestataires techniques nécessaires au fonctionnement de l'application (hébergement, base de données, e-mails, notifications) peuvent traiter certaines données uniquement pour fournir le service.

Hébergement et sous-traitants techniques

Rôles : l'entreprise cliente est responsable du traitement de ses données RH ; l'éditeur agit comme sous-traitant (un contrat de sous-traitance des données, DPA, est disponible dans l'application). Pour les données de compte et de facturation de l'entreprise cliente, l'éditeur agit comme responsable du traitement.
Vercel Inc. — Hébergement de l'application (serveurs et diffusion). Localisation : Union européenne — fonctions exécutées en région fra1 (Francfort, Allemagne). Garanties : Données traitées dans l'UE ; chiffrement en transit (TLS).
Neon Inc. (groupe Databricks) — Base de données principale (données RH, comptes, évaluations). Localisation : Union européenne — région eu-central-1 (Francfort, Allemagne). Garanties : Données hébergées dans l'UE ; chiffrement au repos et en transit.
Cloudflare, Inc. — Stockage des fichiers et documents (pièces d'identité, permis de travail, photos, documents d'onboarding). Localisation : Union européenne — stockage objet R2 à juridiction UE. Garanties : Données stockées dans l'UE ; accès privé par URL signée à durée limitée ; chiffrement au repos et en transit.
Stripe Payments Europe Ltd / Stripe Inc. — Paiement des abonnements et facturation. Localisation : Irlande / États-Unis. Garanties : Certifié PCI-DSS ; clauses contractuelles types (CCT). Novteam ne stocke aucun numéro de carte..
Resend (Plus Five Five Inc.) — Envoi des e-mails transactionnels (codes d'accès, notifications). Localisation : États-Unis. Garanties : Clauses contractuelles types (CCT).
Anthropic PBC — Analyses IA : assistant RH sur données agrégées (effectifs, moyennes) ; synthèse du climat à partir des messages anonymes du baromètre (texte libre, sans identifiant nominatif). Localisation : États-Unis. Garanties : Clauses contractuelles types (CCT) ; pas d'entraînement des modèles sur les données clients (offre API).
Google Ireland Ltd / Google LLC — Connexion « avec Google » (authentification via e-mail vérifié) — uniquement si l'utilisateur choisit ce mode. Localisation : Irlande / États-Unis. Garanties : Clauses contractuelles types (CCT).
Services de notifications push (Apple, Google, Mozilla) — Distribution des notifications push (jeton d'appareil et contenu de la notification). Localisation : Selon l'appareil et le navigateur de l'utilisateur. Garanties : Chiffrement en transit ; charge utile limitée au strict nécessaire.
Ces prestataires traitent les données uniquement pour fournir le service, selon des engagements contractuels de confidentialité et de sécurité.

Localisation et transferts internationaux

L'application et la base de données principale (données RH, comptes, évaluations) sont hébergées dans l'Union européenne (Francfort, Allemagne). Les fichiers et documents (pièces d'identité, permis de travail, photos, documents d'onboarding) sont conservés dans un stockage objet à juridiction Union européenne (Cloudflare R2), avec accès privé par URL signée à durée limitée.
Certains services accessoires (envoi d'e-mails, paiements, analyses IA) sont opérés par des prestataires situés hors de l'UE (voir la liste ci-dessus) ; ces transferts sont encadrés par des garanties reconnues : clauses contractuelles types (CCT) et, le cas échéant, cadre de protection des données UE-USA / Suisse-USA (Data Privacy Framework).
Toutes les communications sont chiffrées en transit (TLS) et les bases de données sont chiffrées au repos.

Conservation et suppression

Données RH (évaluations, entretiens, notes de terrain, formations, tâches…) : par défaut, pendant toute la durée du contrat ; l'entreprise cliente peut définir une durée de conservation par catégorie (1 à 10 ans — notes, évaluations, entretiens, tâches archivées) dans ses paramètres, avec purge automatique hebdomadaire.
À la clôture de l'espace : suppression de l'ensemble des données dans les 30 jours (sauf demande d'export préalable).
Historique des échanges de shifts résolus : 1 an.
Offres de « shift à prendre » traitées : 90 jours.
Notes de service : 90 jours.
Réponses au baromètre social (humeurs, commentaires) : 2 ans.
Journaux de connexion (tentatives) : 180 jours.
Abonnements aux notifications push inactifs : 365 jours.
Journaux d'audit (traçabilité des actions sensibles) : 1 an.
Données de facturation : 10 ans (obligation comptable suisse, art. 958f CO).
L'entreprise peut désactiver un utilisateur afin de bloquer son accès tout en conservant l'historique utile aux évaluations déjà réalisées.
L'administrateur peut exporter l'ensemble des données de son entreprise à tout moment depuis les paramètres (format structuré).
Toute demande de suppression ou d'export peut aussi être adressée à contact@novteam.com ; elle est traitée dans un délai maximal de 30 jours, dans les limites compatibles avec les obligations légales.

Cookies et stockage technique

Novteam utilise des cookies strictement nécessaires pour la connexion, la sécurité de session, la navigation et certaines actions administratives temporaires.
Ces cookies essentiels ne servent pas à la publicité, au profilage commercial ou à la revente de données.
Si des cookies d'analyse, marketing ou autres technologies non essentielles sont ajoutés plus tard, ils devront être présentés séparément avec un choix clair lorsque la loi l'exige.

Géolocalisation des pointages

La géolocalisation du pointage est désactivée par défaut ; elle n'est active que si l'entreprise l'a explicitement choisie, et vous en êtes informé au moment de badger.
Deux modes existent : « enregistrement » (la position au moment du badge est enregistrée) et « geofence » (seul le fait d'être « sur site » ou « hors site » par rapport à une zone définie est retenu — mode le plus respectueux de la vie privée).
Refuser la permission de localisation du navigateur n'empêche pas de badger : le pointage reste possible sans position.
La localisation de salariés est un traitement intrusif : l'entreprise cliente, responsable du traitement, doit disposer d'une base légale, respecter la proportionnalité, informer les personnes et, le cas échéant, réaliser une analyse d'impact (AIPD).

Confidentialité et sécurité

Chaque utilisateur doit garder confidentiels les codes, résultats, commentaires et informations RH auxquels il accède.
Les accès sont limités par rôle et par entreprise (cloisonnement strict de chaque espace). Les actions sensibles sont journalisées pour protéger les données et contrôler les abus.
Les données RH ne doivent pas être exportées, copiées ou partagées en dehors du cadre professionnel autorisé par l'entreprise.

Gestion des incidents et violations de données

En cas de violation de données susceptible d'engendrer un risque pour vos droits, l'éditeur, en tant que sous-traitant, notifie l'entreprise cliente concernée sans délai injustifié et au plus tard sous 72 heures après en avoir pris connaissance, avec les éléments utiles (nature de la violation, catégories de données concernées et mesures prises).
L'entreprise cliente, responsable du traitement, procède le cas échéant à la notification auprès de l'autorité de contrôle compétente et à l'information des personnes concernées.
Les actions sensibles sont journalisées afin de permettre la détection et l'analyse d'un éventuel incident.

Droits des personnes

Conformément à la LPD et, le cas échéant, au RGPD, vous pouvez demander l'accès aux données vous concernant, leur rectification, leur effacement, la limitation du traitement, la portabilité, ou vous opposer à un traitement fondé sur l'intérêt légitime.
Adressez votre demande en priorité à l'administrateur RH de votre entreprise (responsable du traitement), ou à contact@novteam.com ; réponse dans un délai maximal de 30 jours.
Certaines demandes peuvent être limitées lorsque la conservation est nécessaire à l'historique RH, aux obligations légales, à la sécurité ou à la défense des droits de l'entreprise.
Vous pouvez également saisir l'autorité de contrôle compétente : en Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT) ; dans l'UE, l'autorité de votre pays (par exemple la CNIL en France).

Engagement de confidentialité

J'ai pris connaissance des informations relatives à la confidentialité et à la protection de mes données personnelles.
Je comprends que mes données et mes réponses sont utilisées uniquement dans un cadre interne RH, d'accompagnement, de formation et d'amélioration du travail en équipe.
Je comprends que Novteam utilise des cookies strictement nécessaires à la connexion, à la sécurité et au fonctionnement de l'application.
Je m'engage à ne pas copier, diffuser ou partager les informations confidentielles auxquelles je pourrais accéder dans l'application.

Documents liés : Contrat de sous-traitance des données (DPA) · Conditions générales d’utilisation