Politique de confidentialité

Brouillon non juridique. Les notes de stress sont des données de santé, donc des données sensibles au sens du RGPD (art. 9). À faire valider par un juriste / DPO avant mise en ligne. Ce texte est un gabarit de travail, pas un document opposable.

1. Qui traite vos données

Heiona (l'éditeur) héberge et traite les données individuelles des salariés utilisateurs. L'entreprise cliente n'a jamais accès aux données d'un individu : elle ne reçoit que des statistiques agrégées et anonymisées.

Responsable de traitement : [entité juridique Heiona, à compléter]
Contact / DPO : [email, à compléter]

2. Données collectées

Identité : nom, e-mail professionnel.
Calendrier Google (lecture seule) : dates, horaires et métadonnées des événements. Le titre est optionnel / masquable.
Notes de stress par événement et réponses aux questionnaires (données de santé — sensibles).
Données techniques de connexion.

3. Finalités

Calculer le baromood (score de charge mentale) du salarié.
Fournir à l'entreprise des indicateurs agrégés pour prévenir le burn-out.
Envoyer des relances de notation (Slack / Teams / e-mail, selon configuration).

4. Base légale

Consentement explicite du salarié (données sensibles, art. 9 RGPD).
Consentement libre : le refus ou le retrait n'a aucune conséquence sur l'emploi. Retrait possible à tout moment.

5. Destinataires

Le salarié : accès à ses propres données.
L'entreprise (RH, manager) : uniquement l'agrégé, et seulement au-dessus d'un seuil minimum de participants.
Aucune donnée individuelle n'est transmise à l'employeur.

6. Durée de conservation

[À définir] — conservation limitée à la finalité ; suppression ou anonymisation au-delà.

7. Sécurité

Chiffrement des jetons d'accès et des données sensibles au repos.
Accès cloisonné par rôle ; agrégation imposée côté serveur.

8. Vos droits

Vous disposez des droits d'accès, portabilité, rectification, suppression, opposition et retrait du consentement. Pour les exercer : [canal de contact, à compléter]. Heiona traite ces demandes dans les délais légaux.

9. Sous-traitants / transferts

Google (calendrier), hébergeur, canaux de notification (Slack / Teams / e-mail).
[Lister ; vérifier localisation des données et transferts hors UE.]

10. Modifications

Cette politique peut évoluer ; toute modification substantielle sera notifiée.