Politique de confidentialité

Version 1.2 · Dernière mise à jour : 10 octobre 2026

1. Introduction et cadre légal

La présente Politique de confidentialité décrit la manière dont les données personnelles sont collectées et traitées dans le cadre de l'application Workin (https://app.workin.app) et du site vitrine (https://workin.app), édités par Pi-Com Sàrl. Elle est établie dans le respect :

• de la loi fédérale suisse sur la protection des données (nLPD), révisée et en vigueur depuis le 1ᵉʳ septembre 2023, et de son ordonnance (OPDo) ;
• du Règlement général sur la protection des données (RGPD, Règlement (UE) 2016/679), lorsqu'il s'applique (utilisateurs ou entreprises clientes situés dans l'UE / l'EEE).

2. Rôles : responsable du traitement et sous-traitant

Workin intervient à un double titre selon les données concernées :

• Pi-Com Sàrl est SOUS-TRAITANT pour les données que l'entreprise cliente et ses membres saisissent dans Workin : les données des employés (pointages, heures, géolocalisation, congés, certificats médicaux, etc.) et les données du module Projets (clients et leurs contacts, projets, documents, temps par projet). Dans ce cas, c'est l'entreprise cliente qui est responsable du traitement. Les conditions de cette sous-traitance sont précisées dans l'Accord de sous-traitance (DPA), disponible sur demande.
• Pi-Com Sàrl est RESPONSABLE DU TRAITEMENT pour : les données de compte des administrateurs et la gestion de la relation contractuelle (inscription, abonnement, facturation, support) ; les données du site vitrine ; les données techniques nécessaires à la sécurité et au fonctionnement du Service (journaux, monitoring d'erreurs).

Coordonnées :

• Responsable du traitement : Pi-Com Sàrl, Rue de Lausanne 22, 1030 Bussigny, Suisse
• IDE / registre : CHE-490.271.650
• Contact « vie privée » : app@workin.app

Pi-Com Sàrl étant établie en Suisse et le traitement de données de personnes situées dans l'UE n'étant pas réalisé à grande échelle de façon régulière, Pi-Com n'a, en l'état, pas désigné de représentant dans l'UE (art. 27 RGPD) ni de délégué à la protection des données (DPO). Cette appréciation est revue en fonction de l'évolution de l'activité.

3. Catégories de données collectées

3.1. Données de compte et d'identité

Prénom, nom, adresse e-mail (Firebase Authentication) ; mot de passe (haché, jamais accessible en clair par Pi-Com) ; adresse postale (optionnelle) ; langue et thème préférés ; rôle (administrateur, manager, employé) et entreprise(s) de rattachement.

3.2. Données relatives au temps de travail (employés)

Pointages (heures de début/fin, pauses, durées nettes, sessions multiples) ; timeline horodatée des événements ; type d'appareil utilisé pour le pointage ; paramètres contractuels (taux d'activité, heures par jour, périodes d'engagement, type de contrat, soldes et reports) ; heures supplémentaires et leur paiement.

3.3. Données de géolocalisation

Position GPS (latitude, longitude, précision) capturée à chaque événement de pointage (début, pause, fin) lorsque la géolocalisation est activée. Elle est désactivée par défaut : c'est l'entreprise qui l'active (formule Pro). Chaque membre peut alors la désactiver pour lui-même à tout moment dans « Mon profil » ; son choix est enregistré (date, état). Le navigateur demande en outre l'autorisation d'accéder à la position. L'adresse correspondante n'est pas stockée : elle est calculée à l'affichage par géocodage inversé (Nominatim / OpenStreetMap, voir § 6).

3.4. Données de congés et d'absences

Demandes de congé (dates, type d'absence, motif, statut, jours ouvrables, commentaires) et certificats médicaux téléversés en pièce jointe (voir 3.5).

3.5. Données sensibles / particulièrement dignes de protection

Certaines données relèvent des catégories particulières (art. 9 RGPD) et des données sensibles (art. 5 let. c nLPD) :

• Certificats médicaux (données de santé) : fichiers téléversés comme justificatifs, stockés dans Firebase Storage. L'accès est restreint à l'employé concerné, aux administrateurs et au manager désigné. Ces fichiers sont purgés définitivement à la suppression du compte de l'employé ou de l'entreprise ;
• Données révélant l'état de santé via les types d'absence (maladie, accident, maternité, paternité) ;
• Géolocalisation (pouvant révéler des déplacements / habitudes).

Le traitement de ces données relève de la responsabilité de l'entreprise cliente (employeur), qui doit disposer d'une base légale appropriée (cf. § 5).

3.6. Données de facturation et d'abonnement

État de l'abonnement (formule, nombre de sièges, devise, statut, dates) ; identifiant client Stripe et historique de facturation (gérés par Stripe). Les données de carte bancaire sont traitées exclusivement par Stripe et jamais stockées par Pi-Com (qui ne reçoit que la marque et les 4 derniers chiffres pour l'affichage).

3.7. Données techniques, journaux et monitoring

Journaux serveur (Google Cloud Logging / Error Reporting) ; rapports d'erreurs et mesures de performance de l'application via Sentry, envoyés sans nom ni adresse e-mail mais avec des identifiants techniques (entreprise, membre, date concernée), voir § 11 ; données de limitation de débit (compteurs par adresse IP, adresse e-mail ou identifiant) ; signaux anti-abus traités par reCAPTCHA Enterprise (App Check) ; données stockées localement dans le navigateur (cf. § 8).

3.8. Données du connecteur Assistant IA

Lorsque l'entreprise active le connecteur Assistant IA (formule Pro) et qu'un membre y relie un assistant de son choix, Workin traite :

• Connexions : l'identifiant du membre, le nom déclaré par l'application connectée et son domaine de retour, le niveau accordé (lecture seule ou lecture et écriture), les dates de création et de dernier usage. Les jetons d'accès ne sont conservés que sous forme d'empreinte (hachage) ; ils ne peuvent pas être relus. Une connexion est conservée jusqu'à sa révocation ou après 90 jours sans usage, puis effacée sous 30 jours. Les empreintes des jetons d'une connexion révoquée sont effacées au plus tard 90 jours après.
• Enregistrements des applications connectées : métadonnées techniques fournies par l'application (nom, adresses de retour), effacées après 90 jours sans usage (30 jours si l'application n'a jamais été utilisée).
• Jetons personnels d'administration : libellé, dates de création et de dernier usage ; seule l'empreinte du jeton est conservée, jusqu'à sa révocation.
• Journal : pour chaque action d'un assistant, la date, le membre, l'action, l'élément visé et un résumé (par exemple « 90 min le 22.09.2026 sur Site web »). Pour une journée de pointage ou un temps projet, le journal conserve aussi l'état avant et après l'écriture (heures de début et de fin, pause, note, répartition par projet) et, pour une journée supprimée, sa copie complète, afin de pouvoir la rétablir. Chaque membre lit les lignes des actions qu'il a demandées ; l'administration lit tout le journal.
• Versions : le texte remplacé par un assistant (texte de projet ou page), conservé pour permettre sa restauration (20 versions par élément).

Finalités : fournir le service demandé par le membre, permettre à l'entreprise de contrôler ce que les assistants font (journal, révocation, plafond de lecture seule), réparer une écriture indésirable, sécuriser le service (limitation de débit, détection de réutilisation de jetons). Base légale : exécution du contrat et intérêt légitime à la sécurité.

Fournisseur d'assistant. Les données lues par un assistant sont transmises au fournisseur de l'assistant choisi et connecté par le membre lui-même : noms de clients, projets et tâches, statuts, échéances, attributions, estimations, montants et temps par projet ; textes et pages consultés ; prénoms et noms des membres et externes ; temps saisi par projet ; journées de pointage (date, heures de début et de fin, pause, durée nette, note, répartition par projet, chrono en cours) du membre et, s'il est administrateur ou manager, des membres qu'il gère. Ce fournisseur n'est pas un sous-traitant de Pi-Com : il traite ces données selon ses propres conditions et sa propre politique de confidentialité, sous la responsabilité de l'entreprise utilisatrice et du membre. Le connecteur ne donne jamais accès aux demandes de congé, types et motifs d'absence, certificats médicaux, soldes, contrats, salaires, géolocalisation, coordonnées de clients, adresses e-mail des membres, fichiers joints ni réglages ; il peut seulement signaler qu'une journée est une absence, sans en indiquer le type ni le motif.

3.9. Données du module Projets

Lorsque l'entreprise utilise le module Projets, Workin traite :

• les fiches clients de l'entreprise : nom, référence, adresse, personne de contact, e-mail, téléphone, note ;
• les projets et tâches : nom, statut, échéance, estimation, montant, attribution, textes ;
• les documents : pages rédigées et fichiers téléversés ;
• le temps saisi par projet : date, durée, note, auteur ;
• les externes (personnes sans compte, désignées par un libellé) et les équipes.

Ces données peuvent concerner des tiers, par exemple les contacts des clients de l'entreprise, qui en est responsable. Un élément mis à la corbeille est conservé 60 jours avant sa suppression définitive.

3.10. Notifications sur l'appareil

Lorsqu'un membre active les notifications sur un appareil, Workin enregistre l'abonnement de cet appareil : adresse technique fournie par le service de notification du navigateur, clés de chiffrement, type de navigateur, date. Les notifications (chrono resté ouvert, congés, validation de mois, alertes de temps estimé) transitent chiffrées par ce service (Google, Apple, Mozilla ou Microsoft) ; leur texte peut contenir un nom d'entreprise, de projet ou de membre. L'abonnement est supprimé quand le membre désactive les notifications, quand le service le déclare invalide ou à la suppression du compte.

3.11. Intégrations

Lorsqu'un administrateur relie un service tiers (ClickUp, formule Pro), Workin importe et synchronise, sur instruction de l'entreprise : les membres de l'espace ClickUp (nom, e-mail), les listes et tâches (nom, statut, échéance, attribution, description, pièces jointes), les documents et les temps saisis. Le jeton d'accès est conservé chiffré et effacé à la déconnexion du service ; les données importées restent dans Workin.

4. Finalités du traitement

5. Bases légales

Côté entreprise cliente (responsable du traitement de ses employés ; bases indicatives) : exécution du contrat de travail (art. 6(1)(b) RGPD ; art. 31 nLPD) ; obligation légale (art. 6(1)(c) RGPD) pour la conservation des données de durée du travail ; intérêt légitime (art. 6(1)(f) RGPD) pour l'organisation interne et la prévention des abus ; consentement (art. 6(1)(a) et 9(2)(a) RGPD) pour la géolocalisation et, le cas échéant, les données de santé. La qualification précise relève de chaque entreprise responsable.

Côté Pi-Com (responsable du traitement) : exécution du contrat (CGU / abonnement) ; obligation légale (conservation comptable) ; intérêt légitime (sécurité, prévention de la fraude, monitoring, amélioration du Service).

6. Sous-traitants et destinataires

Pi-Com fait appel aux sous-traitants suivants, sélectionnés pour leurs garanties de sécurité. Aucun n'est autorisé à utiliser les données à d'autres fins que la fourniture de son service à Pi-Com.

Autres destinataires. Les services suivants reçoivent des données sans être des sous-traitants de Pi-Com :

• Services de notification des navigateurs (Google, Apple, Mozilla, Microsoft) : ils acheminent les notifications qu'un membre a activées (voir 3.10) ; leur contenu est chiffré de bout en bout.
• OpenStreetMap (Nominatim) : lorsqu'une personne autorisée affiche l'adresse d'un pointage géolocalisé, son navigateur envoie les coordonnées à ce service, qui voit aussi son adresse IP.
• Service tiers relié par le Client (par exemple ClickUp, voir 3.11) : Workin y lit les données que le Client choisit d'importer ; aucune donnée de Workin n'y est envoyée.
• Fournisseur d'un assistant IA connecté par un membre (voir 3.8) : il est choisi et connecté par le membre, qui lui transmet des données de Workin sous la responsabilité de l'entreprise utilisatrice.

Les polices de caractères de l'application (Arimo, Inter) sont auto-hébergées : aucune requête n'est envoyée aux serveurs Google Fonts. L'application n'utilise aucun outil d'analyse d'audience ; seul le site de présentation en utilise un, avec votre consentement (voir § 8.2).

7. Transferts de données hors de Suisse / de l'UE

Les données de l'application sont hébergées en Suisse et dans l'Union européenne (voir § 6). Certains sous-traitants peuvent traiter des données aux États-Unis : Resend, l'entité américaine de Stripe, Google LLC et Functional Software, Inc. (Sentry) comme maisons mères, Google Analytics pour le site. Ces transferts sont encadrés par des garanties appropriées, en particulier les Clauses Contractuelles Types (CCT) de la Commission européenne (art. 46 RGPD) et les clauses-types reconnues par le PFPDT pour les transferts depuis la Suisse, le cas échéant complétées par l'adhésion du destinataire au Data Privacy Framework (DPF) UE-États-Unis et son extension suisse. Les autres destinataires cités au § 6 (services de notification, OpenStreetMap, fournisseur d'assistant IA) traitent les données selon leurs propres conditions, le cas échéant hors de Suisse et de l'Union européenne.

8. Cookies, mesure d'audience et stockage local

8.1 Éléments strictement nécessaires (sans consentement)

L'application Workin repose sur le stockage local du navigateur (localStorage, sessionStorage, IndexedDB) et l'authentification Firebase, strictement nécessaires au fonctionnement du Service :

Ces éléments étant strictement nécessaires, ils ne requièrent pas de consentement préalable.

8.2 Mesure d'audience du site (avec consentement)

Le site de présentation workin.app utilise Google Analytics 4 (chargé via Google Tag Manager) pour mesurer la fréquentation et améliorer le contenu. Ces cookies de mesure ne sont déposés qu'après votre consentement explicite (bandeau affiché à votre première visite) ; l'adresse IP est anonymisée. Vous pouvez refuser ou modifier votre choix à tout moment via le lien « Gérer les cookies » en bas de page. Le traitement est opéré par Google Ireland Ltd / Google LLC ; un éventuel transfert hors UE/Suisse est encadré par des garanties appropriées (clauses contractuelles types). Votre choix est mémorisé dans votre navigateur (workin-consent).

9. Durées de conservation

Restriction liée au droit du travail : un employé encore actif dans au moins une entreprise ne peut pas s'auto-supprimer. La suppression doit être précédée d'un retrait par l'employeur, en raison des obligations légales de conservation des données de suivi du temps.

Espaces supprimés : lorsqu'un espace est supprimé, par son administrateur ou pour inactivité (espaces gratuits, 60 jours après la dernière ouverture et après deux avertissements par e-mail, conformément au principe de proportionnalité de la nLPD), une copie technique de ses données, sans les fichiers, est conservée 180 jours à des fins de sécurité, puis effacée. À la suppression d'un espace, son abonnement payant est résilié et l'accès à ClickUp est retiré de Workin.

10. Droits des personnes concernées

Conformément à la nLPD et au RGPD, toute personne dispose des droits suivants : accès (art. 25 nLPD ; 15 RGPD), rectification (art. 32 nLPD ; 16 RGPD), effacement (art. 17 RGPD ; 32 nLPD), portabilité (art. 28 nLPD ; 20 RGPD) (Workin propose un export JSON de vos données de temps et d'absences depuis « Mon profil »), opposition (art. 21 RGPD ; 30 nLPD), limitation (art. 18 RGPD) et retrait du consentement à tout moment (notamment géolocalisation).

Modalités d'exercice : pour les données traitées par Pi-Com en tant que sous-traitant (données des employés), la personne s'adresse en principe à son employeur (l'entreprise cliente responsable) ; Pi-Com l'assiste. Pour les données dont Pi-Com est responsable (compte administrateur, facturation), les demandes sont adressées à app@workin.app. La réponse intervient dans les délais légaux (en principe 30 jours). L'identité du demandeur peut être vérifiée avant traitement de la demande.

11. Sécurité

Pi-Com met en œuvre des mesures techniques et organisationnelles appropriées, notamment : chiffrement en transit (HTTPS/TLS) et au repos (infrastructure Google Cloud) ; isolation multi-tenant stricte (règles de sécurité Firestore et Storage) ; authentification avec vérification obligatoire de l'e-mail ; App Check (reCAPTCHA Enterprise) ; contrôle d'accès par rôle ; limitation de débit ; en-têtes HTTP de sécurité (CSP stricte, etc.) ; retrait des noms et adresses e-mail avant transmission au monitoring ; chiffrement des jetons d'intégration ; journalisation des actions sensibles.

En cas de violation de données susceptible d'engendrer un risque, Pi-Com notifie l'autorité compétente (le PFPDT en Suisse et/ou l'autorité de contrôle UE concernée) dans les meilleurs délais (en principe sous 72 heures lorsque le RGPD s'applique), et informe les personnes concernées lorsque la loi l'exige.

12. Mineurs

Le Service est destiné à un usage professionnel dans le cadre d'une relation de travail. Il ne s'adresse pas aux mineurs en dehors de ce cadre. Lorsqu'un apprenti mineur est concerné, le traitement relève de l'employeur, qui veille au respect des règles spécifiques applicables aux données des mineurs.

13. Droit de réclamation auprès d'une autorité de contrôle

Toute personne concernée peut introduire une réclamation auprès de l'autorité compétente :

• En Suisse : le Préposé fédéral à la protection des données et à la transparence (PFPDT), www.edoeb.admin.ch ;
• Dans l'Union européenne : l'autorité de contrôle de l'État de résidence (p. ex. la CNIL en France).

14. Modifications de la présente Politique

Pi-Com peut modifier la présente Politique pour tenir compte d'évolutions légales ou techniques. La version applicable est celle publiée à l'adresse https://workin.app/confidentialite. En cas de modification substantielle, les utilisateurs concernés sont informés par un moyen approprié.

15. Contact

E-mail : app@workin.app
Éditeur : Pi-Com Sàrl, Rue de Lausanne 22, 1030 Bussigny, Suisse
IDE : CHE-490.271.650