Politique de confidentialité de l'application mobile QareData

La présente politique de confidentialité décrit les modalités de collecte, d'utilisation, de conservation et de protection des données personnelles dans le cadre de l'utilisation de l'application mobile QareData, disponible sur Google Play (Android) et sur l'App Store d'Apple (iOS).

L'application QareData permet aux professionnels de documenter leurs interventions, de tracer les actions réalisées sur le terrain et de constituer une mémoire technique vivante des sites, équipements, installations, logements et prestations suivis.

Elle permet notamment de consulter et renseigner des informations opérationnelles, de documenter les interventions et de partager les informations utiles avec les personnes autorisées.

Cette politique s'applique à l'ensemble des utilisateurs de l'application mobile QareData, quel que soit leur système d'exploitation.

Elle est distincte de la politique de confidentialité du site internet qaredata.io.

L'application est éditée par :

QAREDATA
Société par actions simplifiée unipersonnelle (SASU) au capital de 29 000 €.
Siège social : 39 rue Turgot, 59420 Mouvaux, France.
RCS Lille Métropole : 932 696 321.

• Adresse électronique : contact@qaredata.io
• Site internet : https://qaredata.io

Pour toute question relative à la protection des données personnelles, les utilisateurs peuvent contacter QAREDATA à l'adresse indiquée ci-dessus.

Selon les fonctionnalités utilisées, l'application peut traiter les catégories de données suivantes.

3.1. Données d'identification et de compte

• Nom et prénom de l'utilisateur.
• Adresse électronique professionnelle.
• Organisation ou entreprise de rattachement.
• Identifiant de compte et droits d'accès.
• Informations nécessaires à l'authentification et à la gestion des sessions.

3.2. Données relatives aux interventions

• Date et heure des interventions ou actions déclarées.
• Identification de l'intervenant, lorsqu'elle est prévue.
• Site, équipement, installation, logement ou prestation concerné.
• Nature et statut de l'intervention.
• Observations, commentaires et informations renseignées.
• Photographies et documents ajoutés par l'utilisateur.
• Historique des actions réalisées.

Ces informations permettent de constituer un historique opérationnel et d'assurer la traçabilité des prestations effectuées.

Les utilisateurs sont invités à ne pas intégrer d'informations personnelles inutiles ou de données sensibles concernant des tiers dans les photographies, documents ou commentaires.

3.3. Données de géolocalisation

Lorsqu'une intervention ou une action le nécessite, l'application QareData peut collecter ponctuellement les coordonnées géographiques transmises par le téléphone de l'utilisateur.

Ces données correspondent aux coordonnées GPS de latitude et de longitude renvoyées par le terminal, avec le niveau de précision fourni par celui-ci.

La collecte intervient uniquement au moment où l'utilisateur réalise l'action concernée dans l'application.

Les coordonnées enregistrées peuvent être associées à l'intervention afin de documenter son lieu de réalisation et de contribuer à la traçabilité des opérations.

QareData ne procède à aucun suivi de géolocalisation en arrière-plan, ni à aucun enregistrement continu des déplacements des utilisateurs.

L'application ne constitue donc pas un outil de suivi permanent des déplacements des collaborateurs ou prestataires.

L'accès à la position du terminal dépend des autorisations accordées par l'utilisateur et des fonctionnalités utilisées.

Les données de géolocalisation ne sont pas utilisées à des fins publicitaires ou de commercialisation des déplacements.

3.4. Photographies, caméra et fichiers

L'application peut solliciter l'accès à la caméra ou aux fichiers du terminal pour scanner un code, photographier une intervention ou joindre un document.

Les photographies ajoutées sont enregistrées et associées aux interventions correspondantes.

Les photographies sont stockées sur une infrastructure OVHcloud utilisée par QAREDATA.

L'utilisateur conserve la maîtrise des photographies et documents qu'il choisit de transmettre dans le cadre de son utilisation de l'application.

3.5. Données techniques et de sécurité

Afin de permettre le fonctionnement et la sécurité de l'application, certaines données techniques peuvent être traitées :

• Identifiants techniques de session.
• Dates et heures des connexions ou opérations.
• Informations techniques relatives au terminal et à la version de l'application.
• Journaux d'erreurs et événements nécessaires au diagnostic des incidents.

Ces données sont utilisées pour assurer le bon fonctionnement du service, détecter les anomalies et contribuer à sa sécurité.

Les prestataires d'infrastructure peuvent également traiter certaines informations techniques nécessaires à l'acheminement des communications, à l'exploitation et à la sécurité de leurs services, selon leurs propres mécanismes de journalisation.

Les données collectées sont utilisées pour :

• Permettre l'accès sécurisé à l'application.
• Gérer les comptes et les habilitations des utilisateurs.
• Documenter les interventions et les opérations réalisées.
• Constituer un historique opérationnel des sites et équipements suivis.
• Assurer la traçabilité des actions déclarées.
• Faciliter le suivi et la coordination des prestations.
• Rendre les informations accessibles aux personnes autorisées.
• Assurer le fonctionnement, la maintenance et la sécurité du service.
• Répondre aux demandes d'assistance et résoudre les incidents techniques.

Les données collectées dans l'application ne sont pas destinées à la publicité comportementale ni vendues à des tiers.

QareData est une solution professionnelle mise à disposition d'organisations clientes.

Pour les données relatives aux interventions et aux activités réalisées pour le compte d'une organisation, cette dernière détermine généralement les finalités et les modalités essentielles du traitement et intervient en qualité de responsable du traitement au sens du RGPD.

QAREDATA intervient alors comme sous-traitant et traite les données conformément aux accords conclus avec l'organisation concernée et aux instructions applicables.

Les bases juridiques des traitements métier sont déterminées par l'organisation responsable du traitement, notamment en fonction de ses obligations légales, contractuelles et de ses intérêts légitimes.

Pour les traitements qu'elle détermine elle-même, notamment ceux nécessaires à l'administration technique, à la sécurisation du service et à la gestion de ses relations contractuelles, QAREDATA intervient en qualité de responsable du traitement.

Ces traitements reposent, selon leur nature, sur l'exécution d'un contrat, le respect d'une obligation légale ou l'intérêt légitime de QAREDATA.

Les données sont accessibles dans la limite des droits attribués aux utilisateurs.

Selon l'organisation du service, elles peuvent être communiquées :

• Aux utilisateurs habilités de l'organisation cliente.
• Aux intervenants et prestataires autorisés.
• Aux donneurs d'ordre ou parties prenantes disposant d'un accès prévu par l'organisation cliente.
• Aux personnes habilitées de QAREDATA lorsque leur intervention est nécessaire à la maintenance ou à l'assistance.
• Aux prestataires techniques chargés de l'hébergement et du fonctionnement de la solution, dans les limites nécessaires à leurs missions.

QAREDATA ne commercialise pas les données personnelles des utilisateurs et ne les transmet pas à des tiers à des fins de prospection indépendante.

Les données traitées dans l'application QareData reposent sur plusieurs infrastructures techniques spécialisées.

Base de données applicative — MongoDB Atlas

Les données applicatives et les historiques d'intervention sont enregistrés dans une base de données MongoDB Atlas, service géré par MongoDB, Inc., déployée sur l'infrastructure Google Cloud Platform dans la région europe-west9 (Paris, France).

Les sauvegardes de la base sont réalisées au moyen du service de sauvegarde intégré de MongoDB Atlas (Cloud Backup), et sont stockées dans la même région (Paris, France).

Services applicatifs et API — Render

L'API permettant le fonctionnement de l'application et les échanges avec la base de données est hébergée sur l'infrastructure Render, dans la région de Francfort (Allemagne).

Seuls les journaux natifs de la plateforme Render sont utilisés ; aucun service tiers de journalisation ou de supervision n'est activé.

Photographies — OVHcloud

Les photographies associées aux interventions sont stockées dans le service Object Storage d'OVHcloud, dans la région de Paris (EU-WEST-PAR, répartie sur trois zones de disponibilité).

Ces données font l'objet d'une réplication vers la région OVHcloud de Roubaix (RBX, France), afin d'assurer leur disponibilité et leur résilience.

QAREDATA s'appuie sur ces prestataires techniques pour assurer l'hébergement, la transmission et le fonctionnement de son service.

Transferts hors de l'Espace économique européen

Les données sont hébergées au sein de l'Union européenne. Toutefois, certains prestataires, notamment Render et MongoDB, sont des sociétés établies aux États-Unis dont les accords de traitement des données prévoient que certaines opérations (support, maintenance, sécurité, exploitation) peuvent être réalisées depuis les États-Unis ou d'autres pays tiers.

Ces éventuels accès ou transferts sont encadrés par les garanties prévues par le RGPD, notamment les clauses contractuelles types adoptées par la Commission européenne et, le cas échéant, le cadre de protection des données UE–États-Unis (Data Privacy Framework), conformément aux accords de traitement des données conclus avec ces prestataires.

QAREDATA applique un principe de limitation de la conservation des données personnelles, conformément au RGPD, tout en permettant aux organisations clientes de préserver l'historique technique et opérationnel de leurs interventions.

8.1. Données d'identification des utilisateurs

Les données nécessaires à l'identification et à l'accès d'un utilisateur sont conservées pendant la durée où son compte est actif et son accès autorisé par l'organisation concernée.

Lors de la suppression ou de la désactivation définitive d'un compte, les données devenues inutiles sont supprimées selon les modalités applicables, sous réserve des obligations de conservation justifiées.

8.2. Identification des intervenants dans les historiques

Les noms, prénoms et adresses électroniques associés aux interventions ont vocation à être supprimés des historiques au plus tard trois ans après la date de réalisation de chaque intervention, sauf nécessité de conservation supplémentaire légalement justifiée.

Cette suppression doit également empêcher la réassociation directe de l'intervention à l'utilisateur par un identifiant technique conservé.

Les comptes utilisateurs toujours actifs peuvent conserver les informations d'identification nécessaires à leur fonctionnement, indépendamment de la suppression des données nominatives figurant dans les anciens historiques.

8.3. Conservation de la mémoire technique

Les informations techniques relatives aux interventions, notamment leur date, leur nature, les équipements concernés, les observations, photographies et données de localisation, peuvent être conservées au-delà de la période de conservation des informations nominatives, lorsque cela demeure nécessaire à la gestion des équipements, à la continuité de service ou à la justification des prestations.

La durée de cette conservation est déterminée en fonction des finalités poursuivies et des modalités convenues avec l'organisation responsable du traitement.

Ces données peuvent elles-mêmes constituer des données personnelles lorsqu'elles permettent d'identifier directement ou indirectement une personne. Elles restent alors soumises aux exigences du RGPD.

8.4. Données techniques et sauvegardes

Les journaux de fonctionnement de l'API sont conservés pendant 7 jours, puis supprimés automatiquement.

Les sauvegardes de la base de données sont conservées pendant 7 jours, puis supprimées automatiquement.

8.5. Fin de contrat

En cas de fin de contrat avec une organisation cliente, les données sont restituées, supprimées ou conservées selon les accords applicables, les instructions du responsable du traitement et les obligations légales éventuelles.

QAREDATA met en œuvre des mesures techniques et organisationnelles adaptées afin de protéger les données personnelles contre les accès non autorisés, la perte, l'altération ou la divulgation.

Ces mesures comprennent notamment la gestion des habilitations, la limitation des accès et les dispositifs de protection des infrastructures utilisées.

Les utilisateurs sont invités à protéger leurs identifiants et à signaler toute utilisation suspecte de leur compte.

Conformément au RGPD et dans les conditions prévues par la réglementation, les utilisateurs disposent notamment des droits d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et, lorsque cela est applicable, de portabilité.

Les demandes peuvent être adressées à : contact@qaredata.io

Lorsque QAREDATA intervient comme sous-traitant, la demande peut être transmise à l'organisation responsable du traitement ou traitée en coordination avec celle-ci.

Les utilisateurs peuvent également saisir la Commission nationale de l'informatique et des libertés (CNIL) : https://www.cnil.fr/fr/plaintes.

Les utilisateurs peuvent demander la suppression de leur compte et des données personnelles associées en contactant QAREDATA à l'adresse : contact@qaredata.io

Lorsque le compte est administré par une organisation cliente, la demande est traitée en coordination avec cette organisation.

La suppression d'un compte n'entraîne pas nécessairement la suppression de l'ensemble des historiques professionnels auxquels l'utilisateur a contribué.

Les informations nécessaires à la continuité opérationnelle ou à la justification des interventions peuvent être conservées lorsque leur maintien repose sur une finalité et une base juridique valables.

Les informations permettant d'identifier personnellement l'ancien utilisateur sont supprimées ou dissociées des historiques lorsque leur conservation n'est plus nécessaire ou légalement justifiée.

Selon les fonctionnalités utilisées, l'application peut demander l'autorisation d'accéder :

• À la caméra, pour scanner un code ou prendre une photographie.
• Aux photographies ou fichiers sélectionnés par l'utilisateur.
• À la localisation du terminal, uniquement au moment des actions nécessitant cette information.
• Aux notifications, lorsque cette fonctionnalité est disponible.

Les autorisations peuvent être consultées ou modifiées dans les paramètres du téléphone, selon les possibilités offertes par Android et iOS.

Le refus de certaines autorisations peut limiter les fonctionnalités correspondantes.

La présente politique peut être modifiée afin de tenir compte des évolutions de l'application, des fonctionnalités proposées, des traitements réalisés ou de la réglementation applicable.

La version en vigueur est accessible depuis le site internet QareData et depuis l'application mobile.

La date de dernière mise à jour est indiquée en tête du document.