Mentions légales et traitement des données

Éditeur

MEDIANES, société par actions simplifiée au capital social de 10 420 €, dont le siège social est situé au 35 rue Chanzy, 75011 Paris, immatriculée au Registre du commerce et des sociétés de Paris sous le numéro 888 306 818, représentée par M. Baptiste Thévelein, agissant et ayant les pouvoirs nécessaires en tant que directeur général.

Contact : baptiste@medianes.org

Sablier est édité par Médianes à usage interne et à destination de l'association Pour les Médias. Le logiciel n'est ni commercialisé ni mis à disposition d'autres tiers.

Responsable du traitement

Le responsable du traitement est MEDIANES, représentée par M. Baptiste Thévelein, directeur général, à qui toute question ou demande relative aux données personnelles doit être adressée : baptiste@medianes.org.

Médianes n'a pas désigné de délégué à la protection des données ; les demandes sont traitées directement par le responsable du traitement.

Finalité

Mesurer la répartition du temps de travail par activité et par client, afin d'établir le temps consacré aux projets et d'éclairer les décisions de charge et de facturation.

Ce que la finalité exclut. L'outil ne mesure ni la productivité, ni la présence, ni la ponctualité. Il n'enregistre aucune capture d'écran, aucun nom d'application, aucun titre de fenêtre, aucune frappe clavier et aucune position géographique. La détection d'inactivité reste sur le poste et n'est jamais transmise : elle sert uniquement à ne pas poser de question en l'absence de la personne.

Base légale

Le traitement repose sur l'intérêt légitime de Médianes, au sens de l'article 6.1.f du RGPD : connaître la répartition du temps par projet et par client est nécessaire pour établir le coût des projets, répartir la charge et facturer justement.

Pourquoi pas le consentement. Le consentement d'une personne salariée n'est pas une base légale valable dans une relation de subordination : il ne peut pas y être libre au sens du RGPD. L'accord recueilli auprès de l'équipe vaut comme preuve de transparence, pas comme fondement du traitement.

La mise en balance. L'intérêt légitime n'est recevable que si l'intérêt de l'employeur ne l'emporte pas sur les droits des personnes concernées. Les éléments retenus sont les limitations inscrites dans l'outil lui-même, et non des engagements de principe :

• Un échantillonnage, pas une surveillance. L'outil pose une question de temps en temps ; il n'observe rien entre deux questions.
• Aucune donnée d'observation. Ni capture d'écran, ni nom d'application, ni titre de fenêtre, ni frappe clavier, ni position géographique. La détection d'inactivité ne quitte jamais le poste.
• Les notes libres restent privées. Les managers voient les agrégats par activité et par client, jamais ce que vous avez écrit dans une plage.
• La personne garde la main. Le suivi peut être passé en mode silencieux ou suspendu, et l'application peut être quittée.
• Conservation bornée et export intégral en libre-service, sans avoir à en faire la demande.

Deux obligations préalables accompagnent ce choix et ne dépendent pas de lui : la consultation des représentants du personnel avant la mise en place, et l'information individuelle de chaque personne concernée.

Parce que le traitement repose sur l'intérêt légitime, vous disposez d'un droit d'opposition pour des raisons tenant à votre situation particulière. Il s'exerce auprès du responsable du traitement, dont les coordonnées figurent plus haut.

Chaque opposition est examinée individuellement et reçoit une réponse motivée. Elle peut être refusée si Médianes démontre des motifs légitimes impérieux qui prévalent sur vos intérêts : établir le coût d'un projet suppose des données complètes, et Sablier est installé sur un poste professionnel. Le mode silencieux et l'arrêt de l'application restent à votre main à tout moment.

Données enregistrées

Identité professionnelle (nom, adresse électronique, rôle), appareils déclarés, réponses aux questions d'échantillonnage (une activité ou « pas au travail », avec leur horodatage), plages de temps saisies ou corrigées à la main et leurs notes libres, et fuseau horaire de l'appareil au moment de la capture.

Le détail exhaustif, avec ce que chaque rôle peut consulter, est sur la page Mes données, accessible après connexion. C'est aussi depuis cette page que chacun exporte l'intégralité de ses données.

Destinataires

Les données restent internes à Médianes. Les notes libres attachées aux plages ne sont jamais visibles par les managers ni par les administrateurs ; les agrégats par activité et par client le sont. Les activités que vous créez vous-même sont regroupées sous un libellé unique pour les managers ; les administrateurs en voient le nom, jamais les notes ni l'heure précise de chaque réponse.

Si les intégrations Twenty ou Notion sont activées par un administrateur, des noms de sociétés et de tâches sont lus depuis ces services pour alimenter le référentiel d'activités. Aucune donnée de temps n'y est écrite.

Durée de conservation

Les données sont conservées 60 mois, soit 5 ans. Au-delà, elles sont supprimées définitivement chaque nuit, sans possibilité de restauration.

Le Code du travail impose de conserver les documents de décompte du temps de travail pendant au moins 12 mois ; le RGPD interdit de garder des données personnelles au-delà de la finalité qui les justifie. La durée effectivement appliquée est celle affichée ci-dessus : elle est arrêtée par le responsable du traitement et la purge qui la met en œuvre est automatique.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur les données qui vous concernent.

• Accès et portabilité — l'export complet de vos données, au format CSV, est disponible immédiatement depuis Mes données, sans avoir à en faire la demande.
• Rectification — vous pouvez corriger vos plages de temps directement dans la timeline, sur votre poste comme dans l'interface web.
• Effacement, limitation, opposition — par demande adressée à baptiste@medianes.org.

Si la réponse apportée ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la CNIL, autorité de contrôle compétente en France.

Hébergement et sécurité

Le serveur et la base de données sont hébergés par Microsoft Azure, région France Centre (Paris). Les données sont stockées et traitées dans l'Union européenne.

Les échanges entre les postes et le serveur sont chiffrés. Les mots de passe sont stockés sous forme de condensats, jamais en clair, et les jetons d'appareil sont révocables individuellement — une révocation prend effet immédiatement.