Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données est l'éditeur de Domilien (voir Mentions légales). Contact pour toute demande relative aux données personnelles : contact@domilien.fr.

2. Données collectées

Domilien collecte uniquement les données nécessaires au service :

• Compte utilisateur : nom, prénom, adresse email, mot de passe (haché), rôle (employée / employeur), civilité (facultative, sert uniquement à vous écrire correctement).
• Profil employé(e) : adresse postale (optionnelle), téléphone (optionnel).
• Fiches employeurs : nom, email, adresse, téléphone, tarif horaire, créneaux récurrents.
• Prestations : dates, horaires, durée, montants, statuts (planifié, effectué, payé, déclaré).
• Déclarations CESU : mois, heures déclarées, montants bruts et nets, comparaison avec heures effectuées.
• Contrats et heures à rattraper : paramètres de contrat de suivi, avenants, congés, heures à récupérer.
• Coffre-fort : documents que vous choisissez d'ajouter (bulletins, justificatifs, attestations…), avec leur catégorie et la période associée.
• Pièces jointes et photo de profil : fichiers et images que vous téléversez vous-même.
• Messages : contenus échangés via la messagerie avec vos employeurs et le support.
• Localisation de pointage (optionnelle) : si vous l'activez, les coordonnées GPS au moment d'un pointage de prestation. Elles sont automatiquement effacées après 12 mois.
• Notifications : préférences et abonnement aux notifications push (si vous les activez).
• Données techniques : adresse IP, type de navigateur, journaux d'accès — uniquement à des fins de sécurité et de diagnostic.
• Journal d'usage : pages consultées, actions et clics au sein de l'application, associés à votre compte, avec l'adresse IP et le navigateur. Objectif : comprendre comment l'application est utilisée et l'améliorer (intérêt légitime). Ce suivi respecte le signal Do Not Track de votre navigateur et les données sont conservées au maximum 12 mois (voir section 7).

Aucune donnée bancaire n'est collectée. Domilien n'effectue pas de paiement.

3. Finalités du traitement

• Fournir le service de suivi du planning, des heures et des revenus.
• Permettre la communication entre l'employée et ses particuliers employeurs (lien magique, validation de prestations).
• Comparer les heures effectuées et les heures déclarées au CESU pour aider à détecter les écarts.
• Assurer la sécurité du service (authentification, prévention des fraudes).
• Répondre aux demandes de support adressées par email.

4. Base légale

Le traitement repose sur l'exécution du contrat qui vous lie à Domilien lorsque vous créez un compte, ainsi que sur votre consentement pour les communications optionnelles. Les journaux techniques sont fondés sur l'intérêt légitime de sécuriser le service.

5. Destinataires

Vos données ne sont accessibles qu'à vous-même. Les particuliers employeurs que vous renseignez voient uniquement les informations relatives à leur propre relation (leurs prestations, leurs paiements, leurs déclarations). Vos autres employeurs et votre revenu total restent strictement privés.

Aucune donnée n'est cédée, louée ni vendue à des tiers. Aucun traitement marketing par des partenaires externes n'est effectué.

6. Hébergement et sous-traitants

Les données principales sont stockées sur des serveurs OVH situés en France métropolitaine (voir Mentions légales).

Les sous-traitants suivants peuvent traiter certaines données pour le fonctionnement du service :

• OVH SAS (France) : hébergement applicatif et base de données.
• Google LLC (États-Unis, DPF — Data Privacy Framework) : authentification optionnelle « Se connecter avec Google ». Ne traite que l'email et le nom au moment de la connexion.
• Resend Inc. (États-Unis, DPF) : envoi des emails transactionnels (validation, lien magique, réinitialisation de mot de passe).
• Etalab / api-adresse.data.gouv.fr (France, service public — Base Adresse Nationale) : suggestions d'adresses lors de la saisie. La requête est envoyée directement depuis votre navigateur au fur et à mesure de la frappe, y compris sur nos outils publics accessibles sans compte (ex. générateur d'attestation). Seul le texte saisi est transmis ; aucune recherche n'est conservée par Domilien.
• OSRM (router.project-osrm.org) : calcul d'itinéraires entre deux adresses. Ne reçoit que des coordonnées géographiques, jamais de nom ni de donnée personnelle.
• Google LLC (États-Unis, DPF) — Google Maps : affichage des cartes dans l'application Android. Si vous accordez l'autorisation de localisation, votre position est utilisée sur votre appareil pour centrer la carte et vous y situer ; elle n'est jamais envoyée aux serveurs de Domilien. Sur iPhone, c'est Plan (Apple) qui est utilisé.
• Meta Platforms Ireland Ltd (Irlande / États-Unis, DPF) : mesure publicitaire sur les pages publiques, uniquement avec votre consentement. Deux envois, tous deux conditionnés à ce consentement : le Pixel dans votre navigateur, et — à la création d'un compte seulement — un signalement depuis notre serveur contenant votre adresse e-mail sous forme d'empreinte SHA-256 (non réversible), votre adresse IP et votre navigateur. Rien n'est transmis tant que vous n'avez pas accepté, et refuser n'a aucune conséquence sur le service.

Les transferts hors UE (Google, Resend, Meta) sont encadrés par le cadre Data Privacy Framework adopté par la Commission européenne.

7. Durée de conservation par catégorie de données

• Compte actif : tant que vous utilisez le service.
• Compte inactif : au-delà de 3 ans après la dernière connexion, le compte peut être supprimé ou anonymisé. Vous pouvez aussi demander la suppression de votre compte à tout moment depuis votre profil.
• Données comptables et déclaratives (prestations, déclarations URSSAF, paiements reçus) : 6 ans après la fin de la relation, conformément à l'article L.123-22 du Code de commerce.
• Contrats de travail et avenants : 5 ans après la fin du contrat (article D.3243-8 du Code du travail).
• Données de géolocalisation de pointage (coordonnées GPS clock_in_lat, clock_in_lng) : 12 mois maximum. Finalité : preuve personnelle de présence en cas de litige sur les horaires. Pas d'accès employeur. Minimisation : aucune position en dehors des fenêtres de pointage. Suppression manuelle possible à tout moment via la fiche prestation.
• Photos et pièces jointes (attachements prestations, justificatifs) : durée du contrat associé + 5 ans, sauf suppression à votre demande.
• Magic links employeur (jetons de validation) : 7 jours par défaut, puis purge automatique. Token hashé, single-use.
• Notes privées : tant que le contrat / l'employeur / la prestation associé(e) existe, supprimé(e) avec.
• Journaux techniques (logs accès, erreurs) : 12 mois maximum, anonymisés au-delà de 90 jours.
• Journal d'usage (pages, clics, actions) : 12 mois maximum, puis purge automatique.
• Cookies de session : durée de la session (auth uniquement, pas de tracking).

Toute donnée peut être supprimée à votre demande avant ces échéances, sous réserve des obligations légales de conservation comptable. Voir aussi la section Vos droits ci-dessous.

8. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Accès : obtenir une copie de vos données.
• Rectification : corriger toute information inexacte.
• Effacement : demander la suppression de votre compte et de vos données (sous réserve des obligations légales de conservation).
• Portabilité : récupérer vos données dans un format réutilisable (export iCalendar et CSV disponibles dans l'application).
• Limitation et opposition au traitement.
• Retrait du consentement à tout moment.

Pour exercer ces droits, écrivez à  contact@domilien.fr. Une réponse vous sera apportée sous un mois maximum.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL.

9. L'application mobile Domilien

Tout ce qui précède s'applique à l'application mobile comme au site. Cette section décrit ce qui lui est propre.

Ce que l'application enregistre en plus

• Appareil : plateforme (iOS / Android), nom de l'appareil que vous lui avez donné, version de l'application, date de dernière utilisation. Ces informations servent à envoyer les notifications au bon appareil et à diagnostiquer un problème lié à une version.
• Jeton de notification push : un identifiant technique délivré par Apple ou Google, nécessaire pour vous envoyer une notification. Il ne contient ni votre nom ni votre contenu.
• Jeton de connexion : conservé sur l'appareil pour vous éviter de ressaisir votre mot de passe. Il est révoqué à la déconnexion et à la suppression du compte.
• Écrans consultés : l'application mesure quels écrans sont ouverts (« Aujourd'hui », « Planning »…), pour savoir ce qui sert et ce qui ne sert pas. Cette mesure est envoyée à notre propre serveur Matomo (hébergé en France), sans cookie et sans identifiant qui vous désigne : aucune de ces visites n'est rattachée à votre compte, et rien n'est conservé d'une ouverture de l'application à la suivante. Le contenu de vos écrans (employeurs, montants, documents) n'est jamais transmis — seulement le nom de l'écran.

Notifications

Si vous les activez, le jeton de votre appareil transite par le service de notification de votre système : Apple Push Notification service (Apple Inc.) sur iPhone et iPad, Firebase Cloud Messaging (Google LLC) sur Android. Ces services acheminent le message sans avoir accès à votre compte Domilien. Vous pouvez les couper à tout moment depuis les réglages de votre téléphone ou depuis vos préférences dans l'application.

Connexion avec Apple ou Google

Ces deux modes de connexion sont facultatifs. Ils nous transmettent votre adresse e-mail et votre nom au moment de la connexion, rien d'autre — et Apple vous permet de masquer votre adresse réelle derrière un alias de relais, que Domilien accepte sans difficulté.

Localisation

L'application ne suit pas vos déplacements. Elle ne demande votre position que dans trois cas, tous facultatifs :

• Pointage d'une prestation, si vous avez activé cette option : les coordonnées sont enregistrées au moment du pointage, jamais entre deux. Elles constituent votre preuve personnelle de présence, ne sont pas visibles par l'employeur, et sont effacées après 12 mois (voir section 7).
• Rappel de départ sur iPhone : l'estimation du temps de trajet est calculée sur votre appareil par le système, sans que la position ne soit transmise à Domilien.
• Affichage d'une carte (vos employeurs, un trajet) : si vous l'autorisez, votre position sert à centrer la carte et à vous y situer. Elle est lue à l'ouverture de la carte seulement, jamais en arrière-plan, et reste sur votre appareil — Domilien ne la reçoit pas. La carte est fournie par Google Maps sur Android et par Plan (Apple) sur iPhone.

Verrouillage de l'application

Vous pouvez protéger l'ouverture de l'application par votre empreinte, votre visage ou le code de votre appareil. Cette vérification est faite par votre téléphone : Domilien ne reçoit ni ne conserve aucune donnée biométrique, seulement la réponse « autorisé » ou « refusé ». Vos empreintes et votre visage ne quittent jamais votre appareil, et nous n'avons aucun moyen d'y accéder.

Ce que l'application ne fait pas

• Aucun identifiant publicitaire (IDFA / AAID) n'est lu, et aucun suivi n'est effectué d'une application à l'autre ni d'un site à l'autre.
• Aucune régie publicitaire n'est intégrée à l'application, et aucun outil d'analyse tiers : ni Google Analytics, ni Firebase Analytics, ni aucun service de rapport d'incident (Crashlytics, Sentry…). La seule mesure d'usage est celle décrite plus haut, qui part vers notre propre serveur.
• Aucune donnée n'est vendue, louée ou cédée.
• Aucun accès à vos contacts, à vos photos ou à votre micro sans une action explicite de votre part (joindre une pièce, changer votre photo de profil).

Supprimer votre compte depuis l'application

La suppression du compte est accessible dans l'application, depuis votre profil. Elle efface votre compte et vos données personnelles, à l'exception de ce que la loi nous impose de conserver (voir section 7 — données comptables et déclaratives). Elle révoque également les jetons de connexion et de notification de tous vos appareils. Vous pouvez aussi exporter vos données avant de partir, ou nous écrire à contact@domilien.fr.

10. Cookies et mesure d'audience

Domilien utilise des cookies strictement nécessaires au fonctionnement du service (cookie de session pour vous maintenir connecté, jeton CSRF pour la sécurité des formulaires), exemptés de consentement. Aucun cookie ou traceur publicitaire n'est déposé sans votre consentement (voir le Pixel Meta ci-dessous).

Pour mesurer l'usage du service, nous utilisons Matomo Analytics, une solution d'analyse hébergée sur nos propres serveurs en France. Cette mesure est configurée en mode sans cookie (aucune information n'est stockée sur votre appareil) et avec anonymisation de l'adresse IP. Le signal « Do Not Track » de votre navigateur, si vous l'avez activé, est respecté. Cette configuration est exemptée de consentement conformément aux recommandations de la CNIL pour les statistiques anonymes (référence CNIL). Les données collectées (pages visitées, navigateur, durée de visite) servent uniquement à améliorer le service et ne sont jamais cédées à des tiers.

Sur nos pages publiques (hors espace connecté), nous utilisons un Pixel publicitaire Meta (Facebook/Instagram) pour mesurer l'efficacité de nos campagnes (pages vues, inscriptions). Il est déposé uniquement après votre consentement, recueilli via un bandeau « Accepter / Refuser » — le refus est aussi simple que l'acceptation. Tant que vous n'avez pas accepté, aucune donnée n'est transmise à Meta. Le responsable de ce traitement conjoint est Meta Platforms Ireland Ltd. Vous pouvez retirer votre consentement à tout moment en effaçant les données du site dans votre navigateur (le bandeau réapparaîtra) ; votre choix est conservé localement sur votre appareil pendant 6 mois maximum.

11. Sécurité

Les mots de passe sont stockés sous forme hachée (algorithme bcrypt). Les échanges entre votre navigateur et Domilien sont chiffrés (HTTPS). L'accès aux données est restreint par un système d'authentification et cloisonné par utilisateur (chaque salarié(e) ne voit que ses propres employeurs et prestations).

12. Évolutions

Cette politique peut être amenée à évoluer pour refléter de nouvelles fonctionnalités ou des obligations légales. La date de dernière mise à jour figure en haut de cette page. En cas de modification substantielle, vous serez informé(e) par email.