Politique de confidentialité

DigitHSE attache une importance particulière à la protection des données personnelles. La présente politique informe les utilisateurs des modalités de collecte, de traitement et de protection de leurs données, conformément au Règlement général sur la protection des données (RGPD, règlement UE 2016/679) et à la loi Informatique et Libertés modifiée.

La plateforme traite uniquement les données nécessaires à son fonctionnement :

• Compte et entreprise : nom, prénom, courriel, rôle, SIRET et raison sociale.
• Données de suivi HSE saisies par le client : identité des collaborateurs (nom, prénom, poste), formations, habilitations, vérifications, véhicules, échéances et documents joints.
• Signalements terrain (HSE Signal) : description, photos et, de façon facultative, profil, nom et courriel de suivi du déclarant.
• Données techniques : journaux de connexion et, pour les formulaires publics (QR), une empreinte technique dérivée de l'adresse IP par hachage à clé (non réversible), utilisée uniquement pour limiter les envois abusifs puis effacée sous 48 heures. L'adresse IP elle-même n'est pas conservée.

Aucune donnée de santé ni donnée sensible au sens de l'article 9 du RGPD n'est demandée.

Les données sont traitées pour :

• l'exécution du contrat d'abonnement (suivi des échéances, alertes, gestion des signalements) : article 6.1.b du RGPD ;
• le respect des obligations légales et comptables (facturation) : article 6.1.c du RGPD ;
• la sécurité du service et la prévention des abus : intérêt légitime, article 6.1.f du RGPD.

Aucune donnée n'est utilisée à des fins de prospection automatisée ou de profilage.

Les données sont destinées à l'entreprise utilisatrice et à l'éditeur. Chaque entreprise est strictement cloisonnée des autres par des règles d'accès appliquées au niveau de la base de données. Les mots de passe sont hachés et illisibles, y compris par DigitHSE. Les sous-traitants techniques suivants interviennent :

• Supabase : hébergement de la base de données et des fichiers, dans l'Union européenne (région de Francfort, Allemagne).
• Vercel Inc. (États-Unis) : hébergement et diffusion de l'application ; transferts encadrés par les Clauses contractuelles types de la Commission européenne (articles 44 et suivants du RGPD).
• Stripe : traitement sécurisé des paiements par carte.
• Resend : acheminement des courriels transactionnels.
• Cloudflare Turnstile : protection anti-robots du formulaire public, sans cookie publicitaire.
• Sentry : supervision technique des erreurs de l'application, afin de détecter et corriger les incidents. Données conservées dans l'Union européenne (région européenne, Allemagne). La collecte des données personnelles y est désactivée : ni adresse IP, ni contenu des formulaires, ni identifiant de compte n'est transmis.

Aucune donnée n'est cédée, vendue ou louée à des tiers à des fins commerciales.

Mesure d'audience du site. DigitHSE compte les pages consultées sur son site public afin de savoir ce qui intéresse ses visiteurs. Cette mesure est réalisée en interne, sans outil tiers, et ne collecte aucune donnée personnelle : ni adresse IP, ni identifiant de visiteur, ni cookie de mesure. Seuls des compteurs agrégés par jour sont conservés (nombre de pages vues, provenance générale telle que « moteur de recherche » ou « réseau social »). Il est donc impossible, y compris pour DigitHSE, de reconstituer le parcours d'une personne. Aucun consentement n'est requis pour ce traitement, qui ne repose sur aucun accès au terminal à des fins de suivi. Les espaces connectés ne font l'objet d'aucune mesure.

Pour les entreprises clientes, les conditions dans lesquelles DigitHSE traite les données pour leur compte sont détaillées dans l'accord de sous-traitance (article 28 du RGPD).

• Données du compte et de suivi : pendant la durée de l'abonnement ; à la clôture du compte, suppression sur demande écrite (un export préalable peut être demandé).
• Fichiers sources d'import : 12 mois.
• Photos des signalements : conservées de façon privée, accessibles uniquement par liens temporaires signés.
• Journaux d'alertes et de sécurité : 24 mois.
• Données de facturation : 10 ans au titre des obligations comptables (article L123-22 du Code de commerce).

La plateforme n'utilise aucun cookie publicitaire ni traceur tiers. Seuls les cookies strictement nécessaires au fonctionnement (session de connexion) sont déposés, sans consentement préalable, conformément à la recommandation de la CNIL.

DigitHSE met en œuvre des mesures techniques et organisationnelles appropriées : cloisonnement des données par entreprise, chiffrement des échanges, hachage des mots de passe, fichiers privés à accès temporaire signé, journalisation des tentatives d'accès anormales et hébergement sur des systèmes sécurisés.

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• accès, rectification et effacement de vos données ;
• limitation et opposition au traitement ;
• portabilité de vos données ;
• retrait de votre consentement à tout moment ;
• définition de directives relatives au sort de vos données après votre décès.

Les échéances, le registre des collaborateurs et les signalements sont exportables au format CSV depuis l'application ; tout export complémentaire (documents joints, autres données) peut être demandé à tout moment. Pour exercer vos droits, écrivez à contact@digithse.fr en justifiant de votre identité ; une réponse vous sera apportée sous un mois.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 · www.cnil.fr.