Politique de Confidentialité — ESY4-SECURITY

Article 1 – Objet et champ d’application

La présente politique de confidentialité décrit les conditions dans lesquelles la plateforme SaaS ESY4-SECURITY traite des données à caractère personnel dans le cadre de ses services. Elle précise notamment l’identité des responsables de traitement, les finalités poursuivies, les bases légales des traitements, les durées de conservation, l’existence de décisions automatisées ainsi que les droits dont disposent les personnes concernées.

Elle s’applique à l’ensemble des traitements mis en œuvre via la plateforme ESY4-SECURITY, qu’il s’agisse des fonctionnalités de gestion RH et opérationnelle pour le compte des agences de sécurité clientes, ou des fonctionnalités propres à ESY4-SECURITY (gestion des comptes, facturation SaaS, algorithmes LegalV4Gate et Score Zénith).

Article 2 – Qualification des acteurs et responsabilités

Pour les traitements relatifs aux données RH et opérationnelles des agents de sécurité (notamment les documents CNAPS, les pièces d’identité associées, les données de géolocalisation issues du suivi de mission, les données et alertes liées au dispositif PTI-DATI, ainsi que les données de pointage et de présence), ESY4-SECURITY agit en qualité de Sous-traitant. Le Responsable de traitement au sens de la réglementation applicable est l’agence de sécurité cliente, employeur de l’agent, qui détermine les finalités et les moyens essentiels de ces traitements.

Pour les traitements relatifs à la création et à la gestion des comptes utilisateurs sur la plateforme, à la facturation et à la gestion des abonnements SaaS, ainsi qu’au fonctionnement des algorithmes propriétaires (notamment le Score Zénith), ESY4-SECURITY agit en qualité de Responsable de traitement.

Les agences de sécurité clientes restent responsables du respect de leurs obligations envers les agents en matière d’information, de choix des finalités, de respect des durées de conservation et d’exercice des droits lorsque ESY4-SECURITY intervient en qualité de Sous-traitant. ESY4-SECURITY s’engage, dans ce cadre, à ne traiter les données que sur instruction documentée des agences clientes et à leur fournir les informations nécessaires pour leur permettre de satisfaire à leurs propres obligations de transparence.

Article 3 – Catégories de données traitées

Dans le cadre des services fournis via la plateforme ESY4-SECURITY, les catégories de données suivantes peuvent être traitées :

a) Données d’identité et de contact liées au compte et à la facturation : nom, prénom, adresse e-mail professionnelle, informations de facturation et de paiement, notamment l’IBAN lorsque cela est nécessaire à l’émission des paiements et à l’exécution du contrat SaaS.
b) Données relatives aux documents légaux et administratifs : numéros et copies de documents CNAPS, pièces d’identité nécessaires à la vérification de l’habilitation professionnelle, ainsi que les métadonnées associées (date de validité, statut, etc.), utilisées notamment par le module LegalV4Gate.
c) Données de géolocalisation et PTI-DATI : coordonnées de géolocalisation liées au suivi des missions, alertes de chute ou d’inaction, horodatages, informations techniques nécessaires au déclenchement, au traitement et au suivi des alertes.
d) Données relatives au Protocole Samaritain : informations collectées dans le cadre de la fonctionnalité d’alerte secours volontaire, déclenchée avec le consentement explicite de l’agent.
e) Données de profilage opérationnel : données de ponctualité, indicateurs de présence et d’historique de missions permettant le calcul du Score Zénith destiné à pondérer les propositions de missions (dispatch).

Article 4 – Finalités et bases légales des traitements

Conformément aux dispositions applicables relatives aux bases légales de traitement, chaque traitement mis en œuvre via la plateforme repose sur l’une des bases suivantes :

a) Identité, contact et données bancaires : nécessaires à l’exécution du contrat SaaS conclu entre ESY4-SECURITY et le client. La base légale est l’exécution du contrat auquel la personne concernée ou le client est partie.
b) Documents légaux (CNAPS, pièces d’identité) : utilisés notamment par le module LegalV4Gate pour vérifier la validité des autorisations, ils sont nécessaires au respect des obligations légales pesant sur l’employeur. La base légale est le respect d’une obligation légale à laquelle le Responsable de traitement est soumis.
c) Géolocalisation et PTI-DATI : ont pour finalité d’assurer la sécurité au travail des agents et de permettre la mise en œuvre rapide des secours. Ces traitements sont nécessaires à la sauvegarde des intérêts vitaux de la personne concernée.
d) Protocole Samaritain : les traitements mis en œuvre dans ce cadre reposent sur le consentement explicite de l’agent, qui peut revenir sur ce choix à tout moment.
e) Score Zénith : le calcul visant à pondérer le dispatch repose sur l’intérêt légitime poursuivi par ESY4-SECURITY pour optimiser l’organisation et la qualité du service.

Article 5 – Durées de conservation des données

Les données à caractère personnel ne sont conservées que pendant la durée strictement nécessaire aux finalités pour lesquelles elles sont traitées.

a) Documents CNAPS et identité : conservés pendant toute la durée de la relation contractuelle entre l’agence de sécurité et l’agent. À l’issue, ils peuvent être conservés en archivage pendant cinq (5) ans, à des fins de preuve et de conformité.
b) Données de géolocalisation (suivi de mission) : conservées pour une durée maximale de quatre-vingt-dix (90) jours à compter de la fin de la mission. Passé ce délai, elles sont supprimées ou anonymisées.
c) Données et logs PTI-DATI : les logs d'alertes, horodatages et journaux de traitement sont conservés pour une durée d’un (1) an à compter de leur enregistrement afin d'analyser les incidents de sécurité.
d) Autres données : les données liées à la facturation sont conservées pendant la durée de la relation avec le client, puis pour la durée légale de prescription comptable et probatoire.

Article 6 – Décisions individuelles automatisées et profilage

La plateforme ESY4-SECURITY intègre plusieurs fonctionnalités de traitement automatisé susceptibles d’avoir un impact sur les agents de sécurité :

a) Module LegalV4Gate : met en œuvre un contrôle automatisé des documents CNAPS. Si le document est expiré ou non conforme, le module bloque automatiquement l’affectation de l’agent à une mission. L’agent concerné peut demander que cette situation soit revue par une personne habilitée.
b) Score Zénith et algorithme de dispatch : ce score est utilisé pour pondérer l’algorithme de proposition de missions (dispatch). Ce traitement repose sur l’intérêt légitime d’ESY4-SECURITY.

Dans la mesure où ces traitements peuvent produire des effets significatifs, chaque agent a le droit de ne pas être soumis à une décision fondée exclusivement sur un traitement automatisé, sauf lorsque nécessaire à l’exécution d’un contrat ou fondé sur son consentement explicite. Dans tous les cas, l’agent peut obtenir une intervention humaine, exprimer son point de vue et contester le résultat auprès du DPO à dpo@esy4-security.fr.

Article 7 – Droits des personnes concernées

Conformément aux dispositions applicables, chaque personne concernée dispose des droits suivants :

a) Droit d’accès : obtenir la confirmation que des données sont traitées et l’accès à ces données.
b) Droit de rectification : obtenir la rectification des données inexactes ou incomplètes.
c) Droit à l’effacement : obtenir l’effacement des données lorsqu'elles ne sont plus nécessaires, sous réserve des obligations légales de conservation.
d) Droit à la limitation : obtenir la limitation temporaire du traitement.
e) Droit à la portabilité : recevoir ses données dans un format structuré et lisible par machine pour les transmettre à un autre responsable.
f) Droit d’opposition : s'opposer à un traitement fondé sur l’intérêt légitime pour des raisons tenant à sa situation particulière.
g) Droit d'intervention humaine : le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé.

Article 8 – Modalités d’exercice des droits et contact

Les demandes d’exercice des droits peuvent être adressées :

Lorsqu’ESY4-SECURITY agit en qualité de Responsable de traitement : au Délégué à la Protection des Données, à l’adresse dpo@esy4-security.fr.
Lorsqu’ESY4-SECURITY agit en qualité de Sous-traitant : directement auprès de l’agence employeur (Responsable de traitement), ESY4-SECURITY apportant l’assistance technique nécessaire.

Le Responsable de traitement fournira une réponse dans un délai raisonnable et, en tout état de cause, dans un délai maximum de trente (30) jours à compter de la réception de la demande.

Article 9 – Mise à jour de la politique de confidentialité

La présente politique peut être mise à jour pour tenir compte de l’évolution des services ou des exigences légales. Toute modification substantielle fera l’objet d’une information appropriée via la plateforme ESY4-SECURITY.

La version en vigueur de la politique est la Version 2.2, telle qu’indiquée en en-tête du présent document.