Politique de confidentialité

Cette politique explique quelles données personnelles sont traitées via Hopla, à quelles fins, sur quelles bases légales, avec qui elles sont partagées et quels sont vos droits. Elle s’applique au site vitrine et à l’application.

1. Responsable de traitement & sous-traitant

Hopla intervient à deux titresdistincts :

• Sous-traitant (RGPD art. 28) pour les données RH que chaque établissement client saisit dans l’outil (salariés, plannings, congés, et — pour la petite enfance — enfants et familles). L’établissement employeur en est le responsable de traitement : c’est lui qui définit les finalités et les durées. Ce cadre est précisé dans l’accord de sous-traitance.
• Responsable de traitement pour les données liées à la gestion du compte du gérant, à la facturation et à la sécurité du Service.

2. Données traitées

En tant que responsable (compte & Service) :

• identité et coordonnées du gérant / administrateur (nom, e-mail, téléphone) ;
• données de connexion et journaux techniques (adresse IP, horodatages, journal d’audit des actions) ;
• données de facturation et d’abonnement (le cas échéant).

En tant que sous-traitant, pour le compte de l’établissement :

• données des salariés : identité, coordonnées, poste, type de contrat, disponibilités, plannings, absences et congés, pointages et éléments d’heures pour la paie ;
• vertical petite enfance : données des enfants accueillis (identité, dates, contrat d’accueil, présences) et de leurs représentants (parents), y compris des données de santé (allergies, projet d’accueil individualisé) — catégorie particulière au sens de l’art. 9 du RGPD, traitée uniquement sur instruction de la structure et dans son intérêt légitime de sécurité de l’enfant.

3. Finalités & bases légales

• Fournir le Service(composer, publier et consulter les plannings, gérer congés et échanges, notifications) : exécution du contrat (nos conditions d’utilisation).
• Gérer les données RHpour le compte de l’établissement : les finalités et bases légales (exécution du contrat de travail, obligation légale, intérêt légitime de l’employeur) sont déterminées par l’établissement responsable.
• Sécurité, prévention de la fraude et améliorationdu Service : intérêt légitime.
• Facturationet respect de nos obligations comptables et fiscales : obligation légale.

4. Destinataires & sous-traitants ultérieurs

Les données ne sont ni vendues, ni utilisées à des fins publicitaires. Elles sont accessibles aux personnes habilitées de l’établissement et, pour l’exploitation technique, aux sous-traitants suivants :

• Supabase — Base de données & authentification (Union européenne — Francfort (Allemagne)).
• Vercel — Hébergement & exécution de l'application (Union européenne — région fra1 (Francfort). Société américaine encadrée par les clauses contractuelles types.).
• Resend — Envoi des e-mails transactionnels (invitations, notifications) (Union européenne).
• Vercel Blob — Stockage privé des photos (espace famille, vertical petite enfance) (Union européenne).

5. Localisation & transferts

Les données sont stockées dans l’Union européenne (Francfort). Aucun transfert hors UE n’est réalisé sans garanties appropriées ; lorsqu’un prestataire relève d’une société non européenne, le transfert est encadré par les clauses contractuelles types de la Commission européenne.

6. Durées de conservation

• données de compte : pendant toute la durée de la relation contractuelle, puis supprimées ou anonymisées après résiliation ;
• données RH : conservées le temps nécessaire à la gestion par l’établissement, puis selon ses obligations légales d’archivage ;
• journaux d’audit : conservés à des fins de sécurité et de traçabilité, puis purgés ;
• à la fermeture d’un établissement, ses données sont supprimées (voir la fonction de suppression dans les paramètres, et l’accord de sous-traitance).

7. Sécurité

Chaque établissement est cloisonné, les données transitent chiffrées (HTTPS), l’accès aux bases est restreint et une politique de sécurité au niveau des lignes (RLS) est appliquée. Les actions sensibles sont journalisées.

8. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition sur vos données.

• Pour les données RH (salarié, enfant, parent), adressez votre demande à l’établissement employeur, responsable de traitement ; Hopla l’assiste techniquement.
• Pour les données de votre compte, écrivez à bonjour@hopla.team. Un administrateur peut aussi exporter ou supprimer les données de son établissement depuis les paramètres.

Vous pouvez introduire une réclamation auprès de la CNIL — www.cnil.fr.

9. Cookies

Hopla dépose uniquement des cookies strictement nécessairesau fonctionnement : cookie de session (connexion) et, côté back-office, un cookie technique d’assistance. Il n’y a aucun cookie publicitaire ni de mesure d’audience, et donc pas de bandeau de consentement requis.

10. Contact & modifications

Pour toute question relative à vos données : bonjour@hopla.team. Cette politique peut être mise à jour ; la date figure en tête de page.