1 - Introduction
La présente Politique de Confidentialité a pour objet d'informer les utilisateurs du Service MUDUR.OS sur la manière dont leurs données personnelles sont collectées, traitées et protégées, conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
2 - Responsable du traitement & DPO
Responsable : MUDUROS
Adresse : 47 rue Vivienne, 75002 Paris, France
Email contact : contact@muduros.com
Délégué à la Protection des Données (DPO) : Ertugrul Yasar, dpo@muduros.com
Le DPO est joignable directement par e-mail pour toute question liée à la protection de vos données ou à l'exercice de vos droits RGPD (Art. 38 RGPD).
3 - Données collectées
Dans le cadre de l'utilisation du Service, nous collectons les catégories de données suivantes :
Données d'identification
Nom, prénom, adresse email, numéro de téléphone, fonction/poste
Données professionnelles
Entreprise de rattachement, rôle dans l'application, qualifications, formations, certifications
Données de pointage
Heures d'arrivée et de départ, durée de travail, chantier associé
Données de géolocalisation
Coordonnées GPS au moment du pointage (arrivée/départ), collectées uniquement avec le consentement explicite de l'Utilisateur via les paramètres de son appareil. Le refus de la géolocalisation n'empêche pas l'utilisation du Service.
Données de connexion
Adresse IP, type de navigateur, système d'exploitation, date et heure de connexion, journaux d'accès
Données HSE
Événements de sécurité, incidents, presqu'accidents, rapports HSE liés à l'Utilisateur
Données prospects / newsletter
Lorsque vous vous inscrivez à nos actualités depuis le site, nous conservons votre adresse email, la preuve de votre consentement (date et adresse IP) et, le cas échéant, la source de votre visite (paramètres UTM). Ces données ne sont utilisées qu'à des fins d'information et de prospection commerciale, jusqu'à votre désinscription (possible en 1 clic dans chaque email).
4 - Finalités du traitement
Vos données personnelles sont traitées pour les finalités suivantes :
| Finalité | Base légale |
|---|---|
| Gestion des comptes utilisateurs | Exécution du contrat |
| Pointage et suivi du temps de travail | Obligation légale (Code du travail) |
| Géolocalisation au pointage | Consentement |
| Gestion HSE et sécurité sur chantier | Obligation légale + intérêt légitime |
| Facturation et gestion financière | Exécution du contrat |
| Newsletter et prospection commerciale | Consentement |
| Amélioration du Service (analytics, erreurs) | Intérêt légitime |
| Communication interne (messages, notifications) | Exécution du contrat |
5 - Durée de conservation
| Données | Durée |
|---|---|
| Données de compte | Durée de la relation contractuelle + 3 ans |
| Données de pointage | 5 ans (obligation légale - Code du travail) |
| Données de géolocalisation | 2 mois (recommandation CNIL) |
| Données de facturation | 10 ans (obligation comptable) |
| Données HSE | 5 ans minimum (réglementation BTP) |
| Journaux de connexion | 1 an (LCEN) |
6 - Destinataires des données
Vos données peuvent être accessibles aux catégories de destinataires suivantes :
- Personnel habilité de MUDUROS : administration, support technique
- Administrateurs de votre entreprise - gérants, chefs de chantier (selon leurs droits d'accès)
- Sous-traitants techniques (registre des traitements) :
Sous-traitant Finalité Localisation Supabase Base de données + authentification + stockage fichiers UE (Francfort) Vercel Hébergement application web USA (DPF + CCT) Sentry Monitoring erreurs (intérêt légitime) USA (DPF + CCT) Stripe Paiement abonnements + facturation SaaS UE (Irlande) + USA Resend Envoi d'e-mails transactionnels (support, alertes) et mesure de leur réception : date d'envoi, de remise, d'ouverture et de clic sur les liens USA (DPF) Iopole Plateforme de Dématérialisation Partenaire (PDP) agréée DGFiP - factures électroniques Factur-X UE (France) PostHog Mesure d'audience produit (analytics) - soumise au consentement USA (CCT) Anthropic (Claude) Assistance IA (analyse photos chantier, génération texte) - utilisée à la demande de l'utilisateur USA
Aucune donnée n'est vendue à des tiers. Tous les sous-traitants sont liés par des accords de sous-traitance conformes à l'Art. 28 RGPD. Le détail des engagements applicables aux données de nos Clients figure dans notre Accord de Sous-traitance des Données (DPA).
7 - Transferts hors Union Européenne
Certains de nos sous-traitants (Vercel, Sentry, PostHog, Anthropic) sont établis aux États-Unis. Ces transferts sont encadres par les mecanismes suivants :
- EU-U.S. Data Privacy Framework (DPF) pour les sous-traitants certifiés
- Clauses contractuelles types (CCT) de la Commission européenne
Les données de la base de données principale (Supabase) sont hébergées dans la région Union Européenne.
8 - Vos droits
Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :
Droit d'accès
Obtenir la confirmation que vos données sont traitées et en recevoir une copie
Droit de rectification
Faire corriger vos données inexactes ou incomplètes
Droit à l'effacement
Demander la suppression de vos données (sous réserve des obligations légales)
Droit à la portabilité
Recevoir vos données dans un format structuré et lisible par machine
Droit à la limitation
Demander la suspension du traitement dans certains cas
Droit d'opposition
Vous opposer au traitement fondé sur l'intérêt légitime
Retrait du consentement
Retirer votre consentement à tout moment (géolocalisation, cookies analytiques)
Comment exercer vos droits :
- Depuis l'application : rendez-vous dans Paramètres → Confidentialité & RGPD. Vous pouvez exporter vos données (ZIP) ou demander la suppression de votre compte en un clic. Les données seront définitivement effacées 30 jours plus tard (fenêtre de rétractation).
- Par e-mail : envoyez votre demande au DPO : dpo@muduros.com. Joignez une pièce d'identité si la demande émane d'une personne non connectée à l'application.
Nous répondons dans un délai maximum de 30 jours (Art. 12.3 RGPD). En cas de difficulté, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr/fr/plaintes.
9 - Sécurité des données
Nous mettons en oeuvre les mesures techniques et organisationnelles appropriées pour protéger vos données personnelles :
- Chiffrement des données en transit (HTTPS/TLS) et au repos
- Authentification sécurisée avec tokens JWT
- Contrôle d'accès base sur les rôles (RBAC)
- Isolation des données entre entreprises (multi-tenant)
- Row Level Security (RLS) au niveau de la base de données
- Sauvegardes automatiques quotidiennes
- Monitoring des erreurs et alertes de sécurité
10 - Politique relative aux cookies
Cookies strictement nécessaires (exempts de consentement)
| Cookie | Finalité | Durée |
|---|---|---|
| sb-*-auth-token | Session d'authentification Supabase | Session |
| thème | Préférence de thème (clair/sombre) | 1 an |
| locale | Préférence de langue | 1 an |
Cookies analytiques (soumis au consentement)
| Cookie | Finalité | Durée |
|---|---|---|
| sentry-* | Monitoring et signalement d'erreurs (Sentry) | Session |
| ph_* / posthog | Mesure d'audience produit et conversion (PostHog) | 13 mois |
| mudur-analytics-consent | Mémorisation de votre choix de consentement (cookie technique CNIL) | 13 mois |
Vous pouvez a tout moment modifier vos préférences en matière de cookies via les paramètres de votre navigateur ou le bouton ci-dessous.
11 - Modifications
La présente Politique de Confidentialité peut être modifiée à tout moment pour s'adapter aux évolutions légales et techniques. La date de dernière mise à jour est indiquée en haut de ce document. En cas de modification substantielle, les Utilisateurs seront informés par notification dans le Service.
Dernière mise à jour : 14 juin 2026 (ajout Iopole + PostHog au registre, lien DPA et kit géolocalisation)