1. Qui traite vos renseignements
Rythmo est un service de pointage employé exploité par Rythmo technologies, établie au Québec, Canada.
Conformément à la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25), la personne responsable de la protection des renseignements personnels est :
- Ahmed Shalaby, fondateur
- Courriel : info@rythmo.tech
- Adresse : Québec (Canada), G8C 1P2
Deux rôles distincts
Pour les données de pointage, c’est l’employeur qui décide ce qui est recueilli et pourquoi : il est le responsable du registre des heures de son personnel. Rythmo agit pour son compte, comme fournisseur de l’outil. Un employé qui veut consulter ou corriger ses heures s’adresse d’abord à son employeur.
2. Ce que nous recueillons
Employeur (titulaire du compte)
- Adresse courriel et mot de passe. Le mot de passe est conservé sous forme de condensat par notre fournisseur d’authentification; Rythmo n’y a jamais accès en clair.
- Nom de l’établissement, adresse s’il y en a une.
- Coordonnées du lieu de travail (latitude, longitude) et rayon accepté, servant à valider les pointages.
- Jour de début de semaine, pour le découpage des feuilles de temps.
- Les messages que vous nous envoyez depuis l’onglet Compte (« Nous écrire ») : votre texte, accompagné automatiquement de l’identifiant et du nom de l’établissement, du palier, de l’état de l’abonnement, de la plateforme et de la version de l’application. Jamais une donnée d’un employé. Ils arrivent dans notre boîte courriel, où nous y répondons, et restent dans notre journal d’envoi.
Employé
- Nom, tel que saisi par l’employeur à l’invitation.
- Adresse courriel, si l’employeur envoie l’invitation par courriel.
- Numéro d’identification personnel (NIP) à 4 chiffres. Il est conservé sous forme de condensat salé, jamais en clair. Il ne peut pas être relu, seulement réinitialisé.
- Jeton de notification de l’appareil, lorsque l’employé accepte les notifications et que son appareil peut être enregistré auprès du service de notification. Sur certains appareils, aucun jeton n’est obtenu et rien n’est conservé.
- Matricule de paie, seulement si l’employeur en saisit un : le numéro d’employé de son propre logiciel de paie, recopié à la main sur la fiche, qui sert à apparier les lignes d’un fichier d’export avec les fiches de ce logiciel. Le champ est facultatif — un employeur qui n’a pas de logiciel de paie ne remplit rien, et rien n’est alors conservé. Rythmo ne le devine ni ne le calcule jamais, et ne le transmet à personne : le fichier d’export est téléchargé par l’employeur.
Pointages
- Type (arrivée ou départ) et horodatage, conservé en temps universel et affiché à l’heure du Québec.
- Position au moment du pointage : latitude, longitude et précision en mètres.
- Indicateur de présence dans le rayon accepté, et degré de certitude de cette position (vérifiée, compatible avec la présence, ou douteuse).
- Signalement du pointage comme « à relire » par l’employeur, le cas échéant, avec son motif.
- Origine du pointage : depuis l’application, depuis le navigateur après lecture du code QR, ou enregistré hors ligne puis synchronisé.
- Corrections faites par l’employeur : valeur avant, valeur après, auteur, adresse IP, agent utilisateur, motif et date.
Absences
Une absence est enregistrée par l’employeur, jamais par l’employé. Elle explique une journée sans pointage; elle ne produit aucune heure.
- Date de la journée absente, et employé concerné.
- Motif, choisi dans une liste fixe de sept valeurs : congé, maladie, congé parental, journée pédagogique, formation, fermeture exceptionnelle, autre.
- Note libre, facultative, rédigée par l’employeur.
- Auteur de la saisie et date de celle-ci.
Deux de ces motifs — « maladie » et « congé parental » — révèlent un renseignement de santé ou de situation familiale. La loi québécoise les traite comme des renseignements sensibles, et nous les déclarons comme tels. Rythmo ne demande ni diagnostic, ni certificat médical, ni pièce justificative d’aucune sorte : le motif se réduit à l’un des sept mots ci-dessus. La note libre, elle, n’est pas contrôlée par Rythmo — c’est l’employeur qui décide de ce qu’il y écrit, et nous lui recommandons de n’y mettre aucun détail médical.
Rythmo ne recueille aucune donnée biométrique, aucune donnée bancaire, et ne calcule aucun salaire. Le seul renseignement de santé que la plateforme peut contenir est le motif d’absence « maladie », décrit ci-dessus : il est choisi par l’employeur dans une liste fixe, sans diagnostic ni pièce justificative. Le paiement de l’abonnement se fait chez notre prestataire de paiement, qui ne nous transmet jamais le numéro de carte (section 6).
3. Géolocalisation : quand, pourquoi, pendant combien de temps
C’est le renseignement que Rythmo traite le plus souvent, et l’un des deux qu’il faut protéger le plus — l’autre étant le motif d’absence (section 2). Voici précisément comment celui-ci fonctionne.
Quand la position est lue
Uniquement au moment où l’employé confirme un pointage, après avoir scanné le code QR affiché sur le lieu de travail. La lecture est ponctuelle.
Jamais en arrière-plan
L’application ne demande que l’autorisation de localisation « lorsque l’app est utilisée ». Elle ne demande pas, et ne peut pas techniquement obtenir, la localisation en arrière-plan. Entre deux pointages, Rythmo ne sait pas où se trouve l’employé, et il n’existe aucune fonction de suivi de trajet ou de position continue.
Pourquoi
Pour vérifier que le pointage a lieu sur le lieu de travail. Le résultat n’est pas un simple oui ou non : Rythmo compare la position rapportée, la marge d’erreur annoncée par l’appareil, et le rayon accepté de l’établissement. Si la position est hors du rayon accepté, ou si la précision du GPS ne permet pas de trancher, le pointage est refusé, ou enregistré et signalé à l’employeur, à qui il revient alors de juger. Ce qui s’applique dépend d’un réglage propre à l’établissement, posé une fois pour tout l’établissement — jamais décidé pointage par pointage.
Deux règles ne changent jamais, quel que soit l’établissement : une position située hors du rayon accepté au-delà de toute marge d’erreur, ou une précision GPS trop faible pour vouloir dire quoi que ce soit, est refusée dans tous les cas; et il n’existe aucun moyen de forcer un pointage refusé par une note ou une justification. C’est un choix de conception.
Comment vous l’autorisez, et comment vous la retirez
C’est l’employé qui accorde l’autorisation, sur son propre appareil. Avant la toute première demande, l’application affiche ce qui est relevé, pourquoi, et ce qu’un refus entraîne; la demande du système d’exploitation ne part qu’ensuite, au toucher. Cette explication reste consultable en tout temps depuis l’écran de pointage.
L’autorisation se retire à tout moment, sans passer par nous : dans les réglages de votre appareil pour l’application, dans les réglages de ce site pour le navigateur. Rythmo ne peut ni l’accorder à votre place, ni la rétablir.
Sans elle, aucun pointage ne peut être enregistré depuis l’appareil de l’employé. Personne ne reste bloqué pour autant : l’employeur peut enregistrer le pointage lui-même, et cet enregistrement est journalisé avec son auteur et sa date.
Ce qui est conservé
La latitude, la longitude et la précision sont enregistrées avec le pointage. Elles sont conservées aussi longtemps que le pointage lui-même, soit 3 ans (voir la section 5).
Qui peut la voir
L’employeur propriétaire de l’établissement, et l’employé pour ses propres pointages. Aucun autre client de Rythmo n’y a accès.
4. Notifications et courriels
Si l’employé accepte les notifications, un jeton d’appareil est conservé. Il sert à une seule chose : lui rappeler un départ qu’il a oublié de pointer. Le récapitulatif hebdomadaire, lui, part par courriel et n’utilise pas ce jeton.
Ce rappel dépend de l’appareil, et il n’arrive pas sur tous. Quand aucun jeton ne peut être obtenu, aucun rappel n’est envoyé; la fiche de l’employé l’indique à l’employeur plutôt que de le laisser croire le contraire. Refuser les notifications, ou ne pas en recevoir, n’empêche jamais de pointer — et un départ oublié reste visible à l’employeur au tableau de bord et dans la feuille de temps hebdomadaire.
Rythmo envoie trois types de courriels, et aucun autre :
- Le courriel de bienvenue — ou de réinitialisation — qui remet à l’employé son NIP, si l’employeur a saisi son adresse.
- La feuille de temps hebdomadaire, à l’employeur. Elle signale les départs non pointés de la période.
- Le récapitulatif hebdomadaire, à l’employé.
Aucun courriel publicitaire, aucune infolettre, aucun partage d’adresse avec des tiers à des fins de marketing.
5. Durées de conservation
| Renseignement | Conservation | Raison |
|---|---|---|
| Pointages, y compris la position | Aussi longtemps que l’employeur les garde. Aucune destruction automatique. | La Loi sur les normes du travail impose de conserver le registre des heures travaillées pendant 3 ans : c’est un minimum, pas une limite. Ce registre appartient à l’employeur, et Rythmo ne le détruit pas à sa place — une tâche qui l’effacerait au fil du temps lui retirerait sa preuve. Il peut annuler un pointage (voir la ligne suivante) ou supprimer son compte. |
| Pointage annulé par l’employeur | 3 ans après l’annulation, puis détruit | Une annulation retire le pointage des calculs, mais ne l’efface pas : le registre doit rester complet et vérifiable. |
| Journal des corrections, dont l’adresse IP et l’agent utilisateur de l’auteur | Sans limite à ce jour. Aucune purge ne s’y applique. | En cas de désaccord sur des heures, c’est la pièce qui établit qui a modifié quoi, et quand. ⚠️ Elle survit même à la destruction du pointage qu’elle vise : le lien est alors coupé, mais la valeur d’avant, celle d’après, l’auteur, l’adresse IP et l’agent utilisateur demeurent. Nous le disons plutôt que d’annoncer une durée que rien n’applique; poser cette limite reste à faire. |
| Absences, y compris le motif et la note libre | Jusqu’à leur suppression par l’employeur, ou celle du compte | L’absence explique une journée sans pointage : elle accompagne le registre des heures. Aucune purge automatique ne s’y applique aujourd’hui; l’employeur peut supprimer une absence à tout moment, et cette suppression est définitive. |
| Nom, courriel, NIP, et matricule de paie s’il y en a un | Jusqu’à la suppression du compte | Nécessaires au fonctionnement du service. ⚠️ Le retrait d’un employé de l’équipe ne les efface pas : sa fiche est désactivée, mais ses heures restent dans les feuilles de temps, et le NIP demeure réservé pour n’être pas attribué à quelqu’un d’autre. |
| Jeton de notification de l’appareil | Jusqu’à la suppression du compte, ou le retrait de l’employé | Envoyer les rappels de pointage oublié. C’est la seule de ces données que le retrait d’un employé efface immédiatement, avec sa session. |
| Compteurs de tentatives de NIP | 24 heures | Limiter les tentatives répétées. Purgés automatiquement. |
| Données de facturation : abonnement, paiements, factures | 6 ans | Les lois fiscales fédérale et québécoise imposent de conserver les pièces d’un exercice pendant 6 ans. À la suppression du compte, le lien vers votre identité est effacé : ce qui demeure est une écriture comptable qui ne désigne plus personne. |
| Journal des paiements reçu de Stripe | 12 mois | Ce que Stripe nous transmet à chaque paiement, gardé le temps d’écarter un double traitement et de reprendre une activation qui aurait échoué, puis purgé automatiquement. Seule exception, dite franchement : un paiement resté sans activation est conservé tant que le dossier n’est pas réglé — c’est la pièce qui prouve que vous avez payé. |
Ce qui se passe quand un employeur supprime son compte
La suppression se fait depuis l’application, dans les réglages. Elle efface le compte, ainsi que le nom, le courriel, le NIP et le jeton de notification de chaque employé. Les établissements sont désactivés et les codes QR cessent de fonctionner immédiatement.
Les pointages, en revanche, ne sont pas supprimés : ils demeurent, rattachés à des identifiants qui ne désignent plus personne, et aucun délai ne les détruit ensuite. Ils ne sont plus consultables dans l’application. C’est pourquoi l’écran de suppression invite à exporter les feuilles de temps avant de continuer : l’employeur reste le détenteur légal de son registre.
Les pièces comptables suivent la même logique : elles demeurent le temps que la loi fiscale exige, sans lien avec votre identité. Stripe conserve de son côté ses propres pièces, selon ses obligations.
6. Avec qui ces renseignements sont partagés
Rythmo ne vend aucun renseignement personnel et n’en communique aucun à des fins publicitaires. Sept fournisseurs techniques interviennent, et chacun n’a accès qu’à ce dont il a besoin :
| Fournisseur | Ce qu’il traite | Hébergement |
|---|---|---|
| Supabase | Base de données, authentification de l’employeur, fonctions serveur. C’est là que résident les pointages et les positions. | États-Unis (Oregon, région AWS us-west-2) |
| Resend | Envoi des courriels. Reçoit l’adresse du destinataire et le contenu du message, dont les heures figurant sur la feuille de temps. | États-Unis |
| Expo | Service de notification. Reçoit le jeton d’appareil et le texte de la notification, qu’il relaie à Apple ou Google. | États-Unis |
| Vercel | Hébergement du site et de la version web de l’application, et mesure d’audience. L’hébergement ne reçoit pas les pointages, qui vont directement à Supabase; comme tout hébergeur, il reçoit l’adresse de chaque page demandée, pour pouvoir la servir. La mesure d’audience, elle, s’applique à toutes les pages, y compris l’écran de pointage ouvert depuis l’appareil photo : à chaque page consultée, elle transmet l’adresse de cette page, l’adresse de la page d’où vous venez, et l’instant de la consultation. Sur l’écran de pointage, le code de l’affiche est retiré de l’adresse avant que la mesure ne s’exécute : elle ne le reçoit pas. Vercel en déduit le pays, le navigateur et le type d’appareil à partir de la connexion, et mesure le temps d’affichage des pages. Aucun témoin (cookie) n’est déposé et rien n’est conservé sur votre appareil; ni votre nom, ni votre NIP, ni votre position ne lui sont transmis. | États-Unis |
| Sentry | Signalement des erreurs techniques, qui nous permet de détecter une panne sans attendre qu’on nous la rapporte. Reçoit le message de l’erreur, sa pile d’appels, la surface où elle s’est produite (application iOS, Android, version web ou serveur) et un contexte technique : nom de la tâche ou de la fonction en cause, code d’erreur. Comme tout service joint par Internet, il reçoit aussi l’adresse IP de l’appareil qui le contacte. Aucune adresse de courriel, aucun pointage, aucune position, aucun NIP et aucun identifiant d’employé ne lui est transmis; l’application n’enregistre ni votre navigation, ni le contenu de vos écrans. | États-Unis |
| Stripe | Paiement de l’abonnement par carte, pour l’employeur seulement. Reçoit le nom, l’adresse courriel, l’adresse de facturation et le numéro de carte du payeur; ce numéro ne passe jamais par Rythmo, qui ne le voit ni ne le conserve. Nous ne recevons en retour que les identifiants du client et de l’abonnement, l’état du paiement, et le journal des événements que Stripe nous transmet. Aucun renseignement d’employé ne lui est communiqué. | États-Unis |
| Photon (Komoot) | Recherche d’adresse, au moment où l’employeur saisit l’adresse de son établissement pour en déduire les coordonnées de la zone de pointage. Reçoit uniquement le texte d’adresse tapé, la langue et une zone de recherche limitée au Canada; aucun nom, aucun courriel, aucun identifiant de compte ni d’employé ne lui est transmis, et rien ne lui permet de savoir qui effectue la recherche. ⚠️ L’adresse d’une garderie en milieu familial est un domicile : si vous préférez qu’elle ne quitte pas le Canada, posez la position de l’établissement directement sur place, depuis l’écran d’ancrage, sans passer par la recherche d’adresse. | Allemagne |
Supabase, Resend, Expo, Vercel et Sentry traitent les renseignements pour notre compte et selon nos instructions : ils n’en font rien d’autre que ce que nous leur demandons. Stripe fait exception : sur les données de paiement, il agit aussi pour son propre compte. La lutte contre la fraude et ses obligations légales de prestataire de paiement lui imposent des traitements que nous ne lui dictons pas, et une conservation qui lui est propre. Sa politique de confidentialité s’ajoute alors à la nôtre.
Les six hébergent ou traitent les renseignements hors du Québec. Rythmo peut aussi être tenu de communiquer des renseignements si la loi l’exige.
7. Vos droits
Vous pouvez, en tout temps :
- Accéder aux renseignements que nous détenons sur vous et en obtenir une copie.
- Faire rectifier un renseignement inexact ou incomplet. Un employé qui constate une erreur dans ses heures la signale à son employeur, qui peut la corriger dans l’application; chaque correction est journalisée avec son auteur et sa date.
- Demander la suppression de vos renseignements. Un employeur le fait lui-même depuis les réglages. Un employé s’adresse à son employeur, ou nous écrit. Les pointages restent conservés le temps légal, sous forme anonymisée.
- Retirer votre autorisation de localisation, dans les réglages de votre appareil pour l’application, ou dans les réglages de ce site pour le navigateur. Sans elle, aucun pointage ne peut être enregistré depuis votre appareil; votre employeur peut alors l’enregistrer lui-même. Voir la section 3.
- Retirer votre consentement aux notifications, dans les réglages de votre appareil.
- Porter plainte auprès de la Commission d’accès à l’information du Québec si vous estimez que vos droits ne sont pas respectés.
Écrivez à info@rythmo.tech. La loi nous accorde 30 jours pour répondre à une demande d’accès, de rectification ou de suppression, et c’est le délai maximal que nous nous engageons à respecter pour ces demandes-là.
Ce délai n’a rien à voir avec le soutien courant, qui répond en moins de 24 heures : une question sur un pointage, une feuille de temps ou votre compte n’attend pas un mois.
8. Sécurité
Les mesures en place aujourd’hui :
- Tous les échanges passent par des connexions chiffrées.
- Les NIP sont conservés sous forme de condensat salé, jamais en clair, et le nombre de tentatives est limité.
- Aucun accès direct à la base depuis l’application : tout passe par des fonctions serveur qui vérifient à chaque appel que le demandeur a le droit d’accéder à l’établissement visé.
- Les sessions employé expirent et peuvent être révoquées.
- Toute correction manuelle d’un pointage est journalisée avec son auteur.
Aucune mesure n’est infaillible. En cas d’incident de confidentialité présentant un risque de préjudice sérieux, nous informerons les personnes concernées et la Commission d’accès à l’information, comme la loi l’exige.
9. Suivi publicitaire
Rythmo ne suit pas ses utilisateurs à des fins publicitaires, n’utilise aucun identifiant publicitaire, et ne transmet aucune donnée à un courtier de données. Le site et la version web de l’application mesurent une fréquentation agrégée, sans profilage individuel : voir la ligne Vercel de la section 6 pour ce que cette mesure transmet.
10. Modifications
Si cette politique change de façon importante, la date de mise à jour en haut de page est modifiée et les titulaires de compte sont prévenus par courriel.