Politique de confidentialité

1. Introduction

Cette politique explique quelles données nous utilisons, pourquoi et quels sont vos droits lorsque vous utilisez la plateforme MoveBreak dans le cadre de l’initiative menée avec le CSE Fonctions Transverses SUEZ Recyclage et Valorisation France.

Pour les traitements liés au service aux participants, votre employeur et le CSE déterminent les règles d’éligibilité et l’information des salariés ; MOVELYTICS opère la plateforme et traite des données pour leur compte dans les conditions prévues par la réglementation (RGPD) et les accords conclus avec l’organisation.

2. Données collectées

Selon les fonctionnalités activées, peuvent être traitées notamment :

• Identité et contact : adresse e-mail (nous ne collectons pas de nom ni de prénom distincts ; un libellé d’affichage peut être dérivé de la partie locale de l’e-mail) ;
• Éligibilité : matricule salarié ou identifiant interne permettant de vérifier que vous relevez du périmètre prévu ;
• Compte et accès : identifiants de session, cookie de session, jetons de réinitialisation de mot de passe ; identifiant Google si vous choisissez cette connexion ;
• Préférences : thématiques de contenus, jours et horaires ou fréquence des rappels / notifications ;
• Usage du service : participation aux pauses ou contenus, interactions, points ou scores dans le cadre des défis, journaux techniques ;
• Données techniques : adresse IP, journaux de sécurité et de maintenance ;
• Support : messages que vous nous adressez pour résoudre un problème d’accès ou d’usage.

Le service ne vise pas à collecter des données de santé au sens du RGPD. Les préférences liées aux contenus bien-être servent uniquement à adapter les propositions et rappels, et ne constituent pas un diagnostic médical.

3. Finalités

Vos données sont utilisées pour :

• vous permettre de créer et utiliser votre compte ;
• vérifier l’éligibilité liée à l’initiative CSE ;
• personnaliser les contenus et les rappels selon vos réglages ;
• animer les défis et calculer des classements ou points, y compris l’application de plafonds anti-abus (par exemple nombre de pauses parcours notées par jour) afin que le barème reste équitable ;
• produire des statistiques agrégées ou anonymisées pour le pilotage (le tableau de bord CSE ne donne pas accès au détail de vos habitudes de pause) ;
• en cas de gain, transmettre au CSE les seuls matricules nécessaires à la remise des lots ;
• assurer la sécurité, la maintenance et l’amélioration du service ;
• respecter nos obligations légales ;
• traiter les demandes de support : si l’intervention du CSE est nécessaire, votre e-mail et votre matricule peuvent lui être transmis.

4. Base légale

Les traitements reposent notamment sur l’exécution du service auquel vous souscrivez, l’intérêt légitime à sécuriser et améliorer la plateforme (y compris le suivi d’erreurs techniques), et, le cas échéant, votre consentement (cookie de mémorisation du choix, certaines options). Le CSE et l’employeur demeurent garants du cadre d’information des salariés et des finalités relevant de leur responsabilité.

5. Destinataires et sous-traitants techniques

Le CSE n’accède pas, au quotidien, au détail de vos habitudes de pause dans l’espace d’administration qui lui est destiné. En cas de support nécessitant son intervention, votre adresse e-mail et votre matricule peuvent lui être transmis. Pour l’export des gagnants d’un challenge, seuls les matricules sont communiqués.

Les données sont hébergées et traitées dans un environnement sécurisé. MOVELYTICS fait appel à des prestataires de confiance pour l’exploitation du service, notamment :

• Heroku — hébergement de l’application et de la base de données PostgreSQL (Union européenne, Irlande) ;
• Mailjet — envoi principal des e-mails transactionnels (inscription, réinitialisation de mot de passe, rappels, challenges) ;
• Brevo — envoi d’e-mails en solution de secours, le cas échéant ;
• Sentry (Functional Software Inc.) — suivi des erreurs et de la stabilité de l’application (rapports techniques : contexte d’exécution, URL, environnement navigateur/serveur lorsque pertinent), sur le fondement de notre intérêt légitime à assurer la fiabilité du service. L’option d’envoi de données personnelles supplémentaires (« default PII ») n’est pas activée. Prestataire engagé par un contrat de sous-traitance conforme au RGPD (DPA) ;
• Google — authentification lorsque vous choisissez de vous connecter avec un compte Google ;
• YouTube et Vimeo — diffusion de vidéos intégrées dans certains contenus ;
• MoodWork — contenus pédagogiques et extraits audio proposés dans le cadre du partenariat ;
• Vercel et Squarespace — site vitrine et nom de domaine (DNS), distincts de l’hébergement de l’application.

Ces prestataires sont contractuellement tenus de respecter des obligations de confidentialité et de sécurité adaptées. Tout transfert hors de l’Espace économique européen, le cas échéant, est encadré par les garanties prévues par la réglementation (clauses types, mesures complémentaires).

6. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles proportionnées : contrôle des accès, authentification, chiffrement des données en transit (HTTPS), sauvegardes, journalisation, gestion des incidents et limitation des accès aux personnes habilitées. À mesure que de nouvelles fonctionnalités sont déployées (nouveaux contenus, paramètres, mécaniques de défis), nous ajustons la documentation et les mesures de protection de façon cohérente avec l’état de l’art et les risques identifiés.

7. Durée de conservation

Les données applicatives sont conservées pendant la durée de l’initiative. Si l’initiative n’est pas reconduite : 90 jours de clôture, puis suppression complète des données de l’application. Les sauvegardes PostgreSQL suivent un cycle d’écrasement de 3 mois (une donnée effacée disparaît des copies dans ce délai). Des durées plus longues ne s’appliquent que si une obligation légale l’exige.

Si vous supprimez votre compte, vos identifiants de connexion, votre e-mail et vos préférences sont effacés. L’historique des pauses terminées est conservé sans lien avec votre compte, afin d’alimenter les compteurs globaux de sessions et des statistiques anonymisées.

8. Vos droits

Conformément au RGPD, vous disposez notamment des droits d’accès, de rectification, d’effacement, de limitation, d’opposition (dans les cas prévus par la loi) et de portabilité lorsque cela s’applique. Vous pouvez aussi introduire une réclamation auprès de la CNIL (cnil.fr).

Pour exercer vos droits portant sur votre compte MoveBreak, contactez exclusivement MOVELYTICS à fabrice@movelytics.fr. Le délai de réponse est d’un mois (30 jours) à compter de la demande, identité vérifiée. Le CSE n’instruit pas et ne répond pas aux demandes portant sur l’e-mail, les pauses, les scores, les préférences, l’export ou la suppression du compte. Il n’intervient que pour les données qu’il détient en propre (liste d’éligibilité / matricules, remise matérielle des lots).

Les modalités pratiques (canal, délai, ce que nous fournissons) sont décrites dans la page Exercice de vos droits.

La portabilité est aussi disponible en libre-service : une fois connecté, téléchargez un fichier JSON depuis Paramètres → Compte. L’export ne contient que vos données (pas le catalogue d’exercices, pas les participants ni les points des autres aux challenges ; tout au plus votre position sur chaque challenge).

9. Évolution

Cette politique peut être mise à jour pour refléter l’évolution du service ou des obligations légales. La date de dernière mise à jour figure en tête de page. Nous vous invitons à la consulter régulièrement.

10. Conditions d’utilisation

L’usage du service est également encadré par nos conditions générales d’utilisation .

11. Cookies

Le service dépose un cookie de session (nécessaire à la connexion) et, après votre choix, un cookie mb_cookie_consent (durée 13 mois) pour ne pas réafficher la bannière à chaque visite. Vous pouvez accepter tous les cookies ou vous limiter aux cookies nécessaires.

Les lecteurs YouTube et Vimeo intégrés dans certaines pauses peuvent déposer des cookies tiers lors de la lecture. Ce dépôt n’est pas conditionné au bandeau (la lecture des contenus ne doit pas être cassée). Consultez les politiques de ces prestataires pour en savoir plus.