Politique de confidentialité

1. Qui nous sommes, et qui est visé

labourWerks est exploitée par labourWerks Inc., une société par actions de l'Ontario, au Canada (n° 1001667299). La présente politique explique comment nous traitons les renseignements personnels lorsque vous utilisez labourwerks.com et l'application labourWerks (app.labourwerks.com), où que vous soyez. Nous desservons des entreprises au Canada, aux États-Unis et au Royaume-Uni, et cette politique est rédigée de manière à s'harmoniser avec les lois sur la protection des renseignements personnels de ces trois territoires : la PIPEDA fédérale canadienne et ses équivalents provinciaux (y compris la Loi 25 du Québec et les PIPA de l'Alberta et de la Colombie-Britannique), le UK GDPR et la Data Protection Act 2018, ainsi que les lois américaines des États en matière de confidentialité (notamment la CCPA/CPRA de la Californie et les lois semblables de la Virginie, du Colorado, du Connecticut, du Texas, de l'Utah et d'autres États).

Deux rôles sont importants, quel que soit le nom que la loi leur donne. Pour le compte que vous créez chez nous — vos identifiants de connexion, la facturation, les courriels de soutien — nous sommes responsables de vos renseignements (le « controller », soit le responsable du traitement, au sens du UK GDPR ; la « business », soit l'entreprise, au sens de la CCPA). Pour les dossiers que votre entreprise conserve dans labourWerks — les noms et adresses de vos clients, les heures de votre équipe et les photos de chantier — votre entreprise contrôle ces renseignements et nous ne les traitons que suivant ses instructions afin de fournir le service (nous agissons à titre de « processor » (sous-traitant) / « service provider » (fournisseur de services)). Il incombe à votre entreprise d'avoir le droit de recueillir ce qu'elle verse dans labourWerks, y compris d'informer votre équipe de la géolocalisation GPS du pointage (section 5).

2. Ce que nous recueillons

• Renseignements de compte — votre nom, le nom de votre entreprise, votre métier, votre nom d'utilisateur, votre adresse courriel, votre numéro de téléphone et un mot de passe haché de façon sécuritaire (nous ne pouvons pas voir votre mot de passe réel).
• Dossiers d'entreprise que vous créez — bons de travail, factures, soumissions, coordonnées des clients, feuilles de temps, photos de chantier, signatures saisies, relevés de diagnostic, notes, listes de prix et tout ce que vous importez d'un système antérieur.
• Points de localisation — où se trouve un membre de l'équipe pendant qu'il est pointé, si son appareil le permet. Il existe deux niveaux, et l'entreprise qui l'emploie choisit : les positions de pointage (un seul point GPS au moment où une personne pointe à l'arrivée ou au départ d'un chantier ou d'un quart), et la localisation en cours de quart (des positions périodiques tant qu'une personne est pointée — désactivée par défaut ; une entreprise doit l'activer délibérément). Ni l'une ni l'autre ne fonctionne lorsqu'un membre de l'équipe n'est pas pointé — pointer au départ y met fin. Voir la section 5.
• État du paiement — votre forfait d'abonnement et son état (essai, actif, en souffrance). Les numéros de carte sont recueillis directement par notre fournisseur de paiement et n'atteignent jamais nos serveurs.
• Éléments techniques de base — les journaux de serveur standards (adresse IP, heure de la requête) utilisés à des fins de sécurité et de dépannage, conservés à court terme.

Nous ne recueillons aucun identifiant biométrique, aucune donnée de santé, aucune localisation d'aucune sorte lorsqu'un membre de l'équipe n'est pas pointé, et rien auprès de courtiers en données. Nous recueillons les renseignements personnels directement auprès de vous, ou auprès de votre entreprise lorsqu'elle vous ajoute comme membre de l'équipe.

3. À quelles fins nous les utilisons — et nos fondements juridiques

• Fournir le service — conserver et afficher vos dossiers, générer des documents, envoyer les courriels que vous nous demandez d'envoyer (factures, réinitialisations de mot de passe). Fondement juridique : l'exécution de notre contrat avec vous.
• Facturer votre abonnement. Fondement juridique : le contrat.
• Sécurité et prévention des abus — limites de débit, protection contre la fraude, enquêtes sur les utilisations abusives. Fondement juridique : notre intérêt légitime à maintenir la plateforme sécuritaire, ainsi que des obligations légales.
• Soutien — répondre lorsque vous communiquez avec nous. Fondement juridique : le contrat et l'intérêt légitime.
• Améliorer la plateforme à l'aide de compteurs d'utilisation agrégés et non identifiants (p. ex. combien d'entreprises ont été actives ce mois-ci) — jamais le contenu de vos dossiers. Fondement juridique : l'intérêt légitime.
• Fonctions d'IA facultatives, qui ne s'exécutent que lorsque vous appuyez sur le bouton qui les déclenche. Fondement juridique : le contrat (vous avez demandé l'ébauche).

Nous ne vendons ni ne louons de renseignements personnels. Nous ne les « partageons » pas à des fins de publicité comportementale intercontextuelle. Nous ne faisons aucune publicité et n'utilisons aucun traceur publicitaire — sur aucun marché. L'application n'utilise que ce qui est nécessaire pour vous garder connecté (un jeton dans le stockage local de votre navigateur) — aucun témoin (« cookie ») d'analyse tiers, de sorte qu'il n'y a rien qui nécessite une bannière de témoins et rien à refuser.

4. Décisions automatisées et IA

Les fonctions d'IA facultatives rédigent des ébauches de documents — une facture à partir d'un bon de travail, des matériaux tarifés à partir d'une photo de facture de fournisseur. Un être humain — vous — révise chaque ébauche produite par l'IA avant qu'elle soit enregistrée ou envoyée. labourWerks ne prend à l'égard de quiconque aucune décision produisant un effet juridique ou un effet semblablement important par des moyens exclusivement automatisés.

5. Données de localisation et votre équipe

La localisation existe pour qu'une entreprise puisse vérifier les heures, la présence sur les chantiers et l'emploi d'une journée de travail rémunérée. Il existe deux niveaux, et c'est l'entreprise qui décide :

• Positions de pointage — un point GPS lorsqu'un membre de l'équipe pointe à l'arrivée ou au départ d'un chantier ou d'un quart. Actif là où l'appareil le permet.
• Localisation en cours de quart — des positions périodiques tant qu'un membre de l'équipe est pointé, montrant à son employeur les arrêts et le trajet de la journée de travail. Cette fonction est désactivée par défaut. Un propriétaire ou un administrateur doit l'activer délibérément pour son entreprise, et peut la désactiver à tout moment.

Tout s'arrête quand le pointage s'arrête. Les deux niveaux ne fonctionnent que pendant qu'un membre de l'équipe est pointé et rémunéré. Pointer au départ met fin à l'enregistrement — pas de soirées, pas de fins de semaine, pas de jours de congé, pas de temps personnel. labourWerks n'offre aucun suivi continu ou en arrière-plan en dehors des heures de travail, et nous n'en construirons pas.

Si vous êtes propriétaire d'entreprise, ce sont vos gens et votre décision. Vous êtes l'employeur de toutes les personnes dont la position est enregistrée, et il vous incombe d'informer votre équipe avant d'activer cette fonction, de la garder licite là où vous exercez vos activités et d'utiliser équitablement ce que vous voyez. Cela comprend votre province ou territoire au Canada (la Loi 25 du Québec impose des étapes précises pour ce type de surveillance ; les lois PIPA de l'Alberta et de la Colombie-Britannique comportent des obligations d'avis aux employés ; la Loi sur les normes d'emploi de l'Ontario exige une politique écrite de surveillance électronique pour les employeurs de 25 employés ou plus), votre État aux États-Unis (plusieurs ont des règles précises sur le suivi de la localisation des employés ou sur le consentement), et le Royaume-Uni (où s'appliquent les orientations de l'ICO sur la surveillance des travailleurs et où une évaluation d'impact est attendue avant d'entreprendre ce type de surveillance).

Si un membre de l'équipe refuse l'autorisation de localisation. L'autorisation appartient à la personne et à son appareil — labourWerks ne peut pas la contourner et n'essaie jamais de le faire. Les heures sont tout de même enregistrées, sans position, et l'employeur peut voir quelles heures l'ont été sans position. Ce qu'un employeur fait du temps non localisé relève de lui et de son équipe, selon leurs conditions d'emploi et le droit local ; ce n'est pas labourWerks qui le décide ni ne l'applique.

Ce que labourWerks en fait. Rien de plus que de la stocker et de la montrer à l'entreprise à qui elle appartient. Nous n'analysons pas les déplacements des équipes, nous ne combinons pas la localisation entre entreprises, nous n'en tirons ni cartes ni produits de données, et nous ne la vendons ni ne la partageons. C'est le dossier de votre entreprise, conservé pour votre entreprise.

6. Avec qui nous les partageons

Nous ne communiquons des renseignements personnels que lorsque c'est véritablement nécessaire au fonctionnement du service, uniquement le minimum dont chaque destinataire a besoin, et uniquement en vertu de contrats qui les obligent à les protéger et à ne les utiliser à aucune autre fin. Nous les communiquons aux catégories de destinataires suivantes :

• Notre fournisseur d'hébergement infonuagique, dont les serveurs situés au Canada conservent vos données.
• Notre processeur de paiement (le marchand officiel — « merchant of record » — de votre abonnement), qui traite les renseignements relatifs à votre carte et à votre facturation dans ses propres systèmes et qui calcule et remet les taxes de vente applicables (TPS/TVH/TVQ, taxe de vente américaine, TVA britannique).
• Un fournisseur d'IA, mais uniquement pour le texte de bon de travail ou la photo précise que vous soumettez lorsque vous appuyez sur un bouton de rédaction ou de numérisation par IA — et selon des conditions qui interdisent de s'en servir pour entraîner ses modèles.
• Un fournisseur de livraison de courriels, pour les courriels que vous envoyez depuis l'application (factures, soumissions) et pour les courriels liés à votre compte (réinitialisations de mot de passe).

Nous ne vendons ni ne louons de renseignements personnels à qui que ce soit, et nous ne l'avons jamais fait. Nous ne communiquerons des renseignements à un organisme gouvernemental, à un tribunal ou à un autre tiers que lorsque la loi ou une procédure judiciaire valide l'exige — et nous vous en informerons au préalable, à moins que la loi ne nous l'interdise. Au-delà de cela, nous ne remettons vos données à personne. Une liste à jour des sous-traitants précis auxquels nous faisons appel est disponible sur demande à hello@labourwerks.com.

7. Où résident vos données — transferts internationaux

• Pour tous : les dossiers d'entreprise que vous conservez résident sur des serveurs situés à Toronto, au Canada, et y demeurent.
• Royaume-Uni : utiliser labourWerks signifie que vos données sont transférées au Canada. Le Royaume-Uni reconnaît que le droit canadien de la protection des renseignements personnels dans le secteur commercial (PIPEDA) offre une protection adéquate pour les données traitées par des organisations comme la nôtre ; le transfert est donc licite au sens du UK GDPR sans formalités supplémentaires de votre part.
• États-Unis : vos dossiers sont hébergés au Canada plutôt qu'aux États-Unis ; quelques-uns des fournisseurs mentionnés ci-dessus (paiements, IA, courriel) traitent les données précises qu'ils manipulent sur des systèmes américains, assujettis au droit américain.
• Canada : vos dossiers demeurent au pays. Certains traitements effectués par des fournisseurs (paiements, IA, courriel) ont lieu aux États-Unis, où ils sont assujettis au droit américain — ce qui est divulgué ici afin que votre entreprise puisse satisfaire à ses propres obligations de transparence (notamment sous le régime de la Loi 25 du Québec).

8. Comment nous les protégeons

• Tout le trafic est chiffré en transit (HTTPS/TLS) ; nos serveurs n'acceptent aucune connexion directe depuis l'Internet ouvert.
• Les mots de passe ne sont conservés que sous forme d'empreintes scrypt salées.
• Les données de chaque entreprise sont isolées de celles de toutes les autres — isolation appliquée sur le serveur, et non seulement dans l'application.
• Les champs monétaires sont masqués aux comptes des travailleurs sur le terrain ; les paramètres de l'entreprise ne peuvent être modifiés que par le titulaire du compte.
• Les données de carte ne touchent jamais notre infrastructure.
• Des copies de sauvegarde quotidiennes, conservées sous les mêmes protections que les données actives.

Aucun système n'est parfaitement sécuritaire. En cas d'incident de confidentialité, nous vous en aviserons, ainsi que l'autorité compétente, selon ce qu'exige la loi applicable là où vous êtes — au Canada, les personnes concernées et le Commissariat à la protection de la vie privée (ainsi que les organismes de réglementation provinciaux, comme la CAI du Québec) lorsqu'il existe un risque réel de préjudice grave ; au Royaume-Uni, l'ICO dans les 72 heures lorsque le UK GDPR l'exige ; aux États-Unis, en vertu de la loi de votre État sur la notification des atteintes.

9. Conservation, exportation et suppression

• Nous conservons vos données tant que votre compte est actif.
• Si votre abonnement prend fin, votre espace de travail devient accessible en lecture seule et vos dossiers sont conservés pendant un an à compter de cette fin — amplement de temps pour renouveler ou exporter — après quoi ils sont supprimés définitivement.
• Si vous fermez votre compte, il en va de même : vos données sont conservées pendant un an, puis supprimées définitivement. Si vous préférez qu'elles soient supprimées plus tôt, demandez-le-nous et nous les supprimerons dans les 30 jours.
• Les trajets de localisation en cours de quart sont supprimés après 90 jours, automatiquement, quoi que vous conserviez par ailleurs. Ils existent pour vérifier une journée de travail peu après qu'elle a eu lieu, non pour constituer un historique des déplacements de qui que ce soit. Les positions de pointage font partie de la feuille de temps à laquelle elles se rattachent et sont conservées avec ce dossier.
• Vous pouvez exporter vos dossiers à tout moment depuis l'application — les documents en PDF, et vos factures, soumissions, bons de travail, heures et liste de clients en fichiers CSV (Paramètres → Exporter les données).
• Les dossiers minimaux que nous devons conserver pour des raisons légales, fiscales ou de sécurité peuvent être conservés plus d'un an, selon ce qu'exige la loi.

10. Vos droits

Où que vous soyez, vous pouvez nous demander d'accéder aux renseignements personnels que nous détenons à votre sujet, de les rectifier, de les exporter ou de les supprimer : écrivez à hello@labourwerks.com. Nous répondons dans les 30 jours, nous vérifions qu'il s'agit bien de vous avant d'agir, et nous ne vous traitons jamais différemment parce que vous exercez un droit. En plus de cette base :

Canada (PIPEDA ; Loi 25 du Québec ; PIPA de l'Alberta et de la C.-B.) : vous pouvez retirer votre consentement (sous réserve de restrictions légales ou contractuelles) et contester notre conformité. Si nous ne pouvons pas régler une préoccupation ensemble, vous pouvez porter plainte auprès du Commissariat à la protection de la vie privée du Canada ou de votre organisme de réglementation provincial — au Québec, la Commission d'accès à l'information, en Alberta et en Colombie-Britannique, les commissariats provinciaux (OIPC). Les résidents du Québec peuvent aussi demander que les renseignements personnels informatisés leur soient communiqués dans un format technologique structuré et couramment utilisé.

Royaume-Uni (UK GDPR / Data Protection Act 2018) : vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité des données et d'opposition (y compris à l'égard d'un traitement fondé sur des intérêts légitimes), ainsi que du droit de ne pas faire l'objet de décisions exclusivement automatisées produisant un effet juridique — décisions que nous ne prenons pas (section 4). Vous pouvez porter plainte auprès de l'Information Commissioner's Office (ICO), bien que nous apprécierions d'avoir d'abord l'occasion de régler la question.

États-Unis (CCPA/CPRA de la Californie et lois comparables de la Virginie, du Colorado, du Connecticut, du Texas, de l'Utah et d'autres États) : vous avez le droit de savoir et d'accéder, de rectifier, de supprimer et d'obtenir une copie portable de vos renseignements personnels, ainsi que le droit de refuser leur vente, leur partage ou leur utilisation à des fins de publicité ciblée — nous ne faisons aucune de ces choses, il n'y a donc rien à refuser, et nous respectons en conséquence les signaux de préférence de refus des navigateurs, comme le Global Privacy Control. Nous n'utilisons ni ne communiquons de renseignements personnels sensibles au-delà de ce qui est nécessaire pour fournir le service. Vous pouvez recourir à un mandataire autorisé pour présenter une demande, et vous ne ferez jamais l'objet de discrimination pour avoir exercé un droit. Techniquement, la loi de tous les États ne s'applique pas à une entreprise de notre taille — mais nous étendons ces droits à toute notre clientèle américaine, quel que soit l'État.

Si vous êtes un client ou un employé d'une entreprise qui utilise labourWerks et que vous souhaitez faire rectifier ou supprimer vos renseignements, communiquez d'abord avec cette entreprise : en vertu de chacune de ces lois, c'est elle qui contrôle ces dossiers ; nous appuyons la demande suivant ses instructions, à titre de sous-traitant / fournisseur de services.

11. Âge

labourWerks est un outil d'affaires, qui ne s'adresse pas aux enfants, et nous ne recueillons pas sciemment de renseignements personnels auprès de personnes de moins de 16 ans. Vous devez avoir l'âge requis pour conclure un contrat exécutoire là où vous résidez (18 ans et plus dans la plupart des endroits) pour ouvrir un compte.

12. Modifications

Si la présente politique change de façon importante, nous publierons la mise à jour ici et en ferons mention dans l'application avant son entrée en vigueur. La date figurant en haut correspond toujours à la version courante.

13. Contact — et notre responsable de la protection des renseignements personnels

Questions et demandes en matière de confidentialité : hello@labourwerks.com · labourWerks Inc., Toronto, Ontario, Canada. Notre responsable de la protection des renseignements personnels — la personne responsable des renseignements personnels au sens de la PIPEDA, et la « personne ayant la plus haute autorité responsable de la protection des renseignements personnels » au sens de la Loi 25 du Québec — peut être jointe à la même adresse, avec l'objet « Responsable de la protection des renseignements personnels ».