Vos données : où, qui, comment.
Les données de Planifi sont hébergées en Europe, à Francfort, chez Supabase (base Postgres chiffrée au repos et en transit). Chaque organisation est isolée jusque dans la base : les règles d'accès sont appliquées ligne par ligne par le serveur, un employé ne voit que ses propres données, un responsable ne voit que son organisation. L'export des données d'un employé (nLPD) et la suppression complète d'une organisation se font depuis les réglages, sans passer par le support. Planifi ne revendique aucune certification qu'il n'a pas.
Ce qu'on dit, ce qu'on ne dit pas.
| Nous disons | Nous ne disons pas |
|---|---|
| Hébergé en Europe (Francfort), chez Supabase | « hébergé en Suisse » — c'est faux |
| Chiffré au repos et en transit, isolé par organisation dans la base, journal d'audit | « certifié ISO 27001 / SOC 2 » — nous ne le sommes pas |
| Export nLPD et suppression en libre-service | « conforme à tout » |
| Pas de pub, pas de revente, mesure d'audience sans cookies | « vos données ne quittent jamais la Suisse » |
Qui voit quoi.
| Rôle | Ce qu'il voit | Ce qu'il peut faire |
|---|---|---|
| Employé | ses timbrages, ses heures, ses soldes, ses demandes, ses décomptes, ses fiches | timbrer, demander un congé, viser ou contester son décompte, télécharger ses fiches |
| Responsable | les données de son organisation, et d'elle seule | planifier, corriger un timbrage (tracé), valider, clôturer, exporter, supprimer l'organisation |
| Planifi (éditeur) | accès d'administration restreint et journalisé, pour l'exploitation et le support | jamais de consultation sans motif ; jamais de vente, de profilage, de publicité |
L'isolation n'est pas une case à cocher dans l'application : elle est appliquée par la base de données à chaque requête (politiques de sécurité au niveau des lignes). Une requête d'une organisation ne peut pas lire les données d'une autre, même en cas de bug applicatif.
Sauvegardes, conservation, sous-traitants.
Sauvegardes quotidiennes de l'hébergeur. Conservation : cinq ans pour le registre du temps (art. 73 OLT 1), dix ans pour la paie (art. 958f CO) ; l'archive de conservation se télécharge en un clic et elle est exigée, datée de moins de sept jours, avant toute suppression d'organisation. Les sous-traitants sont nommés, les mêmes que dans la politique de confidentialité.
| Prestataire | Rôle | Lieu | Données concernées |
|---|---|---|---|
| Supabase | base de données, authentification, stockage | Union européenne (Francfort) | toutes les données de l'organisation |
| Vercel | hébergement de l'application et rendu des pages | Union européenne / réseau mondial pour les pages publiques | données en transit, journaux techniques |
| Stripe | paiement du plan Entreprise | Union européenne / États-Unis (clauses contractuelles types) | coordonnées de facturation, carte (jamais stockée par Planifi) |
| Gotenberg (si activé) | rendu PDF des fiches de salaire | chez l'hébergeur de Planifi | contenu de la fiche au moment du rendu |
| Serveur SMTP (si configuré) | envoi des emails (invitations, fiches, décomptes) | selon le prestataire choisi | adresse email, pièce jointe envoyée |
Vous avez trouvé une vulnérabilité ? Écrivez à julien@beney.tech avec les étapes pour la reproduire. Réponse en semaine, correction en priorité, mention dans les nouveautés si vous le souhaitez. Pas de programme de prime à ce jour ; de la reconnaissance, oui.
Questions fréquentes
Mes employés sont-ils géolocalisés ?
Non. Planifi n'enregistre pas la position des téléphones ; la preuve d'un timbrage est le QR scanné (affiche ou borne), vérifié par le serveur. Il n'y a pas non plus de biométrie.
Qui chez Planifi peut lire mes données ?
Un accès d'administration existe pour l'exploitation et le support, restreint et journalisé ; il n'est pas utilisé sans motif (incident, demande de votre part). Aucune consultation à des fins commerciales, aucune revente, aucun profilage.
Puis-je tout récupérer en partant ?
Oui : l'archive de conservation (un ZIP daté : classeurs du temps de travail par collaborateur et par année, fiches de salaire, décomptes, horaires publiés, manifeste) se télécharge depuis les réglages, et elle est exigée avant toute suppression de l'organisation.
Que devient un compte inactif ?
Après 60 jours sans activité, la session de l'appareil est fermée et il faut se reconnecter ; les données restent. Une organisation n'est supprimée que sur votre demande, depuis les réglages, après téléchargement de l'archive.
Une autre question ? julien@beney.tech répond.
Vos données restent les vôtres.
Isolées, exportables, supprimables depuis vos réglages. Créez votre équipe en sachant où tout va.
Créer mon équipe gratuitementSans carte · Prêt en 10 minutes
