Politique de confidentialité de l’application Noa by MoveBreak

La présente Politique de confidentialité décrit la manière dont MOVELYTICS, société par actions simplifiée unipersonnelle (SASU), immatriculée sous le numéro SIREN 948 127 493, dont le siège social est situé CHEZ ESTIA Entreprendre, 97 ALLÉE THÉODORE MONOD, 64210 BIDART, France, traite les données personnelles dans le cadre de la mise à disposition et de l’exploitation de l’application Noa dans Microsoft Teams.

MoveBreak est la marque et la dénomination commerciale sous lesquelles l’application Noa est proposée. MoveBreak ne constitue pas, en lui-même, une entité juridique distincte de MOVELYTICS, sauf mention expresse contraire.

1. Périmètre de la présente politique

La présente Politique s’applique aux traitements de données personnelles réalisés dans le cadre de l’utilisation de l’application Noa dans Microsoft Teams.

Noa est une application de messagerie / chatbot intégrée à Microsoft Teams. Son usage se fait dans une conversation directe entre l’application et l’utilisateur final. Noa n’est pas un agent conversationnel fondé sur un LLM et n’analyse pas les conversations internes de l’organisation en dehors de l’échange direct avec l’utilisateur dans son propre chat.

2. Qui traite vos données et dans quel rôle ?

2.1 MOVELYTICS comme sous-traitant

Lorsqu’une entreprise, une administration, un CSE ou une autre organisation déploie Noa pour ses équipes, cette organisation agit en principe en qualité de responsable de traitement pour le déploiement du service au sein de son environnement, et MOVELYTICS agit en qualité de sous-traitant pour l’exploitation technique et fonctionnelle de l’application.

2.2 MOVELYTICS comme responsable de traitement pour certains traitements propres

MOVELYTICS peut également agir en qualité de responsable de traitement pour certains traitements propres, notamment ceux liés à :

• la gestion contractuelle et administrative de la relation client ;
• la facturation et la comptabilité ;
• la sécurité, la traçabilité et la prévention des incidents ;
• la gestion du support technique ;
• le respect de ses obligations légales ;
• l’amélioration générale du service sur la base de données agrégées ou anonymisées.

3. Données traitées

Selon la configuration effectivement retenue, les catégories de données traitées peuvent comprendre :

3.1 Données d’identification et de profil

• prénom ;
• nom ;
• adresse email professionnelle ;
• nom de l’organisation / tenant ;
• langue préférée ;
• identifiants techniques Microsoft Teams / Microsoft 365, notamment userId, tenantId et identifiant de conversation lorsque nécessaire au fonctionnement des notifications.

3.2 Paramètres et préférences fonctionnelles

• horaires de notification ;
• fréquence souhaitée des pauses ;
• zones corporelles ciblées ;
• préférences d’usage ou de contenus liées au service.

3.3 Données d’usage / sessions de pause

Pour chaque pause ou interaction avec le service :

• date et heure ;
• type de pause ou catégorie de contenu ;
• identifiant de l’exercice ou du contenu proposé ;
• action effectuée par l’utilisateur (pause réalisée, reportée, ignorée, etc.) ;
• éléments de suivi technique liés à l’usage du service.

3.4 Métadonnées techniques

• identifiant de conversation Teams ;
• logs techniques applicatifs ;
• journaux de sécurité et de traçabilité ;
• adresse IP et métadonnées techniques strictement nécessaires au fonctionnement, à la sécurité et au support.

4. Données explicitement non recherchées

Le service n’a pas vocation à collecter :

• le contenu des emails Outlook ;
• le contenu des autres conversations Teams, privées ou en canaux, en dehors de l’échange direct avec l’application ;
• les fichiers stockés dans Microsoft 365 ;
• les données de santé au sens médical strict, telles que diagnostics, certificats, comptes rendus médicaux ou informations de nature clinique.

Les préférences fonctionnelles exprimées dans le service, notamment les zones corporelles ciblées ou les préférences liées aux pauses, sont utilisées uniquement pour adapter le fonctionnement de l’application et les contenus proposés. Elles ne doivent pas être interprétées comme des diagnostics médicaux ni comme une collecte intentionnelle de données de santé.

5. Finalités des traitements

Les données personnelles sont utilisées pour :

• permettre l’installation, l’activation et l’exploitation de l’application Noa dans Microsoft Teams ;
• gérer l’identification technique de l’utilisateur et de son environnement Microsoft 365 / Teams ;
• envoyer des messages, rappels, cartes interactives et contenus bien-être dans la conversation 1:1 avec l’application ;
• recevoir les réponses, clics, choix de pauses, préférences et interactions de l’utilisateur avec l’application ;
• paramétrer les préférences fonctionnelles de l’utilisateur ;
• enregistrer et exploiter les données d’usage liées aux pauses et aux sessions d’activité afin d’assurer la continuité du service, la personnalisation fonctionnelle et l’amélioration du service ;
• établir des statistiques d’usage agrégées et anonymisées destinées au client professionnel ;
• assurer le support technique et opérationnel du service ;
• sécuriser, maintenir et administrer techniquement le service.

6. Bases juridiques

Selon les cas, les traitements sont fondés sur :

• l’exécution du contrat ou des mesures précontractuelles ;
• l’intérêt légitime de MOVELYTICS ou du client professionnel à exploiter, sécuriser, administrer et améliorer le service ;
• le respect des obligations légales applicables ;
• les choix et paramétrages réalisés par l’utilisateur dans l’application, lorsqu’ils sont facultatifs.

Lorsque Noa est déployé par une organisation, cette organisation détermine, pour les traitements relevant de sa responsabilité, les bases juridiques qui lui sont propres.

7. Ce que l’employeur ou l’organisation cliente peut voir

MOVELYTICS ne transmet pas à l’employeur ou à l’organisation cliente de données nominatives détaillées relatives à l’historique individuel d’usage d’un utilisateur, à ses réponses individuelles à l’application ou à ses préférences personnelles, sauf nécessité strictement encadrée par le contrat applicable et les instructions documentées du client.

En principe, l’organisation cliente reçoit uniquement :

• des indicateurs d’usage agrégés ;
• des statistiques anonymisées ;
• des tendances globales de déploiement et d’adoption.

En conséquence, Noa n’est pas conçu comme un outil de surveillance individualisée des salariés ou utilisateurs finaux.

8. Destinataires et sous-traitants techniques

Les données peuvent être accessibles, dans la stricte limite du nécessaire, par :

• les équipes habilitées de MOVELYTICS ;
• le client professionnel concerné, dans la limite des données et indicateurs prévus contractuellement ;
• les sous-traitants techniques autorisés nécessaires au fonctionnement du service.

Les principaux sous-traitants techniques autorisés sont :

• Microsoft / Microsoft Bot Framework, pour le transport des messages et l’intégration technique dans l’environnement Microsoft Teams ;
• Heroku, pour l’hébergement du backend applicatif ;
• PostgreSQL managé via Heroku, pour l’hébergement et l’exploitation de la base de données.

9. Localisation des données et transferts internationaux

Selon l’architecture de service retenue, le backend et la base de données de l’application sont exploités au sein d’une infrastructure située dans l’Union européenne, actuellement en Irlande, via Heroku.

Toutefois, certains prestataires techniques peuvent, selon leurs outils d’administration, de support, de maintenance, de supervision ou leurs engagements contractuels propres, impliquer des accès ou des traitements en dehors de l’Espace économique européen.

Dans une telle hypothèse, MOVELYTICS s’assure qu’un mécanisme de transfert approprié est mis en place conformément au RGPD, notamment par l’utilisation de clauses contractuelles types ou de tout autre mécanisme reconnu comme valable.

10. Sécurité

MOVELYTICS met en œuvre des mesures techniques et organisationnelles appropriées afin d’assurer un niveau de sécurité adapté au risque.

Ces mesures peuvent notamment inclure :

• le chiffrement des données en transit ;
• la protection des environnements d’hébergement ;
• la restriction des accès selon le principe du moindre privilège ;
• la journalisation et la traçabilité des événements techniques essentiels ;
• la gestion des habilitations ;
• des mesures de maintien en condition de sécurité ;
• des sauvegardes et procédures de continuité raisonnables ;
• la gestion des incidents et vulnérabilités.

11. Conservation, désinstallation et suppression

11.1 Pendant l’utilisation du service

Les paramètres utilisateurs et les historiques de pauses sont conservés tant que l’utilisateur est considéré comme actif dans le service.

11.2 Désinstallation

Un utilisateur peut désinstaller Noa depuis Microsoft Teams. Selon le fonctionnement de la plateforme, la désinstallation seule ne déclenche pas nécessairement une suppression immédiate des données côté MOVELYTICS.

11.3 Suppression sur demande

En cas de demande de suppression, MOVELYTICS s’engage à supprimer les données personnelles concernées dans un délai maximum de trente (30) jours.

11.4 Inactivité prolongée

En l’absence de demande explicite, les données personnelles peuvent être automatiquement purgées au plus tard après douze (12) mois d’inactivité. Après purge, seules des statistiques agrégées et anonymisées peuvent être conservées.

11.5 Fin du contrat avec une organisation cliente

Lorsqu’une organisation cliente met fin au contrat principal, elle peut, dans les conditions prévues contractuellement, demander soit la restitution des données personnelles concernées dans un format usuel et raisonnablement exploitable, soit leur suppression sans restitution préalable.

À défaut d’instruction écrite dans le délai prévu contractuellement, MOVELYTICS procède par défaut à la suppression des données concernées, sauf obligation légale contraire.

12. Vos droits

Selon la réglementation applicable, vous pouvez disposer des droits suivants :

• droit d’accès ;
• droit de rectification ;
• droit d’effacement ;
• droit à la limitation du traitement ;
• droit à la portabilité ;
• droit d’opposition, lorsque celui-ci est applicable.

Pour exercer vos droits, vous pouvez écrire à : fabrice@movelytics.fr.

Lorsque Noa est utilisé dans le cadre d’un déploiement par votre employeur ou votre organisation, vous pouvez également contacter votre organisation, qui agit en principe comme responsable de traitement pour ce déploiement.

13. Cookies et technologies similaires

Noa utilise uniquement les stockages et mécanismes techniques nécessaires au bon fonctionnement de l’interface et du service. Aucun cookie tiers publicitaire ou de suivi marketing n’a vocation à être déployé dans l’application elle-même.

14. Modifications de la présente politique

MOVELYTICS peut mettre à jour la présente Politique de confidentialité à tout moment afin de tenir compte d’évolutions légales, réglementaires, techniques ou fonctionnelles.

La date de dernière mise à jour sera modifiée en conséquence. En cas de modification substantielle, les documents contractuels applicables à une organisation cliente resteront prioritaires sur leur périmètre propre.

15. Contact

Microsoft App listing : https://marketplace.microsoft.com/fr-fr/product/office/wa200008766?tab=overview