Politique de confidentialité

Le responsable du traitement est Triumvirat TGG SA (IDE CHE-395.639.691), Avenue DuPeyrou 1, 2000 Neuchâtel, Suisse. Toute question relative à cette politique ou à l'exercice de vos droits peut être adressée à contact@operai.ch.

Le développement, l'hébergement et la maintenance technique de l'application et de la plateforme sont assurés par Operai SA (Neuchâtel, Suisse), qui agit exclusivement en qualité de sous-traitantsur instruction de Maison T, dans le cadre d'un contrat de sous-traitance au sens de l'art. 9 LPD et de l'art. 28 RGPD. Operai SA n'utilise ces données pour aucune finalité propre.

L'application est un outil de travail interne : elle n'est utilisable qu'avec un compte créé par l'employeur. Aucune donnée n'est collectée avant la connexion. Une fois connecté·e, les catégories suivantes sont traitées.

Identité et coordonnées professionnelles

Nom, prénom, adresse e-mail professionnelle, numéro de téléphone, fonction et rôle dans l'application, établissement de rattachement, données contractuelles utiles au décompte (taux d'activité, jours travaillés, soldes de vacances et d'heures supplémentaires).

Données de pointage

Horodatage de chaque arrivée et de chaque départ, durée du service, établissement concerné, origine du pointage (badgeage depuis l'application ou saisie manuelle par un responsable), indicateur « hors zone » et justification éventuelle, validation ou refus motivé du responsable.

Géolocalisation ponctuelle

Latitude et longitude relevées au moment précis où vous badgez, ainsi que la distance calculée par rapport à l'établissement. Voir la section III, entièrement consacrée à ce point.

Planning et temps de travail

Plages planifiées, postes, échanges de plages, absences, décomptes mensuels d'heures et documents PDF correspondants.

Demandes RH

Type de demande (congé, maladie, échange de plage, autre), dates, motif que vous saisissez librement, statut et décision du ou des responsables. Une demande de type « maladie » peut révéler une donnée de santé : elle bénéficie du régime renforcé décrit en section IV.

Signature manuscrite

Le tracé de la signature que vous dessinez au doigt pour valider votre décompte mensuel (coordonnées des traits), la date de signature et le PDF signé archivé. La signature est immuable une fois apposée.

Note de satisfaction mensuelle

Facultative : une note de 1 à 5 et un commentaire libre sur le mois écoulé, modifiables pendant 60 jours. Vous pouvez toujours passer cette étape.

Jeton de notification push

Un identifiant technique délivré par Apple ou Google via le service Expo Push, associé à votre compte et à la plateforme (iOS ou Android), uniquement si vous activez les notifications. Il est supprimé de nos serveurs à la déconnexion ou lorsque vous désactivez les notifications.

Badge d'équipe (QR code)

Un jeton opaque permettant d'afficher une page de vérification confirmant que vous faites partie de l'équipe. Cette page ne révèle rien d'autre que votre appartenance à l'équipe, et le jeton est révocable.

Données de réservation consultées

Le personnel de salle accède en lecture seule aux réservations du jour de son propre établissement (nom du client, nombre de couverts, service, remarques transmises). Ces données appartiennent aux clients de l'établissement et ne peuvent être ni modifiées ni exportées depuis l'application.

Données techniques

Le jeton de session, conservé dans l'espace sécurisé du téléphone (Trousseau iOS / Keystore Android), et la version de l'application installée. Les serveurs journalisent les accès techniques (date, route appelée) à des fins de sécurité et de diagnostic.

L'application mobile ne permet pas de téléverser de pièce jointe. Les documents RH (contrat, certificats médicaux, attestations, fiches de salaire) sont déposés par le service du personnel dans l'espace de gestion, sur le même serveur et sous la même protection.

L'application ne contient aucun outil de mesure d'audience, aucun réseau publicitaire et aucun traceur tiers. Elle n'accède ni à vos contacts, ni à vos photos, ni à votre micro, ni à votre caméra, ni à votre carnet d'adresses.

La géolocalisation sert à un seul objectif : confirmer que le pointage est effectué depuis votre lieu de travail, comme l'exige la tenue d'un registre fiable du temps de travail.

• L'application demande l'autorisation « lorsque l'app est active » uniquement. Le suivi en arrière-plan est désactivé: dès que l'application est fermée ou en veille, plus aucune position n'est lue.
• Votre position n'est lue que pendant que l'écran « Badger »est ouvert, afin de vous indiquer en temps réel si vous êtes dans la zone de l'établissement. Cette lecture reste sur votre téléphone.
• Une position n'est transmise et enregistrée qu'au moment exact où vous appuyez sur le bouton de badgeage. Nous conservons alors un couple de coordonnées par pointage — pas un trajet, pas un historique de déplacements.
• Si vous badgez hors de la zone de l'établissement, le pointage est enregistré malgré tout et votre responsable en est informé, avec la distance mesurée. Vous pouvez le justifier.
• Le badgeage de sortie reste toujours possible, même sans position, afin de ne jamais bloquer une fin de service.
• Vous pouvez retirer l'autorisation à tout moment dans les réglages de votre téléphone. Le badgeage d'arrivée depuis l'application ne sera alors plus possible : vos heures devront être saisies par votre responsable.

Les coordonnées ne sont jamais utilisées pour évaluer votre comportement en dehors du pointage, ni transmises à un tiers, ni croisées avec d'autres sources.

Gestion du temps de travail et conformité CCNT

Enregistrement des heures, calcul des soldes, établissement et signature des décomptes mensuels, contrôle du respect de la Convention collective nationale de travail pour les hôtels, restaurants et cafés et de la loi sur le travail.

Base légale — Exécution du contrat de travail et respect d'obligations légales (art. 31 al. 2 let. a LPD ; art. 6 §1 let. b et c RGPD ; art. 46 OLT 1 sur l'enregistrement de la durée du travail).

Vérification du lieu de pointage

Contrôle que le badgeage a lieu sur le site de travail, prévention des erreurs et des pointages à distance.

Base légale — Intérêt légitime de l'employeur à disposer d'un enregistrement fiable du temps de travail, mis en balance avec vos droits (art. 31 al. 1 LPD ; art. 6 §1 let. f RGPD). Le traitement est limité au strict nécessaire : un point unique par pointage, jamais de suivi continu.

Planification et organisation du service

Élaboration et diffusion des plannings, gestion des échanges de plages, information sur les réservations du jour.

Base légale — Exécution du contrat de travail (art. 31 al. 2 let. a LPD ; art. 6 §1 let. b RGPD).

Gestion des demandes RH et des absences

Traitement des demandes de congé, d'absence maladie et d'échange, décision du responsable, mise à jour des soldes.

Base légale — Exécution du contrat de travail et obligations légales. Les données de santé éventuellement révélées par une absence maladie sont des données sensibles : elles sont traitées sur la base de l'art. 31 al. 2 let. a LPD et de l'art. 9 §2 let. b RGPD (droits en matière de droit du travail et de sécurité sociale), et n'accèdent qu'aux responsables habilités et au service du personnel.

Communication interne

Notifications relatives à vos pointages, décomptes, demandes et modifications de planning.

Base légale — Exécution du contrat de travail ; les notifications push reposent en outre sur votre consentement, révocable à tout instant depuis l'écran Profil (art. 6 §1 let. a RGPD).

Amélioration du climat de travail

Note de satisfaction mensuelle facultative.

Base légale — Consentement (art. 6 al. 6 LPD ; art. 6 §1 let. a RGPD). Ne pas répondre n'a aucune conséquence.

Sécurité et preuve

Journaux d'accès, prévention des accès non autorisés, archivage des décomptes signés.

Base légale — Intérêt légitime et obligations légales de conservation (art. 958f CO).

Aucune décision produisant des effets juridiques n'est prise de manière exclusivement automatisée : la validation des heures, des décomptes et des demandes est toujours le fait d'une personne.

Pointages, plannings, décomptes signés

5 ans à compter de la fin de l'année civile concernée (art. 958f CO ; art. 73 OLT 1 sur la conservation des registres de la durée du travail).

Coordonnées de géolocalisation d'un pointage

Elles suivent le sort du pointage auquel elles se rattachent. Elles peuvent être effacées de façon anticipée, sans altérer le décompte des heures, sur demande une fois le mois validé et signé.

Demandes RH et décisions

Durée de la relation de travail, puis 5 ans. Les motifs libres liés à la santé sont purgés au plus tard à la fin de cette période.

Signature manuscrite

Conservée avec le décompte signé qu'elle authentifie, soit 5 ans.

Notes de satisfaction

24 mois, puis suppression. Modifiables par vos soins pendant 60 jours.

Jetons de notification push

Supprimés dès la déconnexion, la désactivation des notifications, la désinstallation de l'application ou l'invalidation du jeton par Apple ou Google.

Compte utilisateur

Désactivé à la fin de la relation de travail ; les données d'identification sont conservées le temps nécessaire aux obligations légales, puis supprimées ou anonymisées.

Journaux techniques

12 mois au maximum.

Vos données ne sont ni vendues, ni louées, ni échangées, et ne sont utilisées à aucune fin publicitaire ou de profilage commercial.

À l'intérieur de Maison T, l'accès est cloisonné : chaque personne ne voit que le périmètre nécessaire à sa fonction. Un employé accède à ses propres données et aux réservations de son établissement ; un responsable accède aux données de l'équipe dont il a la charge ; la direction et le service du personnel accèdent à l'ensemble.

Les sous-traitants suivants interviennent :

Operai SA — hébergement et maintenance

Exploitation des serveurs et de la base de données, situés en Suisse, et maintenance applicative. Accès technique strictement limité et contractuellement encadré.

Expo (Expo Push Service, États-Unis) — notifications

Acheminement des notifications push vers Apple (APNs) et Google (FCM). Seuls le jeton technique de l'appareil et le texte de la notification transitent ; aucune donnée de pointage ni de géolocalisation.

Resend (États-Unis) — courriels transactionnels

Envoi des messages liés au compte et aux décomptes (nom, adresse e-mail, contenu du message).

Les données peuvent également être communiquées à notre fiduciaire et, sur réquisition, aux autorités compétentes (inspection du travail, assurances sociales, autorités fiscales ou judiciaires), dans la stricte mesure prévue par la loi.

Les transferts vers les États-Unis liés aux notifications et aux courriels sont couverts par des clauses contractuelles types et par les garanties appropriées au sens de l'art. 16 LPD et du chapitre V du RGPD. L'ensemble des données métier (identité, heures, positions de pointage, demandes, signatures) demeure hébergé en Suisse.

Les échanges entre l'application et nos serveurs sont intégralement chiffrés (HTTPS/TLS). Les mots de passe sont stockés sous forme d'empreintes cryptographiques et ne sont jamais lisibles, y compris par nos équipes. Le jeton de session est conservé dans l'espace sécurisé du système d'exploitation (Trousseau iOS, Keystore Android) et non dans un stockage ordinaire.

Les accès sont contrôlés par rôle et journalisés, les sauvegardes sont chiffrées, et les décomptes signés sont archivés sous une forme figée afin de garantir leur intégrité. En cas de violation de la sécurité des données susceptible d'entraîner un risque élevé, les personnes concernées et le Préposé fédéral à la protection des données et à la transparence (PFPDT) sont informés conformément aux art. 24 LPD et 33-34 RGPD.

Conformément à la LPD et, le cas échéant, au RGPD, vous disposez à tout moment des droits suivants :

• Accès— obtenir la confirmation qu'un traitement vous concerne et recevoir une copie de vos données.
• Rectification — faire corriger une donnée inexacte, notamment un pointage erroné.
• Effacement — demander la suppression des données qui ne sont plus nécessaires et que la loi ne nous impose pas de conserver.
• Opposition— vous opposer à un traitement fondé sur notre intérêt légitime, en particulier à la conservation des coordonnées de géolocalisation d'un pointage.
• Limitation— demander le gel d'un traitement le temps qu'une contestation soit tranchée.
• Portabilité — recevoir dans un format lisible par machine les données que vous nous avez fournies.
• Retrait du consentement — désactiver les notifications ou renoncer à la note de satisfaction, sans effet sur la licéité des traitements antérieurs.

Pour exercer ces droits, écrivez à contact@operai.ch ou adressez-vous à votre responsable d'établissement. Nous répondons dans un délai de 30 jours. Une pièce d'identité peut être demandée en cas de doute raisonnable sur l'identité du requérant.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir le Préposé fédéral à la protection des données et à la transparence (Feldeggweg 1, 3003 Berne) ou, si vous résidez dans l'Espace économique européen, l'autorité de contrôle de votre pays de résidence.

Suppression du compte —le compte est créé et supprimé par l'employeur : il n'existe pas d'inscription libre. Une demande de suppression adressée à contact@operai.ch est traitée dans les limites des durées de conservation légales rappelées en section V.

Cette politique peut évoluer avec l'application. Toute modification substantielle est annoncée dans l'application et la date de version, en tête de page, est mise à jour. La version en vigueur est toujours celle publiée à l'adresse maison-t.ch/confidentialite.

Dernière mise à jour : 28 août 2026.