1. Qui nous sommes
ShiftMaster (« nous ») est un service de gestion des horaires et de calcul de la paie pour petites entreprises, exploité depuis Edmonton (Alberta, Canada) et offert à https://www.shiftmaster.ca. Cette politique explique quels renseignements personnels nous recueillons par le site et l'application, pourquoi, et quels sont vos choix. Elle est rédigée pour respecter la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la loi albertaine Personal Information Protection Act et la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25).
Notre responsable de la protection des renseignements personnels peut être joint à privacy@shiftmaster.ca.
2. Ce que nous recueillons
| Catégorie | Exemples | Source |
|---|---|---|
| Compte | Nom, courriel, mot de passe (conservé uniquement sous forme hachée par notre fournisseur d'authentification), type de portail (employeur ou employé) | Vous, à l'inscription ou en acceptant une invitation |
| Entreprise | Nom, adresse, courriel et téléphone de contact, fuseau horaire, heures d'ouverture, province de paie, budgets | Le propriétaire ou un gestionnaire |
| Dossiers d'employés | Nom, courriel, téléphone, rôle, taux horaire, limites d'heures, disponibilités et congés, notes | L'employeur qui ajoute l'employé ; l'employé, pour ses disponibilités et son profil |
| Horaires et paie | Quarts, demandes d'échange, historique de publication, heures, heures supplémentaires, indemnité de vacances, primes, cumuls annuels et les retenues que nous en calculons | Générés à partir de l'horaire créé par l'employeur |
| Facturation | État de l'abonnement, identifiants de client et d'abonnement Stripe. Nous ne voyons ni ne conservons jamais de numéro de carte ; Stripe les recueille sur ses propres pages. | Stripe |
| Journal d'activité | Qui a créé, modifié ou supprimé un quart, un employé ou un réglage, et quand | Généré à l'usage |
| Techniques | Adresse IP, type de navigateur et journaux de requêtes conservés brièvement par notre hébergeur pour la sécurité | Votre navigateur |
Nous ne recueillons ni numéro d'assurance sociale, ni date de naissance, ni coordonnées bancaires, ni pièces d'identité.
3. Comment nous l'utilisons
- Pour faire fonctionner le service : vous connecter, montrer le bon horaire à la bonne personne, envoyer les invitations, les avis de publication et les courriels d'échange de quarts.
- Pour calculer les retenues à la source (RRQ ou RPC, AE, RQAP, impôt fédéral et provincial) à partir des heures et des salaires saisis.
- Pour proposer des horaires avec l'IA, qui apprend uniquement des quarts passés de votre propre entreprise.
- Pour facturer l'abonnement par Stripe et tenir le journal d'activité qui permet aux propriétaires de voir qui a modifié quoi.
- Pour répondre aux demandes de soutien et protéger le service.
Nous ne vendons pas de renseignements personnels, nous ne les utilisons pas à des fins publicitaires et nous n'entraînons pas de modèles pour d'autres clients avec vos données.
4. Les renseignements de vos employés
Lorsqu'un employeur saisit les coordonnées de son personnel, il est responsable de ces renseignements et d'informer ses employés qu'ils sont utilisés dans ShiftMaster ; nous les traitons pour son compte afin de fournir le service. Les employés voient leurs propres quarts, heures et profil dans le portail employé et peuvent y mettre à jour leurs disponibilités et coordonnées. Un employé qui souhaite faire corriger ou supprimer son dossier s'adresse d'abord à son employeur ; il peut aussi nous écrire et nous l'aiderons.
5. Fournisseurs et lieu de conservation
| Fournisseur | Rôle | Lieu |
|---|---|---|
| Supabase | Base de données et authentification | Canada (AWS ca-central-1, Montréal) |
| Vercel | Hébergement du site et diffusion ; journaux de requêtes de courte durée | Réseau mondial ; journaux aux États-Unis |
| Stripe | Paiement des abonnements et portail de facturation | États-Unis et Canada |
| Resend | Courriels transactionnels (invitations, avis d'horaire et d'échange, réinitialisation de mot de passe) | États-Unis |
| Google Cloud Run | IA de planification. Lorsque vous la lancez, les identifiants, noms, rôles, salaires et heures de quart des employés de votre entreprise sont transmis pour traitement ; rien n'est écrit sur disque et les données ne sont pas conservées après la requête. | États-Unis (us-west1) |
Les renseignements personnels sont donc conservés au Canada et peuvent être traités hors du Canada, notamment aux États-Unis, par les fournisseurs ci-dessus, en vertu de contrats qui limitent leur usage à la prestation de leur service. Les autorités de ces pays peuvent y avoir accès selon leurs lois. Une évaluation des facteurs relatifs à la vie privée a été faite pour ces communications hors Québec.
6. Témoins (cookies) et stockage local
Nous n'installons aucun témoin de suivi ou publicitaire et n'utilisons aucun outil d'analyse tiers. Le stockage local de votre navigateur conserve votre session et quelques préférences (par exemple si vous avez terminé le tutoriel) pour que l'application fonctionne ; l'effacer vous déconnecte. Stripe installe ses propres témoins sur ses pages de paiement à des fins de prévention de la fraude, selon sa politique de confidentialité.
7. Conservation et suppression
- Les données d'entreprise, d'employés, d'horaires et de paie sont conservées tant que le compte d'entreprise existe.
- Un propriétaire peut supprimer l'entreprise entière depuis le menu du compte (« Danger Zone ») ; l'entreprise, ses employés, quarts, dossiers de paie et journal d'activité sont retirés immédiatement de la base de données active. Les copies de sauvegarde expirent dans les 30 jours.
- Un dossier d'employé supprimé par l'employeur est retiré immédiatement de la base active.
- Stripe conserve les dossiers de facturation aussi longtemps que les lois fiscales et comptables l'exigent.
- Les journaux d'envoi de courriels (Resend) et de requêtes (Vercel) sont conservés brièvement par ces fournisseurs.
8. Vos droits
Vous pouvez nous demander de confirmer quels renseignements nous détenons sur vous, d'y accéder, de les rectifier, de les supprimer ou de cesser de les utiliser, et retirer votre consentement (ce qui peut nous empêcher de fournir le service). Écrivez à privacy@shiftmaster.ca ; nous répondons dans les 30 jours. Vous pouvez aussi porter plainte auprès du Commissariat à la protection de la vie privée du Canada et, au Québec, de la Commission d'accès à l'information.
Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé ayant des effets juridiques ou importants sur vous. L'IA de planification ne fait que proposer un brouillon ; un gestionnaire révise et publie chaque horaire.
9. Sécurité
Les données sont chiffrées en transit (TLS) et au repos. Les données de chaque entreprise sont isolées par des règles d'accès au niveau de la base de données, de sorte qu'une entreprise ne peut jamais lire celles d'une autre. Les mots de passe sont hachés par notre fournisseur d'authentification et jamais conservés en clair. Les données de carte de paiement n'atteignent jamais nos serveurs. En cas d'incident de confidentialité présentant un risque de préjudice sérieux, nous aviserons les personnes concernées et les autorités compétentes comme la loi l'exige.
10. Modifications et contact
Toute modification de cette politique sera publiée ici avec une nouvelle date, et les propriétaires de compte seront avisés par courriel si le changement est important. Questions ou demandes : privacy@shiftmaster.ca.