Confidentialité

Compte et connexion

Votre nom, votre adresse e-mail, votre mot de passe (jamais stocké en clair : seule son empreinte l’est) et, pour chaque connexion, l’adresse IP et le navigateur utilisés, le temps de la session (ceux du moment d’un visa sont aussi gardés dans son dossier de preuve : voir « Preuve du visa électronique »). Les liens reçus par e-mail (confirmation d’adresse, invitation, mot de passe oublié) sont à usage unique et de courte durée. Pourquoi : vous identifier et protéger votre compte. Base : le contrat qui nous lie à l’employeur ; pour un salarié, l’intérêt légitime de son employeur à lui donner accès à son planning et à ses documents. Obligatoire : une adresse e-mail est nécessaire pour ouvrir un accès ; sans elle, un salarié reste dans le planning mais ne se connecte pas.

Mots de passe compromis. Quand vous choisissez un mot de passe (inscription, invitation, mot de passe oublié, changement dans Mon compte), nous vérifions qu’il n’apparaît pas dans une fuite de données connue : seuls les cinq premiers caractères d’une empreinte du mot de passe partent, depuis notre serveur, vers le service Have I Been Pwned (Troy Hunt, servi par Cloudflare, États-Unis) ; jamais votre mot de passe, ni son empreinte entière, ni votre adresse e-mail, ni votre nom, ni l’adresse de votre appareil. Ces cinq caractères sont communs à des centaines de milliers de mots de passe possibles et ne permettent pas de retrouver le vôtre : ce service ne reçoit aucune donnée vous concernant et n’est pas un sous-traitant. Si un mot de passe est connu d’une fuite, il est refusé et vous en choisissez un autre ; si le service ne répond pas, le mot de passe est accepté. Jamais à la connexion. Données de Have I Been Pwned utilisées sous licence Creative Commons Attribution 4.0.

Double authentification. Les comptes de direction (manager général, RH, manager opérationnel) doivent, après leur mot de passe, prouver une seconde fois qui ils sont : avec une clé d’accès ou une clé de sécurité (voir plus bas), un code affiché par une application d’authentification sur leur téléphone ou leur ordinateur, ou l’un de leurs dix codes de secours ; un salarié peut activer l’application s’il le souhaite. Jamais un code par e-mail ni par SMS pour les comptes de direction ni pour l’administration de Nolia. Nolia garde, chiffrés, le secret de cette application et les dix codes de secours, tant que l’activation dure ; chaque vérification réussie ou échouée est notée au journal (le résultat et l’adresse IP, jamais le code), un an (voir « Combien de temps »). Le code à scanner est produit par notre serveur : aucun service tiers ne le voit. Ni votre numéro de téléphone ni votre application ne nous sont connus : la double authentification est obligatoire pour les comptes de direction et peut se faire sur un appareil professionnel (une clé de sécurité fournie par l’employeur, une application sur l’ordinateur du restaurant) ; vous n’avez pas à utiliser un appareil personnel.

Vérification en deux étapes des salariés. Quand un salarié se connecte avec son mot de passe depuis un appareil nouveau, un code de six chiffres lui est envoyé par e-mail, valable 10 minutes et une seule fois, sauf dispense posée par l’employeur pour un salarié qui ne se connecte que sur l’appareil du restaurant (notée au journal de l’employeur ; ses sessions durent alors 24 heures au plus). Cette dispense ne vaut que sur un poste ou une tablette que l’employeur a déclaré dans Nolia comme appareil du restaurant, et sur la tablette de la badgeuse : ailleurs, le code est envoyé comme à tout salarié. D’un appareil déclaré, Nolia garde le nom que l’employeur lui a donné, son établissement, qui l’a déclaré et quand, qui l’a retiré et quand, et l’empreinte de son cookie (voir « Cookies ») ; toute session ouverte sur un appareil du restaurant, celle d’un compte de direction comprise, se ferme après un quart d’heure sans activité et dure 24 heures au plus. L’e-mail dit l’heure, l’adresse IP et le navigateur de la demande, et jamais le code dans son objet. Nolia ne garde du code qu’une empreinte, supprimée dès que le code sert, sinon avec les jetons échus, un jour après son expiration ; et, pour limiter les essais, chaque demande et chaque essai (le résultat, l’adresse IP, jamais le code), 30 jours : trois envois par quart d’heure ; dix codes faux d’affilée suspendent le code 15 minutes ; trente en une journée le suspendent, avec un avis par e-mail, jusqu’à ce qu’ils datent de plus de 24 heures ou qu’un nouveau mot de passe soit choisi.

Appareils reconnus et nouvelle connexion. Après le code, un appareil peut être reconnu pendant une durée fixe, jamais prolongée par les connexions suivantes : 30 jours pour un salarié, 7 jours pour un compte de direction (une trace en base, que vous voyez et révoquez dans Mon compte → Mes appareils). Pour vous prévenir par e-mail d’une connexion depuis un appareil nouveau, Nolia pose sur chaque appareil un cookie de sécurité (nolia.appareil, voir « Cookies ») et garde, par compte, l’empreinte de ce cookie, le navigateur et son système (par exemple « Chrome sur Android »), et les dates de la première et de la dernière connexion depuis cet appareil, jusqu’à 13 mois après son dernier usage. Sur un appareil partagé, cochez « Appareil partagé » à la connexion : la session dure 24 heures au plus, se ferme avec le navigateur, et l’appareil n’est jamais reconnu.

Clés d’accès. Une clé d’accès est rangée dans votre téléphone ou votre ordinateur (une clé de sécurité : la même chose dans un petit objet USB ou sans contact), et l’appareil la débloque par Face ID, l’empreinte ou son code. Nolia ne reçoit jamais votre visage ni votre empreinte : ils ne quittent pas l’appareil. Il garde, pour chaque clé, sa clé publique (elle sert seulement à vérifier, et ne permet pas de se connecter), son identifiant, le nom que vous lui donnez (ou celui de l’appareil), le genre d’appareil (et si Apple ou Google la recopie sur vos autres appareils), l’identifiant du modèle de l’appareil ou du gestionnaire de mots de passe qui la garde (pour nommer la clé), la façon dont il se relie (intégré à l’appareil, USB, sans contact, Bluetooth), un compteur d’usage, ses dates de création et de dernière utilisation ; jamais rien de biométrique. La biométrie n’est jamais imposée : le code de l’appareil suffit toujours, et créer une clé sur un téléphone personnel reste un choix. Pour un salarié, la clé seule ouvre son compte : c’est une méthode plus sûre que le code par e-mail, qui résiste aux fausses pages (ce n’est pas une double authentification) ; pour un compte de direction, elle vient après le mot de passe. Chaque ajout est annoncé par e-mail ; chaque ajout et chaque retrait est noté au journal de l’employeur (l’identifiant de la clé, jamais son nom). Une clé est gardée jusqu’à ce que vous la retiriez (Mon compte → Mes clés d’accès), ou jusqu’à une réinitialisation par votre employeur, votre entrée dans la direction ou votre départ de la direction, ou, pour un salarié, un nouveau mot de passe choisi par « Mot de passe oublié ? ». Jamais sur un appareil partagé, ni pour un salarié dispensé.

Téléphone perdu ou volé. Depuis un autre appareil, choisissez un nouveau mot de passe par « Mot de passe oublié ? » : vos sessions sont fermées et, si vous êtes salarié, toutes vos clés d’accès sont retirées ; puis retirez dans Mes appareils et Mes clés d’accès ce que vous ne reconnaissez pas. Vous pouvez aussi demander à votre employeur (RH ou manager général) de réinitialiser votre accès : vos clés d’accès, votre application et vos codes de secours ne servent plus, et vous en créez de nouveaux à la connexion suivante.

Fiche salarié et contrat

Nom, prénom, date de naissance, adresse e-mail et téléphone (facultatifs), dates d’entrée et de sortie, équipes de rattachement, postes habilités, rôle dans Nolia ; et le contrat : type (CDI, CDD, CDD d’usage, apprentissage, professionnalisation, stage), durée hebdomadaire, temps partiel, catégorie de la convention HCR, dates. Pourquoi : composer un planning conforme (la date de naissance sert aux règles propres aux mineurs, le contrat au calcul des heures) et tenir les obligations de l’employeur. Base : les obligations légales de l’employeur (registre du personnel, décompte du temps de travail) et l’exécution de votre contrat de travail. Obligatoire : oui, sauf l’e-mail et le téléphone.

Registre unique du personnel

Si vous êtes salarié ou stagiaire : en plus de votre fiche, votre nationalité, votre sexe, votre emploi et votre qualification, et, seulement s’il vous en faut un, le type, le numéro et la fin de validité du titre qui vous autorise à travailler. Pourquoi : tenir le registre unique du personnel que la loi impose dans chaque établissement, et prévenir votre employeur deux mois avant la fin de validité de votre titre. Base : une obligation légale de l’employeur (Code du travail, L1221-13 et D1221-23). Qui le lit : la RH et le manager général, et l’inspection du travail sur demande ; jamais le manager de votre restaurant ni vos collègues ; vous, vos propres mentions, dans « Mes données ». Une correction s’ajoute au registre, datée, sans effacer la mention d’origine.

Planning

Vos créneaux (établissement, équipe, poste, début, fin, pause), la note que votre manager peut y joindre pour vous, les versions publiées (ce que les salariés ont vu, et quand : c’est la preuve du délai de prévenance), les alertes calculées par le moteur de règles (durée, repos, seuil) et le planning de référence de chaque établissement. Pourquoi : organiser le travail, contrôler les durées et les repos, prouver que les horaires ont été communiqués à temps. Base : les obligations légales de l’employeur sur la durée du travail (Code du travail, articles L3171-2 et suivants) et votre contrat de travail. Le moteur de règles aide le manager : il signale, et publier malgré une règle non respectée demande une confirmation, gardée avec la version ; il ne prend aucune décision à votre égard.

Impression, PDF, Word et partage du planning

Le planning s’imprime et se télécharge en PDF et en Word ; les relevés d’heures, en PDF ; les dossiers de preuve des visas, en PDF ou dans un fichier lisible par une machine (JSON). Trois documents de planning : le « Planning publié », pour l’affichage et l’équipe (la dernière version publiée, prénom et initiale du nom, sans note, absence, total ni alerte) ; le « Document de travail », interne à la direction (la copie en cours, les totaux et les alertes, un arrêt de travail ou un congé de maternité écrit « Absence », la mention « à ne pas diffuser » sur chaque page) ; « Mon planning », pour vous (vos horaires publiés et vos absences, sans note ni collègue). Chaque fichier est fabriqué à la demande, puis jamais conservé par Nolia ; le journal note qui l’a produit, et quand.

Le partage. Le planning se partage d’abord par un lien (menu de partage du téléphone, WhatsApp, e-mail ou Gmail) : ce lien ne s’ouvre qu’en se connectant à Nolia, et le message ne contient ni horaire ni nom. Le PDF du planning peut aussi être envoyé depuis le téléphone ; le Word ne se partage pas, il se télécharge ; un salarié ne partage que son propre planning. Un fichier envoyé ou téléchargé sort de Nolia : il contient des prénoms et des horaires, il ne se met plus à jour et ne se retire plus ; il relève alors de l’employeur et de la personne qui l’a envoyé, et l’écran le rappelle avant chaque partage. Pourquoi : afficher le planning et le communiquer à l’équipe. Base : les obligations légales de l’employeur sur la communication des horaires et votre contrat de travail.

Planning dans votre agenda

Si vous le créez, depuis « Mon planning » : un lien personnel que votre agenda (Google, Apple ou Microsoft) relit de lui-même. Il porte vos créneaux publiés et vos absences acceptées, d’un mois en arrière à trois mois à venir, avec l’établissement et le poste ; jamais une note, le nom d’un collègue ni le motif d’une absence (un arrêt s’y écrit « Absence »). Nolia ne garde que l’empreinte du lien et sa date de création ; quiconque a le lien voit ces horaires. Pourquoi : retrouver votre planning dans votre agenda. Base : votre demande, que vous retirez en supprimant le lien. Le transfert : le fournisseur que vous choisissez lit ces horaires depuis ses serveurs, parfois hors de l’Union européenne, et les garde selon ses propres conditions ; Nolia ne lui transmet rien d’autre.

Historique des modifications

Chaque changement du planning (brouillon compris), des publications, du planning de référence, des heures réalisées, des transmissions, des clôtures, des visas, des contestations et des réponses est noté par la base de données elle-même : qui l’a fait (son compte, son rôle et son nom, recopié au moment du geste pour rester lisible après son départ), quand, et ce qui a changé, avant et après (horaires, pause, poste, équipe, motif d’un écart choisi dans une liste). Il n’y figure jamais le texte d’une note, d’une précision, d’une contestation ou d’une réponse (seulement qu’elles ont changé), ni le type ou le motif d’une absence, ni l’adresse IP ; le salarié concerné n’y est désigné que par sa fiche. Qui le lit : le manager général ; la RH et le manager opérationnel, les établissements de leur périmètre et, ailleurs, les créneaux de leurs salariés (jamais leurs visas, contestations, réponses ni jours non travaillés d’un autre restaurant) ; jamais les salariés. Pourquoi : la transparence entre les responsables sur qui a modifié le planning et les heures. Base : l’intérêt légitime de l’employeur à organiser le travail et à pouvoir retracer les changements (article 6.1.f du RGPD) ; vous pouvez vous y opposer (voir « Vos droits »). Personne ne peut le modifier ni l’effacer depuis l’application.

Heures réalisées, visa et compteurs

Vos heures réalisées (début, fin, pause, poste), le motif et la précision de chaque écart ou retrait, vos visas et contestations (datés, avec le contenu visé et son empreinte, figés par la base de données), les réponses de l’employeur, la clôture de chaque semaine et le bilan de vos heures (heures supplémentaires ou complémentaires, contingent). Pourquoi : décompter la durée du travail, recueillir votre accord ou votre désaccord sur ce décompte, préparer la paie. Base : les obligations légales de l’employeur sur le décompte du temps de travail (Code du travail, articles L3171-2 et suivants, et D3171-8) et votre contrat de travail. Obligatoire : les heures, oui ; le visa ou la contestation vous appartiennent. Les champs libres ne doivent contenir aucune information de santé.

Preuve du visa électronique

Votre choix du support. Au premier visa, vous choisissez de viser vos heures dans Nolia ou de signer vos relevés sur papier ; vous pouvez en changer à tout moment. Nolia garde chaque choix, avec sa date, la version du texte affiché et le compte qui l’a fait. Ce choix porte seulement sur la manière de viser : ce n’est pas un consentement au sens du RGPD, et il ne change rien à l’usage de vos données décrit sur cette page. Sans le choix de l’électronique, la base de données refuse tout visa dans Nolia ; vous pouvez toujours y contester vos heures.

Le dossier de preuve. À chaque visa ou contestation, la base de données écrit elle-même un dossier à part, en ajout seul : personne ne peut le modifier depuis l’application. Il contient votre compte, votre adresse e-mail de connexion, la date de création de votre accès, celles de création et de modification de votre mot de passe, la date à laquelle la semaine vous a été transmise, celle du dernier changement d’accès de votre fiche et votre choix du support. Pour un visa, s’y ajoute ce que l’application déclare : le fait que votre mot de passe, ou la clé d’accès de votre appareil, a été redemandé, et lequel (pour une clé, la base y ajoute laquelle, sa date d’enregistrement et si elle se synchronise entre vos appareils ; jamais votre visage ni votre empreinte, qui ne quittent pas l’appareil), la version du texte affiché, l’adresse IP de votre connexion (pour une adresse IPv6, seulement son préfixe /64, qui désigne un réseau et non un appareil), votre navigateur et le début de votre session. Le suivi des visas signale aussi un visa donné par un accès créé après la transmission de la semaine, ou depuis un autre compte que le visa précédent.

L’historique de votre accès. La base de données note chaque création et chaque retrait de votre accès à Nolia, et chaque changement de l’adresse e-mail de votre fiche, avec l’adresse, la date et la personne qui a agi ; il reste après le retrait de l’accès. Quand votre accès est retiré, recréé avec une autre adresse, ou que change l’adresse de votre fiche après qu’un accès a été ouvert avec elle, un avis part à l’ancienne adresse (voir « E-mails »).

L’émargement de l’employeur. Clôturer une semaine vaut émargement de son récapitulatif par l’employeur : Nolia garde le nom, l’adresse e-mail et le rôle de la personne qui clôture (la RH ou le manager général), la date, la version du texte affiché et le fait que son mot de passe a été redemandé.

Pourquoi : pouvoir établir, en cas de désaccord ou de contrôle, qui a visé ou contesté quelles heures, et quand, et rendre visible un accès ouvert à la place de quelqu’un. Base : les obligations légales de l’employeur sur le décompte du temps de travail (Code du travail, articles L3171-2 et D3171-8) et, pour le dossier de preuve et l’historique des accès, son intérêt légitime à pouvoir prouver ce décompte (article 6.1.f du RGPD) [à compléter : bases légales à confirmer par le conseil]. Qui le lit : dans l’application, le dossier de preuve et l’historique des accès ne sont lus que par la RH et le manager général, jamais par le manager de votre restaurant ; le dossier de vos visas n’a pas encore d’écran dans votre espace : vous pouvez en obtenir une copie auprès de votre employeur (voir « Vos droits »). Obligatoire : le dossier accompagne chaque visa et chaque contestation faits dans Nolia.

Demandes d’absence et arrêts de travail

Le type (congés payés, repos, arrêt de travail, événement familial, maternité, paternité, autre), les dates, un motif facultatif — jamais pour un arrêt —, la décision de l’employeur et son commentaire, les justificatifs joints. Pourquoi : traiter vos demandes, retirer vos créneaux, ne pas vous prévenir pendant vos absences. Base : votre contrat de travail et les obligations légales de l’employeur.

Arrêts de travail. Savoir qu’une personne est en arrêt est une donnée de santé, même sans aucun motif. Nolia la reçoit seulement parce que l’employeur en a besoin pour ses obligations de droit du travail et de sécurité sociale (article 9.2.b du RGPD : justification de l’absence, maintien du salaire, attestation de salaire). Aucun motif médical n’est demandé ni accepté : vous n’envoyez que le volet de l’arrêt destiné à l’employeur, qui n’en contient pas ; l’écran le rappelle. Un arrêt ne se refuse pas, il s’enregistre. Le type de vos absences est visible de vous, du manager général et de la RH ; le manager de votre restaurant le voit aussi, sauf pour un arrêt de travail ou un congé de maternité : il voit alors seulement que vous êtes absent, et jusqu’à quand. Le type figure dans le fichier de paie que votre employeur remet à son cabinet de paie (voir « Export vers la paie ») ; vos collègues ne le voient jamais.

Compteurs de congés payés

Vos droits à congés payés, calculés d’après vos contrats et vos absences validées : les jours acquis et pris sur la période close (N-1) et sur la période en cours (N), et ce qui reste à prendre. La RH ou le manager général saisit votre solde de départ, d’après votre dernier bulletin de paie, et peut l’ajuster avec un motif (jours de fractionnement, correction…) ; chaque saisie garde sa date, son auteur et son motif, et ne s’efface jamais. Pour un arrêt maladie, la RH ou le manager général peut noter son origine professionnelle (accident du travail, maladie professionnelle), qui change le calcul : une donnée de santé, que seuls eux lisent. Pourquoi : tenir vos droits à congés et les montrer face à vos demandes. Base : les obligations légales de l’employeur (Code du travail, articles L3141-1 et suivants) ; pour l’origine d’un arrêt, l’article 9.2.b du RGPD. Qui le lit : vous (sans le nom de qui a saisi), le manager de votre restaurant, la RH et le manager général.

Indisponibilités

Ce que vous déclarez ne pas pouvoir travailler : chaque semaine (un jour, toute la journée ou une plage d’heures) ou sur une période, avec un motif si vous le souhaitez. Pourquoi : que votre employeur compose le planning en le sachant (la case est hachurée, un créneau posé dessus est signalé, la génération automatique n’y pose rien). Base : l’intérêt légitime de l’employeur et le vôtre à un planning qui tient compte de vos contraintes. Qui le lit : vous, le manager de votre restaurant, la RH et le manager général ; jamais vos collègues. Le motif n’apparaît ni dans la grille ni dans les alertes.

Échanges de créneaux

Vos propositions de céder ou d’échanger un créneau publié, et celles qu’on vous adresse : le créneau, qui propose, à qui (un collègue nommé, ou votre équipe), qui accepte, la décision du manager et son mot éventuel, chaque étape datée. À l’approbation, le planning publié change par une nouvelle version, notée « à votre demande ». Pourquoi : arranger un planning entre collègues, avec l’accord de l’employeur. Base : l’exécution du contrat de travail. Qui le lit : les deux salariés concernés (une proposition ouverte à l’équipe : ses membres, tant qu’elle n’est pas reprise), le manager du restaurant, la RH et le manager général.

Primes, acomptes et repas

Si votre employeur prépare sa paie avec Nolia : les primes, acomptes et autres éléments variables que la RH ou le manager général saisit pour vous, mois par mois (la nature, le montant, un commentaire facultatif), et le nombre de vos repas du mois, compté d’après vos heures clôturées et les heures des repas du personnel de votre restaurant (repas fournis ou indemnité compensatrice). Chaque ajout, modification ou retrait d’un montant est tracé : qui, quand, le montant avant et après. Un mois clôturé ne change plus. Pourquoi : préparer votre bulletin de paie sans ressaisie. Base : les obligations légales de l’employeur (bulletin de paie ; convention collective des hôtels, cafés, restaurants pour la nourriture). Qui le lit : vous (vos montants et leur commentaire, dans « Mes compteurs »), la RH et le manager général ; jamais le manager de votre restaurant ni vos collègues. Le fichier de paie porte les montants et le nombre de repas, jamais le commentaire.

Coût du personnel et jours fériés

Si votre employeur s’en sert : votre taux horaire brut, daté, saisi par la RH ou le manager général, pour estimer le coût du personnel de chaque établissement (vos heures prévues et faites, leurs majorations, les charges patronales de la société) et son rapport au chiffre d’affaires saisi ; le coût lui-même n’est pas conservé, il se calcule à l’affichage. Pourquoi : piloter la masse salariale. Base : l’intérêt légitime de l’employeur, la gestion de son entreprise. Qui le lit : la RH et le manager général seulement ; ni le manager de votre restaurant, ni vos collègues, ni vous dans votre espace (votre bulletin de paie porte votre taux). Le compteur de vos jours fériés (chômé payé, travaillé, à compenser, payé double) se calcule, lui aussi, d’après votre planning, vos heures et vos absences, sans rien conserver de plus ; vous le lisez dans « Mes compteurs », l’employeur sur votre fiche ; les heures du 1er mai et des fériés à compenser partent dans le fichier de paie.

Export vers la paie

Si votre employeur prépare sa paie avec Nolia : votre matricule de paie (votre numéro dans son logiciel de paie, saisi par la RH ou le manager général), les heures du mois tirées de vos semaines clôturées (heures supplémentaires et complémentaires par majoration, heures non majorées, heures travaillées, contrepartie obligatoire en repos) et vos absences validées du mois, par type — arrêts de travail compris —, avec leurs dates et leur nombre de jours ; selon le logiciel, vos nom et prénom. Le fichier est produit à la demande, puis jamais conservé par Nolia. Nolia garde en revanche le registre des exports : qui a exporté, quand, pour quel logiciel et dans quel format, les semaines lues, la correspondance des rubriques et, pour chaque salarié, son matricule, ses heures par élément, ses repas, ses primes et acomptes, et toutes ses absences du mois, envoyées ou non, pour signaler au prochain export ce qui a changé. Jamais : le motif d’une absence, les notes du planning, votre numéro de sécurité sociale. Pourquoi : préparer votre bulletin de paie sans ressaisie. Base : les obligations légales de l’employeur (bulletin de paie, Code du travail, article L3243-2) et votre contrat de travail ; pour le type d’un arrêt, l’article 9.2.b du RGPD, comme ci-dessus. Qui le lit : dans Nolia, la RH et le manager général seulement ; le fichier est remis par votre employeur à son cabinet de paie, ou importé dans son logiciel de paie (voir « Qui y accède »).

Documents

Les documents déposés par l’employeur (contrat de travail, contrat d’alternance, convention de stage, avenants) et les justificatifs que vous déposez ; pour chacun : son nom, son type, sa taille, son empreinte (pour prouver qu’il n’a pas été modifié), qui l’a déposé et, s’il est retiré, quand, par qui et pourquoi. Un contrat peut contenir votre numéro de sécurité sociale. Les justificatifs reçoivent un nom neutre (« Justificatif du 5 oct. 2026 »), jamais leur nom d’origine ; les photos perdent leurs métadonnées, dont la position GPS, et une photo dont la position ne peut pas être retirée est refusée. Chaque document est chiffré avant d’être enregistré ; chaque téléchargement est tracé. Base : votre contrat de travail et les obligations légales de l’employeur.

Bulletins de paie

Si votre employeur les dépose dans Nolia : une copie de chacun de vos bulletins de paie (un PDF par mois), son mois, sa taille, son empreinte, qui l’a déposé et quand ; un bulletin déposé de nouveau remplace le précédent, gardé à l’historique ; votre choix de recevoir vos bulletins sur papier, et sa date. Pourquoi : mettre une copie de vos bulletins à votre disposition, vous prévenir quand l’un arrive, et respecter votre droit de refuser leur remise électronique (Code du travail, L3243-2), dans « Mes données ». Nolia ne garantit pas l’accès à vos bulletins pendant cinquante ans : téléchargez-les et gardez-les. Base : les obligations légales de l’employeur (la remise du bulletin et son double). Qui le lit : vous, la RH et le manager général ; jamais le manager de votre restaurant ni vos collègues. Chaque bulletin est chiffré ; chaque consultation et chaque téléchargement sont tracés.

Messages

Les participants de chaque conversation, le texte des messages (chiffré avant d’être enregistré), leur auteur et leur heure d’envoi. Pour votre pastille « non lu », Nolia garde jusqu’où vous avez lu (l’heure du dernier message affiché), jamais l’heure à laquelle vous l’avez lu ; personne d’autre ne le voit. Pour choisir un destinataire, vous voyez le nom et l’équipe (ou la fonction) des personnes de votre entreprise qui ont un accès. Pourquoi : permettre aux personnes d’un même employeur de s’écrire. Base : l’intérêt légitime de l’employeur à offrir un outil de communication interne (article 6.1.f du RGPD) ; vous pouvez vous y opposer (voir « Vos droits »). L’écran rappelle de n’y rien écrire sur la santé, et qu’une convocation, une sanction ou un contrat ont leur forme légale ailleurs.

Signalements

Si un participant signale à l’employeur des messages qu’il a reçus : les messages choisis, recopiés tels qu’ils ont été envoyés, avec leur auteur et leur date ; le nom de la personne qui signale et celui de la personne signalée ; le nombre de participants de la conversation (pas leurs noms) ; le motif et une précision facultative (chiffrée) ; puis le traitement : qui l’a pris en charge et clos, quand, et la décision (chiffrée). Pourquoi : permettre à l’employeur de prévenir le harcèlement et d’y mettre fin, comme la loi l’y oblige. Base : l’obligation légale de l’employeur (Code du travail, articles L1152-4, L1153-5 et L4121-1). Un signalement fait de bonne foi ne peut pas vous être reproché. Ce signalement n’est pas la procédure d’alerte de la loi du 9 décembre 2016.

Notifications

Si vous les activez : les appareils qui les reçoivent (l’adresse fournie par votre navigateur, ses clés de chiffrement, un nom comme « iPhone » ou « Chrome sur Windows », les dates d’enregistrement et de dernier envoi), vos réglages (e-mail de secours, être prévenu pendant vos repos) et l’heure de chaque notification envoyée, avec son motif — jamais si vous l’avez ouverte. La cloche de Nolia garde aussi, même sans appareil, le fil de vos notifications : pour chacune, son motif, un texte court (« Nouveau message »), la page où elle mène, son heure, et si vous l’avez lue — jamais l’heure de lecture ; vous seul le voyez, jamais l’employeur. Les motifs : un nouveau message, un signalement à traiter, une semaine d’heures à viser (avec un rappel trois jours plus tard si elle reste à viser), une contestation d’heures à traiter, la réponse de l’employeur à votre contestation, une semaine clôturée sans votre visa. Pour ne pas vous déranger pendant vos repos, Nolia consulte votre planning publié et vos absences. Base : votre consentement, donné en acceptant les notifications sur votre appareil, que vous retirez à tout moment depuis la page Notifications ; l’e-mail de secours et la cloche reposent sur l’intérêt légitime de l’employeur à ce que les messages arrivent et que les heures soient visées, et l’e-mail se coupe dans les mêmes réglages. Une notification ne dit ni qui a écrit, ni ce qui est écrit, ni aucune heure, aucun nom, aucun texte de contestation ou de réponse — au plus le numéro et la période d’une semaine ; elle transite par le service de notification de votre navigateur, établi hors de l’Union européenne (voir « Qui y accède »).

E-mails

Nolia envoie les e-mails nécessaires au service : confirmation d’adresse, invitation, mot de passe oublié, planning publié ou modifié, demande ou signalement à traiter, message en attente, accusé de votre visa ou de votre contestation, avis de changement de votre accès. Leur sujet est fixe. Leur texte ne contient ni message ni auteur de message, ni type d’absence, ni horaire, avec deux exceptions. L’accusé de votre visa ou de votre contestation reprend vos propres heures de la semaine, jour par jour, avec leur empreinte, pour que vous en gardiez une copie hors de Nolia (jamais le texte de votre contestation). L’avis de changement de votre accès (accès retiré, nouvel accès créé pour votre fiche, adresse de votre fiche modifiée) part à votre ancienne adresse et donne la date et le nom de la personne qui a fait le changement, jamais la nouvelle adresse. Les autres invitent à se connecter. Chaque e-mail part en deux versions, texte et HTML, sans image, ni pixel, ni lien de suivi : personne ne sait si vous l’avez ouvert. Les e-mails de compte (confirmation, mot de passe, invitation) et les accusés du visa sont limités ensemble à cinq par heure vers une même adresse ; les avis de changement d’accès, à dix par heure vers une même adresse, dans une limite à part que les autres e-mails n’épuisent pas ; les autres avis sont regroupés (au plus un par quart d’heure et par semaine publiée pour le planning, un par quart d’heure pour les demandes, un toutes les trois heures pour les messages, un par heure pour les signalements).

Journal et sécurité

Un journal, en ajout seul, note qui a fait quoi, quand, sur quoi et depuis quelle adresse IP : création et modification des fiches et des créneaux, publication, dépôt, retrait et téléchargement de documents, décisions sur les demandes, ouverture et traitement des signalements, changements de rôle. Il ne contient ni nom, ni type d’absence, ni texte libre : seulement des identifiants et des nombres. Il note aussi chaque tentative de connexion par mot de passe à un compte : le résultat (réussie, second facteur demandé, mot de passe faux, essais suspendus, adresse pas encore confirmée), l’adresse IP et le navigateur, jamais le mot de passe. Les tentatives sur une adresse e-mail qui n’a pas de compte, comme les essais suspendus répétés et les rafales, ne sont que comptées, par réseau (le début de l’adresse IP : /24, ou /56 pour une IPv6) et par heure, sans aucune adresse e-mail, pendant 30 jours. La messagerie n’y écrit rien : ni qui écrit à qui, ni quand. Pour protéger le service contre les abus, Nolia compte en mémoire, pendant au plus vingt-quatre heures, les tentatives de connexion, les envois et les créations d’espace par adresse IP, par adresse e-mail et par compte ; ces compteurs ne sont pas conservés. Base : l’intérêt légitime de l’employeur et de Nolia à sécuriser le service et à pouvoir prouver ce qui s’est passé.

Visiteurs du site et messages reçus

Quand vous lisez ce site dans un navigateur, sans compte : aucun cookie, aucune mesure d’audience, aucun contenu chargé depuis un autre site (les polices de caractères comprises). Votre adresse IP et votre navigateur servent à vous envoyer les pages ; l’application ne les garde pas pour une simple visite. Si vous nous écrivez (adresse de contact, demande de démonstration) : votre adresse e-mail, votre nom, votre message et ce que vous nous dites de votre entreprise, avec nos réponses. Pourquoi : vous répondre, vous présenter Nolia, préparer une offre. Base : les mesures précontractuelles prises à votre demande, ou l’intérêt légitime de Nolia à répondre aux demandes qu’on lui adresse.

Compte employeur

Pour l’employeur lui-même : nom, adresse e-mail, mot de passe, nom du groupe, sa société (raison sociale, forme juridique, SIREN, adresse du siège, demandée à l’inscription, qui peut être l’adresse personnelle de l’employeur pour une entreprise individuelle, SIRET de chaque établissement), convention collective, fuseau horaire, établissements, formule (test, essai ou abonnement) et ses dates, et qui est l’administrateur de l’espace ; la facturation est décrite ci-dessous. Base : le contrat de service.

Codes d’accès. Quand Nolia ouvre un espace par un code d’accès, il garde l’adresse e-mail et le nom de la personne à qui il l’envoie, une note interne, les dates de création, d’expiration et d’usage, et le nom de l’espace créé ; jamais le code lui-même, seulement une empreinte qui permet de le reconnaître. Les codes refusés à l’inscription sont comptés en mémoire, par adresse IP, pendant une heure, sans être conservés. Base : les mesures précontractuelles prises à la demande du client et l’intérêt légitime de Nolia à n’ouvrir un espace qu’à la personne invitée.

Facturation

Quand l’employeur souscrit l’abonnement : la raison sociale, le SIREN, le numéro de TVA et l’adresse de facturation de chaque société facturée, l’adresse où envoyer les factures, les factures elles-mêmes, les paiements et les relances et, pour un prélèvement SEPA, le mandat signé et les coordonnées du compte prélevé. Rien n’est facturé pendant l’essai ni pendant une formule test. Pourquoi : facturer l’abonnement, encaisser, relancer et recouvrer, tenir la comptabilité. Base : le contrat ; les obligations comptables et fiscales (Code de commerce, article L123-22). Dès que la loi l’impose, les factures passent par une plateforme agréée de facturation électronique (article 7 des conditions générales).

Badgeuse

Seulement si l’employeur la met en service dans un établissement, à une date dont les salariés sont informés à l’avance par la note d’information : rien n’est enregistré avant. Pour chaque badge : l’heure (arrivée ou départ), donnée par l’horloge du serveur ; l’établissement ; le moyen utilisé (code affiché sur une tablette ou sur le téléphone du manager, code personnel tapé sur une tablette, code d’arrivée remis au manager, déclaration sans code) ; qui l’a enregistré s’il ne s’agit pas du salarié (le manager) ; et le créneau prévu auquel il se rapporte. Le code d’arrivée n’est jamais conservé : il se recalcule ; seuls sa période de validité et son usage le sont. Le code personnel, s’il est choisi, n’est conservé que sous une forme qui ne permet pas de le retrouver, avec le nombre d’essais faux. Le secret de chaque tablette et celui de l’établissement sont chiffrés. Jamais de position, de photo, d’empreinte digitale, de reconnaissance du visage ni de réseau Wi-Fi. Utiliser son téléphone personnel pour badger est un choix : la tablette de l’établissement, si elle est installée, ou la saisie de ses heures par le manager permettent toujours de s’en passer. Base : l’obligation de l’employeur de décompter le temps de travail de façon fiable (Code du travail, articles L3171-2, D3171-8 et L3171-4). Qui y accède : le salarié les siens ; le manager de son établissement, la direction et la RH ; sur la tablette de l’établissement, toute personne présente voit les prénoms décrits ci-dessous. Combien de temps : voir « Combien de temps ».

La tablette : elle n’a pas de compte. Nolia ne garde d’elle que l’empreinte de son cookie, son secret chiffré, l’heure de son dernier contact et l’écart de son horloge. Aux heures où elle est ouverte seulement (hors service, elle affiche « Fermé » et ne reçoit aucun prénom), pour badger sans téléphone, elle affiche les prénoms des personnes attendues ce jour-là, puis, sur demande (« Autre prénom »), ceux des autres salariés de l’établissement — l’initiale du nom seulement quand deux prénoms se ressemblent —, jamais une heure de fin, un poste ou une absence ; et, une minute, le prénom, le sens et l’heure des derniers badges. Quand une personne touche son prénom, la tablette reçoit le sens de son dernier badge (arrivée ou départ, pour proposer l’autre), pour elle seule. Un badge fait sur la tablette, ou saisi par le manager, est signalé au salarié par une notification sur son téléphone s’il a installé l’application ; sinon, il le voit dans « Badger » et dans « Mes heures ».

Sans réseau : la tablette, ou « Badger » sur le téléphone du salarié, garde le badge sur l’appareil jusqu’au retour du réseau, 72 heures au plus : la personne, le sens, l’heure de l’appareil et, sur la tablette, le code personnel chiffré pour Nolia seul (ni la tablette ni une copie de ses données ne permettent de le relire ou de le deviner) ; sur le téléphone, le code de la tablette ou du restaurant tapé. Le badge est effacé de l’appareil dès qu’il est envoyé (ou refusé). Reçu, il est vérifié comme en ligne et garde, avec sa marque « hors connexion », l’heure annoncée par l’appareil et son heure de réception ; il ne compte jamais sans la décision du manager, qui le voit dans « À valider ».

Conditions, règles et note d’information

À la première connexion, et à chaque nouvelle version d’un texte, Nolia enregistre qui a accepté les conditions générales et le contrat de sous-traitance des données au nom de sa société (l’administrateur de l’espace), qui a pris connaissance des règles d’utilisation et de la note d’information de son employeur, et qui a choisi le support de son visa ou l’a remis à plus tard : l’identifiant du compte, le nom et l’adresse de connexion au moment du geste, la fiche du salarié à laquelle le compte est relié (la preuve reste ainsi après le retrait de son accès), le texte, sa version et son empreinte, la date et l’heure, l’adresse IP (pour une adresse IPv6, son préfixe /64 : un réseau, pas un appareil), le navigateur, la fonction déclarée par l’administrateur et, pour le contrat, la raison sociale, le SIREN et la forme juridique de la société au moment de l’acceptation. Rien ne s’y modifie ensuite. Base : pour le contrat, l’exécution du contrat et la preuve de son acceptation (Code civil, article 1119) ; pour les règles et la note, l’obligation de l’employeur d’informer ses salariés avant toute collecte (Code du travail, article L1222-4) et la preuve de cette information. Qui y accède : chacun les siennes ; le manager général celles de son groupe ; la RH celles des salariés de son périmètre (jamais celles d’un compte de direction sans fiche, ni l’acceptation du contrat) ; Nolia celles du contrat. Combien de temps : la durée du contrat, puis [à compléter : 5 ans proposés].