Politique de confidentialité

1. Responsable du traitement

[RAISON SOCIALE], [FORME JURIDIQUE], SIRET [SIRET], siège [ADRESSE], représentée par [NOM DU REPRÉSENTANT LÉGAL], est responsable des traitements réalisés via la plateforme URGAD (site, back-office, applications Android et iOS).

Chaque Établissement qui reçoit les données d'un Professionnel candidat devient responsable de son propre traitement de recrutement et de gestion de la Mission.

2. Données collectées

Professionnels de santé

• Identité et contact : nom, prénom, date de naissance si renseignée, e-mail, numéro de téléphone (vérifié par code SMS), photo si fournie.
• Données professionnelles : profession, expérience, compétences, services, disponibilités, établissements précédents, présentation.
• Justificatifs : diplômes, numéro RPPS ou ADELI, attestations. Ces documents servent à vérifier l'autorisation d'exercer.
• Pièce d'identité (Professionnels) : carte nationale d'identité, passeport ou titre de séjour, recto et verso. Elle sert uniquement à vérifier que la personne proposée à un Établissement est bien celle qui a créé le compte et, pour un titre de séjour, son droit de travailler en France. Nous enregistrons aussi le résultat de la vérification (vérifié ou refusé, motif, date, membre de l'équipe).
• Localisation : adresse, code postal et ville saisis, coordonnées GPS calculées à partir de cette adresse, rayon de mobilité. La position actuelle de l'appareil n'est utilisée qu'à votre demande (« Ma position ») pour filtrer les missions. Elle n'est pas enregistrée.
• Activité : candidatures, missions, messages échangés avec les Établissements, notifications reçues.

Établissements

• Raison sociale, type, SIRET, adresse et coordonnées GPS calculées, téléphone, e-mail.
• Nom et coordonnées du responsable du compte.
• Missions publiées, candidatures reçues, messages, documents de l'établissement, formule d'abonnement et historique de paiement. Les numéros de carte sont traités par le prestataire de paiement, jamais par URGAD.

Tous les utilisateurs

• Données de connexion : mot de passe stocké sous forme chiffrée (hachage bcrypt), jeton de session, journal des actions sensibles (avec adresse IP le cas échéant).
• Identifiant technique de l'appareil pour les notifications push (jeton Firebase Cloud Messaging / Apple Push Notification service), plateforme (Android, iOS, web).
• Date et version des CGU acceptées.

3. Finalités et bases légales

URGAD ne vend pas vos données et ne fait pas de publicité ciblée. Aucune décision produisant des effets juridiques n'est prise de façon entièrement automatisée : le filtrage par distance trie les missions, et l'Établissement décide seul de retenir un candidat.

4. Durées de conservation (propositions à valider)

Quand vous supprimez votre compte depuis vos réglages, les fichiers justificatifs sont effacés. Votre identité, vos coordonnées, votre adresse, vos notifications et vos appareils sont supprimés ou anonymisés. Les données que la loi impose de garder sont conservées le temps requis.

5. Destinataires

• Personnel habilité de [RAISON SOCIALE] (support, vérification, administration), dans la limite de ses besoins.
• Établissements : le profil présélectionné par notre équipe (prénom et initiale du nom, qualification, années d'expérience, distance, badges « Identité vérifiée » et « Diplôme vérifié ») ; le nom complet et les coordonnées du Professionnel seulement après validation de la mission ; les messages échangés. Les pièces d'identité et leurs fichiers ne sont jamais communiqués aux Établissements.
• Professionnels : informations publiques des missions et de l'Établissement (nom, adresse, horaires, rémunération indicative).
• Sous-traitants techniques listés ci-dessous, liés par contrat (art. 28 RGPD).
• Autorités administratives ou judiciaires, sur demande légale.

6. Hébergement et sous-traitants

Le chargement des cartes, polices et bibliothèques transmet votre adresse IP à ces fournisseurs. [Recommandation : auto-héberger ces fichiers avant la mise en ligne.]

7. Transferts hors de l'Union européenne

Certains prestataires (Google, Apple, éventuellement le prestataire de paiement) peuvent traiter des données hors de l'UE, notamment aux États-Unis. Ces transferts reposent sur la décision d'adéquation UE–États-Unis (Data Privacy Framework) pour les entreprises certifiées, ou sur les clauses contractuelles types de la Commission européenne. [Liste et garanties à confirmer avec chaque prestataire.] Les données transmises pour les notifications se limitent au jeton de l'appareil et au contenu de la notification.

8. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition (pour les traitements fondés sur l'intérêt légitime) et de portabilité, ainsi que du droit de retirer votre consentement à tout moment et de définir des directives sur le sort de vos données après votre décès.

• Directement dans l'application : « Télécharger mes données » (export JSON complet) et « Supprimer mon compte », dans les réglages Sécurité (Professionnel) ou Mon établissement.
• Notifications et position : désactivables dans les réglages du téléphone ou du navigateur.
• Par e-mail : [EMAIL CONTACT]. Une preuve d'identité peut être demandée en cas de doute raisonnable.

Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe.

9. Contact et délégué à la protection des données

Délégué à la protection des données (DPO) : [NOM DU DPO OU « non désigné »], joignable à [EMAIL DPO] ou par courrier à [ADRESSE].

10. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr/fr/plaintes.

11. Cookies et stockage local

URGAD n'utilise aucun cookie publicitaire ni outil de mesure d'audience. Seuls des éléments techniques strictement nécessaires, exemptés de consentement (article 82 de la loi Informatique et Libertés), sont utilisés :

• sessionStorage : jeton de connexion, effacé à la fermeture de l'onglet ou à la déconnexion.
• localStorage (application mobile) : jeton de notification de l'appareil, supprimé à la déconnexion.

Si un outil de mesure d'audience ou un service tiers déposant des cookies est ajouté, un bandeau de consentement sera mis en place au préalable.

12. Sécurité

• Chiffrement des échanges (HTTPS/TLS) en production. Mots de passe hachés (bcrypt). Jetons de session signés et à durée limitée.
• Accès aux justificatifs réservé au titulaire et aux administrateurs habilités. Journal des actions d'administration.
• Principe de minimisation : la position de l'appareil n'est pas conservée, et le cache de géocodage ne contient aucune identité.
• Pièces d'identité : consultables uniquement par les administrateurs habilités de [RAISON SOCIALE] (ni les Établissements, ni les autres Professionnels) ; chaque consultation est journalisée ; fichier effacé après vérification.
• Sauvegardes et procédure de notification des violations de données à la CNIL sous 72 heures (art. 33 RGPD) : [À DOCUMENTER].

13. Mineurs et données de santé

La Plateforme est réservée aux majeurs. Elle traite des données professionnelles des soignants (diplômes, numéros RPPS/ADELI), et non des données de santé de patients. Il est interdit de transmettre via la messagerie ou les documents des informations médicales concernant des patients ou des résidents. Si de telles données devaient être hébergées, un hébergeur certifié HDS serait requis.

14. Modifications

Cette politique peut évoluer. En cas de changement important, vous serez informé dans l'application ou par e-mail avant son entrée en vigueur.