Déclaration de confidentialité — TimeViking
Dernière mise à jour : 12 octobre 2026
1. Qui sommes-nous
TimeViking est un service de Software Services BV, Meldertsestraat 8/4008, 3545 Halen, Belgique, numéro d'entreprise BE 0895.317.225, e-mail info@timeviking.com. Nous sommes responsables du traitement des données personnelles sur notre site web et de la gestion des comptes clients et des abonnements.
Pour les heures et les données des employés qu'un client saisit dans le service, le client est responsable du traitement et nous sommes sous-traitant. Cela figure dans l'accord de traitement des données. La présente déclaration porte sur ce que nous traitons nous-mêmes en tant que responsable du traitement.
2. Quelles données, pourquoi et sur quelle base
| Quoi | Pourquoi | Base (RGPD art. 6) | Combien de temps |
|---|---|---|---|
| Nom, e-mail, nom de l'entreprise, langue, mot de passe (haché) lors de l'inscription | Créer et sécuriser un compte | Contrat (b) | Tant que le compte existe |
| Adresse e-mail, nom de l'entreprise, nom et langue d'une nouvelle inscription, signalés par e-mail à l'administrateur du service | Être informé des nouveaux clients, pouvoir les aider et repérer les abus | Intérêt légitime (f) | Tant que cet e-mail est utile, au maximum 2 ans |
| Adresse IP, navigateur, heure de l'inscription | Prévenir les abus et la fraude (limites, preuve) | Intérêt légitime (f) | 90 jours, puis effacées |
| Résultat du contrôle anti-robot (reCAPTCHA) | Empêcher les inscriptions par des robots | Intérêt légitime (f) | Conservé avec l'inscription |
| Connexion via Google ou Microsoft : e-mail et identifiant technique | Se connecter sans mot de passe | Contrat (b) | Tant que le compte existe |
| Données de facturation : nom, adresse, e-mail, numéro de TVA, pays, type de client | Factures et TVA | Obligation légale (c) et contrat (b) | Le délai légal de conservation des factures (10 ans) |
| Preuve du lieu d'établissement du client : pays de l'adresse de facturation, de l'adresse IP et du moyen de paiement | TVA sur les services électroniques (règlement d'exécution UE 282/2011, art. 24 ter) | Obligation légale (c) | Comme les factures |
| Contrôle de TVA via VIES (numéro de consultation) | Preuve que l'autoliquidation de la TVA était justifiée | Obligation légale (c) | Comme les factures |
| Paiements (via Mollie) : montant, statut, moyen de paiement, pays de la carte ou du compte | Payer l'abonnement | Contrat (b) | Comme les factures |
| Messages via le formulaire de contact | Répondre à votre question | Intérêt légitime (f) | 2 ans |
| Journaux techniques (erreurs, connexions) | Sécuriser le service et en assurer le fonctionnement | Intérêt légitime (f) | 90 jours |
| E-mails du service (confirmation de votre inscription, invitations, rappels, factures et avis concernant votre abonnement) | Fournir le service et vous tenir informé | Contrat (b) | Tant que le compte existe |
| Clé API pour Odoo (d'un utilisateur bot ou personnelle) ainsi que l'adresse et la base de données de l'Odoo | Faire fonctionner la connexion à Odoo | Contrat (b) ; pour le contenu : sous-traitant | Tant que la connexion existe ; la clé est conservée sous forme chiffrée |
| Données de congés des employés d'un client (type, période, solde ; la maladie est une donnée de santé) | Afficher, demander et synchroniser les congés avec Odoo, pour le compte du client | Nous sommes sous-traitant ; la base se situe chez le client (pour la maladie, art. 9) | Tant que l'environnement existe, puis supprimées (§6) |
| Journal d'audit (qui a modifié quoi dans un environnement) | Sécurité et preuve pour le client | Intérêt légitime (f) ; pour le contenu : sous-traitant | Tant que l'environnement existe |
Notification d'une nouvelle inscription
À chaque nouvelle inscription, l'administrateur du service (le propriétaire de Software Services BV) reçoit un e-mail indiquant l'adresse e-mail, le nom de l'entreprise, le nom et la langue du nouveau client. Aucun mot de passe, adresse IP ni lien de confirmation n'y figure. Nous le faisons pour pouvoir aider les nouveaux clients et repérer les abus.
Connexion à Odoo
Le client connecte son propre Odoo. Pour cela, nous conservons l'adresse et la base de données de cet Odoo ainsi qu'une clé API, chiffrées et jamais dans les journaux. La clé est celle d'un utilisateur bot, ou la clé personnelle d'un utilisateur qui souhaite faire synchroniser ses propres heures avec Odoo ; ce dernier peut toujours la supprimer lui-même. Dans Odoo, nous ne lisons et n'écrivons que ce dont le service a besoin (heures, projets, tâches, employés et, si le client l'autorise, congés).
Données de congés dans le service
Si un client utilise les congés dans le service, nous traitons, en tant que sous-traitant (et non en tant que responsable du traitement), le type de congé, la période, l'état de la demande et le solde des employés du client. Si le type indique la maladie, il s'agit d'une donnée de santé (RGPD art. 9). Les règles suivantes s'appliquent donc :
- Les collègues voient seulement que quelqu'un est « absent », pas pourquoi. Seuls l'employé, son manager et l'administrateur voient le type.
- Nous ne lisons ni ne conservons le motif que quelqu'un saisit dans Odoo pour un congé.
- Pour les congés, le journal d'audit ne conserve que l'état, qui a décidé, les dates et le type ; jamais une note ni un motif.
- Les données de congés restent tant que l'environnement existe, figurent dans l'export et sont supprimées avec lui (voir §6).
Si vous voulez savoir ce que votre employeur fait de vos données de congés, ou exercer vos droits, adressez-vous d'abord à votre employeur.
Nous ne vendons pas de données et ne les utilisons pas à des fins publicitaires.
Statistiques de fréquentation du site web
Nous comptons nous-mêmes les visites du site web, sur notre propre serveur, sans cookies et sans service externe. Par jour, nous ne conservons que le nombre de visites par page, avec la version linguistique, le domaine, le domaine du site référent (pas l'adresse complète), les codes de campagne utm_source, utm_campaign et ref de l'adresse, et le type d'appareil (ordinateur, smartphone ou tablette), déduit des informations du navigateur. Nous ne conservons ni votre adresse IP ni les informations du navigateur elles-mêmes. Pour compter les visiteurs uniques, nous calculons chaque jour un code irréversible à partir de votre adresse IP et de votre navigateur, avec un sel aléatoire qui change chaque jour et n'est conservé nulle part : nous ne pouvons donc pas vous reconnaître, même d'un jour à l'autre. Les robots ne sont pas comptés. Base juridique : intérêt légitime (savoir quelles pages sont lues). Les comptages sont anonymes et restent chez nous.
3. Destinataires (sous-traitants ultérieurs et tiers)
| Qui | Pour quoi | Où |
|---|---|---|
| Notre hébergeur | Serveurs, bases de données et sauvegardes | Union européenne |
| Notre propre serveur de messagerie | Envoi des e-mails du service | Sur nos serveurs dans l'Union européenne |
| Mollie B.V. | Paiements | UE (Pays-Bas) |
| Google (reCAPTCHA) | Contrôle anti-robot lors de l'inscription et du formulaire de contact | États-Unis (cadre de protection des données UE-États-Unis) |
| Google et Microsoft (connexion) | Uniquement si vous choisissez de vous connecter ainsi | États-Unis (cadre de protection des données UE-États-Unis) |
| La Commission européenne (VIES) | Contrôle des numéros de TVA | UE |
| Plausible Analytics | Statistiques de fréquentation du site web, sans cookies et sans profil personnel (uniquement si activé) | UE |
L'Odoo d'un client n'est pas un sous-traitant ultérieur de notre part : le client le connecte lui-même et en reste responsable.
4. Vos droits
Vous avez un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (RGPD art. 15 à 21). Envoyez un e-mail à info@timeviking.com ; nous répondons dans un délai d'un mois. Un administrateur de l'environnement peut exporter lui-même dans l'application toutes les données de l'environnement (Paramètres › Abonnement › Tout exporter) et faire supprimer l'environnement.
Vous pouvez introduire une plainte auprès de l'Autorité de protection des données, rue de la Presse 35, 1000 Bruxelles, www.autoriteprotectiondonnees.be.
5. Cookies et reCAPTCHA
Voir la politique de cookies. L'application n'utilise que des cookies nécessaires (la session). Sur la page d'inscription et le formulaire de contact, Google reCAPTCHA se charge, dépose des cookies et envoie des données à Google. Nous l'utilisons pour empêcher les abus par des robots (intérêt légitime) ; la politique de confidentialité de Google s'applique aussi sur ces pages.
6. Après la fin d'un abonnement
Après l'essai ou après la résiliation, un environnement reste en lecture seule pendant 60 jours : vous pouvez encore tout consulter et exporter. Ensuite, nous supprimons la base de données de l'environnement et les comptes de connexion. Ce que nous devons conserver légalement (factures, paiements, preuve pour la TVA) est conservé aussi longtemps que la loi l'exige. Les sauvegardes disparaissent après 35 jours.
7. Sécurité
Chaque client dispose de sa propre base de données et de son propre utilisateur de base de données. Les mots de passe sont conservés hachés ; les clés pour Odoo et le secret du module sont conservés chiffrés. La vérification en deux étapes est disponible et peut être rendue obligatoire par environnement. L'accès pour notre propre administration exige toujours la vérification en deux étapes.
8. Modifications
Nous adaptons la présente déclaration lorsque le service évolue. Nous informons par e-mail les administrateurs des environnements des modifications importantes.