Comment Strignal utilise vos données

Strignal, édité par Soufiane El Karnoubi, entrepreneur individuel exerçant sous le nom commercial GAME DEALER, utilise les données nécessaires au fonctionnement du service, aux comptes, aux accès, au support et à la sécurité. Cette information concerne tous ses utilisateurs et ne demande aucune déclaration juridique à l’employeur.

Selon les fonctionnalités utilisées : identité et coordonnées, compte, rattachements et permissions, sessions, dossiers salariés, horaires et jours planifiés, postes, absences de haut niveau, demandes et décisions de congés, notifications et documents. Ces informations proviennent des utilisateurs autorisés et des traces techniques nécessaires au service.

Strignal traite les données confiées par les organisations dans son rôle de prestataire technique et gère ses propres besoins de fonctionnement, de compte et de sécurité. Il ne valide pas l’usage RH fait par ses clients et ne remplace pas leurs informations relatives à leurs propres traitements.

Les accès sont limités par compte, organisation, rôle et permissions. Un salarié consulte ses données autorisées et, lorsque cette fonctionnalité est activée, un planning d’équipe minimisé. Les managers disposent uniquement du périmètre qui leur est attribué.

Maladie reste une catégorie de haut niveau. Les autres salariés ne reçoivent pas le motif médical d’une absence : les vues collectives, PDF et impressions utilisent Absence, avec neutralisation côté serveur. Aucun diagnostic, symptôme, traitement, certificat médical ou commentaire médical dédié n’est demandé.

Les demandes de congés ne comprennent ni commentaire salarié ni pièce jointe. Un message facultatif de refus est réservé à la personne concernée et aux personnes autorisées ; il n’apparaît pas dans les emails, journaux ou plannings collectifs.

Les emails de planning et de congés contiennent une information générique et un lien authentifié, sans motif d’absence ou message de refus. Les notifications conservent leurs références, destinataires, dates, états d’envoi et première lecture. Une lecture de notification ne vaut pas prise de connaissance du planning.

Une prise de connaissance du planning relie la personne et son compte à une révision et à son empreinte : texte et version, date, adresse IP, agent utilisateur, empreinte du PDF et traces de vérification du code, sans conserver le code OTP brut.

L’acceptation des CGU conserve uniquement la référence du compte, les versions et empreintes des documents, la langue et la date serveur. Elle ne collecte pas de nouvelle adresse IP ni d’agent utilisateur et ne suit pas la lecture des textes. Elle est distincte du consentement au traitement des données et de la prise de connaissance du planning.

Les destinataires sont les utilisateurs autorisés, Strignal pour les besoins limités du service et ses prestataires techniques nécessaires. Depuis le 6 octobre 2026, OVH SAS assure l’hébergement principal en France : application et base PostgreSQL à Gravelines, documents et avatars dans un stockage objet privé à Gravelines, sauvegardes chiffrées dans un stockage privé distinct à Strasbourg. Brevo assure les emails transactionnels. Healthchecks reçoit des requêtes de présence sans contenu client pour surveiller les sauvegardes, avec des métadonnées réseau et horaires ; son entité contractuelle et sa localisation restent à confirmer. GitLab gère le code, la CI/CD et les images, sans stockage intentionnel de jeux de données client de production. Google Cloud est l’ancien hébergeur et conserve temporairement des copies historiques pendant l’observation de la migration ; retrait et suppression restent à effectuer et à vérifier. Certains accès support ou sous-traitants peuvent impliquer des traitements hors de l’Espace économique européen sous les garanties applicables. Strignal maintient les informations relatives à ses prestataires.

Le service utilise des contrôles d’accès, l’authentification et la vérification en deux étapes, des sessions contrôlées et des mécanismes de sécurité. Les données clients ne sont pas réutilisées pour des démonstrations, des tests de développement ou l’entraînement d’une IA. Aucun outil d’analyse d’audience ou de publicité n’est activé.

Les durées suivantes sont des limites et valeurs par défaut du service, pas des durées légales universelles. Profil et coordonnées identifiables : jusqu’à 12 mois après le départ avant minimisation ; plannings et révisions : 2 ans par défaut ; motif Maladie : neutralisation en Absence 12 mois après la fin de l’absence ; journaux de sécurité et support : 12 mois.

Demandes de congés, décisions, refus et annulations : deux années civiles après la plus tardive de la transition finale ou de la dernière date demandée, sous réserve des demandes en cours, des gels documentés et des références encore nécessaires à la protection du planning. Notifications et envois : 365 jours après l’événement.

Preuves et PDF de prise de connaissance : deux années civiles après la confirmation enregistrée. Les consultations et téléchargements ne prolongent pas cette durée. Un gel documenté suspend la suppression sans remettre le délai à zéro ; la suppression de la preuve et du PDF est coordonnée.

Les sauvegardes applicatives de la base sont chiffrées avant envoi vers un stockage OVH privé distinct à Strasbourg, programmées chaque jour à 02:00 UTC et conservées 30 jours. Les versions remplacées des documents et avatars dans le stockage de Gravelines expirent après 30 jours ; les objets actifs suivent leur cycle applicatif. Cette infrastructure sur un seul VPS ne fournit pas de restauration à un instant donné équivalente au PITR de Cloud SQL ni de nouvel engagement de disponibilité. Les sauvegardes techniques des fournisseurs et les copies historiques de transition peuvent suivre des cycles distincts. Une période technique de récupération de sortie peut aller jusqu’à 90 jours. Les échéances sont gérées par les mécanismes du service et les procédures de son opérateur ; leur indication ne garantit pas une suppression automatique instantanée de chaque copie.

Les reçus d’acceptation des CGU sont conservés pendant la vie du compte et supprimés avec celui-ci, sans archive supplémentaire. Le retrait d’un rattachement à une organisation n’équivaut pas à la suppression du compte.

Contactez privacy@strignal.fr pour toute question ou demande d’accès, de rectification, de copie, d’effacement, de limitation ou d’opposition selon son applicabilité. Les demandes de copie ou d’export sont traitées par email après les vérifications nécessaires. Vous pouvez demander les informations dont vous avez besoin avant leur expiration.

Lorsque la demande concerne des données gérées pour une organisation, Strignal l’oriente vers celle-ci et apporte son assistance technique. Cela ne lui confère aucun rôle de validation des pratiques RH du client. Vous pouvez également adresser une réclamation à la CNIL. Pour signaler un incident de sécurité : security@strignal.fr.