Politique de confidentialité

Dernière mise à jour : 10 septembre 2026 (version 2026-09-10). La loi applicable est la loi fédérale mexicaine sur la protection des données personnelles détenues par les particuliers (Ley Federal de Protección de Datos Personales en Posesión de los Particulares), publiée le 20 mars 2025.

Ceci est une traduction. Seul le texte espagnol de la présente politique fait foi.

Qui répond de chaque donnée

RepseShield est une plateforme exploitée par ByShovel LLC, dont l'adresse est 3916 N Potsdam Ave, PMB 2219, Sioux Falls, Dakota du Sud 57104, États-Unis d'Amérique. ByShovel LLC est responsable du traitement (responsable) des données des personnes qui utilisent la plateforme : celles qui créent un compte, celles qui reçoivent une invitation et celles qui nous écrivent.

Pour les données des travailleurs que les entreprises déposent sur la plateforme, le responsable est l'entreprise qui les dépose et ByShovel LLC agit en tant que sous-traitant de données (encargado, article 2, section XII de la Loi) : nous les traitons pour le compte de cette entreprise et conformément à la présente politique, non à nos propres fins. Cela ne dépend d'aucun contrat de traitement de données que l'entreprise cliente et son prestataire signent entre eux : ce document régit la relation entre ces deux entreprises, pas la nôtre.

Données personnelles que nous traitons

Des personnes qui utilisent la plateforme : nom complet, adresse e-mail, téléphone lorsqu'un administrateur de leur entreprise l'enregistre, l'entreprise à laquelle elles appartiennent et leur rôle dans celle-ci, préférence de langue, et données techniques de session (adresse IP, journaux d'accès et journal des actions qu'elles effectuent dans la plateforme).

Des travailleurs des entreprises utilisatrices, déposées par celles-ci : nom complet, CURP (clé d'identification personnelle mexicaine), NSS (numéro de sécurité sociale mexicain), RFC (identifiant fiscal mexicain), salaire journalier de base de cotisation (salario base de cotización), spécialisation ou poste, affectations à des projets et à des chantiers, embauches et départs (altas y bajas), attestations de formation, ainsi que les bulletins de paie électroniques (CFDI de nómina) avec leurs rémunérations, retenues, périodes et dates de paiement. Le module de contrôle des accès aux chantiers enregistre aussi les entrées et les sorties et, lorsque l'appareil la fournit, une localisation approximative du scan.

En outre, les documents que les entreprises déposent (avis de conformité, accusés de réception ICSOE et SISUB, contrats, conventions, accusés de l'IMSS et de l'INFONAVIT, factures et justificatifs) peuvent contenir des données personnelles supplémentaires que nous ne contrôlons pas, car c'est l'émetteur du document qui les détermine.

Nous ne demandons pas de données personnelles sensibles au sens de l'article 2, section VI de la Loi, et la plateforme n'utilise ni reconnaissance faciale ni empreintes digitales. Les données patrimoniales des travailleurs (salaire, rémunérations) sont traitées par leur employeur, qui est celui dont la relation de travail avec eux rend ces données nécessaires.

À quoi nous les utilisons

Pour créer et gérer votre compte et vous authentifier au moyen de liens de connexion envoyés par e-mail ; tenir le dossier de conformité REPSE entre votre entreprise et ses contreparties ; classer et examiner les documents déposés ; calculer les échéances, les indicateurs de couleur et les rappels ; générer les rapports et dossiers de défense que demande l'entreprise utilisatrice ; vous assister ; et assurer la sécurité et la journalisation de la plateforme. Nous n'utilisons pas vos données à des fins publicitaires et nous ne les vendons pas.

Examen automatisé des documents

La plateforme soumet les documents déposés en PDF ou en image à un examen automatisé par des modèles de langage : pour déterminer de quel document il s'agit et quelle date il indique, pour vérifier si un contrat contient les clauses qu'exige l'article 14 de la loi fédérale du travail mexicaine (Ley Federal del Trabajo), pour examiner les justificatifs mensuels et les attestations de formation, et pour l'analyse des preuves de la réalisation effective des prestations (materialidad). Le contenu intégral du fichier, y compris les données personnelles qu'il contient, est envoyé à cette fin par l'intermédiaire d'OpenRouter, Inc., qui le transmet au fournisseur du modèle choisi : Anthropic PBC (modèles Claude) ou Google LLC (modèles Gemini). Si l'entreprise utilisatrice enregistre dans la plateforme sa propre clé Anthropic ou OpenRouter, ses documents sont envoyés avec cette clé, dans le cadre du contrat qu'elle a conclu avec ce fournisseur. La transcription des notes vocales que l'équipe fondatrice envoie à l'assistant interne passe aussi par OpenRouter, avec un modèle de Google.

Les fichiers de tableur et CSV sont conservés pour être lus par une personne et ne sont envoyés à aucun modèle. Aucune décision produisant des effets juridiques n'est prise uniquement par des moyens automatisés : les résultats du modèle sont des signaux qu'une personne de l'entreprise utilisatrice examine puis accepte ou rejette, et ils sont enregistrés avec le modèle, la version du prompt et la date. Conformément à l'article 26, section II de la Loi, vous pouvez vous opposer au traitement automatisé de vos données lorsqu'il produit pour vous des effets juridiques non souhaités ou affecte de manière significative vos intérêts.

Qui voit quoi dans la plateforme

Un document est déposé une seule fois et il est visible par l'entreprise qui l'a déposé et par la contrepartie de chaque relation dans laquelle cette entreprise le partage. Un prestataire qui travaille pour plusieurs clients n'expose pas les documents d'un client à un autre : chaque client ne voit le document qu'à travers sa propre relation. Une entreprise qui n'est pas contrepartie directe ne voit jamais le dossier. Lorsqu'une relation prend fin, l'accès de la contrepartie est limité à la date de fin enregistrée.

L'entreprise utilisatrice peut générer un dossier de défense pour une inspection et des exports CSV, et elle peut émettre des clés d'accès à une interface de consultation pour son propre système. Ces fichiers peuvent contenir les noms, les CURP et les bulletins de paie des travailleurs, et ils sont sous le contrôle de l'entreprise qui les génère dès qu'elle les télécharge.

Sous-traitants de données et transferts

Pour exploiter la plateforme, nous faisons appel à des fournisseurs qui traitent des données pour notre compte : Supabase (base de données et stockage des documents), Fly.io (exécution de l'application), Cloudflare (réseau et protection du site), Mailgun (envoi et réception des e-mails), OpenRouter, Inc. (acheminement de l'examen automatisé des documents et transcription des notes vocales internes), Anthropic PBC et Google LLC (modèles qui réalisent cet examen) et Telegram (assistant interne de l'équipe fondatrice). En dehors de ces sous-traitants de données, nous ne transférons pas vos données personnelles à des tiers, sauf obligation légale ou demande d'une autorité compétente.

L'application et la base de données sont hébergées aux États-Unis. Les autres sous-traitants de données exploitent des réseaux mondiaux et peuvent traiter les données depuis d'autres lieux ; nous ne garantissons pas que le traitement a lieu exclusivement dans un seul pays.

Conservation

La plateforme ne supprime pas de documents d'elle-même. Lorsqu'une entreprise archive un document, celui-ci ne compte plus pour son dossier en cours, mais l'enregistrement est conservé, car il prouve ce qui était déposé à chaque date. Le journal d'audit n'est ni modifié ni supprimé.

Nous conservons les informations pendant toute la durée de la relation avec l'entreprise utilisatrice, puis tant que courent les délais légaux de conservation : cinq ans pour les registres de paie (article 15, section II de la loi sur la sécurité sociale, Ley del Seguro Social, et article 8 du règlement sur la sécurité sociale obligatoire des travailleurs de la construction, Reglamento del Seguro Social Obligatorio para los Trabajadores de la Construcción) et cinq ans pour la documentation fiscale (article 30 du code fiscal fédéral, Código Fiscal de la Federación). Passé ce délai, la suppression intervient dans les conditions de l'article 10 de la Loi, avec le blocage préalable qu'impose l'article 24. Chaque entreprise utilisatrice peut consulter ces informations et donner des instructions à ce sujet depuis la section « Datos personales » (Données personnelles) de son entreprise.

Une exception s'applique automatiquement : la localisation approximative enregistrée lors du scan d'un badge sur un chantier est supprimée au bout de douze mois, sans toucher à l'enregistrement d'entrée ou de sortie.

Sécurité

Nous maintenons des mesures administratives, techniques et physiques pour protéger les données personnelles contre les dommages, la perte, l'altération, la destruction ou l'accès non autorisé, conformément à l'article 18 de la Loi : chiffrement en transit, accès par session authentifiée et selon le rôle, séparation des informations de chaque entreprise dans chaque requête, et journal des actions effectuées. Les personnes qui interviennent dans le traitement sont tenues à la confidentialité, y compris après la fin de leur relation avec nous (article 20).

Si une violation de sécurité affecte de manière significative vos droits patrimoniaux ou moraux, nous vous en informerons immédiatement afin que vous puissiez prendre des mesures, conformément à l'article 19 de la Loi. Lorsque la violation touche des données de travailleurs déposées par une entreprise utilisatrice, nous en informerons cette entreprise, qui est responsable envers ces personnes.

Droits ARCO et révocation du consentement

Vous pouvez exercer vos droits d'accès, de rectification, de suppression et d'opposition (ARCO, d'après leurs initiales en espagnol : acceso, rectificación, cancelación, oposición), ainsi que révoquer votre consentement ou limiter l'utilisation ou la divulgation de vos données, en écrivant à hello@repseshield.com. Indiquez votre nom et un moyen de recevoir les notifications, joignez un document qui atteste votre identité ou la représentation en vertu de laquelle vous agissez, et décrivez les données et le droit que vous souhaitez exercer (article 28 de la Loi). Nous vous communiquerons notre décision dans un délai maximal de vingt jours ouvrables (selon le calendrier mexicain) à compter de la réception de la demande et, si elle est fondée, nous la mettrons en œuvre dans les quinze jours ouvrables suivants ; ces deux délais peuvent être prolongés une seule fois d'une durée égale lorsque le cas le justifie, et nous vous en informerons le cas échéant. L'exercice de ces droits est gratuit, sauf les frais de reproduction ou d'envoi que prévoit l'article 34.

Si les données sur lesquelles vous souhaitez exercer vos droits ont été déposées par une entreprise dans le cadre de son dossier, nous transmettrons votre demande à cette entreprise, qui est responsable de ces données, et nous vous dirons à qui nous l'avons transmise. Dans ce cas, nous ne décidons pas à sa place.

Si vous estimez que votre droit n'a pas été respecté, vous pouvez vous adresser à la Secretaría Anticorrupción y Buen Gobierno (ministère mexicain de la Lutte contre la corruption et de la Bonne gouvernance), l'autorité que la loi de 2025 désigne en matière de protection des données personnelles détenues par les particuliers.

Cookies

La plateforme utilise uniquement des cookies essentiels : le cookie de session, qui vous maintient connecté, et celui qui enregistre votre préférence de langue. Nous n'utilisons aucun cookie publicitaire ni de suivi.

Modifications de la présente politique

Nous pouvons mettre à jour la présente politique. Chaque version est publiée sur cette page avec sa date, et les modifications importantes sont annoncées dans la plateforme aux titulaires d'un compte, conformément à l'article 15, section VI de la Loi.