Protection des données

Politique de confidentialité · conforme à la LPD suisse (nLPD) · dernière mise à jour : juillet 2026

MECAFLOW est une plateforme de gestion d'atelier pour écoles professionnelles et ateliers d'entreprise (mécanique de précision). Côté écoles, nous traitons des données de mineurs (apprenti·e·s) : leur protection est au cœur de notre conception. Nous ne vendons aucune donnée et n'utilisons aucun traceur publicitaire.

1. Responsable du traitement

Nexus Studios, éditeur de MECAFLOW — Bienne (BE), Suisse.
Contact protection des données : [email protected].
Pour les écoles, l'établissement est responsable des données de ses élèves ; Nexus Studios agit comme sous-traitant technique.

2. Quelles données, et pourquoi

Identité (prénom, nom, rôle, classe) — pour gérer l'atelier et le suivi de formation.
Code d'accès (PIN) — stocké haché (jamais en clair), sert uniquement à la connexion.
Données RH, pour les entreprises qui activent ce module — salaire, numéro AVS, IBAN, date de naissance, adresse, état civil, nombre d'enfants, type et validité du permis de travail, absences (y compris maladie et accident). Ces données ne sont visibles que des personnes ayant le rôle RH ou de direction, chaque consultation est journalisée, et elles sont retirées des fichiers de sauvegarde téléchargés par une personne sans ce rôle.
Données de formation (compétences CFC, notes, présences/absences, carnet de bord, ordres de travail) — suivi pédagogique.
Photo (facultative) et anniversaire (jour + mois seulement, sans l'année) — minimisation volontaire.
Coordonnées de l'établissement et de contact — administration du compte.
Fournisseurs : entreprise, contacts, produits — mise en relation avec les écoles.

3. Base légale

Exécution du contrat avec l'école, intérêt légitime (bon fonctionnement de l'atelier), et consentement pour les éléments facultatifs (photos). Le traitement des données d'apprenti·e·s mineur·e·s se fait pour le compte et sous la responsabilité de l'école.

4. Hébergement et localisation

MECAFLOW est édité en Suisse (Nexus Studios, Bienne) : contrat, facture et for juridique sont suisses. L'infrastructure est fournie par Cloudflare, Inc., société américaine (hébergement, base de données, réseau).

La base de données primaire est aujourd'hui située à Francfort, en Allemagne — c'est vérifiable à la demande. Nous ne verrouillons pas cette région par contrat : Cloudflare peut la faire évoluer. Nous vous préviendrons si elle change.

Les données transitent chiffrées (HTTPS/TLS). Aucune donnée n'est vendue ni transmise à des fins commerciales.

5. Sécurité

Mesures en place : chiffrement en transit (HTTPS/TLS), mots de passe hachés en PBKDF2 (100 000 itérations, sel aléatoire), PIN hachés en SHA-256, sessions à durée limitée avec déconnexion serveur, limitation des tentatives de connexion, journal des accès aux données sensibles. Le cloisonnement entre établissements est logique : toutes les organisations partagent la même base, chaque requête étant filtrée par identifiant d'organisation. Une école ne voit jamais les données d'unee autre), en-têtes de sécurité (CSP, HSTS, anti-clickjacking), et limitation anti-force brute sur les connexions.

6. Durée de conservation

Les données sont conservées le temps de la relation avec l'établissement. Il n'existe aujourd'hui aucune purge automatique : la suppression d'un compte et de son historique est une action décidée et déclenchée par l'établissement, ou par nous sur sa demande. Nous vous le disons plutôt que de laisser croire à un effacement qui se ferait tout seul ; il convient d'exporter son carnet de formation (PDF) au préalable. Une école peut demander la suppression de son compte et de toutes ses données à tout moment.

7. Vos droits

Conformément à la nLPD, vous disposez d'un droit d'accès, de rectification, d'effacement, d'opposition et de portabilité. Précision utile : l'export complet de votre organisation est fourni au format JSON. Ce format est propre à MECAFLOW ; il est lisible par une machine mais n'est pas directement importable dans un autre logiciel. Pour les exercer : contactez l'administrateur de votre école, ou écrivez à [email protected].

8. Cookies et traceurs

Aucun cookie de suivi, aucun traceur publicitaire, aucune revente. MECAFLOW utilise uniquement le localStorage de votre navigateur pour conserver votre session et vos préférences (langue, thème) — c'est techniquement nécessaire au fonctionnement et ne sert à aucun profilage.

9. Sous-traitants

Cloudflare, Inc. (États-Unis) — hébergement, base de données, réseau, et l'assistant IA intégré : les données de l'assistant restent dans l'écosystème Cloudflare.
Resend — envoi des courriels du service (invitations, réinitialisation de mot de passe, notifications).
Stripe — paiement des abonnements. Nous ne voyons jamais votre numéro de carte.
Open-Meteo — météo affichée sur l'écran d'atelier. Aucune donnée personnelle ne lui est transmise.

Cette liste est complète à la date ci-dessus. Toute nouvelle sous-traitance y sera ajoutée.

10. Modifications

Cette politique peut évoluer ; la date de mise à jour ci-dessus fait foi. Pour toute question : [email protected].