Politique de confidentialité

1. Ce que couvre cette politique

Elle concerne le site getrost.fr et l'application Rost, qu'utilisent le titulaire d'une officine et son équipe.

2. Sur ce site

• Aucun compte, aucun formulaire et aucune publicité : ce site ne pose aucun cookie ni aucun traceur sur votre appareil, c'est pourquoi il n'affiche pas de bandeau de cookies.
• Le site compte lui-même ses visites, sans traceur : chaque jour, le nombre de visiteurs, les pages lues, le site d'où ils arrivent et, quand le lien le dit, la publication qui les a amenés (une campagne). Votre adresse IP n'est pas gardée : le jour même, une empreinte brouillée de l'adresse et du navigateur sert seulement à ne pas compter deux fois la même visite, et elle est effacée le lendemain. Rien ne permet de vous suivre d'un jour à l'autre ni d'un site à l'autre.
• Le choix de l'apparence (clair, sombre ou automatique) est gardé dans votre navigateur, sur votre appareil seulement. Il n'est jamais envoyé à Rost.
• Les polices de caractères, les images et les vidéos sont servies par ce site lui-même : pour l'afficher, votre navigateur ne contacte aucun autre site.
• Si vous écrivez à contact@getrost.fr, votre message et votre adresse servent à vous répondre, et à rien d'autre.

3. Dans l'application : qui est responsable

Le titulaire de l'officine décide des données de son équipe qu'il saisit dans Rost : il est responsable de leur traitement. Rost les héberge et les traite pour son compte, comme sous-traitant au sens de l'article 28 du Règlement général sur la protection des données. Pour les données du compte du titulaire lui-même, et pour ce site, Rost est responsable du traitement : Matteo Joyard, entrepreneur individuel, 152 boucle du Haut des Pins, 30140 Boisset-et-Gaujac, contact@getrost.fr.

Ce que Rost fait des données de l'équipe, pour le compte de l'officine, est écrit dans l'accord de traitement des données.

4. Les données traitées

• Le compte : prénom, nom, adresse e-mail (et si elle est confirmée), téléphone s'il est renseigné, et le mot de passe, conservé uniquement sous une forme dérivée qui ne permet pas de le retrouver.
• Si vous vous connectez avec Google ou Apple : l'identifiant que ce fournisseur attribue à votre compte, l'adresse e-mail qu'il transmet et, s'il le transmet, votre nom, qui sert à créer votre compte. Rost ne reçoit jamais votre mot de passe Google ou Apple, et un compte ouvert ainsi n'a pas de mot de passe chez Rost.
• La fiche de chaque membre de l'équipe : rôle, heures prévues au contrat, date d'entrée, entretiens professionnels, heure d'arrivée habituelle.
• Le planning : créneaux, congés, absences, heures déclarées, confirmations de service, et pointages si la badgeuse est activée.
• Le motif de certaines absences : « Maladie », « Enfant malade » et « Rendez-vous médical » sont des données de santé, que l'employeur a le droit de tenir pour gérer le temps de travail (RGPD, art. 9.2.b). Seuls le titulaire et la personne concernée voient ce motif ; ses collègues lisent « absence ». Aucun certificat ni diagnostic n'est demandé ni gardé.
• Les indisponibilités et leur note. Cette note ne doit jamais contenir d'information de santé : l'application le rappelle à l'endroit où on l'écrit.
• Les notifications échangées entre le titulaire et l'équipe.
• Le journal de l'officine : qui a publié, modifié, validé ou refusé quoi, et quand. Seul le titulaire le lit.
• Les erreurs techniques de l'application : le message, la page, l'officine ouverte et le moment, sans le nom de la personne connectée, son adresse ni ses identifiants.
• Les jours où l'application est ouverte, et sur quel appareil (téléphone ou ordinateur), sans le nom de la personne : pour savoir combien de personnes utilisent Rost.

5. Pourquoi

Pour composer et publier le planning de l'officine, traiter les demandes de l'équipe, et tenir le décompte du temps de travail que l'employeur doit pouvoir présenter. Ces données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires.

Sur quoi chaque traitement repose :

• le compte, le planning et les demandes de l'équipe : le contrat (les conditions d'utilisation) ;
• le décompte du temps de travail : l'obligation légale de l'employeur (Code du travail, art. L.3171-3) ;
• les erreurs techniques, les jours d'ouverture de l'application et la mesure des visites du site : l'intérêt légitime de Rost à faire fonctionner et améliorer le service ;
• les notifications du téléphone : votre accord, donné dans l'application et retirable à tout moment.

6. Combien de temps

• Le décompte du temps de travail (créneaux, pointages, confirmations, congés, heures déclarées, absences, échanges de créneaux) et le journal de l'officine : cinq ans, parce qu'ils peuvent servir de preuve dans un litige.
• Un membre qui a quitté l'équipe : sa fiche est archivée, puis supprimée cinq ans après, avec tout ce qui s'y rattache.
• Les notifications et les sessions de connexion expirées : un an.
• Un compte créé mais jamais rattaché à une officine : deux ans.
• Les erreurs techniques : trente jours.
• Les jours d'ouverture de l'application : treize mois.
• Les essais de connexion manqués : un jour.
• Les liens envoyés par e-mail (confirmer son adresse, choisir un mot de passe) : sept jours après leur fin, une heure ou un jour selon le lien.
• Les demandes liées à vos droits, et la réponse : trois ans après la réponse, pour en garder la preuve.

Passé ces durées, les données sont supprimées chaque mois.

7. Cookies de l'application

Le cookie de la session : il garde la connexion ouverte et ne peut pas être lu par les scripts de la page. Si vous vous connectez avec Google ou Apple, un second cookie, de dix minutes au plus, garde pendant l'aller-retour chez le fournisseur la preuve que la demande vient bien de vous, puis s'efface. Tous deux sont indispensables au fonctionnement du service et ne servent à aucun suivi.

8. Sécurité

Les mots de passe ne sont jamais conservés en clair, les sessions vivent en base et expirent, les connexions au service en ligne sont chiffrées, et chaque officine ne voit que ses propres données.

9. Où sont les données, et qui les traite

Les données de l'application sont stockées en France, à Paris.

Rost fait appel à des sous-traitants, chacun pour un seul usage :

• Vercel Inc. (États-Unis), pour héberger le site et l'application, sur des serveurs situés à Paris ;
• Supabase Pte. Ltd. (Singapour), pour héberger la base de données de l'application, sur des serveurs situés à Paris ;
• les services de notification d'Apple, de Google, de Mozilla et de Microsoft, selon votre téléphone ou votre navigateur, pour acheminer les notifications que vous avez acceptées : ils transportent le texte de la notification chiffré, sans pouvoir le lire ;
• Resend, Inc. (États-Unis), pour envoyer les e-mails de l'application : la confirmation de votre adresse et le lien pour choisir un mot de passe ;
• Apple (Mail iCloud), qui gère la boîte contact@getrost.fr, pour les e-mails que vous adressez à Rost.

Vercel, Supabase et Resend sont établies hors de l'Union européenne. Les données restent stockées à Paris ; si l'une d'elles devait y accéder depuis l'étranger, par exemple pour la maintenance, ce transfert repose sur le cadre de protection des données entre l'Union européenne et les États-Unis, auquel Vercel est certifiée, et sur les clauses contractuelles types de la Commission européenne, prévues par le contrat de chacune.

La connexion avec Google ou Apple, si vous la choisissez, passe par ces fournisseurs : ils vérifient votre identité selon leur propre politique de confidentialité, puis transmettent à Rost les seules informations décrites plus haut. Aucune autre entreprise ne reçoit les données de l'application.

10. Vos droits

Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, la limitation de leur traitement ou leur portabilité, et vous opposer à leur traitement. Le titulaire peut exporter le planning et les heures de son officine à tout moment depuis l'application.

Membre d'une équipe, adressez-vous d'abord au titulaire de votre officine, responsable de vos données. Dans tous les cas, vous pouvez écrire à contact@getrost.fr, et introduire une réclamation auprès de la CNIL, sur cnil.fr.

11. Modifications

Cette politique peut évoluer avec le service. La version en vigueur est toujours celle publiée sur cette page.

Mise à jour le 28 octobre 2026.