Politique de Confidentialité

Pilou est l’assistant intégré à FlowPharm. Lorsque vous l’utilisez, votre message, une partie de l’historique et les données utiles à la demande sont transmis à OpenRouter puis au fournisseur Z.ai sélectionné par FlowPharm. Ces services peuvent réaliser des traitements hors de l’Espace économique européen ; l’hébergement de la base FlowPharm en France ne garantit pas une inférence en France.

Les lectures de planning et de congés couvertes par le filtre remplacent les motifs d’absence précis par des catégories opérationnelles. Les notes libres des demandes d’échange et d’heures supplémentaires sont également retirées des résultats envoyés au modèle, sans être supprimées des dossiers métier. Les noms et horaires restent des données personnelles. Le texte que vous saisissez n’est pas anonymisé automatiquement : évitez les données de santé et toute information non nécessaire.

L’historique est conservé dans le stockage de session du navigateur, séparément par compte ; le bouton « Effacer » retire l’historique local. Les plans d’action préparés sont enregistrés côté FlowPharm avec leur aperçu avant/après pour leur validation et leur traçabilité. Cet aperçu peut contenir des notes métier visibles par le gestionnaire : il n’est pas ajouté à la conversation envoyée au modèle. Leur validité d’exécution, normalement de quinze minutes, est distincte de leur conservation : les plans expirés de plus de six mois depuis leur création sont supprimés automatiquement par une purge régulière. Effacer l’historique ne supprime pas les opérations métier déjà appliquées ni ces enregistrements serveur.

Pilou assiste la gestion du planning, sans noter le mérite ou la fiabilité des salariés, ni recommander qui sanctionner ou licencier. Les comparaisons de remplaçants sont opérationnelles : rôles, disponibilités, heures planifiées et contraintes ; les critères et leur période sont explicités. Les heures planifiées ne sont pas des heures réellement pointées. Le gestionnaire vérifie les effets avant/après, peut annuler ou demander une révision et utilise le bouton « Appliquer ces modifications » : un simple « oui » dans la conversation ne suffit pas. L’auteur, la date de confirmation, l’empreinte de l’aperçu et le résultat du plan sont conservés pour sa traçabilité, sans copie de la conversation dans ce journal.

Les journaux applicatifs Pilou conservent des diagnostics techniques sélectionnés (étape, statut, compteurs, codes d’erreur), sans corps de requête ou de réponse brut, sans message d’erreur libre, ni jeton d’accès. Les événements d’audit MCP suivent également une rétention de six mois avec purge automatique. La durée des logs d’infrastructure peut être plus courte selon le service d’hébergement.

L’organisation détermine les finalités et la base juridique du traitement des données de ses salariés et les informe des fonctionnalités utilisées. L’autorisation de connexion d’un membre ne remplace pas cette information, ni la base juridique applicable. Un modèle d’information des salariés à adapter est mis à sa disposition.

FlowPharm peut proposer un serveur MCP (Model Context Protocol) permettant à un utilisateur de connecter un assistant IA tiers de son choix. Cette fonctionnalité est désactivée par défaut pour chaque organisation. Elle doit d’abord être activée par le titulaire, puis autorisée individuellement par chaque utilisateur sur un écran de consentement identifiant le client OAuth et les accès demandés.

L’utilisateur choisit séparément chaque catégorie qu’il autorise : identité, rôle, organisation et capacités ; calendrier et contraintes personnelles de planning ; soldes et historique personnels de congés ; historique des demandes d’heures supplémentaires dont il est destinataire ; historique des échanges de shifts auxquels il participe. Selon ses habilitations FlowPharm, il peut également autoriser la lecture du calendrier de l’équipe, des règles et analyses de couverture, des modèles de planning, la simulation de propositions et, pour les seuls gestionnaires de planning, la création de propositions dans des brouillons dédiés. Il peut aussi autoriser séparément la création et l’annulation de ses demandes de congé, la création et la gestion des échanges de shifts auxquels il participe, ainsi que sa réponse « disponible » ou « indisponible » aux demandes d’heures supplémentaires dont il est destinataire. Le MCP utilisateur ne permet ni de consulter ni de créer un ticket support. Chaque membre peut aussi autoriser séparément la lecture des rendez-vous laboratoire et formations de son officine, puis leur création, modification ou suppression, conformément au même périmètre d’accès que dans le calendrier FlowPharm. Il peut enfin autoriser séparément la recherche en lecture seule dans le centre d’aide FlowPharm et la copie documentaire de la convention collective. Cette dernière est informative, peut nécessiter une vérification contre la version officielle en vigueur et ne constitue pas un conseil juridique. Un employé ne peut pas créer, assigner ou imposer une demande d’heures supplémentaires par le MCP. Selon ses rôles FlowPharm, un gestionnaire peut autoriser séparément la lecture et le traitement des demandes de congé, l’approbation, le refus ou la réversion d’échanges, ainsi que la création, l’imposition, la modification, l’annulation, l’assignation ou la suppression permise d’heures supplémentaires. Le rôle de gestionnaire de congés reste requis pour les congés et les demandes d’heures supplémentaires ; les rôles de manager planning ou d’équipe restent requis pour les échanges, et certaines actions conservent leur contrôle de rôle plus strict. Les anciennes connexions ne reçoivent jamais automatiquement ces nouveaux droits : un nouveau consentement est nécessaire.

La création, la modification ou le retrait de shifts ordinaires se fait uniquement dans un brouillon rattaché à l’utilisateur et au client IA. Chaque opération est contrôlée par révision, idempotence, rôle et consentement ; les applications de modèle et optimisations groupées nécessitent une confirmation explicite. L’IA ne dispose d’aucun outil de publication et ne peut jamais écrire un shift ordinaire directement dans le calendrier réel. La revue et la publication restent réservées à l’interface FlowPharm.

Les actions relatives aux congés, échanges et heures supplémentaires, qu’elles soient effectuées par un employé ou un gestionnaire, ne sont jamais transformées en changements de brouillon : après une prévisualisation et une confirmation explicite de l’action précise, elles prennent effet dans le workflow FlowPharm existant. Chaque mutation est liée à ses arguments exacts, à une version de l’état concerné et à une clé d’idempotence afin d’éviter une action modifiée, obsolète ou dupliquée. Les règles normales du service continuent de s’appliquer, notamment le calcul et la déduction des congés lors de leur approbation, la restauration des soldes lors d’une annulation, l’application atomique d’un échange et la création immédiate d’un shift lors d’une imposition ou d’une assignation d’heures supplémentaires. Les métadonnées de notification utiles sont inscrites dans une outbox au sein de la même transaction que l’opération ; aucun texte libre n’y est copié. Après validation de la transaction, un worker interne authentifié effectue l’envoi au nom de l’acteur d’origine, après revalidation de cet acteur et avec une clé d’idempotence. Une indisponibilité du service de notification n’annule pas l’opération métier déjà validée : l’envoi reste relançable avec temporisation, sans dupliquer volontairement l’événement.

Les rendez-vous laboratoire et formations ne sont pas des shifts salariés et ne sont donc pas placés dans un brouillon de planning. Après une prévisualisation indiquant notamment les éventuels chevauchements et une confirmation explicite, ils sont créés, modifiés ou supprimés dans le calendrier réel par le workflow FlowPharm existant. Leur note libre n’est jamais retournée à l’assistant ; lorsqu’une modification n’indique aucune nouvelle note, la note existante est conservée sans être révélée. Une note explicitement fournie pendant l’action est enregistrée dans le rendez-vous, mais pas en clair dans les journaux ou clés d’idempotence MCP.

Les simulations de planning vérifient notamment les versions, chevauchements, pauses, durées, maxima horaires, congés et couverture. Un gestionnaire de couverture dépourvu du droit de consulter le planning reçoit uniquement des résultats agrégés, sans noms ni shifts individuels. Les notes de shift ou de modèle, raisons de refus et commentaires libres sont exclus des lectures MCP. Lorsqu’un utilisateur choisit toutefois de fournir un motif facultatif de congé, une note d’heures supplémentaires ou un commentaire facultatif d’échange pendant une action, ce texte est transmis aux seuls participants autorisés du workflow. FlowPharm n’enregistre pas ce texte brut dans les journaux MCP ni dans les clés d’idempotence.

Les lectures de calendrier, de modèles et de demandes de congé ne transmettent pas à l’assistant le type d’absence exact. FlowPharm le remplace par l’une des catégories opérationnelles suivantes : « Travail », « Congé », « École/CFA », « Formation », « Mise à disposition de personnel », « Solde d’heures » ou « Indisponible ». Les champs techniques permettant de retrouver le motif exact, ainsi que les notes et raisons libres, sont retirés avant la réponse MCP. Les vrais types restent utilisés uniquement dans FlowPharm pour les contrôles métier et lorsqu’un utilisateur choisit explicitement un type afin de créer une demande.

Les requêtes sont exécutées avec la session de l’utilisateur et les contrôles d’accès FlowPharm ; aucun accès direct à la base de données n’est fourni au client IA. Les événements techniques nécessaires à la sécurité et au diagnostic peuvent être journalisés sans jeton d’accès ni contenu brut transmis à l’assistant. Une limitation atomique par utilisateur, client et outil est appliquée ; un signal réseau pseudonymisé par HMAC-SHA256 et renouvelé quotidiennement complète ce contrôle sans conserver l’adresse brute. FlowPharm peut aussi compter les observations d’un identifiant client OAuth pour la sécurité et le diagnostic. Les applications compatibles peuvent s’enregistrer automatiquement auprès de Supabase Auth. Cet enregistrement ne constitue pas une validation de leur éditeur par FlowPharm : chaque utilisateur choisit les accès qu’il autorise, dans les limites de ses droits et des réglages de son officine. FlowPharm ne reçoit ni ne conserve les prompts ou réponses bruts de l’assistant. Les journaux techniques et d’audit minimisés suivent la durée de conservation de six mois indiquée à la section 5, sauf prolongation justifiée par un incident, un contentieux ou une obligation légale.

L’utilisateur peut révoquer une connexion depuis son profil. Le titulaire peut désactiver MCP pour toute l’organisation, avec effet immédiat sur les accès FlowPharm. La révocation invalide également les autorisations OAuth et les confirmations en attente du client concerné. La révocation ne supprime pas les données déjà transmises à l’assistant externe : les demandes concernant ces copies doivent être adressées au service concerné.

Pour le connecteur officiel FlowPharm dans ChatGPT, OpenAI reçoit uniquement les catégories nécessaires à l’outil choisi et autorisées par l’utilisateur : identité d’affichage, rôle et organisation ; calendriers, contraintes, règles et modèles de planning ; rendez-vous laboratoire et formations sans leurs notes libres ; données de congés, d’échanges et d’heures supplémentaires ; références techniques opaques ; ainsi que le texte métier que l’utilisateur décide de fournir pendant une action. Les résultats dérivés peuvent inclure des soldes, analyses de couverture, conflits, simulations, validations et classements de candidats. ChatGPT et OpenAI sont des services tiers distincts de FlowPharm : après transmission, ces données sont soumises aux conditions, paramètres, durées de conservation et règles d’utilisation des données du compte OpenAI concerné. Un autre client MCP autorisé reçoit de façon analogue les seules données nécessaires aux outils consentis, sous la responsabilité de son propre éditeur. Avant d’autoriser un client, l’utilisateur doit vérifier son identité et sa politique de confidentialité. FlowPharm déconseille de transmettre à un assistant des données de santé ou toute information non nécessaire à la gestion de l’officine.