Poker planning et RGPD : où vont les données de vos sessions
La question arrive rarement de l'équipe agile. Elle arrive du DPO, six mois plus tard, au moment d'un audit ou d'un renouvellement d'assurance. Voici ce qui se joue réellement, et comment le vérifier sans attendre qu'on vous le demande.
Ce qu'un outil de poker planning traite, même quand il dit ne rien collecter
Une session d'estimation paraît anodine. Elle produit pourtant, sans qu'on y pense, plusieurs catégories de données que le RGPD qualifie de personnelles :
- Le pseudo des participants. Dans la pratique, les gens saisissent leur prénom, souvent leur nom complet. C'est une donnée d'identification directe.
- Le titre des user stories. Il nomme régulièrement un client, un partenaire ou un projet sous accord de confidentialité.
- L'adresse IP. Elle est traitée par tout serveur, et la jurisprudence européenne la considère comme une donnée personnelle dès lors qu'un recoupement est possible.
- Les votes eux-mêmes. Reliés à un pseudo et conservés, ils constituent une appréciation individuelle. Un historique d'estimations nominatif est de l'évaluation de salarié, avec ce que cela implique en information préalable.
La bonne question n'est donc pas « cet outil collecte-t-il des données ». C'est combien de temps il les garde, où, et qui d'autre les voit.
Les trois points que relève un DPO
- L'absence d'accord de sous-traitance. L'article 28 du RGPD impose un contrat dès qu'un prestataire traite des données pour le compte de l'entreprise. Un outil gratuit adopté par une équipe sans passer par les achats n'en a généralement aucun.
- Les transferts hors Union européenne. Un outil hébergé aux États-Unis, ou qui charge des scripts d'analyse américains, déclenche la question des garanties de transfert. Elle n'est pas insoluble, elle est simplement rarement documentée.
- Les durées de conservation. « Nous conservons vos données le temps nécessaire » n'est pas une durée. Un registre de traitement demande un chiffre.
Vérifier soi-même, en deux minutes
Aucune de ces vérifications ne demande de compétence particulière, et elles valent pour n'importe quel outil, y compris celui-ci.
- Ouvrez les outils de développement du navigateur (touche F12), onglet Réseau, puis rechargez la page. Chaque domaine listé qui n'est pas celui du site est un tiers qui voit votre visite.
- Onglet Application, section Cookies puis Stockage local. Ce qui y est écrit survit à la fermeture de l'onglet.
- Fermez la session, rouvrez son URL le lendemain. Si le contenu est toujours là, il est stocké quelque part, et cette durée doit figurer dans une politique de confidentialité.
La position de CleanPoker
| Question | Réponse |
|---|---|
| Compte utilisateur | Aucun. Ni e-mail, ni mot de passe, ni profil. |
| Cookies | Deux, techniques : la langue et le thème. Aucun cookie publicitaire, aucun cookie de mesure. |
| Scripts tiers | Aucun. Pas d'analytique, pas de police distante, pas de CDN externe. |
| Conservation des sessions | En mémoire vive uniquement, jamais écrites sur disque. Supprimées 24 heures après la dernière activité. |
| Hébergement | Serveur temps réel exclusivement en France (Paris), pages servies par un réseau de diffusion sur énergie renouvelable. |
| Mesure d'audience | Aucune, ni côté navigateur, ni par page vue. Le serveur tient trois compteurs agrégés (sessions créées, participants, sessions actives) qui n'identifient ni une salle ni une personne et repartent de zéro à chaque redémarrage. |
| Vérifiable | Le code est public et sous licence MIT. Les trois vérifications ci-dessus s'appliquent aussi à cette page. |
Cela ne fait pas disparaître le RGPD : un pseudo saisi reste une donnée, et un serveur voit une adresse IP. Cela réduit la surface à ce qui est strictement nécessaire pour que le vote fonctionne, et rend la réponse au DPO courte et vérifiable. Le détail figure dans les mentions légales.
Ce que la vie privée ne remplace pas
Un outil qui ne collecte rien mais qui rate son travail ne sert à rien. Le rôle d'un outil de poker planning tient en une ligne : garder les votes invisibles jusqu'à la révélation, pour que le premier chiffre annoncé n'ancre pas toute l'équipe. Le reste, y compris cette page, est une conséquence.