Ce que cette application enregistre à votre sujet, pourquoi, pendant combien de temps, et ce que vous pouvez exiger. Version 0.166.0.
| Rôle | Qui | Ce qu’il fait |
|---|---|---|
| Responsable du traitement | L’entreprise titulaire du tenant | Elle décide des finalités : quels chantiers suivre, quels comptes ouvrir, qui accède à quoi. Les données de son dossier lui appartiennent et ne sortent pas de sa cloison. |
| Sous-traitant | LS CORP | Développe et exploite l’application. Accède aux données pour les besoins de l’exploitation — dépannage, migration, sauvegarde — et en lecture seule par défaut, l’écriture dans le dossier d’un client demandant un accès accordé nommément. |
| Sous-traitant ultérieur | Infomaniak Network SA | Héberge le serveur web et la base de données. N’accède pas aux données dans le cadre du service, hors intervention technique demandée. |
| Catégorie | Ce qui est enregistré | Pourquoi | Combien de temps |
|---|---|---|---|
| Comptes et accès
Exécution du contrat de travail / relation contractuelle |
Nom, prénom, adresse électronique professionnelle, groupes et équipes, état du compte, date de dernière connexion, empreinte du mot de passe, clef du second facteur. | Ouvrir l’accès à l’application et savoir qui a le droit de faire quoi. | Tant que le compte existe. La suppression d’un compte efface ces données ; sa désactivation les conserve. |
| Authentification
Intérêt légitime — sécurité du système d’information |
Empreinte Argon2id du mot de passe, clef TOTP chiffrée, compteur d’échecs, date de blocage temporaire, sessions ouvertes avec adresse IP et navigateur. Et, pour les appareils enrôlés : l’empreinte du jeton — jamais le jeton —, le navigateur et la plateforme, l’adresse IP et le pays de la dernière utilisation. | Vérifier l’identité, et arrêter une attaque par essais répétés. Un appareil enrôlé dispense du second facteur, jamais du mot de passe : l’adresse et le pays y sont gardés pour que la personne reconnaisse l’appareil à révoquer. | Les sessions expirent d’elles-mêmes. Les compteurs d’échecs se remettent à zéro à la connexion réussie. Un appareil enrôlé expire au bout de trente jours, sans glissement, et se révoque à tout moment depuis le profil. |
| Liens de partage à usage unique
Intérêt légitime — sécurité du système d’information |
Le secret transmis — un mot de passe provisoire — chiffré ; l’empreinte du jeton, jamais le jeton ; le compte qui a créé le lien ; l’adresse IP de qui l’a ouvert, et le moment. | Transmettre un mot de passe provisoire sans le recopier dans un courriel, où il resterait en clair et pour toujours. L’adresse IP de l’ouverture sert à une seule chose : dire à qui a créé le lien d’où il a été lu, donc si quelqu’un d’autre l’a lu avant. | **Une heure au plus, une seule ouverture.** Le lien se ferme à la première lecture ; la ligne est effacée par le balayage vingt-quatre heures après son ouverture ou son expiration. Le secret n’est jamais lisible en clair dans la base, et ne l’est qu’une fois à l’écran. |
| Journal d’audit
Intérêt légitime — sécurité et traçabilité |
Qui a fait quoi, quand, depuis quelle adresse IP : connexions, échecs, changements de droits, créations et suppressions, imports et exports. | Pouvoir expliquer une modification, et détecter un accès anormal. C’est la contrepartie de droits étendus : qui peut beaucoup laisse une trace. | **Deux ans**, appliqués par un balayage périodique — durée proposée, à confirmer par le responsable du traitement. Une ligne d’audit ne se modifie pas et le vidage d’un tenant ne l’efface pas ; seules l’expiration ci-dessus et la suppression complète d’un tenant l’emportent, et cette dernière est elle-même consignée. |
| Fréquentation
Intérêt légitime — exploitation et sécurité |
Passages page par page : adresse IP, pays déduit, navigateur, système, horodatage, compte concerné. | Savoir quels écrans servent, et repérer une connexion depuis un pays inattendu. | **Quatre cents jours**, appliqués par un balayage périodique — un peu plus d’un an, pour comparer un mois à celui de l’année précédente. Durée proposée, à confirmer. La purge manuelle reste disponible depuis Sysop → Statistiques. |
| Journal d’erreurs
Intérêt légitime — maintenance corrective |
Message d’erreur, fichier, ligne, adresse consultée, compte et navigateur concernés. Une erreur peut contenir une valeur saisie. | Corriger les pannes. Sans trace, une erreur n’existe que dans la console de celui qui la subit — c’est-à-dire nulle part. | **Six mois après résolution**, appliqués par un balayage périodique — durée proposée, à confirmer. Une erreur non résolue n’a pas d’âge : elle attend, et l’effacer ferait disparaître un défaut connu que personne n’a corrigé. Les résolues se vident aussi d’un clic. |
| Discussions de chantier
Exécution du contrat / intérêt légitime — suivi de chantier |
Messages écrits par le bureau et le terrain, avec leur auteur et leur horodatage. Certains sont marqués privés et ne sont lisibles que par qui en a le droit. | Garder avec le dossier ce qui s’est dit sur le chantier. | Conservés avec le sous-projet, supprimés avec lui. |
| Contacts externes
Intérêt légitime — exécution du marché |
Nom, fonction, adresse électronique, téléphone fixe et mobile, langue et lieu de travail d’un agent de district, d’un correspondant communal ou d’un contact du carnet ; nom d’un sous-traitant, nom d’un intervenant sur site. | Savoir à qui s’adresser pour une autorisation ou une intervention. | Les contacts d’un chantier sont conservés avec lui. Les trois annuaires — districts, communes, carnet — vivent en revanche indépendamment des chantiers : ils sont tenus à jour tant que l’interlocuteur est en poste, et une ligne mise hors service reste lisible pour comprendre une demande introduite autrefois auprès d’elle. |
| Registre des violations
Obligation légale — article 33 du RGPD |
Récit des faits d’un incident de sécurité, catégories et nombre approximatif de personnes concernées, catégories de données touchées, conséquences probables, mesures prises, décisions de notification et leur justification, et qui a consigné. | Obligation de documentation de l’article 33(5) : toute violation se consigne, notifiable ou non. C’est ce registre que l’Autorité de protection des données demande. | Conservé sans limite fixée : c’est une pièce probante, et une purge automatique en détruirait la raison d’être. La décision d’archiver ou d’effacer appartient au responsable du traitement. |
Votre pays est déduit sur le serveur, à partir d’une table de plages d’adresses publiée par les registres régionaux. Aucune adresse IP de visiteur n’est envoyée à un service tiers pour savoir d’où elle vient.
| Service | Pays | Envoyé par | Ce qui lui parvient |
|---|---|---|---|
| unpkg.com (Cloudflare) | États-Unis | le navigateur | L’adresse IP du poste, à l’ouverture d’une carte de chantier. |
| Esri — World Imagery | États-Unis | le navigateur | L’adresse IP du poste et les coordonnées du cadrage, donc la position du chantier regardé. |
| Have I Been Pwned (Cloudflare) | États-Unis | le serveur | Les cinq premiers caractères d’une empreinte SHA-1, jamais le mot de passe ni l’identité. Le service ne peut pas savoir quel mot de passe a été vérifié, ni par qui. |
| OpenStreetMap — tuiles et Nominatim | Royaume-Uni (fondation OSM) | le navigateur pour les tuiles, le serveur pour Nominatim | Tuiles : l’adresse IP du poste et la position du chantier. Nominatim : l’adresse postale du chantier et l’adresse de contact réglée, uniquement sur un lot lancé à la main. |
Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation de leur traitement, vous y opposer, et en obtenir une copie (portabilité).
Ces demandes s’adressent au responsable du traitement — l’entreprise titulaire du dossier, pas l’éditeur du logiciel. Une réponse vous est due dans un délai d’un mois.
L’application lui donne les moyens d’y répondre : votre compte se consulte et se modifie, le dossier complet s’exporte dans un fichier relisible, et la suppression d’un compte efface ses données.
Elle décrit fidèlement ce que le logiciel fait, et cette description est tenue dans le code lui-même, confrontée au schéma de la base à chaque passage de la suite de tests : une table qui porterait des données personnelles sans figurer ci-dessus ferait échouer les tests. En revanche, les coordonnées du responsable du traitement et l’éventuelle désignation d’un délégué à la protection des données relèvent de votre employeur, et ne figurent pas ici tant qu’il ne les a pas fournies.