Politique de confidentialité

1. Qui est responsable de quoi

SecurPilot est un outil que les agences de sécurité utilisent pour organiser leur exploitation. Deux rôles doivent être distingués, car ils ne donnent pas les mêmes obligations ni les mêmes interlocuteurs.

L’agence est responsable de traitement

C’est elle qui emploie ou mandate les agents, qui décide de les inscrire dans l’outil, qui définit les sites gardés et qui exploite les rapports. C’est donc elle qui détermine pourquoi et comment les données sont utilisées, et c’est à elle que les agents s’adressent en premier lieu.

L’éditeur est sous-traitant

AVELIS LABS fournit le service et héberge les données pour le compte de l’agence. Il n’agit que sur ses instructions, n’exploite pas ses données à d’autres fins et ne les cède à personne.

Pour les données du compte de l’agence elle-même — l’adresse de courriel du souscripteur, les informations de facturation de son abonnement — l’éditeur est en revanche responsable de traitement.

2. Quelles données sont traitées

Comptes utilisateurs

• adresse de courriel, nom d’affichage, mot de passe (stocké sous forme chiffrée non réversible) ;
• rôle dans l’agence, dates de création et de dernière activité ;
• si la connexion Google est utilisée : l’identifiant Google et l’adresse de courriel vérifiée transmise par Google.

Agents de terrain

• nom, prénom, numéro de téléphone ;
• fonction, secteur d’affectation, compétences, statut, date d’embauche ;
• portrait, lorsqu’une photo a été enregistrée ;
• gardes planifiées, pointages d’arrivée et de départ, retards et absences constatés ;
• écritures de main courante, incidents déclarés, rondes de contrôle effectuées.

Sites gardés

Nom et adresse du site, coordonnées géographiques, contact sur place. Ces informations concernent les clients de l’agence, non l’éditeur, qui n’y accède pas.

Données techniques

Journaux de connexion et d’erreur, comportant une adresse IP, un horodatage et un identifiant de requête. Ils servent à la sécurité et au diagnostic, pas au suivi des personnes.

3. Géolocalisation — deux points par garde, pas un suivi

Cette limite n’est pas un engagement de principe, c’est la manière dont le service est construit : l’enregistrement d’une garde ne comporte que quatre coordonnées — latitude et longitude à l’arrivée, latitude et longitude au départ. Il n’existe aucun enregistrement de trajet.

La finalité est étroite : attester que l’agent était bien au poste convenu, ce que l’agence doit pouvoir démontrer à son client. Elle ne permet ni de reconstituer les déplacements d’une personne, ni de la localiser à un instant quelconque.

Le navigateur du téléphone demande son autorisation à l’agent avant toute prise de position. Un refus n’empêche pas le pointage d’être enregistré ; il est alors dépourvu de coordonnées, et l’agence en tire les conséquences qu’elle juge utiles.

4. Portraits et photographies d’incident

Les portraits servent à identifier une personne dans les écrans de planning et de pointage. Ils sont redimensionnés par le téléphone avant l’envoi et conservés dans la base de données du service, non chez un tiers.

Les photographies jointes aux déclarations d’incident sont, elles, hébergées chez un prestataire spécialisé (voir la section sur les sous-traitants). Elles peuvent contenir l’image de tiers : il appartient à l’agence de n’en verser que ce qui est nécessaire à la constatation des faits, et de ne pas les diffuser au-delà de ce que sa mission justifie.

Aucune reconnaissance faciale, aucun traitement biométrique et aucune analyse automatique d’image ne sont effectués.

5. Pourquoi ces données sont traitées

• Exécuter le contrat de travail ou de mission — planifier les gardes, constater les présences, décompter les heures.
• Répondre de la prestation devant le client de l’agence — attester des postes tenus, des rondes effectuées et des incidents survenus. Cet intérêt légitime de l’agence est le fondement de la géolocalisation des pointages.
• Assurer la sécurité des personnes et des biens — alerter un responsable lorsqu’un poste reste découvert ou qu’un incident grave est déclaré.
• Fournir et facturer le service — gérer le compte de l’agence et son abonnement, obligation contractuelle et comptable de l’éditeur.
• Sécuriser le service — prévenir les accès frauduleux, diagnostiquer les pannes.

Aucune décision produisant des effets juridiques à l’égard d’une personne n’est prise de façon automatisée : les retards et absences sont signalés à un responsable, qui apprécie.

6. Qui accède aux données

À l’intérieur d’une agence, l’accès dépend du rôle. Les comptes de terrain ne voient que ce qui les concerne : leur propre planning, leurs propres pointages, leur propre fiche. La liste des clients, le planning complet et les rapports sont réservés à l’encadrement.

Aucune agence n’accède aux données d’une autre. Le cloisonnement est appliqué à chaque requête, du côté du serveur.

Le personnel de l’éditeur n’accède ni aux incidents, ni à la main courante, ni aux sites clients des agences. Son poste d’administration ne montre que des éléments de gestion d’abonnement et des volumes agrégés. Un accès technique aux données d’exploitation ne peut avoir lieu qu’à la demande expresse d’une agence, pour résoudre une difficulté qu’elle a signalée.

7. Sous-traitants et hébergement

L’éditeur fait appel aux prestataires suivants, chacun pour une fonction déterminée :

• Vercel Inc. — hébergement de l’application.
• Neon Inc. — hébergement de la base de données.
• Upstash — mémoire cache et limitation du nombre de requêtes.
• Cloudinary — stockage des photographies jointes aux incidents.
• Resend — acheminement des courriels du service (vérification d’adresse, invitations, alertes, rappels d’échéance).
• FedaPay — encaissement de l’abonnement. Les coordonnées bancaires ou de mobile money sont saisies chez le prestataire et ne transitent jamais par SecurPilot, qui n’en conserve aucune.
• Sentry — collecte des rapports d’erreur technique, lorsque cette fonction est activée.
• Google — uniquement si l’utilisateur choisit de se connecter avec son compte Google.

Ces prestataires n’ont pas le droit d’utiliser les données pour leur propre compte.

8. Transferts hors du pays

Les prestataires cités ci-dessus opèrent des infrastructures situées hors du Bénin, principalement dans l’Union européenne et aux États-Unis. Les données sont donc susceptibles d’être hébergées ou traitées hors du territoire national. L’éditeur retient des prestataires offrant des garanties contractuelles de confidentialité et de sécurité, et chiffre les échanges de bout en bout.

9. Combien de temps les données sont conservées

• Données d’exploitation (gardes, pointages, incidents, main courante, rondes) — pendant toute la durée de l’abonnement, puis trois mois après la fin du contrat pour permettre leur export, puis suppression.
• Fiche d’un agent — jusqu’à sa suppression par l’agence. Une agence qui met fin à une collaboration est invitée à retirer la fiche correspondante.
• Compte utilisateur — jusqu’à sa suppression, qui est définitive.
• Journaux techniques et courriels envoyés — purgés automatiquement, au plus tard après trente jours.
• Pièces liées à l’abonnement — pendant la durée exigée par les obligations comptables et fiscales applicables.

Une agence peut évidemment décider de durées plus courtes pour ses propres données et supprimer les enregistrements dont elle n’a plus l’usage.

10. Sécurité

• Échanges chiffrés entre le téléphone, le navigateur et le service.
• Mots de passe conservés sous forme d’empreinte non réversible ; l’éditeur ne peut pas les lire.
• Session portée par des témoins de connexion inaccessibles au code de la page, avec protection contre les requêtes forgées depuis un autre site.
• Limitation du nombre de tentatives de connexion et de demandes sensibles, pour freiner les attaques automatisées.
• Journalisation des actions d’administration, afin de pouvoir déterminer qui a fait quoi en cas d’incident.

Aucun dispositif n’est infaillible. En cas de violation de données susceptible d’engendrer un risque pour les personnes, l’éditeur en informe sans délai les agences concernées et leur fournit les éléments nécessaires à leurs propres notifications.

11. Vos droits

Toute personne dont les données figurent dans le service dispose d’un droit d’accès, de rectification, d’effacement, de limitation et d’opposition, ainsi que du droit d’obtenir une copie de ses données.

Si vous êtes agent de terrain

Adressez votre demande à votre agence : c’est elle qui décide des données vous concernant et qui peut y donner suite. L’éditeur ne peut pas modifier ni supprimer, de sa propre initiative, des données appartenant à une agence. Si votre agence ne répond pas, écrivez à l’éditeur, qui la relaiera.

Si vous êtes une agence cliente

Écrivez à contact@securpilot.com. Une réponse vous est apportée dans un délai d’un mois.

Vous pouvez également saisir l’Autorité de protection des données à caractère personnel (APDP) du Bénin si vous estimez que vos droits ne sont pas respectés.

12. Témoins de connexion

SecurPilot n’utilise aucun traceur publicitaire et aucun outil de mesure d’audience tiers. Il n’y a rien à accepter ni à refuser.

Les seuls témoins déposés sont strictement nécessaires au fonctionnement : celui qui maintient votre session, celui qui permet de la renouveler, celui qui protège les formulaires contre les requêtes forgées, et — le temps d’une connexion Google — deux témoins temporaires valables cinq minutes. Les refuser rendrait la connexion impossible.

13. Modifications de cette politique

Cette politique évolue avec le service. Toute modification substantielle est annoncée aux agences abonnées par courriel avant son entrée en vigueur. La date de dernière mise à jour figure en tête de page. Les conditions d’utilisation complètent le présent document.