Politique de confidentialité

La présente politique décrit les modalités de collecte, de traitement et de protection des données personnelles dans le cadre de l'utilisation de l'application, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.

Responsable de traitement

Données collectées

• Identifiant de connexion (pseudo) et adresse email
• Mot de passe (haché de manière irréversible avec Argon2)
• Rôle attribué dans l'application
• Données générées par l'utilisation : bons de commande, devis, prestations saisies, horodatages
• Logs techniques de connexion (adresse IP, date/heure) à des fins de sécurité

Finalités du traitement

• Authentification et gestion des accès à l'application
• Gestion opérationnelle des prestations de sécurité privée (bons de commande, devis, évaluations, constats)
• Traçabilité des actions effectuées dans l'application
• Sécurité du système d'information (détection d'usage anormal, lutte contre le brute-force)

Base légale

• Exécution du contrat liant RATP Dev Lyon à ses prestataires de sécurité privée (article 6.1.b RGPD)
• Intérêt légitime du responsable de traitement à assurer la sécurité du système (article 6.1.f RGPD)

Destinataires des données

Les données sont accessibles aux utilisateurs habilités de la Direction Sûreté de RATP Dev Lyon et, dans le cadre strict de la maintenance technique, à l'éditeur. Aucune donnée n'est cédée à des tiers à des fins commerciales.

Durée de conservation

• Données de comptes : durée du contrat, supprimées à la cessation d'activité de l'utilisateur
• Données opérationnelles (bons, devis, évaluations) : durée du contrat, puis 5 ans (durée de prescription en matière commerciale)
• Logs de connexion : 12 mois maximum, conformément aux recommandations CNIL

Hébergement et transferts

L'hébergement de l'application et de la base de données est assuré par OVHcloud, société dont le siège est situé au 2 rue Kellermann, 59100 Roubaix, France (www.ovhcloud.com).

Serveur : VPS OVHcloud, datacenter de Gravelines (GRA), France. Adresse IP : 51.255.201.3. Les données sont hébergées exclusivement sur le territoire de l'Union européenne.

Cookies

L'application n'utilise que des cookies strictement nécessaires à son fonctionnement, exemptés de consentement préalable conformément à la délibération n° 2020-091 de la CNIL :

• PHPSESSID : cookie de session pour le maintien de l'authentification, durée de la session navigateur
• theme : préférence d'affichage clair/sombre, durée d'un an

Aucun cookie de mesure d'audience, de traçage publicitaire ou de partage social n'est déposé.

Sécurité

• Communication chiffrée (HTTPS/TLS) entre le navigateur et le serveur
• Stockage des mots de passe sous forme hachée (Argon2)
• Protection contre les attaques par force brute (limitation du nombre de tentatives de connexion)
• Cookies de session protégés (Secure, HttpOnly, SameSite)
• Sauvegardes régulières de la base de données

Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès, de rectification et d'effacement
• Droit à la limitation du traitement
• Droit d'opposition pour motif légitime
• Droit à la portabilité des données

Pour exercer ces droits, contactez la Direction Sûreté de RATP Dev Lyon ou l'éditeur à l'adresse indiquée dans les mentions légales.

Vous avez également le droit d'introduire une réclamation auprès de la CNIL (cnil.fr) si vous estimez que vos droits ne sont pas respectés.