Politique de confidentialité

1. Données concernées

• Identité de compte : adresse e-mail, nom affiché, méthode de connexion et facteurs de sécurité.
• Organisation et autorisations : appartenances, rôles, invitations et espaces de travail.
• Contenus confiés : demandes, pièces, réponses, documents, sources, citations et versions.
• Preuves et sécurité : journaux nécessaires, certificats, décisions de politique et événements de révocation.
• Usage : crédits consommés, état du service et retours transmis volontairement.

2. Finalités

Ces données servent à authentifier l'utilisateur, isoler les organisations, exécuter la demande, produire les livrables, conserver les versions choisies, établir les preuves demandées, prévenir les abus, assurer le support et respecter les obligations applicables.

3. Destinations

Les données d'identité sont traitées par le service d'authentification configuré. Lorsqu'un modèle est utilisé, le contenu nécessaire est transmis au fournisseur sélectionné selon la politique de l'espace. Les clés personnelles sont destinées au fournisseur choisi et ne doivent pas être inscrites dans un message. L'interface « parcours des données » précise les destinations actives lorsqu'elle est disponible.

Recherche web

Le mode « Rechercher » transmet la recherche saisie à Google LLC, société américaine, par l'API Gemini. Google l'interroge avec la recherche Google et rédige une réponse courte. La recherche part avec une consigne et, pour un agent de collectivité, le nom de sa commune. Lorsque le masquage est actif dans l'espace, les noms et coordonnées détectés sont remplacés avant l'envoi.

APLOMB utilise le niveau payant de l'API : Google n'utilise pas ces données pour entraîner ses modèles. Il peut conserver la recherche et sa réponse jusqu'à 30 jours pour fournir les résultats et les suggestions de recherche. Si Gemini n'est pas disponible, la recherche passe par Anthropic (Claude), société américaine, avec sa propre recherche web. Les résultats et les suggestions de recherche Google sont affichés tels que Google les fournit ; un clic sur une suggestion ouvre google.com, soumis aux règles de Google.

Le mode « Vérifier » n'envoie rien à Google. L'espace Confidentiel n'effectue aucune recherche web.

4. Isolation et accès

Les appartenances et droits sont contrôlés côté serveur. Les contenus d'une organisation ne sont pas rendus lisibles à une autre organisation. Les fonctions de support ou d'administration n'ouvrent pas par défaut le contenu client. Tout accès exceptionnel prévu par le service doit être borné, consenti et journalisé.

5. Conservation et sécurité

Les durées dépendent du type de donnée, de la politique de l'organisation, des versions conservées et des obligations applicables. APLOMB met en œuvre l'authentification, la séparation des espaces, les rôles, la révocation et l'authentification renforcée pour les fonctions sensibles. Aucun dispositif ne supprime tous les risques.

Sauvegardes externes chiffrées

Backblaze, société américaine intervenant comme sous-traitant de stockage, conserve les copies de sauvegarde dans sa région EU Central, à Amsterdam aux Pays-Bas. Les contenus sont chiffrés sur le serveur APLOMB avant leur envoi. La clé privée de déchiffrement est conservée séparément par APLOMB, hors du serveur et hors de Backblaze ; Backblaze ne la détient pas. La localisation européenne du stockage ne change pas la nationalité du prestataire.

Une copie quotidienne est prévue. Chaque copie est verrouillée contre la suppression pendant sept jours. Le cycle de vie conserve les versions remplacées pendant sept jours, avec le délai de traitement du prestataire. Ce délai ne correspond pas à un nombre garanti de copies. La dernière copie reste conservée si les envois s'interrompent. Une suppression dans le service peut donc rester présente dans ces copies jusqu'à leur expiration ; après restauration, les demandes de suppression doivent être réappliquées. L'état de la dernière sauvegarde vérifiée est publié sur la page de statut. Une copie vérifiée ne constitue pas une garantie de disponibilité absolue.

6. Choix et droits

L'utilisateur peut corriger son nom affiché, renforcer son compte, exporter ses conversations accessibles et demander l'exercice de ses droits ou la suppression selon le cadre applicable. Une demande doit être adressée au contact figurant dans les mentions légales. Une vérification d'identité peut être nécessaire.

7. Connexion Google

Lorsque cette option est activée, Google authentifie l'utilisateur et transmet les informations de profil nécessaires à l'ouverture de session, notamment l'adresse e-mail et le nom affiché. APLOMB ne demande pas l'accès aux courriels, fichiers ou contacts pour cette connexion. L'utilisateur peut aussi choisir l'authentification par adresse e-mail.

8. Courriels d'invitation et de compte

Lorsqu'un responsable invite une personne et que l'envoi est activé, APLOMB utilise le relais d'OVH SAS, depuis direction@projet-aplomb.fr. Le relais reçoit l'adresse de cette personne, l'adresse d'envoi APLOMB, un message fixe avec le lien d'invitation, la date et les identifiants techniques du message. Aucun document, contenu de conversation ou nom d'organisation n'est joint. La personne doit se connecter avec son adresse confirmée pour accepter l'invitation ; le lien seul ne donne aucun accès.

La connexion entre APLOMB et le relais est chiffrée et son certificat est vérifié. OVHcloud présente ses services de messagerie comme hébergés en France ; voir les informations d'OVHcloud sur la messagerie. La documentation consultée ne confirme pas la localisation de l'offre MX Plan utilisée par APLOMB : cette localisation reste à confirmer. Le prestataire peut traiter le courriel pour l'acheminer. L'hébergement de la boîte du destinataire dépend de son propre fournisseur : cette déclaration ne garantit pas un stockage en France de la copie reçue.

L'application distingue l'invitation enregistrée de la remise du courriel au relais ; cette remise ne prouve pas la réception dans la boîte de la personne invitée. Le lien reste disponible pour le responsable si l'envoi échoue ou si son résultat est incertain. Les confirmations de compte et les réinitialisations de mot de passe sont émises par le service d'authentification Supabase, via la même boîte OVH direction@projet-aplomb.fr. Ce service et sa configuration restent distincts du relais applicatif d'invitation. Les messages de compte contiennent l'adresse du destinataire, le lien sécurisé et les informations techniques nécessaires ; aucun document ni contenu de conversation n'y est joint.

Avis sur APLOMB

Lorsque vous envoyez un avis par « Votre avis », APLOMB enregistre votre note, votre message, la nature de l'avis et, si vous la choisissez, la question et la réponse d'une de vos demandes de l'espace Organisation. Ces éléments, avec votre nom affiché, votre adresse électronique, votre organisation et votre rôle, sont mis en forme dans un PDF transmis à l'équipe APLOMB à l'adresse direction@projet-aplomb.fr, par le relais d'OVH SAS. Ils servent à corriger et améliorer le service et peuvent figurer dans les bilans du pilote remis aux services de l'État. L'avis est conservé 90 jours dans l'application ; le courriel reçu est archivé par l'équipe APLOMB. Une demande de l'espace Confidentiel ne peut pas être jointe.

9. Affichage cartographique

Lorsque vous ouvrez une carte autorisée et sélectionnez ses calques publics, votre navigateur consulte directement l'IGN Géoplateforme, Géorisques, les services cartographiques du BRGM et les données ouvertes de l'Agence ORE. Ces services reçoivent votre adresse IP et l'emprise de la vue ou le point consulté, sans cookie APLOMB, jeton de connexion ni référent. Aucune conversation ni pièce privée n'est transmise à ces services par l'affichage des calques. Les sources activées et leur portée sont indiquées dans le menu des couches et au clic. Les contenus affichés ne constituent ni une instruction, ni une décision de l'autorité compétente. La consultation cartographique est désactivée dans l'espace Confidentiel.

10. Extension de navigateur et APLOMB Desktop

L'extension « APLOMB · Vérifier la sélection » ne lit une page que lorsque vous le demandez (clic droit, raccourci ou bouton) : le passage sélectionné, ou la réponse choisie via le menu prévu à cet effet, ainsi que le titre et l'adresse de la page, sans ses paramètres ni son fragment. Elle les remet à l'application APLOMB Desktop installée sur le même ordinateur, par la messagerie native du navigateur ; elle n'ouvre aucune connexion réseau et n'a aucun accès permanent aux sites.

Les sélections en attente sont conservées sur votre ordinateur, en mémoire, et expirent au bout de 30 minutes. Aucun fichier de sélection n'est créé. Le passage n'est transmis à APLOMB que si vous lancez vous-même la vérification dans l'application ; il est alors traité comme toute question posée dans l'espace de vérification. Le titre et l'adresse de la page ne sont pas transmis avec cette demande. L'expiration de la sélection locale n'efface pas une question que vous avez ensuite envoyée à l'application. Aucune donnée n'est vendue ni utilisée à d'autres fins.

11. Évolution

La version applicable est affichée sur cette page. Un nouveau consentement est demandé lorsque la nature du changement le requiert.