Politique de confidentialité — GéoClic Patrouille

1. Objet de cette politique

Cette page décrit les données traitées par l’application GéoClic Patrouille, les raisons pour lesquelles elles le sont, à qui elles sont transmises et pendant combien de temps elles sont conservées.

Elle décrit les opérations réalisées par l’application et par le service qui l’accompagne. Elle ne constitue pas une qualification juridique du régime applicable et ne certifie pas la conformité du service. Les bases légales et la répartition contractuelle des rôles sont déterminées par la collectivité compétente et par les documents du déploiement concerné.

2. Qui publie l’application

L’application est éditée par Frédéric Lopez EI, exerçant sous l’enseigne GéoClic Suite, 184 rue des Merisiers, 30240 Le Grau-du-Roi, France. Immatriculation : RCS Nîmes 104 096 177. Site : https://geoclic.fr/.

Contacts :

• Questions relatives à cette politique et demandes de suppression : contact@geoclic.ovh
• Questions relatives à la fiche Google Play : play@geoclic.fr

3. Public concerné et comptes

L’application est réservée aux agents majeurs de police municipale et aux gardes champêtres disposant d’un compte fourni par leur collectivité. Elle n’est pas destinée au grand public.

• Pas d’auto-inscription : aucun écran de création de compte. Les comptes sont créés et administrés par l’administrateur de la collectivité.
• Pas de suppression autonome dans l’application : l’agent ne peut pas supprimer lui-même son compte depuis l’application. La procédure est décrite à la section 12.
• Compte nominatif : le compte est rattaché à une personne identifiée par la collectivité. Il ne doit pas être partagé entre agents.
• Terminal professionnel : un terminal peut être enrôlé, révoqué et remplacé. Ces opérations sont journalisées.

4. Données traitées

Le tableau ci-dessous distingue les données saisies ou produites par l’application, les données reçues du serveur et les données constituées côté serveur.

L’application peut afficher un audio de levée de doute associé à une alerte. Cet audio est lu, jamais enregistré : aucune permission microphone n’est demandée et aucun son n’est capté, enregistré ou transmis depuis le microphone de l’appareil.

5. La localisation en détail

La localisation fonctionne uniquement pendant une vacation ouverte.

• Contenu transmis : le corps JSON de position contient la latitude, la longitude, la précision estimée, l’horodatage de la mesure et le numéro de révision. Il ne contient ni vitesse, ni cap, ni altitude, ni niveau de batterie, ni identifiant d’appareil ou d’agent. La requête est authentifiée par le jeton de session et le jeton du terminal, qui la rattachent au compte et au terminal.
• Position précise ou approximative : si l’agent accorde la localisation précise, la position est précise. Si seule la localisation approximative est accordée, l’application fonctionne avec une position approximative.
• Cadence : acquisition au minimum toutes les 5 secondes. Envoi lors d’un déplacement d’au moins 10 mètres, ou battement toutes les 30 secondes à l’arrêt. Une mesure de plus de 90 secondes est rejetée ; une mesure datée de plus de 120 secondes dans le futur est également rejetée.
• Une seule position par vacation : une ligne est conservée par vacation et remplacée à chaque envoi. Aucun historique de positions n’est constitué.
• Suppression à la clôture : la ligne de position est supprimée à la clôture manuelle ou automatique de la vacation.
• Pas de permission de localisation en arrière-plan : l’application ne demande pas ACCESS_BACKGROUND_LOCATION. Le suivi repose sur un service de premier plan avec une notification permanente et une action d’arrêt. Ce service peut continuer à transmettre la position lorsque l’interface est masquée, pendant la vacation ; il s’arrête par l’action d’arrêt, la clôture de la vacation ou la déconnexion.
• Arrêt possible : l’agent peut arrêter le suivi depuis la notification permanente. La position cesse alors d’être transmise.

Le suivi de position est indissociable du service rendu : une vacation sans position ne permet pas à la supervision de localiser l’équipage. Le statut opérationnel et les notes libres restent facultatifs.

6. Données non collectées

L’application ne collecte ni ne demande :

• photos et vidéos — aucune permission caméra ;
• enregistrements microphone — aucune permission d’enregistrement audio ; l’application peut seulement lire un audio fourni par le service Alerte ;
• contacts, SMS, journal d’appels, état du téléphone ;
• calendrier ;
• données de santé, données financières, données biométriques ;
• identifiant publicitaire — aucune permission AD_ID ;
• navigation web — la WebView de l’application ne charge que des ressources locales ; aucune navigation externe n’est configurée ni exposée par l’interface ;
• localisation en arrière-plan — aucune permission ACCESS_BACKGROUND_LOCATION ; le service de premier plan peut toutefois poursuivre le suivi pendant la vacation lorsque l’interface est masquée.

Aucun outil de publicité, de mesure d’audience ou de rapport de crash tiers n’a été identifié dans l’application.

7. Finalités

Les données sont traitées pour les finalités suivantes :

1. Suivre la vacation : afficher la position de l’équipage à la supervision pendant le service, pour le localiser et le diriger vers une intervention.
2. Protéger les agents : savoir où se trouve un équipage engagé et pouvoir le rejoindre, le relever ou lui envoyer du renfort.
3. Coordonner les alertes : prendre en compte, escalader, clôturer et qualifier une alerte adressée à l’équipage.
4. Tracer l’activité du service : conserver les vacations, les statuts et les décisions pour rendre compte de l’activité.
5. Authentifier et sécuriser l’accès : rattacher chaque envoi à un terminal autorisé et à une vacation valide.
6. Superviser : permettre à l’encadrement de la collectivité de consulter l’activité de ses équipages.
7. Exploiter et maintenir le service : journaux techniques, diagnostic local, correction d’incidents.

Aucune finalité publicitaire, commerciale ou de profilage n’est poursuivie. L’éditeur ne revend aucune donnée.

8. Destinataires

Les données peuvent être accessibles aux destinataires suivants :

• La collectivité employeur : accès aux positions de vacation, aux vacations, aux statuts, aux notes et aux journaux de ses seuls agents, selon les rôles admin, opérateur et mairie.
• La supervision interne désignée par la collectivité : poste de commandement, encadrement.
• Le centre de supervision ou CSU, s’il est distinct et si un webhook est configuré par la collectivité. Dans ce cas, le payload contient les données d’alerte, dont les notes de clôture et la position de l’alerte. Il ne contient pas le GPS continu de la patrouille, ni l’audio, ni l’e-mail, ni l’identité de l’agent.
• L’éditeur et son hébergeur, pour l’exploitation technique du service.
• Les autorités, lorsqu’une obligation légale l’impose.

L’application ne transmet aucune donnée à un réseau publicitaire, à un outil d’analyse d’audience ou à un outil tiers de rapport de crash.

9. Rôles et cadre juridique

La collectivité qui déploie Patrouille : crée et administre les comptes des agents ; définit les consignes de service et les conséquences professionnelles liées au suivi ; ouvre et clôture les vacations ; consulte les positions, vacations, statuts et notes de ses agents ; reçoit les demandes d’exercice des droits et les demandes de suppression.

L’éditeur : publie l’application et fournit le service ; opère l’infrastructure du service lorsqu’il l’héberge ; assure le support technique ; reçoit les demandes en second recours.

La présente page décrit ces opérations. Elle ne tranche pas la qualification juridique de chaque traitement — responsable de traitement, sous-traitant ou responsable conjoint — et ne choisit pas de base légale à la place de la collectivité. Cette qualification et ces bases sont déterminées par la collectivité compétente, finalité par finalité, dans son registre et dans les documents contractuels du déploiement.

10. Hébergement et transferts

Pour le service opéré par l’éditeur, l’hébergeur identifié est OVH SAS.

Le lieu d’hébergement dépend de l’infrastructure retenue pour chaque déploiement. La présente page ne garantit pas que tous les déploiements sont hébergés en France ou dans l’Union européenne. Une collectivité peut auto-héberger le service sur sa propre infrastructure : l’hébergement relève alors de la collectivité.

La présente page n’affirme pas l’absence de transfert hors Union européenne. Les transferts éventuels doivent être documentés par le responsable du déploiement concerné, avec les garanties applicables.

11. Durées de conservation

Les durées ci-dessous décrivent l’état réel du service à la date de publication. Aucune durée non appliquée n’est annoncée.

Note sur les journaux de la phase de test. Les journaux d’audit produits pendant la phase de test sont encore conservés à la date du 31 octobre 2026. Ils ne sont pas présentés comme supprimés. Leur suppression est prévue après un dernier contrôle ; elle sera documentée.

12. Suppression du compte et des données

Compte créé par la collectivité. L’application ne permet pas de créer un compte et ne comporte pas de flux de suppression de compte. Les comptes sont administrés par la collectivité.

Demande de suppression. Une demande peut être adressée :

1. à la collectivité qui administre le compte, en premier lieu ;
2. à l’éditeur, en second recours : contact@geoclic.ovh ou play@geoclic.fr.

La demande peut porter sur le compte, sur les données de vacation, sur les notes ou sur les journaux. Elle est traitée par la collectivité qui détient les données, avec l’éditeur si nécessaire.

Effet d’une désactivation de compte. La suppression d’un compte se traduit, dans l’état actuel du code, par une désactivation logique : le compte est marqué inactif. Ce n’est pas un effacement physique. La désactivation n’efface pas :

• les vacations terminées ;
• les statuts opérationnels ;
• les notes libres ;
• le journal d’audit, le journal des événements et le journal des accès audio ;
• les journaux techniques contenant des adresses IP.

Une suppression effective des données détenues par la collectivité nécessite une opération manuelle, réalisée selon ses instructions. Aucun délai contractuel de suppression n’est promis par la présente page.

13. Sécurité

Mesures constatées dans l’application et son environnement :

• Transport : HTTPS obligatoire, origine validée, redirections HTTP refusées en production.
• Coffre natif : identité du terminal et configuration de suivi chiffrées en AES-GCM 256, avec une clé conservée dans le magasin de clés Android et non exportable.
• Session WebView : jetons conservés dans sessionStorage, non chiffré, cloisonné par l’origine et par le bac à sable du WebView.
• Sauvegarde Android : allowBackup="false".
• Surface réduite : service de localisation non exporté, aucune interface JavaScript applicative ajoutée, aucune navigation externe configurée.
• Contrôle d’accès : rôles admin, opérateur et mairie côté serveur ; terminal et jeton de session pour le terrain ; terminal révoqué rejeté.
• Signal visible : notification permanente pendant le suivi, avec action d’arrêt.
• Journalisation : accès serveur journalisés avec adresse IP, rotation par taille.

Limites connues :

• le chiffrement au repos du serveur n’est pas documenté à ce jour ;
• l’existence, le chiffrement et la durée des sauvegardes ne sont pas documentés ;
• le coffre natif ne demande pas de déverrouillage supplémentaire : il est déchiffrable dès que l’appareil est déverrouillé ;
• la session WebView n’est pas chiffrée.

14. Droits des personnes

Les agents disposent, selon le régime applicable à leur collectivité, de droits d’accès, de rectification, d’effacement, de limitation et, le cas échéant, d’opposition. L’étendue exacte de ces droits dépend de la qualification retenue pour chaque finalité.

Pour exercer un droit :

1. Premier contact : la collectivité employeur, qui administre le compte, les vacations et les données de service.
2. À défaut : l’éditeur, contact@geoclic.ovh ou play@geoclic.fr, qui transmet la demande à la collectivité.
3. Réclamation : la CNIL, Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou via son site https://www.cnil.fr.

Une demande peut nécessiter une vérification d’identité. Les demandes portant sur des données détenues par la collectivité sont traitées par elle ; l’éditeur ne peut pas y répondre seul.

15. Mineurs

L’application est réservée à des agents majeurs en service. Elle n’est pas destinée aux mineurs et ne comporte aucun contenu qui leur soit adressé. L’accès est fermé par le provisionnement du compte par la collectivité.

Les notes libres et les notes d’alerte peuvent mentionner des tiers, y compris des mineurs, si un agent les saisit. Cette saisie relève de la consigne de service et de la responsabilité de la collectivité.

16. Cookies et traceurs

L’application ne contient aucun cookie, aucun traceur, aucun outil de mesure d’audience et aucun pixel publicitaire. Les stockages locaux de l’application — session WebView, coffre natif, diagnostic — sont techniques et décrits à la section 4. Ils ne servent ni au profilage ni à la mesure d’audience.

Le site vitrine geoclic.fr est un service distinct et n’est pas couvert par la présente politique.

17. Modifications

Cette politique peut évoluer avec l’application, la réglementation ou l’organisation du service. Toute modification substantielle — donnée traitée, destinataire, durée de conservation, finalité — sera datée et portée à la connaissance des collectivités et des agents par un moyen approprié.

18. Contact

• Questions relatives à cette politique : contact@geoclic.ovh
• Questions relatives à la fiche Google Play : play@geoclic.fr
• Demandes relatives aux données d’un agent : en premier lieu la collectivité employeur, puis l’éditeur.
• Autorité de contrôle : CNIL, https://www.cnil.fr.