Sécurité et protection des données
Ce que nous faisons de vos données, et ce que nous ne ferons jamais
BatiPilot traite des photos de chantier, des enregistrements vocaux, des coordonnées de particuliers et des données d’intervention de salariés d’entreprises tierces. Ces catégories sont sensibles, et nous préférons vous dire précisément comment elles sont traitées plutôt que de vous promettre une sécurité de principe.
La géolocalisation, le point que nous prenons le plus au sérieux
Un outil qui horodate et géolocalise des interventions peut techniquement servir à surveiller des gens. Nous avons conçu le produit pour que ce détournement soit impossible, et nous l’avons interdit par contrat.
Au moment où vous ouvrez l’appareil photo, l’application lit votre position pour vous proposer le chantier le plus proche, et enregistre les coordonnées avec la contribution pour renforcer sa valeur de preuve. C’est tout, et cela s’arrête là.
Ce que nous ne faisons jamais
- Aucune collecte en arrière-plan
- Aucun suivi de trajet, aucun historique de déplacement
- Aucune position enregistrée hors d'une contribution que vous créez
- Aucune fonction de contrôle des heures d'arrivée ou de présence
Ce que nous garantissons
- Refuser le GPS ne dégrade aucune fonctionnalité
- Une information claire avant la première demande de permission
- Une précision limitée à ce qui identifie un chantier
- Des coordonnées jamais affichées au client particulier
- Une désactivation possible pour tous les chantiers d'une agence
Une interdiction contractuelle, pas une simple intention
L’accord de sous-traitance signé par chaque client professionnel interdit explicitement l’usage des données de BatiPilot à des fins de contrôle du temps de travail. Un constructeur qui s’en servirait ainsi sortirait de la finalité déclarée du traitement et engagerait sa propre responsabilité.
Les mesures de sécurité en place
Aucune de ces mesures n’est optionnelle ni réservée à une offre supérieure. Elles s’appliquent à tous les comptes, y compris aux accès gratuits.
- Hébergement dans l'Union européenne
- Vos données de chantier ne quittent pas l'Union européenne. Nos sous-traitants ultérieurs, hébergeur, stockage des fichiers, paiement, envoi de courriels et transcription (OpenAI, en résidence des données européenne), figurent sur une liste tenue à jour et communiquée à nos clients professionnels.
- Chiffrement en transit et au repos
- Les échanges avec l'application passent par TLS 1.3, avec HSTS activé. La base de données et le stockage des fichiers sont chiffrés au repos, ce qui couvre le cas d'un accès physique aux supports.
- Mots de passe hachés avec argon2
- Votre mot de passe n'est jamais stocké en clair, jamais transmis par courriel, jamais inscrit dans un journal technique. Argon2 est la fonction de hachage recommandée aujourd'hui pour ce type d'usage.
- Suppression des métadonnées EXIF
- Une photo prise au téléphone embarque des coordonnées GPS, un identifiant d'appareil et parfois bien plus. Ces métadonnées sont retirées systématiquement à l'envoi. Seules les coordonnées que BatiPilot enregistre explicitement en base subsistent.
- Cloisonnement strict des accès
- Le périmètre de chaque personne est vérifié à chaque requête, côté serveur. Un contrôle uniquement côté navigateur n'est pas un contrôle. Le cloisonnement défaillant est la première cause de fuite dans un produit qui héberge plusieurs organisations.
- Journal d'audit
- Les accès sensibles, les changements de droits, les validations de lot et les publications de comptes rendus sont journalisés. Vous savez qui a ouvert un accès, qui l'a retiré et quand.
- Sauvegardes chiffrées
- Les sauvegardes sont chiffrées et leur restauration est testée périodiquement. Une sauvegarde jamais restaurée n'est pas une sauvegarde.
- Procédure de violation de données
- Une procédure documentée encadre la notification à la CNIL sous soixante-douze heures, l'information des clients concernés et la conservation de la chronologie de l'incident.
Dix ans, adossés à la garantie décennale
La durée de conservation des contributions terrain n’est pas une commodité de notre part. Elle découle des articles 1792 et suivants du Code civil : un litige sur une malfaçon peut survenir jusqu’à dix ans après la réception des travaux, et c’est précisément à ce moment que vos photos et vos notes vocales valent quelque chose.
Nous refusons pour autant le réflexe du « on garde tout, pour toujours ». Chaque catégorie de données a une durée écrite, opposable, et une suppression effective à son terme. Les coordonnées de géolocalisation suivent la durée de la contribution à laquelle elles se rattachent, ni plus ni moins.
Nos durées de conservation
- Contributions terrain : photos, notes, notes vocales
- 10 ans après réception
- Documents et plans
- 10 ans après réception
- Comptes rendus client
- 10 ans après réception
- Données de facturation
- 10 ans, obligation comptable
- Journaux de connexion
- 12 mois
- Journal d'audit
- 3 ans
- Compte inactif
- 3 ans après le dernier contact
- Invitations non acceptées
- 90 jours
Le détail complet figure dans la politique de confidentialité.
Vos preuves vous appartiennent
Un artisan qui documente son intervention le fait d’abord pour se protéger. Si cette protection disparaît le jour où le donneur d’ordre ferme son accès, elle ne vaut rien. C’est pourquoi le droit de preuve de l’artisan est inscrit dans la conception même du produit.
Un accès en lecture qui vous reste
Si le constructeur retire votre accès au chantier, vous perdez la vue sur le travail des autres intervenants, jamais sur vos propres photos, notes et notes vocales. Cet accès court sur toute la durée de conservation.
Des contributions inaltérables
Quinze minutes après l’envoi, une contribution ne peut plus être modifiée ni supprimée, ni par vous ni par le constructeur. C’est cette immutabilité qui lui donne sa valeur devant un expert ou un tribunal.
Un export horodaté
Vos interventions s’exportent en PDF horodaté et en format lisible par machine, à transmettre à votre assureur, à votre avocat ou à un expert. L’export ne dépend d’aucune autorisation du donneur d’ordre.
La suppression d’un compte anonymise les contributions au lieu de les effacer. Le RGPD prévoit cette limite lorsque la conservation est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice. L’identité est retirée, la preuve matérielle subsiste, et cette limite vous est annoncée avant que vous ne validiez la suppression.
À qui vous adresser selon votre demande
Sur les données de chantier, BatiPilot agit comme sous-traitant, sur instruction de l’agence de construction ou de l’artisan abonné. Nous ne les réutilisons jamais pour notre propre compte, ni pour des statistiques nominatives, ni pour entraîner un modèle, ni pour une démonstration commerciale.
Une demande sur des données de chantier
Retrait d’une photo sur laquelle vous êtes identifiable, accès aux éléments d’un chantier, opposition à un traitement : la décision revient à l’agence de construction, qui est responsable de traitement. Nous transmettons la demande et fournissons l’outillage nécessaire.
Une demande sur votre compte
Export de vos données personnelles, rectification, suppression de compte, facture ou désabonnement d’un courriel d’information : ces demandes relèvent directement de BatiPilot et se traitent depuis les paramètres de votre compte ou par courriel.
Aucun cookie publicitaire, aucun traceur tiers. Nous n’avons pas de modèle publicitaire, cette position ne nous coûte donc rien à tenir.
Questions fréquentes
- Où sont hébergées les données de mes chantiers ?
- Dans l'Union européenne. Tout prestataire situé hors de l'Union doit relever d'un mécanisme de transfert valide, et la liste de nos sous-traitants ultérieurs est communiquée à nos clients professionnels, avec préavis en cas de changement.
- Mon employeur ou mon donneur d'ordre peut-il suivre mes déplacements ?
- Non. BatiPilot ne lit la position qu'au moment où vous créez vous-même une photo ou une note. Aucune collecte en arrière-plan, aucun historique de trajet, et notre contrat interdit explicitement l'usage des données à des fins de contrôle du temps de travail.
- Que se passe-t-il si je refuse la géolocalisation ?
- Rien ne se dégrade. Vous sélectionnez le chantier à la main, et toutes les fonctionnalités restent accessibles. Aucune fonctionnalité de BatiPilot n'est conditionnée à l'activation du GPS.
- Mes photos contiennent-elles encore leurs données de localisation ?
- Non. Les métadonnées EXIF, qui embarquent les coordonnées et l'identifiant de l'appareil, sont supprimées systématiquement à l'envoi. Seules les coordonnées enregistrées explicitement en base sont conservées, et elles ne sont jamais montrées au client particulier.
- Pourquoi conserver les données dix ans ?
- Parce que la garantie décennale court sur dix ans après la réception des travaux. Un litige sur une malfaçon peut survenir tardivement, et c'est précisément le moment où les photos et les notes vocales prennent leur valeur. Une conservation plus courte viderait la promesse du produit.
- Si je quitte un chantier, que deviennent mes contributions ?
- Vous conservez un accès en lecture à vos propres photos, notes et notes vocales pendant toute leur durée de conservation, même si le constructeur ferme votre accès au chantier. Vous pouvez les exporter en PDF horodaté.
- Un compte supprimé efface-t-il les contributions ?
- Non, il les anonymise. Les contributions restent rattachées à l'entreprise intervenante sous la mention « Utilisateur supprimé ». Effacer physiquement les éléments trouerait le dossier d'un chantier auquel d'autres parties ont un intérêt légitime. Cette limite est annoncée avant la validation de la suppression.
Une question sur vos données
Nous répondons aux questions précises, y compris techniques, y compris avant toute souscription. La politique de confidentialité détaille chaque traitement, sa base légale et sa durée.