Politique de confidentialité
Vos données, en clair.
Ce que Pantographe fait de vos données, et surtout ce qu'il n'en fait jamais. Écrit pour être lu, pas pour être signé sans lire.
Un projet personnel
Pantographe est développé et maintenu par un agent d'exploitation, pour son propre usage et celui de collègues volontaires : conducteurs de métro, de tramway et du funiculaire. Ce n'est ni une application proposée par l'exploitant du réseau TCL, la société RATP Dev Lyon, ni un service édité ou approuvé par GIRO Inc., éditeur du logiciel HASTUS. C'est un outil qui se connecte, avec vos identifiants, au SelfService HASTUS que votre employeur met à votre disposition.
En bref
Ce qui est traité
- Votre identifiant et mot de passe SelfService, chiffrés sur votre téléphone
- Votre planning, gardé sur votre téléphone pour la lecture hors ligne
- Si vous le créez : un compte Pantographe (adresse e-mail et sauvegardes chiffrées que nous ne pouvons pas lire)
- Seulement si vous activez l'agenda : votre identifiant et mot de passe SelfService, que le serveur garde chiffrés pour relire votre planning à votre place, et ce planning
- Un compteur d'ouvertures anonyme, que vous pouvez couper
- Le contenu d'un signalement ou d'une note, uniquement si vous en envoyez un
Jamais
- Votre mot de passe Pantographe n'est jamais envoyé, et votre mot de passe SelfService ne quitte votre téléphone que si vous activez l'agenda, après votre accord explicite
- Aucune publicité, aucun traceur publicitaire, aucune donnée vendue
- Aucune donnée partagée avec un tiers, hors services techniques cités plus bas
- Aucune position, aucun contact, aucun accès à vos fichiers
- Sans les options « Planning sur le web » et « Agenda », votre planning ne quitte pas votre téléphone
Le compte Pantographe
Facultatif. Il faut de toute façon votre compte agent SelfService pour lire votre journée. Le compte Pantographe n'est nécessaire que pour les options qui passent par le serveur : la sauvegarde, le planning sur le web et l'agenda.
Ce qui est conservé
Votre adresse e-mail (chiffrée sur le serveur, utilisée pour vérifier le compte, retrouver un mot de passe et vous prévenir d'un changement de sécurité), un secret d'authentification (haché, il ne permet pas de retrouver votre mot de passe), la liste de vos appareils connectés (modèle et dates) et vos sauvegardes.
Ce que le serveur ne peut pas lire
Votre mot de passe Pantographe n'est jamais envoyé : votre téléphone en tire une preuve d'identité et une clé. Vos sauvegardes sont chiffrées sur votre téléphone avant d'être envoyées. Même en cas de fuite de la base, elles resteraient illisibles. Une seule exception, l'option « Agenda » (décrite ci-dessous), où le serveur doit pouvoir lire votre planning pour le tenir à jour.
Le code de secours
À la création, un code vous est montré une fois. Si vous oubliez votre mot de passe, lui seul permet de retrouver vos sauvegardes sur un nouveau téléphone. Sans lui, nous ne pouvons rien récupérer : le compte repart vide. Vous pouvez en générer un nouveau depuis les Réglages.
Ce que contient la sauvegarde
Vos comptes SelfService (identifiant et mot de passe), les réglages de l'application (thème, couleurs, affichage, interrupteurs), les collègues que vous suivez (matricule et nom affichés par le portail, rien de leur planning) et les rames que vous avez conduites avec vos notes (conservées sept jours sur le téléphone), pour tout retrouver après une réinstallation ou sur un autre téléphone. Tout est chiffré sur votre téléphone avant l'envoi. Les réglages liés à une autorisation Android (notifications, alarmes) ne sont pas sauvegardés, et votre planning ne l'est que si vous activez « Planning sur le web » (voir ci-dessous). La sauvegarde est automatique et se coupe dans Réglages, Compte Pantographe. Se déconnecter de SelfService dans les Réglages retire aussi ce compte de la sauvegarde des identifiants.
Planning sur le web (facultatif, désactivé par défaut)
Si vous l'activez dans Réglages, Compte Pantographe, votre téléphone dépose une copie en lecture seule de votre planning (mois précédent et deux mois à venir : jours, services, horaires et déroulé des journées déjà chargées dans l'application). Elle est chiffrée sur votre téléphone avant l'envoi : la page « Mon planning » du site la déchiffre dans votre navigateur, avec votre mot de passe, sans que le serveur puisse la lire. Votre mot de passe n'est jamais envoyé, la clé reste en mémoire de la page et disparaît à la déconnexion ou après 20 minutes d'inactivité. Désactiver l'option retire la copie du serveur.
Agenda (facultatif, désactivé par défaut)
Si vous l'activez, après avoir coché que vous avez compris, le serveur de Pantographe se connecte à SelfService à votre place, toutes les trois heures environ, et publie votre planning (jours, services, horaires, déroulé, commentaire de la journée) dans un agenda privé auquel Google Agenda, Samsung, Apple ou Outlook s'abonnent par un lien secret. Pour cela, le serveur garde votre identifiant et votre mot de passe SelfService ainsi que votre planning, chiffrés (AES-256-GCM) avec une clé propre à votre compte, dérivée d'une clé maîtresse conservée hors de la base de données et de ses sauvegardes.
Ce n'est pas un chiffrement de bout en bout : le serveur doit pouvoir déchiffrer pour se connecter sans vous, donc la personne qui administre le serveur pourrait techniquement lire ces données. Les agendas reçoivent le planning par un lien que quiconque le possède peut lire : vous pouvez le renouveler à tout moment. Arrêter l'agenda efface aussitôt, du serveur, vos identifiants et votre planning. Si le portail refuse vos identifiants, le serveur cesse d'essayer jusqu'à ce que vous les mettiez à jour. Réservé aux titulaires d'un compte Pantographe.
Les courriels du compte (code de vérification, mot de passe, suppression) partent par le service d'envoi Resend, avec l'adresse expéditrice noreply@pantographe.justeyanis.com. Un compte jamais vérifié est supprimé au bout de 7 jours.
Les statistiques d'usage
Pour savoir si l'application sert, et quelles versions il faut encore surveiller. Rien de plus.
Ce qui est compté
Un identifiant tiré au hasard à l'installation, sans aucun lien avec votre matricule, vos comptes SelfService ou votre compte Pantographe. Il part avec le relevé des réglages de l'application. Le serveur n'en garde qu'une empreinte non réversible, avec, par jour, le nombre d'ouvertures et la version de l'application.
Ce qui ne l'est pas
Ni votre adresse IP, ni l'heure précise, ni votre position, ni quoi que ce soit du contenu de votre téléphone ou de votre planning. Une ouverture est le premier appel après au moins 30 minutes de silence. Les résultats ne servent qu'à suivre l'évolution de l'application et à améliorer son usage.
Votre choix
La mesure est active par défaut et se coupe d'un geste : Réglages, Confidentialité. Désactivée, l'identifiant est effacé de votre téléphone et plus rien n'est envoyé. Les lignes sont effacées du serveur au bout de 13 mois.
Le détail, catégorie par catégorie
- Identifiants SelfService / HASTUS
- Chiffrés sur votre téléphone (AES-256-GCM, clé générée dans l'Android Keystore, non exportable), puis envoyés directement au portail SelfService de votre employeur pour authentification. En clair en mémoire le temps d'une session, jamais journalisés. Deux exceptions, que vous déclenchez vous-même : si vous créez un compte Pantographe, une copie chiffrée sur votre téléphone, avec une clé que nous ne connaissons pas ; et si vous activez l'agenda, une copie chiffrée gardée sur le serveur, que celui-ci peut déchiffrer pour se connecter à votre place (voir « Agenda » plus haut).
- Planning et journée
- Récupérés depuis le SelfService avec vos identifiants, gardés sur votre téléphone (base de données locale) pour la consultation hors connexion. Cette donnée ne sort pas de votre téléphone, sauf si vous activez « Planning sur le web » (copie chiffrée que le serveur ne peut pas lire) ou « Agenda » (copie chiffrée que le serveur peut lire, voir plus haut). Les heures de passage théoriques viennent du service « Service Voiture » de l'exploitant, avec les mêmes identifiants, directement depuis votre téléphone.
- Signalements (bug, retour)
- Facultatif, déclenché uniquement par vous, depuis les Réglages. Contient : le type de signalement, votre message, un contact facultatif si vous souhaitez une réponse, la version de l'application et d'Android, le modèle de l'appareil, et une capture d'écran si vous en joignez une (choisie par vous, réduite avant l'envoi). Transmis en HTTPS au serveur auto-hébergé du développeur, conservé le temps de traiter la demande.
- Actualités, bannière et notifications
- Lecture simple depuis le serveur du développeur. L'application s'abonne à un sujet de notifications d'annonces via Firebase Cloud Messaging (Google), qui sert uniquement à les acheminer : le serveur ne garde aucune liste d'appareils.
- Carte des tramways
- Facultative (réglage « Rames en temps réel »). Le fond de carte est téléchargé depuis OpenFreeMap, un service libre : comme pour tout site web, il voit l'adresse IP de votre téléphone et la zone affichée, rien d'autre. Votre position n'est ni utilisée ni transmise. Les positions des rames viennent des données ouvertes du Grand Lyon, relayées par le serveur du développeur.
- Notes des rames
- Facultatif, déclenché uniquement par vous. Contient : le numéro de la rame, le jour, votre note de 1 à 5, un commentaire si vous en écrivez un, et un identifiant tiré au hasard sur votre téléphone, sans lien avec votre matricule, qui sert seulement à ne compter qu'une note par conducteur. Votre commentaire est visible des autres utilisateurs, sans votre nom. Les notes sont conservées pour des statistiques.
Sécurité
Sur le téléphone
Identifiants et session chiffrés par une clé AES-256-GCM de l'Android Keystore, une zone matérielle isolée dont la clé n'est jamais extractible, pas même par l'application.
Sur le serveur
Secret d'authentification protégé par Argon2id et un poivre hors base, adresses e-mail chiffrées, jetons et codes hachés, limitation des tentatives. Sauvegardes de la base chiffrées par votre téléphone avant l'envoi. Agenda : identifiants et planning chiffrés avec une clé par compte, clé maîtresse hors base et hors sauvegardes, lien secret renouvelable, limitation des essais et des demandes.
En transit
Toutes les communications passent en HTTPS.
Votre contrôle
Vous restez maître de vos données, sans formulaire à remplir.
Déconnexion
Réglages : efface immédiatement vos identifiants et votre planning gardés sur le téléphone. Avec un compte Pantographe, retire aussi ce compte SelfService de la sauvegarde.
Arrêter l'agenda
Réglages, Agenda (ou la page « Mon compte » du site) : efface aussitôt, du serveur, vos identifiants SelfService et votre planning. Vous pouvez aussi suspendre la synchronisation, ou renouveler le lien.
Supprimer le compte Pantographe
Réglages, Compte Pantographe : efface immédiatement le compte et toutes ses sauvegardes sur le serveur. Sans l'application, écrivez au contact ci-dessous depuis l'adresse du compte.
Désinstallation
Supprime toute donnée locale de l'application, sans rien laisser derrière.
Accès, rectification, export, signalement déjà envoyé
Écrivez au contact ci-dessous, en précisant l'adresse du compte ou la référence affichée après un signalement : réponse sous un mois.
Durées de conservation
| Donnée | Où | Durée |
|---|---|---|
| Identifiants et planning | Votre téléphone | Jusqu'à la déconnexion ou la désinstallation |
| Compte et sauvegardes (dont le planning web, si activé) | Serveur, chiffrés | Jusqu'à la suppression du compte, ou de l'option pour le planning |
| Identifiants SelfService et planning de l'agenda, si activé | Serveur, chiffrés | Jusqu'à l'arrêt de l'agenda ou la suppression du compte (effacés aussitôt) |
| Compte jamais vérifié | Serveur | 7 jours |
| Statistiques d'usage | Serveur | 13 mois |
| Signalements traités | Serveur | 1 an (les non traités sont gardés) |
| Journal d'administration | Serveur | 6 mois |
| Adresses IP | Nulle part | Jamais enregistrées |
Services techniques utilisés
Ils transportent ou hébergent, ils ne reçoivent pas vos données pour eux-mêmes.
Cloudflare
Achemine les connexions vers le serveur.
Resend
Envoie les courriels du compte.
Google (Play, Firebase Cloud Messaging)
Distribue l'application et achemine les notifications d'annonce.
OpenFreeMap
Fournit le fond de carte.
Modifications
Cette page évolue avec l'application. La date de mise à jour en haut de page fait foi, et tout changement notable est signalé dans les notes de version.