Confidentialité de l'application Vigeos Business
Vigeos Business est l'application du personnel des établissements (EHPAD, résidences) équipés du système Vigeos. Cette page dit quelles données elle traite, pour le compte de qui, combien de temps, qui y accède, et comment exercer vos droits.
L'essentiel. L'établissement qui vous emploie, ou qui vous accueille, est responsable du traitement. Vigeos agit pour son compte, en qualité de sous-traitant. L'application n'affiche aucune image ni vidéo. Les serveurs de l'application sont en France. Aucune publicité, aucun traceur, aucune mesure d'audience.
La politique de confidentialité générale de Vigeos, qui décrit le service proposé aux familles à domicile, est à part : vigeos.fr/confidentialite.
1. Qui est responsable de ces données ?
Le responsable du traitement est l'établissement qui a souscrit le service. C'est lui qui décide d'équiper des chambres, qui crée les comptes du personnel, qui fixe les rôles et qui donne ses instructions à Vigeos. Ses coordonnées, et celles de son délégué à la protection des données, figurent dans l'information qu'il remet à son personnel et à ses résidents.
Vigeos agit en qualité de sous-traitant, au sens de l'article 28 du RGPD, dans le cadre du contrat conclu avec l'établissement : VIGEOS, société par actions simplifiée unipersonnelle à capital variable, au capital initial de 1 €, 71 avenue des Trois Lucs, 13012 Marseille, immatriculée au registre du commerce et des sociétés de Marseille sous le numéro 107 608 655. Contact : equipe@vigeos.fr.
Une exception, décrite à la section 4 : pour les seules données réduites qui servent à améliorer la détection, une fois détachées de toute identité, Vigeos agit en qualité de responsable du traitement.
Vigeos n'a pas désigné de délégué à la protection des données à ce jour.
2. Deux populations, à ne pas confondre
- Le personnel de l'établissement, qui utilise l'application : direction, cadres, soignants, installateurs.
- Les résidents dont la chambre est équipée, et dont certaines données s'affichent dans l'application pour que l'équipe puisse intervenir.
3. Les données du personnel qui utilise l'application
| Donnée | Pourquoi | Durée |
|---|---|---|
| Nom, prénom, adresse électronique professionnelle | Vous connecter ; savoir qui a pris une alerte en charge | Tant que le compte existe ; effacement sur instruction de l'établissement après votre départ |
| Rôle et établissement de rattachement | Décider qui voit quoi et qui reçoit quelles alertes | Tant que le compte existe |
| Mot de passe et code de réinitialisation, sous forme d'empreinte, jamais en clair | Authentification ; mot de passe oublié | Tant que le compte existe ; 15 minutes pour le code |
| Jeton de notification du téléphone, et son système (iOS ou Android) | Vous envoyer les alertes | Effacé à la déconnexion, à la désactivation du compte, au changement de mot de passe, et dès qu'Apple ou Google le déclarent invalide |
| Prise et fin de service, avec l'heure | Désigner qui reçoit les alertes en priorité | État courant tant que le compte existe ; l'historique suit la durée du journal ci-dessous |
| Prises en charge, clôtures et leurs motifs, qualification d'une alerte | Tracer qui est intervenu et ce qui a été fait | 30 jours, puis effacement (voir section 4 pour la qualification) |
| Notes de soin et de relève (main courante), avec leur auteur | Transmettre à l'équipe suivante | 365 jours, puis effacement |
| Journal d'accès et d'actions : connexions, échecs, déconnexions, consultations et modifications, avec votre adresse électronique et l'heure | Sécurité et traçabilité | 180 jours, puis effacement |
| Journaux techniques du serveur (adresse IP, date, requête) | Sécurité, diagnostic de panne | 12 mois au maximum |
| Pour les installateurs : relevé 3D d'une chambre (murs, ouvertures, meubles, en mètres, sans aucune image) et modèle du téléphone utilisé | Choisir l'emplacement de la caméra et pouvoir reprendre la pose | Durée du contrat de l'établissement |
Base légale. Elle est déterminée par l'établissement : en règle générale, l'exécution du contrat de travail et l'obligation d'organiser la sécurité des résidents (article 6.1.b et 6.1.c du RGPD), ou, pour un établissement public, l'exécution d'une mission d'intérêt public (article 6.1.e) ; l'intérêt légitime (article 6.1.f) pour le journal de sécurité.
Ce que l'outil rend possible, et ce qu'il ne doit pas servir à faire. Parce qu'elle trace qui prend une alerte et en combien de temps, l'application rend mesurables les délais d'intervention de chacun. Ces données servent à organiser la réponse aux alertes, pas à évaluer individuellement un salarié. Leur usage doit figurer dans l'information remise au personnel et, le cas échéant, être présenté aux instances représentatives du personnel : c'est une obligation de l'établissement.
Ce que l'application ne collecte pas : ni votre position, ni vos contacts, ni vos photos, ni vos fichiers, ni identifiant publicitaire. Pour configurer les caméras, elle peut vous demander l'autorisation de localisation, uniquement pour lire le nom du réseau WiFi auquel votre téléphone est connecté : votre position n'est ni lue, ni enregistrée, ni transmise. Elle n'embarque aucun outil de mesure d'audience, aucun outil de rapport de plantage tiers et aucun traceur.
4. Les données des résidents visibles dans l'application
- Ce qui s'affiche : la chambre et son unité ; le nom ou les initiales du résident, selon le choix de l'établissement ; sa présence (présent, hospitalisé, absent) ; les alertes de la chambre (type, heure, état, personne qui l'a prise en charge) ; les notes de soin et de relève ; pour la direction et les cadres, les informations de santé utiles à l'intervention saisies par l'établissement (par exemple le médecin traitant).
- Protection : les notes de soin et les informations de santé sont chiffrées dans la base de données.
- Base légale : ces données comprennent des données concernant la santé (article 9 du RGPD). Le traitement repose sur la prise en charge sanitaire et sociale par des professionnels soumis au secret (article 9.2.h). Le résident, ou la personne qui le représente, peut s'opposer à la surveillance de sa chambre auprès de l'établissement.
Aucune image
L'application n'affiche aucune vidéo et aucune image de personne. L'analyse a lieu sur le serveur installé dans l'établissement ; ce qui parvient à l'application est un événement (« une chute probable a été détectée dans telle chambre à telle heure »), pas une séquence d'images.
Ce que montre une notification
La notification qui s'affiche sur un écran verrouillé ne contient ni nom ni numéro de chambre : le type d'alerte, le nom de l'établissement et une référence. Le détail se lit dans l'application, après déverrouillage du téléphone et connexion.
Combien de temps
- Alertes, événements, prises en charge et commentaires du personnel sur une alerte : 30 jours à compter de leur création, puis effacement automatique.
- Notes de soin et de relève (main courante) : 365 jours à compter de leur création, puis effacement automatique.
- Amélioration de la détection : au plus tard au terme de ces 30 jours, la séquence de postures qui a déclenché une alerte et le verdict de qualification sont détachés de manière irréversible de l'identité du résident, du numéro de chambre et de l'identité du salarié. Il ne reste que la géométrie du mouvement, le type de pièce, le verdict et le mois. Ces données réduites sont conservées 24 mois pour améliorer l'algorithme de détection ; pour ce seul usage, Vigeos en est responsable. Il s'agit d'une pseudonymisation irréversible et non d'une anonymisation. L'établissement peut refuser ce régime à tout moment, et l'opposition d'un résident vaut refus pour les données qui le concernent.
- Fiche du résident : tant qu'il séjourne dans l'établissement ; après sa sortie, effacement sur instruction de l'établissement, la preuve du recueil de son accord ou de son refus étant conservée.
5. Où sont les données, et qui y accède
| Destinataire | Rôle | Localisation |
|---|---|---|
| Le personnel de l'établissement | Selon le rôle : un compte ne voit que les établissements auxquels il est rattaché | Établissement |
| Vigeos | Exploitation et assistance, par un accès nominatif | France |
| Hostinger International Ltd | Hébergement des serveurs de l'application et de la base de données, envoi des courriels | Serveurs en France |
| Cloudflare, Inc. | Proxy inverse, réseau de diffusion et pare-feu applicatif de l'interface de programmation, de la console et du site : chaque requête de l'application et des serveurs d'établissement y transite (adresse IP, en-têtes, adresse demandée), sans image | Société américaine ; traitement en périphérie sur des nœuds européens |
| Cloudflare, Inc. | Sauvegardes de la base, chiffrées avant envoi et illisibles par le prestataire | Société américaine ; localisation du stockage non restreinte à l'Union européenne à ce jour |
| Apple Inc. (APNs) et Google LLC (Firebase Cloud Messaging) | Acheminement des notifications : jeton du téléphone et contenu de la notification, sans nom ni numéro de chambre | États-Unis |
Les transferts vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne ou par l'adhésion du prestataire au Data Privacy Framework.
Aucune donnée n'est vendue, louée ni utilisée à des fins publicitaires.
6. Sécurité
- Tous les échanges entre l'application et le serveur sont chiffrés (HTTPS).
- Notes de soin et informations de santé chiffrées dans la base.
- Mots de passe conservés sous forme d'empreinte ; compte verrouillé temporairement après plusieurs échecs de connexion.
- Jeton de session conservé dans le trousseau sécurisé du téléphone (Keychain sur iPhone, Keystore sur Android), illisible téléphone verrouillé.
- Comptes nominatifs, cloisonnés par établissement ; la désactivation d'un compte coupe immédiatement ses sessions et ses notifications.
- En cas de violation de données, Vigeos prévient l'établissement sans délai injustifié, pour qu'il puisse tenir son propre délai de 72 heures envers la CNIL.
7. Vos droits, et à qui les demander
Le personnel comme les résidents disposent des droits d'accès, de rectification, d'effacement, de limitation et d'opposition. L'établissement étant responsable du traitement, ces demandes s'adressent à l'établissement. Si vous écrivez directement à Vigeos, Vigeos transmet votre demande à l'établissement concerné et l'aide à y répondre.
Supprimer votre compte. Depuis l'application : Compte, puis « Supprimer mon compte ». Sans accès à l'application : la page vigeos.fr/suppression-compte explique la marche à suivre.
Contact Vigeos : equipe@vigeos.fr, ou par courrier à VIGEOS, 71 avenue des Trois Lucs, 13012 Marseille.
Vous pouvez saisir la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou cnil.fr/fr/plaintes.
8. Ce que l'application n'est pas
Vigeos Business ne pose aucun diagnostic et ne remplace ni la surveillance humaine, ni l'appel malade, ni le dossier de soins. Une détection automatique peut manquer une chute, et elle peut en signaler une qui n'a pas eu lieu.
9. Modifications
Cette politique évolue avec le service. Toute modification substantielle (nouvelle donnée, nouveau destinataire, allongement d'une durée) est signalée aux établissements avant son entrée en vigueur. La date de dernière mise à jour figure en tête de page.