Politique de confidentialité

1. Qui est responsable de ces données ?

Le responsable du traitement est l'éditeur du service Vigeos : VIGEOS, société par actions simplifiée unipersonnelle à capital variable, au capital initial de 1 €, dont le siège social est situé 71 avenue des Trois Lucs, 13012 Marseille, France, immatriculée au registre du commerce et des sociétés de Marseille sous le numéro 107 608 655, représentée par son président Romain Dellamonica.

Contact pour toute question ou demande relative à vos données : [email protected], ou par courrier à l'adresse ci-dessus.

Aucun délégué à la protection des données (DPO) n'est désigné à ce jour. Vos demandes sont traitées par le président de la société, qui est aujourd'hui la seule personne ayant accès au back-office. Cette situation sera réexaminée dès que le suivi régulier et systématique de personnes prendra de l'ampleur (article 37-1-b du RGPD) ; si un délégué est désigné, son nom et ses coordonnées figureront ici et seront notifiés à la CNIL.

Le cas des établissements. Lorsque Vigeos équipe une résidence ou un EHPAD, c'est l'établissement qui est responsable du traitement et Vigeos qui agit comme sous-traitant, sur ses instructions et dans le cadre d'un contrat distinct. La présente politique décrit le service proposé aux familles à domicile.

2. Qui sont les personnes concernées ?

• La personne surveillée : la personne âgée dont le domicile est équipé. C'est elle dont les images, les déplacements et parfois les informations de santé sont traités. Elle a des droits propres, indépendants de ceux de sa famille (voir §9).
• Le souscripteur : le membre de la famille qui paie l'abonnement et administre le foyer dans l'application.
• Les proches invités : les autres membres du foyer qui reçoivent les alertes et peuvent déchiffrer les vidéos.
• Les contacts d'urgence : les personnes dont le nom et le téléphone sont renseignés pour être joignables en cas d'incident.
• Les visiteurs du site vigeos.fr et les professionnels qui nous contactent via le formulaire dédié.

3. Quelles données, pour quoi, et pendant combien de temps

3.1 Souscription et compte

• Ce qui est collecté : prénom, nom, adresse électronique, téléphone, code postal et ville lors de la souscription ; adresse de livraison lorsqu'un envoi de matériel est nécessaire ; adresse électronique, nom et mot de passe (stocké sous forme de hachage bcrypt, jamais en clair) pour le compte de l'application ; préférences de notification et plages de silence ; jeton de notification de votre téléphone ; clé publique de chiffrement de votre appareil.
• Pourquoi : créer et gérer votre abonnement, vous authentifier, vous joindre, vous envoyer les alertes, expédier le matériel.
• Base légale : exécution du contrat (art. 6-1-b) et mesures précontractuelles.
• Durée : tant que le compte existe, puis effacement (voir §8). Les demandes de professionnels reçues via le formulaire pro sont conservées au maximum 3 ans après le dernier contact.

3.2 Fiche du foyer et de la personne surveillée

• Ce qui est collecté : identité de la personne surveillée, date de naissance, adresse du domicile équipé, contacts d'urgence (nom, téléphone, lien de parenté).
• Aucune donnée médicale : la fiche ne comporte ni médecin traitant, ni pathologies, ni points de vigilance médicaux. Ces deux champs facultatifs ont été retirés le 7 octobre 2026 et les valeurs déjà saisies ont été effacées.
• Pourquoi : identifier le domicile équipé dans l'application et les alertes, et permettre aux proches de joindre les contacts d'urgence en cas d'incident.
• Base légale : exécution du contrat (art. 6-1-b) : sans ces informations, le service d'alerte commandé ne peut pas être rendu.
• Hébergement : en France, comme le reste de vos données de compte.
• Durée : tant que le foyer existe.

3.3 Images et extraits vidéo

• Le flux vidéo continu ne quitte jamais le domicile, sauf pendant un direct ouvert par un proche (voir ci-dessous). L'analyse d'image tourne sur le boîtier installé chez vous, pas sur nos serveurs.
• Un enregistrement local de secours est conservé sur le boîtier, au domicile, et écrasé automatiquement au bout de 24 heures. Il ne nous est jamais transmis. Selon le modèle de caméra, il peut contenir la piste sonore du flux, mais Vigeos ne propose aucune fonction d'écoute : ni l'application ni nos serveurs ne donnent accès au son.
• Lorsqu'une chute est détectée, un court extrait est chiffré sur le boîtier puis envoyé. Le chiffrement est de bout en bout : une clé unique est générée pour chaque extrait, puis scellée séparément pour chaque membre du foyer avec sa clé publique. Nos serveurs ne détiennent aucune clé privée et ne peuvent pas déchiffrer le fichier (limite de ce chiffrement au §7).
• Où : les extraits chiffrés sont stockés chez Cloudflare (service R2), voir §6.
• Durée : 30 jours, puis suppression automatique quotidienne. Un membre du foyer peut décider d'en conserver certains (par exemple pour les montrer à un médecin), dans la limite de 20 extraits par foyer : au-delà, l'application refuse et demande d'en libérer un. Un avertissement est envoyé 3 jours avant la suppression d'un extrait, afin qu'aucune vidéo ne disparaisse par surprise.
• Base légale : exécution du contrat, et consentement explicite de la personne surveillée pour la captation d'images à son domicile.
• Direct : depuis l'application, le titulaire et les proches invités peuvent regarder l'image d'une caméra en direct, sans le son. L'application ferme le direct au bout de 5 minutes ; si elle ne le ferme pas, notre relais coupe l'image au plus tard une dizaine de minutes après l'ouverture. L'image est chiffrée de la box jusqu'au téléphone et n'est jamais enregistrée par nos serveurs. Elle passe par un relais exploité par Vigeos sur le serveur qui héberge vos données de compte, qui la transmet sans pouvoir la déchiffrer. Le relais voit les adresses IP de la box et du téléphone, l'heure et le volume des échanges ; il les garde dans un journal technique de taille limitée, effacé au fil de l'eau. Pour mettre la box et le téléphone en relation, notre serveur reçoit leurs adresses IP et les éléments techniques de la connexion ; il les efface à la fin du direct. L'écran de la box ne signale pas qu'un direct est en cours. Chaque ouverture est inscrite au journal du direct du foyer (qui, quand, quelle caméra, combien de temps), visible par tous les proches et compris dans l'export de vos données. Durée : 365 jours, puis suppression automatique. Base légale : exécution du contrat. Le direct ne s'ouvre que si l'accord de la personne filmée a été attesté dans l'application et n'a été ni retiré, ni suspendu à sa demande (§9). Limite de ce chiffrement au §7.
• Pause caméra : l'application permet de définir une plage horaire quotidienne (par exemple la nuit, ou l'heure de la toilette) pendant laquelle les caméras du logement sont mises en pause : le boîtier n'analyse ni n'enregistre aucune image durant la plage, le direct ne s'ouvre pas, et la détection de chute ne fonctionne pas pendant ce temps.

3.4 Événements, alertes et activité

• Ce qui est collecté : type d'événement (mouvement, chute détectée, inactivité prolongée), pièce concernée, horodatage, statut de l'alerte, accusé de réception, et votre retour « vraie chute / fausse alerte ».
• Pourquoi : déclencher et suivre les alertes, produire le résumé d'activité, améliorer la fiabilité de la détection.
• Base légale : exécution du contrat.
• Durée : 30 jours, purge automatique quotidienne. Une alerte dont un extrait vidéo a été volontairement conservé survit à cette purge tant que l'extrait est conservé : supprimer l'alerte détruirait les clés qui permettent de lire la vidéo.

3.5 Amélioration de l'IA, strictement facultatif

• Ce qui est collecté : seulement lorsque Vigeos détecte une chute et envoie une alerte, le tracé du mouvement qui a déclenché cette alerte, c'est-à-dire la position, image après image, d'un rectangle qui entoure la silhouette : une suite de nombres, pas une image. L'accompagnent le type de pièce, la date et l'heure, le score de confiance calculé par l'IA, le format d'image et la cadence de la caméra, et votre réponse « Vraie chute » ou « Fausse alerte » si vous la donnez. Aucune image, aucune vidéo, aucun son, aucun visage. En dehors des alertes, rien n'est conservé à cette fin.
• Nature : ce tracé décrit les mouvements de la personne surveillée au moment des alertes de chute ; ce sont des données concernant sa santé (article 9 du RGPD). Elles ne portent ni nom, ni adresse, ni visage : elles sont pseudonymisées, et restent rattachées au logement surveillé, ce qui permet de les effacer.
• Pourquoi : améliorer la détection de chute de Vigeos, manquer moins de chutes et envoyer moins de fausses alertes. Ces données ne servent à rien d'autre.
• Base légale : consentement explicite (art. 6-1-a et 9-2-a), désactivé par défaut, jamais pré-coché, sans aucune conséquence sur le service si vous refusez. Il vaut pour tout le compte famille et pour tous les logements qu'il surveille ; chaque proche du compte peut le donner ou le retirer. Le proche qui le donne confirme que la personne surveillée, ou son représentant légal, a été informée de cet usage et l'a accepté.
• Où, et qui y a accès : sur le serveur de Vigeos, en France. Seule l'équipe Vigeos les consulte. Elles ne sont ni vendues ni cédées.
• Copies pour l'entraînement : pour entraîner l'IA, l'équipe Vigeos en fait des copies, où le logement n'apparaît que sous la forme d'un code et où l'heure est arrondie. Ces copies sont faites et utilisées seulement par l'équipe Vigeos, sur ses propres ordinateurs, en France ; elles ne sont jamais confiées à un prestataire. Chaque copie est effacée au plus tard 180 jours après avoir été faite. Les données d'un logement en sont effacées au plus tard 30 jours après le retrait de l'accord, l'effacement des données du foyer ou la suppression du logement, la réattribution du logement à un autre compte, ou l'effacement de ces données parce que l'accord qui les couvrait n'est plus valable. Une version de l'IA déjà entraînée n'est pas modifiée.
• Durée : sur le serveur, chaque enregistrement est conservé 180 jours, puis effacé automatiquement lors du nettoyage quotidien qui suit. Ces données figurent aussi dans les sauvegardes du serveur, dont elles disparaissent au plus tard 14 jours après leur effacement du serveur (§7).
• Retrait : à tout moment, d'un seul geste dans l'application, sans justification. Le retrait efface du serveur, dans la même opération, toutes les données conservées à cette fin pour le foyer ; elles disparaissent des sauvegardes au plus tard 14 jours après, et des copies d'entraînement au plus tard 30 jours après le retrait. Ces données figurent dans l'export de vos données (§8).

3.6 Paiement

• Vigeos ne voit jamais votre numéro de carte bancaire. Le paiement est traité par Stripe ; nous ne conservons que des identifiants techniques d'abonnement et l'historique de facturation.
• Base légale : exécution du contrat ; obligation légale pour les pièces comptables.
• Durée : les factures et pièces comptables sont conservées 10 ans, comme la loi l'impose.

3.7 Journaux techniques et de sécurité

• Ce qui est collecté : journaux techniques du serveur et de l'application (adresse IP, date et heure, requête appelée, type de navigateur ou d'application, messages d'erreur) ainsi que l'état technique du boîtier et des caméras (appareil en ligne ou non, versions logicielles).
• Pourquoi : sécurité, détection d'abus, diagnostic de panne.
• Base légale : intérêt légitime (art. 6-1-f) et obligation de sécurité (art. 32).
• Durée : le temps nécessaire au diagnostic, et au maximum 12 mois.

4. Ce que nous ne faisons pas

• Nous ne vendons, ne louons et n'échangeons aucune donnée personnelle.
• Nous ne faisons aucune reconnaissance faciale, aucune identification biométrique, aucun profilage publicitaire.
• Nous ne diffusons aucune publicité et ne déposons aucun cookie sur vigeos.fr. La fréquentation du site est mesurée par Cloudflare Web Analytics, en statistiques agrégées, sans cookie ni identifiant (voir les mentions légales, §7). Nous considérons que cette mesure relève de l'exemption de consentement prévue pour la mesure d'audience (article 82 de la loi Informatique et Libertés, lignes directrices de la CNIL) : aucune bannière ne vous est donc présentée, et vous pouvez vous y opposer à tout moment.
• Nous ne transmettons pas automatiquement d'alerte aux services de secours. Vigeos prévient vos proches ; ce sont eux qui décident d'appeler le 15 ou le 112.
• Aucune décision produisant des effets juridiques n'est prise de manière entièrement automatisée à votre égard (art. 22).

Toutes les pages du site servent leurs polices de caractères depuis vigeos.fr, sans appel à un service tiers. Par ailleurs, tout le trafic du site et de l'application transite par le proxy de Cloudflare, Inc. (voir §6), et votre navigateur peut lui transmettre des rapports d'erreur réseau quand une page ne se charge pas.

5. Qui a accès à vos données ?

• Vous et les membres de votre foyer : accès aux alertes, à l'activité, au direct et à son journal, et aux extraits vidéo, que vous seuls pouvez déchiffrer (limites au §7).
• L'équipe Vigeos : accès administratif aux données de compte, de facturation et à l'état technique de votre installation, à des fins de support et d'exploitation. Cet accès ne permet pas de déchiffrer vos extraits vidéo (voir aussi, au §7, la limite de la traçabilité des accès d'administration). L'équipe se limite aujourd'hui à son fondateur.
• Nos sous-traitants techniques, listés au §6, qui n'agissent que sur nos instructions.
• Les autorités, uniquement sur réquisition légale. S'agissant des extraits vidéo stockés, nous ne pourrions leur remettre que des fichiers chiffrés que nous sommes incapables d'ouvrir.

6. Sous-traitants et transferts hors Union européenne

Prestataire	Rôle	Localisation
Hostinger International Ltd	Hébergement des serveurs, de la base de données et de ses sauvegardes chiffrées, et du relais du direct vidéo, qui transmet l'image chiffrée sans pouvoir la lire	Serveurs en France / UE
Cloudflare, Inc.	Proxy inverse, réseau de diffusion et pare-feu applicatif de vigeos.fr et de l'interface de programmation : données de connexion (adresse IP, en-têtes, adresse demandée), rapports d'erreur réseau du navigateur ; mesure d'audience de vigeos.fr sans cookie (Web Analytics), en statistiques agrégées	Société américaine ; traitement en périphérie sur des nœuds européens
Cloudflare, Inc.	Stockage des extraits vidéo chiffrés (service R2). Les sauvegardes chiffrées de la base y ont été copiées jusqu'au 10 août 2026 ; aucune copie n'y est faite depuis	Société américaine, stockage réparti
Stripe Payments Europe Ltd	Paiement et gestion de l'abonnement	UE (Irlande) et États-Unis
Expo (650 Industries, Inc.)	Relais technique des notifications de l'application famille (jeton d'appareil, titre et corps du message)	États-Unis
Apple Inc.	Acheminement final des notifications vers votre iPhone (APNs)	États-Unis
Google (Google Workspace)	Messagerie (Google Workspace) : boîtes électroniques @vigeos.fr et envoi des courriels du service (codes de vérification, invitations et autres messages liés au compte), depuis le 23 septembre 2026	Société américaine ; centres de données de Google, y compris hors de l'Union européenne

Les transferts vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par l'adhésion du prestataire au Data Privacy Framework.

Ce tableau ne liste que des sous-traitants réels, en service aujourd'hui. Tout nouveau destinataire y sera ajouté avant d'être utilisé, et vous en serez informé.

Le contenu des notifications est volontairement sobre (« alerte détectée », sans détail médical), précisément parce qu'il transite par des prestataires tiers.

7. Comment vos données sont protégées

• Chiffrement de bout en bout des extraits vidéo, avec une clé par extrait scellée pour chaque membre du foyer. Une phrase de récupération de 12 mots vous permet de retrouver vos vidéos sur un nouveau téléphone : nous ne la connaissons pas et ne pouvons pas la régénérer.
• Limite de ce chiffrement : c'est notre serveur qui indique au boîtier les clés publiques des téléphones du foyer, et le boîtier chiffre pour chacune sans pouvoir vérifier qu'elle appartient bien à un membre du foyer. Nos serveurs ne peuvent pas lire les extraits qu'ils stockent ; mais un serveur compromis, un tiers capable de modifier ses réponses, ou nous-mêmes en le modifiant, pourrait ajouter une clé et lire les extraits enregistrés ensuite. Les extraits déjà stockés restent illisibles. Nous prévoyons que chaque nouvelle clé soit contresignée par les téléphones du foyer déjà inscrits, et vérifiée par le boîtier ; tant que ce n'est pas le cas, cette limite demeure.
• Limite du chiffrement du direct : l'image du direct est chiffrée de la box jusqu'au téléphone, mais la mise en relation passe par notre serveur, qui transmet à chacun les éléments permettant de vérifier l'autre. Un serveur compromis, un tiers capable de modifier ses réponses, ou nous-mêmes en le modifiant, pourrait s'intercaler entre la box et le téléphone et voir l'image d'un direct ouvert ensuite. La validation des nouveaux téléphones par ceux du foyer, prévue pour les extraits vidéo, couvrira aussi le direct ; tant qu'elle n'est pas en place, cette limite demeure.
• Base de données hébergée en France, accès restreint et authentifié.
• Chiffrement en transit (HTTPS/TLS) pour toutes les communications.
• Mots de passe hachés (bcrypt : nous ne connaissons jamais votre mot de passe) et jetons de session à durée limitée. La suppression d'un compte révoque immédiatement ses accès.
• Sauvegardes chiffrées (AES-256) de la base de données, conservées sur notre serveur, en France. Chaque sauvegarde est effacée avant d'atteindre 14 jours : une donnée effacée de la base disparaît des sauvegardes au plus tard 14 jours après. Les copies prises avant une mise à jour du serveur sont chiffrées de la même façon et suivent la même règle. Depuis le 11 août 2026, aucune copie n'en est faite hors de ce serveur : la copie hors site est suspendue tant que sa destination n'est pas garantie dans l'Espace économique européen.
• Purges automatiques quotidiennes des données arrivées à échéance, avec suppression effective des fichiers correspondants, et un balayage hebdomadaire qui vérifie qu'aucun fichier chiffré ne survit à la ligne qui le référençait.
• Accès d'administration par clé cryptographique uniquement, jamais par mot de passe.

Un point que nous préférons écrire : il n'existe pas encore de journal structuré retraçant chaque consultation d'une fiche par l'administrateur. Les journaux techniques du serveur existent, mais ne constituent pas une piste d'audit complète. La mise en place de cette traçabilité est un chantier ouvert, prioritaire dès qu'une seconde personne accédera au back-office.

Aucun système n'est infaillible. En cas de violation de données présentant un risque pour vos droits, nous notifions la CNIL dans les 72 heures et vous informons directement lorsque le risque est élevé.

8. Vos droits

Vous disposez, sur vos données, des droits suivants :

• Accès (art. 15) : obtenir une copie des données vous concernant.
• Rectification (art. 16) : corriger une information inexacte, directement dans l'application pour la plupart des champs.
• Effacement (art. 17) : supprimer votre compte et vos données. Cette suppression est disponible directement dans l'application (Compte → supprimer mon compte). Si d'autres proches restent membres du foyer, seul votre compte est supprimé : les données du foyer restent à leur disposition, et l'accord donné pour l'amélioration de l'IA reste en place tant qu'un proche ne le retire pas. Le titulaire qui paie l'abonnement retire d'abord les autres proches, ou nous écrit pour transmettre l'abonnement. Si vous êtes le dernier proche du foyer, la suppression efface en cascade les événements, les alertes, les extraits vidéo stockés, y compris ceux que vous aviez choisi de conserver, le journal du direct et les trajectoires d'entraînement. Ces données disparaissent des sauvegardes au plus tard 14 jours après, et des copies d'entraînement au plus tard 30 jours après (§3.5). Seules subsistent les pièces comptables que la loi nous impose de conserver, et le code du logement qui sert à retirer ses données des copies d'entraînement : il est gardé 210 jours, puis effacé lors du nettoyage quotidien qui suit.
• Limitation (art. 18) et opposition (art. 21).
• Portabilité (art. 20) : recevoir vos données dans un format lisible par machine. Une fonction d'export est disponible dans l'application (Confidentialité → exporter mes données) ; si votre version ne la propose pas encore, demandez-la par courriel et nous vous l'adressons sous un mois. Les extraits vidéo ne figurent pas dans l'export : nos serveurs ne peuvent pas les déchiffrer. Ils restent lisibles dans l'application pendant leur durée de conservation.
• Retrait du consentement (art. 7-3) : à tout moment, aussi simplement que vous l'avez donné. Le retrait ne remet pas en cause ce qui a été fait avant.

Pour exercer ces droits : [email protected], ou par courrier à VIGEOS, 71 avenue des Trois Lucs, 13012 Marseille. Nous pouvons vous demander de justifier votre identité en cas de doute raisonnable. Réponse sous un mois, prolongeable de deux mois pour les demandes complexes, et nous vous en informons alors.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou cnil.fr/fr/plaintes. Saisir la CNIL est gratuit et ne vous prive d'aucun autre recours.

9. La personne surveillée : ses droits d'abord

En souscrivant, le souscripteur s'engage à avoir informé la personne surveillée et recueilli son accord, et à pouvoir en justifier. Cette personne dispose de tous les droits énumérés au §8, y compris celui d'exiger l'arrêt du service, et peut nous écrire directement à [email protected], sans passer par sa famille.

Le souscripteur l'informe aussi du direct : les proches peuvent regarder l'image d'une caméra, sans le son, sans que l'écran de la box le signale, pendant 5 minutes à chaque ouverture (une dizaine de minutes au plus si l'application ne ferme pas le direct), et chaque ouverture est inscrite au journal du foyer (§3.3).

Si la personne n'est pas en mesure de consentir de manière éclairée (troubles cognitifs, mesure de protection juridique), l'accord doit être recherché auprès de la personne chargée de sa protection, et son assentiment recherché autant que possible. En pratique, cela signifie : lui expliquer, et respecter son refus.

Nos recommandations d'installation, pour limiter l'intrusion :

• Jamais de caméra dans la salle de bain, les toilettes ni, sauf nécessité clairement exprimée, dans la chambre.
• Cadrer les zones de circulation où surviennent les chutes (couloir, séjour, cuisine).
• Ne pas filmer l'espace public ni le domicile des voisins : c'est interdit.
• Utiliser la pause caméra (voir §3.3) quand la personne reçoit ou souhaite de l'intimité.
• Informer les visiteurs réguliers (aides à domicile, infirmiers) de la présence d'une caméra.

10. Mineurs

Le service n'est ni destiné ni proposé aux mineurs. Aucun compte ne doit être créé par une personne de moins de 18 ans.

11. Modifications

Cette politique peut évoluer avec le service. Toute modification substantielle (nouvelle finalité, nouveau destinataire, allongement d'une durée) vous sera signalée par courriel ou dans l'application avant son entrée en vigueur. La date de dernière mise à jour figure en tête de page.

Mise à jour du 12 octobre 2026 : mesure d'audience de vigeos.fr sans cookie (Cloudflare Web Analytics, §4 et §6) ; polices de toutes les pages servies par vigeos.fr. Version 1.8 du 8 octobre 2026 : la fiche de la personne surveillée ne comporte plus de données médicales (médecin traitant, pathologies), retirées du service le 7 octobre 2026 (§3.2 et §7). Version 1.7 du 7 octobre 2026 : direct décrit tel qu'il fonctionne, avec son journal et la limite de son chiffrement ; extrait vidéo et pause caméra décrits comme en service ; amélioration de l'IA alignée sur le texte d'accord de l'application (copies d'entraînement faites en France, effacées au plus tard 180 jours après leur extraction et au plus tard 30 jours après un retrait ou un effacement) ; sauvegardes effacées avant 14 jours ; suppression du compte précisée. Version 1.6 du 2 octobre 2026 : durée de conservation des événements et des alertes corrigée à 30 jours, messagerie, sauvegardes, et fonctions encore en développement signalées comme telles. Version 1.5 du 28 septembre 2026 : limite du chiffrement des extraits décrite au §7.