Politique de traitement des données

Un cadre propre à chaque déploiement

Cette politique décrit les principes applicables aux services d’analyse vidéo de Videtics. Elle complète les informations du site sans remplacer le contrat, les instructions documentées du client ou l’accord de sous-traitance des données personnelles (DPA). Les traitements effectivement réalisés dépendent des fonctionnalités activées et de l’architecture retenue.

Responsabilités du client et de Videtics

Le client détermine généralement les finalités et moyens essentiels : caméras et zones concernées, usages, personnes habilitées, durées et destinataires. Il agit alors comme responsable de traitement. Il vérifie la base légale de chaque usage, les autorisations éventuellement nécessaires et informe les personnes filmées. La disponibilité d’une fonction ne constitue pas une autorisation juridique de l’utiliser.

Lorsque Videtics traite des données personnelles pour le compte du client, Videtics intervient comme sous-traitant, sur instructions documentées et selon le DPA prévu par l’article 28 du RGPD. Pour la gestion de ses propres contacts, contrats, factures et support, Videtics agit comme responsable de traitement.

Données et finalités

Selon le projet, Perception analyse des flux vidéo et produit des comptages, événements, alertes, positions, trajectoires, indicateurs d’occupation ou résultats de recherche. Des images, extraits, métadonnées et journaux techniques peuvent également être traités. Les personnes concernées peuvent être des visiteurs, passants, salariés ou autres personnes présentes dans les zones couvertes.

Les usages peuvent concerner la sûreté, la recherche d’événements, le dénombrement et l’analyse des flux. Le client doit définir une finalité précise, nécessaire et proportionnée pour chacun. Un compteur agrégé peut être anonyme ; une image, une trajectoire ou un identifiant de suivi peut rester une donnée personnelle si une personne est identifiable, même indirectement.

Minimisation et anonymisation

Perception n’effectue pas de reconnaissance faciale destinée à identifier une personne. Les fonctions de floutage de visages, corps ou plaques, lorsqu’elles sont activées et adaptées au scénario, réduisent l’exposition des données. Leur efficacité doit être vérifiée dans les conditions réelles du site. Le floutage ne suffit pas, à lui seul, à garantir l’anonymat de toutes les données produites.

Le paramétrage doit privilégier les seules zones, catégories de données, accès et durées nécessaires à la finalité. L’utilisation de données agrégées et anonymisées pour améliorer les produits est encadrée par le contrat ; elle ne doit pas permettre d’identifier directement ou indirectement un client ou une personne.

Lieu de traitement et intégrations

L’analyse peut être déployée sur site, sur serveur ou équipement embarqué, ou dans un environnement cloud convenu avec le client. Les connexions au VMS, aux outils d’hypervision ou à Technis Spaces sont définies par le projet. Le contrat précise les données échangées : indicateurs seuls, alertes, métadonnées et, lorsque nécessaire et autorisé, images ou extraits.

L’hébergement, les accès de support à distance et les sous-traitants doivent être identifiés dans la documentation contractuelle. Les transferts hors de l’Espace économique européen nécessitent les garanties prévues au chapitre V du RGPD. Une implantation européenne ne suffit pas à exclure tout accès depuis un pays tiers.

Sécurité, incidents et conservation

Les mesures doivent être adaptées au risque : habilitations limitées, accès de maintenance sécurisés, traçabilité, mises à jour et procédures de gestion des incidents. Le client organise la sécurité de son environnement et les sauvegardes sous sa responsabilité. Le DPA détaille les mesures et l’assistance convenues.

En cas de violation de données traitées pour son compte, Videtics informe le client sans délai injustifié. Le responsable apprécie les notifications requises, notamment à l’autorité de contrôle dans les 72 heures lorsque le RGPD l’exige, et aux personnes en cas de risque élevé.

Il n’existe pas de durée unique applicable à tous les déploiements. Le client fixe des durées limitées et justifiées par la finalité, les obligations légales et les recommandations applicables. Le DPA prévoit la restitution ou la suppression à la fin des prestations et le traitement des sauvegardes, sous réserve des obligations légales de conservation.

Analyse d’impact et droits

Une analyse d’impact sur la protection des données (AIPD) est requise lorsque le traitement est susceptible d’engendrer un risque élevé, notamment pour une surveillance systématique à grande échelle d’une zone accessible au public. Elle est réalisée avant la mise en service par le responsable de traitement, avec l’assistance de Videtics prévue au contrat.

Si vous êtes filmé sur un site équipé, adressez votre demande de droits au responsable indiqué sur la signalétique du lieu. Videtics l’assiste selon le DPA. Pour les données dont Videtics est responsable ou pour identifier le bon interlocuteur, contactez : Alexandre Reboul — alexandre.reboul@technis.com

Vos droits et recours dans notre politique de confidentialité