# Tableau de synthèse des engagements — ShieldOne

**Version 1.2 — en vigueur le 6 août 2026**

*Remplace la version 1.1 du 1er août 2026 (consultable en archive :
`/legal/archive/15-tableau-synthese-engagements-v1.1.md`).*

*Remplace la version 1.0 du même jour (consultable en archive :
`/legal/archive/15-tableau-synthese-engagements-v1.0.md`).*

*L'empreinte SHA-256 du présent document figure au manifeste `/legal/EMPREINTES.md`.*

Ce document répond à une question simple : **qui s'engage à quoi, et comment le
vérifier ?** Il ne crée aucun droit ni aucune obligation nouvelle — il récapitule
ce que les documents contractuels disent déjà, et indique où chaque engagement
est démontré.

Il est destiné à être lu **avant** de signer. En cas de divergence entre le
présent tableau et un document contractuel, **le document contractuel fait foi**.

---

## 1. Comment lire ce tableau

| Colonne | Ce qu'elle dit |
|---|---|
| **Ce que ShieldOne fait** | L'engagement, tel qu'il est tenu par le produit |
| **Ce que vous faites** | Ce qui relève de vous, entreprise cliente, en tant que responsable du traitement |
| **Qui assume le risque** | À qui la responsabilité revient si les choses tournent mal |
| **Où c'est vérifiable** | Le document, l'article ou la mesure technique qui le prouve |

---

## 2. Les engagements

### 2.1 Hébergement et localisation

| Volet | Détail |
|---|---|
| **Ce que ShieldOne fait** | Héberge la base de données, les fichiers et les fonctions serveur **en Suisse** (Google Cloud, région de Zurich). Nomme les services qui **ne sont pas** couverts par cet hébergement : l'authentification et les notifications, qui ne se configurent pas par région |
| **Ce que vous faites** | Prenez connaissance des transferts hors de Suisse et décidez s'ils sont compatibles avec votre propre analyse |
| **Qui assume le risque** | **ShieldOne** : localisation de l'hébergement · **Partagé** : les transferts vers l'UE (Brevo, Sentry) et vers les **États-Unis (Mapbox Inc.)** sont documentés et vous sont opposables une fois le contrat conclu |
| **Où c'est vérifiable** | Annexe DPA art. 8 et 9 · `05-dpa-sous-traitance.md` (tableau des bases de transfert) · `02-politique-confidentialite.md` § 8-9 |

> **Dit franchement** : les bases de transfert vers les États-Unis sont **en cours
> de validation** et ne sont pas présentées comme acquises. Certaines localisations
> portent encore la mention `[À VÉRIFIER]`. Nous préférons l'écrire que le taire.

### 2.2 Lecture de plaques (ALPR) — garantie « aucune image »

| Volet | Détail |
|---|---|
| **Ce que ShieldOne fait** | Extrait le **texte** de la plaque (et, le cas échéant, marque/modèle/couleur). **Aucune image n'est conservée, archivée ni transmise à un tiers.** Garantie tenue par **quatre couches indépendantes** : image en mémoire seule · moteur joint par **adresse de réseau privé**, auto-hébergé à **Zurich**, **aucun chemin « en nuage » dans le Service** · **refus serveur de toute écriture contenant une image**, y compris encodée en base64 dans un champ texte · relevés de production |
| **Ce que vous faites** | N'utilisez le module que sur des **emprises privées fermées** dont vous avez la maîtrise ou l'autorisation écrite du détenteur ; **affichez une signalisation visible** avant l'entrée dans la zone ; assurez la licéité du traitement ; **choisissez votre durée de conservation** des lectures |
| **Qui assume le risque** | **Vous, seul** : le déploiement (accord écrit, signalisation, licéité, proportionnalité) — ShieldOne n'audite pas vos sites · **ShieldOne** : la minimisation technique et la localisation suisse du traitement |
| **Où c'est vérifiable** | CGV art. 10, en particulier **art. 10.4 a) à d)** · `02-politique-confidentialite.md` § 6 · registre S7 |

> **Limite de la garantie, dite explicitement** : elle porte sur les **images** et
> sur **vos données**. Elle ne s'étend pas aux échanges que le logiciel d'analyse
> sous licence entretient avec son éditeur pour **vérifier sa licence**, dont
> ShieldOne ne maîtrise pas le contenu. Au vu de la configuration constatée, ces
> échanges ne transportent ni image ni donnée vous concernant.

### 2.3 Motifs d'absence pour raison de santé

| Volet | Détail |
|---|---|
| **Ce que ShieldOne fait** | Enregistre les motifs dans un **compartiment séparé** de l'absence elle-même, dont la lecture est réservée aux titulaires de l'attribut « Santé », au propriétaire et à l'administrateur ShieldOne — **contrôle serveur, non filtrage d'écran**. N'inscrit **aucun motif au journal d'audit**. Un congé de type « santé » **ne collecte aucun motif**. Exécute une **purge mensuelle** effective |
| **Ce que vous faites** | **Choisissez la durée** (1, 2, 5 ou 10 ans, ou « jamais ») ; **à défaut de choix, 2 ans s'appliquent** · désignez les titulaires de l'attribut « Santé » · informez vos agents · instruisez vos managers sur ce qu'ils saisissent (champ de **texte libre**, aucun contrôle de contenu n'est possible) |
| **Qui assume le risque** | **ShieldOne** : cloisonnement, purge effective, réglage · **Vous** : choix de la durée, désignation des titulaires, information des agents, proportionnalité du contenu saisi |
| **Où c'est vérifiable** | Registre **S10** et sa note · `02-politique-confidentialite.md` § 7 · AIPD type cliente § 4 |

> **C'est la seule durée de conservation par défaut du service.** Elle existe parce
> que ces données sont sensibles. **ShieldOne ne vous l'impose pas** : vous pouvez
> la raccourcir, l'allonger, ou désactiver la purge.

### 2.4 Cloisonnement des accès — deux régimes

| Volet | Détail |
|---|---|
| **Ce que ShieldOne fait** | **(a) Refusés par défaut, côté serveur** : séparation entre entreprises clientes, séparation par rôle, **attributs du rôle manager** (comptabilité et paie, motifs de santé, ressources humaines), accès à la **facturation**. **(b) Contrôlées côté serveur mais par RETRAIT** : restrictions véhicules/personnes — une restriction non encore propagée laisse l'accès ouvert, et elle couvre **aussi les fichiers photo** des fiches personnes depuis le 1er août 2026. **(c) Filtrage d'affichage** : tous les autres accès agents |
| **Ce que vous faites** | Définissez les droits de vos utilisateurs **en connaissant la différence** entre les trois régimes |
| **Qui assume le risque** | **ShieldOne** : que les régimes (a) et (b) soient effectivement appliqués par le serveur, dans les limites énoncées · **Vous** : l'attribution des droits, et le fait de ne pas traiter un accès du régime (c) comme une barrière de sécurité |
| **Où c'est vérifiable** | **CGV art. 6.4 a), b) et c)** · dossier d'audit client § 2 |

### 2.5 Authentification à deux facteurs (2FA TOTP)

| Volet | Détail |
|---|---|
| **Ce que ShieldOne fait** | Impose la 2FA aux **administrateurs ShieldOne** et au **propriétaire** de chaque société, **sans délai de grâce** ; permet au propriétaire de l'imposer à ses **managers** ; fournit **10 codes de secours** à usage unique ; encadre la **réinitialisation** (propriétaire pour ses managers, ShieldOne en dernier recours), avec **motif écrit obligatoire**, **double journalisation** et **révocation des sessions**. Aucun contournement par le support |
| **Ce que vous faites** | Faites conserver les codes de secours ; décidez si vos managers y sont soumis ; procédez aux réinitialisations de vos managers en vérifiant l'identité de la personne — **c'est vous qui la connaissez** |
| **Qui assume le risque** | **Vous** : garde des codes et gestion des titulaires — la perte simultanée de l'appareil **et** des codes équivaut à la perte de l'accès autonome · **ShieldOne** : robustesse du mécanisme |
| **Où c'est vérifiable** | **CGV art. 7**, en particulier **art. 7.7** · dossier d'audit client § 5 |

> **Portée exacte, sans exagération** : la 2FA conditionne l'**ouverture d'une
> session**. Elle **n'est pas** un contrôle appliqué au niveau de la base de
> données. Nous n'écrivons pas — et vous ne devez pas lire — qu'un accès aux
> données serait « impossible sans second facteur ».

### 2.6 Facturation et rapprochement bancaire

| Volet | Détail |
|---|---|
| **Ce que ShieldOne fait** | Émet des factures numérotées en **séquence continue** (aucun trou), avec **QR-facture suisse** (IBAN + référence structurée). Une facture émise n'est **jamais supprimée** : elle est annulée par un statut. Pour le rapprochement bancaire, lit votre fichier camt.054 **en mémoire dans votre navigateur** : il n'est **ni téléversé ni conservé** |
| **Ce que vous faites** | Vérifiez la disponibilité de l'export camt.054 auprès de votre banque ; **validez chaque rapprochement** ; assurez la réconciliation finale avant clôture comptable ; **archivez vos relevés bancaires originaux** |
| **Qui assume le risque** | **Vous** : réconciliation finale et archivage bancaire · **ShieldOne** : exactitude du parseur, et le fait de ne rien conserver du relevé |
| **Où c'est vérifiable** | CGV art. 12 et **art. 13.4** |

### 2.7 Conservation, suppression et réversibilité

| Volet | Détail |
|---|---|
| **Ce que ShieldOne fait** | **N'annonce aucune durée de conservation que le code n'applique pas.** Purge nocturne des familles **que vous avez configurées** — sans configuration, **rien n'est purgé** ; corbeille vidée à 7 jours (restaurable jusque-là) ; PDF d'export supprimés à 7 jours ; purge mensuelle des motifs de santé. Export intégral de vos données sur demande. Suppression d'une entreprise **en cascade**, après export préalable |
| **Ce que vous faites** | **Configurez vos durées** — c'est vous le responsable du traitement · exportez et archivez ce que vos obligations légales vous imposent de conserver (par ex. 10 ans pour les pièces RH et comptables) |
| **Qui assume le risque** | **Vous** : le choix des durées et l'archivage de vos obligations · **ShieldOne** : l'exécution effective des purges configurées |
| **Où c'est vérifiable** | `02-politique-confidentialite.md` § 7 · registre, note sur les durées · CGV art. 24 |

> **Persistance en sauvegarde — à connaître** : une donnée supprimée en production
> demeure dans les sauvegardes techniques **pendant au maximum 98 jours**. Aucune
> suppression n'est matériellement définitive avant ce terme.

---

## 3. Ce que nous ne promettons pas

Cette section existe pour qu'aucun engagement ne soit surinterprété.

| Nous **ne** disons **pas** | Ce que nous disons à la place |
|---|---|
| « L'accès aux données est impossible sans second facteur » | La 2FA protège **l'ouverture de session** (art. 7.7) |
| « Tous les accès attribués sont des cloisonnements de sécurité » | **Deux régimes** distincts, énumérés à l'art. 6.4 |
| « Aucune communication n'a lieu avec l'éditeur du moteur ALPR » | **Aucune image** ne sort ; les échanges de licence ne sont pas couverts (art. 10.4) |
| « Vos données sont intégralement hébergées en Suisse » | Base, fichiers et fonctions en Suisse ; **authentification et notifications non couvertes** |
| « Nous conservons vos données X mois » | **Vous** fixez les durées ; seule exception, les motifs de santé (2 ans par défaut) |
| « Une suppression est immédiate et définitive » | **98 jours** de persistance résiduelle en sauvegarde |

---

## 4. Vérifier par vous-même

1. **Chaque document publié porte, en tête, sa version et sa date d'entrée en vigueur.**
2. **Le manifeste `/legal/EMPREINTES.md`** donne l'empreinte **SHA-256** de chaque
   document. Vous pouvez la recalculer sur le fichier que vous avez téléchargé
   (`shasum -a 256 <fichier>`) et vérifier qu'il n'a pas été modifié.
3. **Les versions antérieures restent consultables** sous `/legal/archive/` : vous
   pouvez toujours relire exactement le texte que vous avez accepté.
4. **Aucun compte n'est nécessaire** pour consulter ces documents.

---

*ShieldOne — Sacha Frija, entreprise individuelle, Chemin Frisco 6, 1208 Genève,
Suisse — contact@shieldone.ch*