Confiance & données

Ce qu'OrbiVigil est — et n'est pas

OrbiVigil est un outil d'aide à la décision. Il fusionne détections thermiques satellite, météo et données de risque ouvertes en une échelle de confiance gradée, et n'émet jamais directement une consigne d'évacuation publique. L'alerte des populations et l'engagement des moyens restent exclusivement du ressort des SDIS, des préfectures et des centres opérationnels qui l'utilisent.

La fusion automatique ne peut porter une détection qu'au niveau 2 (« probable ») au maximum. Le passage du niveau 2 au niveau 3 confirmé exige toujours un analyste identifié.

OrbiVigil n'écrit jamais aux administrés, ne se substitue à aucune chaîne d'alerte officielle, et signale la couverture nuageuse plutôt que de la masquer en « pas de feu ».

Où vivent les données

OrbiVigil fonctionne sur une plateforme de périphérie mondiale infogérée disposant de points de présence dans l'UE : nous n'exploitons aucun serveur d'origine propre.

• Stockage objet — configuré explicitement en juridiction UE pour les artefacts satellite bruts, les instantanés GeoJSON, les tuiles et les exports de provenance.
• Comptes et territoires — comptes, sessions et zones surveillées vivent dans une base de données et un espace clé-valeur dédiés, liés uniquement au service d'authentification. Contrairement au stockage objet ci-dessus, cette base ne porte pas de mention explicite de juridiction — nous ne pouvons pas encore la garantir contractuellement en UE exclusive et considérons le point comme ouvert tant qu'il n'est pas confirmé par écrit.
• Le courriel transactionnel passe par le service d'e-mail natif de la plateforme, pas par un prestataire e-mail tiers.

Quelles données personnelles sont traitées

Pour un compte citoyen ou institutionnel, nous conservons :

• Nom et adresse e-mail (identité du compte).
• Métadonnées de session utilisées pour la connexion et la sécurité : adresse IP, agent utilisateur, et localisation approximative dérivée du réseau (ville, région, pays, latitude/longitude, et le point de présence de périphérie qui a servi la requête).
• Zones surveillées : un nom et un centre/rayon par zone, plafonnées selon l'offre (Citoyen Pro : 1 zone ; offres entreprise et institutionnelles : davantage) à 50–100 km de rayon.
• Un identifiant client du prestataire de paiement pour les comptes payants, ainsi que l'état d'abonnement/plan/essai. OrbiVigil ne détient aucune donnée de carte ; le prestataire de paiement traite le paiement directement.
• Pour les pilotes institutionnels (mairies, SDIS, préfectures) : un nom de contact, un e-mail professionnel, un téléphone facultatif, et le code commune/INSEE utilisé pour préconfigurer le territoire surveillé.

Une zone surveillée n'est jamais devinée à partir d'un nom de lieu : les coordonnées viennent de la requête, ou du centroïde officiel de la commune, ou la zone est créée vide.

Sous-traitants

• La plateforme de périphérie infogérée qui héberge et stocke le service.
• Le prestataire de paiement, pour les comptes sur un plan payant.

Les deux sont nommés, avec leur rôle et les catégories de données concernées, dans le DPA signé et sur demande des acheteurs institutionnels.

Aucun autre tiers ne reçoit de données de compte dans le cadre du produit aujourd'hui, au meilleur de notre connaissance de ce dépôt de code. Toute modification de cette liste est un changement structurel et doit mettre à jour cette page dans le même commit (règle de contribution de ce dépôt).

Durée de conservation

Sur le cas précis d'un essai institutionnel échu, nous pouvons être précis : l'expiration retire l'avantage payant (les alertes e-mail cessent) et ne supprime rien — le compte, ses zones surveillées et son historique restent inchangés, et la reconduction d'un pilote réactive le service sans le reconstruire.

Au-delà de ce cas précis, ce dépôt ne définit pas encore de calendrier général de conservation (par exemple pour un compte ou des sessions inactifs). Les durées de conservation au-delà du comportement décrit ci-dessus sont communiquées sur demande — utilisez le formulaire de contact.

Tout titulaire de compte peut également supprimer son propre compte et ses données, en libre-service, depuis le tableau de bord, à tout moment : un e-mail de confirmation est d'abord envoyé, et seul le clic sur le lien reçu supprime quoi que ce soit — à ce moment-là, tout abonnement actif est résilié immédiatement et le compte, ses zones surveillées et sa configuration 2FA sont supprimés définitivement. Pour tout ce que ce parcours ne couvre pas, utilisez le formulaire de contact.

Statut et transparence de disponibilité

La surface d'état en direct de la plateforme est publique à api.orbivigil.com/health. Elle rapporte l'état du service et, pour les flux publiés hors bande (par exemple l'ingestion de l'état nuageux canadien, publiée hors bande), un bloc de fraîcheur par publieur pour qu'une source en amont périmée soit visible plutôt que servie silencieusement.

Nous ne publions pas d'engagement chiffré de disponibilité/SLA sur cette page — le point de santé est une surface de transparence, pas un contrat. Un SLA est disponible dans le cadre d'un accord institutionnel ; interrogez votre interlocuteur OrbiVigil.

Une question sans réponse ici, ou un document formel nécessaire pour un dossier : utilisez le formulaire de contact.