Télématique, géolocalisation et accès sans clé en location

2. Séparer capacités générales du marché et vérité MOVALYA

Le marché propose géolocalisation, déverrouillage à distance, lecture de compteur, diagnostic, géorepérage ou alertes. Leur existence générale ne démontre ni leur disponibilité sur un actif, ni leur conformité dans un contexte, ni une intégration avec MOVALYA. Toute mention produit doit être fondée sur la fiche canonique et un fonctionnement vérifié.

MOVALYA peut organiser actifs, réservations, missions, états et arbitrages selon la vérité produit documentée. Cette page ne prouve pas qu'il reçoit une position en direct, commande une serrure, lit un boîtier, coupe un moteur ou synchronise un constructeur. Si une donnée est saisie manuellement, elle doit être présentée comme telle. Un projet futur reste un projet, jamais une fonction annoncée.

3. Écrire une finalité et un déclencheur par usage

La recommandation CNIL du 30 juin 2026 couvre des données de localisation de véhicules connectés, dont voitures, cycles et scooters. Séparez assistance en cas de panne, récupération après non-restitution, maintenance, gestion de flotte et service demandé par l'utilisateur. Une formule globale comme « sécurité et optimisation » ne permet pas de déterminer précision, accès ou durée.

Pour chaque finalité, identifiez responsable du traitement, base juridique à confirmer, accès au terminal, déclencheur, donnée minimale, destinataires et arrêt. Le consentement n'est pas une case par défaut : sa validité suppose notamment un choix réel lorsqu'il est retenu. D'autres bases peuvent être pertinentes selon le service et les acteurs ; elles doivent être qualifiées, documentées et expliquées, pas déduites par le gestionnaire.

4. Informer chaque utilisateur et organiser ses droits

L'information décrit qui traite les données, pourquoi, sur quelle base, pendant combien de temps, avec quels destinataires et comment exercer les droits. Elle nomme les fonctions actives du véhicule, de l'application et du boîtier. Une phrase générale au fond de conditions longues ne remplace pas une information accessible avant la collecte.

Le conducteur principal doit pouvoir informer les conducteurs additionnels et, lorsque pertinent, les passagers ou utilisateurs successifs. Le parcours prévoit demande d'accès, rectification, opposition ou autre droit applicable, identité vérifiée de manière proportionnée, recherche dans les systèmes et réponse. Le droit d'accès aux données d'un produit connecté au titre du Data Act ne se confond pas automatiquement avec les droits sur les données personnelles du RGPD ; les deux cadres doivent être articulés selon le cas.

• Acteurs et contacts identifiables.
• Finalités et bases séparées.
• Capteurs et périodes actives indiqués.
• Destinataires et transferts expliqués.
• Durées ou critères annoncés.
• Choix accessible lorsqu'il existe.
• Conducteurs additionnels couverts.
• Procédure de droits testée.

5. Limiter précision, fréquence, accès et durée

Collectez la position seulement lorsque la finalité l'exige, avec la granularité utile. Une alerte déclenchée ou un événement peut parfois éviter un historique continu. Restreignez les accès aux rôles habilités, journalisez les consultations sensibles et interdisez la recherche par curiosité. Les notifications ne doivent pas exposer une adresse exacte dans un groupe inutile.

Définissez une durée par finalité et automatisez la purge. Les données actives, la conservation intermédiaire pour un litige et l'archivage légal éventuel sont séparés. Un sinistre peut justifier le gel ciblé d'un extrait licite ; il ne transforme pas tous les trajets en preuves à conserver. Une statistique de flotte destinée à un autre usage doit être réellement anonymisée ou faire l'objet d'une nouvelle analyse.

6. Encadrer l'accès sans clé comme une chaîne de responsabilité

Un accès sans clé associe une réservation, un utilisateur, une période, un équipement, une commande et une possibilité de secours. Définissez qui émet le droit, qui vérifie l'éligibilité, qui peut ouvrir à distance, qui consulte le journal et qui révoque. Une réservation confirmée n'autorise pas nécessairement une ouverture si identité, contrat, caution ou état restent incomplets.

Limitez le droit au créneau et à l'actif, utilisez des comptes nominatifs et prévoyez la révocation immédiate. Un journal d'ouverture peut aider à reconstituer un événement, mais ne prouve pas qui conduisait ni la cause d'un dommage. La page dédiée à l'accès sans remise de clés explique la procédure opérationnelle ; elle ne transforme pas MOVALYA en système de télécommande.

7. Sécuriser comptes, objets connectés et fournisseurs

Appliquez une authentification adaptée aux comptes sensibles, des habilitations par rôle, la révocation des départs, la protection des secrets et une revue des journaux. Les comptes partagés empêchent de savoir qui a localisé ou ouvert l'actif. Mettez à jour les composants selon le fournisseur, suivez les vulnérabilités et prévoyez la fin de support. Les recommandations de l'ANSSI sur les objets connectés rappellent la nécessité d'une analyse de risque et d'une sécurité sur tout le cycle.

Le contrat fournisseur traite disponibilité, support, notification d'incident, sous-traitants, réversibilité et restitution ou suppression des données. Une panne de cybersécurité possible déclenche confinement et escalade ; ne tentez pas de contourner le dispositif par des identifiants partagés. Testez les accès avec un compte fictif et un actif de test lorsque cela est possible.

• Comptes nominatifs et authentification.
• Droits minimaux et revues.
• Secrets hors des notes libres.
• Mises à jour et fin de support suivies.
• Journaux protégés et consultés.
• Incident et notification contractualisés.
• Sous-traitants et réversibilité connus.
• Test périodique sans donnée réelle.

8. Prévoir réseau, batterie et perte d'accès

Listez les dépendances : couverture mobile, Bluetooth, batterie du véhicule, pile du boîtier ou de la clé, téléphone de l'utilisateur, serveur fournisseur et compte administrateur. Définissez le comportement hors ligne et testez-le. Une application qui affiche « commande envoyée » ne prouve pas que la porte est ouverte ; exigez un retour d'état ou une vérification humaine.

Le mode dégradé protège d'abord les personnes. Il précise contact, vérification d'identité, clé ou badge de secours, récupération de l'actif, autorité pour une ouverture distante et preuve de l'action. Ne laissez pas une personne sans accès ni solution parce que le support logiciel est fermé. En revanche, ne divulguez pas un code maître dans une messagerie générale pour accélérer la remise.

9. Réinitialiser l'actif et clore les droits au retour

Au retour, révoquez la clé numérique, les comptes temporaires et les partages. Supprimez selon les capacités du constructeur destinations, favoris, contacts, téléphones appairés, médias et sessions laissés dans le système embarqué. Vérifiez les applications de recharge, navigation et services du fabricant. Cette opération protège l'ancien locataire et le suivant.

Ne supprimez pas aveuglément une donnée technique nécessaire à une intervention : qualifiez d'abord sa finalité, extrayez seulement ce qui est licite et nécessaire, puis appliquez la purge. Le compte rendu indique révocation, réinitialisation, réserve et éventuel incident. L'actif reste indisponible si l'ancien utilisateur conserve un accès ou si la sécurité ne peut être confirmée.

1. Fermer réservation et droits temporaires.
2. Révoquer clés, badges et partages.
3. Retirer comptes et appareils appairés.
4. Conserver seulement la preuve nécessaire.
5. Tester l'absence d'accès résiduel.
6. Documenter incident ou réserve.
7. Autoriser la prochaine remise.

10. Auditer le dispositif et revoir les sources

Chaque trimestre, testez un parcours fictif complet : information, activation, accès sans clé, panne réseau, demande de droit, purge, réinitialisation et révocation. Relevez les mises à jour du constructeur et du fournisseur. Une nouvelle fonction activée à distance peut modifier données et risques ; elle est désactivée ou analysée avant utilisation.

La prochaine revue éditoriale reste fixée au 20 octobre 2026 afin de respecter la politique du lot réglementaire historique. Une évolution de la recommandation CNIL, du Data Act, d'un contrat, d'un sous-traitant ou d'une capacité produit déclenche une revue immédiate. Le résultat doit continuer à séparer marché, actif réel et MOVALYA prouvé.

• Inventaire composants et données à jour.
• Finalités et bases revues.
• Information et droits testés.
• Accès et journaux échantillonnés.
• Pannes réseau et batterie simulées.
• Réinitialisation vérifiée.
• Contrats fournisseurs contrôlés.
• Allégations MOVALYA confrontées au canonique.