Conformité et données
Ce qu'Aprop enregistre, qui peut l'ouvrir, où les données vivent, et ce qui reste à la charge de la mairie. Aprop coordonne des services entre eux : il n'instruit aucun dossier et ne contient aucune donnée d'administré. Les pages qui suivent décrivent le logiciel tel qu'il fonctionne aujourd'hui, limites comprises. Un délégué à la protection des données y trouvera de quoi remplir sa fiche de registre sans nous appeler.
Ce qui est enregistré
Sept listes, et rien d'autre#
L'espace d'une commune tient dans sept listes. Il n'y a rien derrière : ni base d'administrés, ni annuaire importé, ni compte utilisateur, ni mot de passe individuel.
Une tâche porte son libellé, son échéance, le service qui la tient, le prénom de l'agent à qui elle est confiée et qui l'a demandée. Un commentaire porte son auteur et son heure. C'est toute la matière de l'application.
Toute fiche se supprime depuis l'application. La suppression laisse une trace technique, un identifiant et une date sans aucun contenu, pendant quatre-vingt-dix jours : le temps qu'un téléphone resté hors ligne ne la fasse pas revenir en se resynchronisant.
ÉvénementsTitre, date, lieu, tâches réparties par service, documents joints, fil de coordination entre services, journal horodaté. Les conseils municipaux sont des événements d'un genre à part : une date et une feuille de présence.
ProcéduresVos protocoles réutilisables : la liste des tâches d'une festivité type, d'un conseil ou d'un épisode d'intempéries, avec leurs échéances exprimées en jours par rapport au jour de l'événement, avant comme après.
SignalementsLe seul point sensible du logiciel. Il est détaillé dans la section suivante.
ProjetsTitre, porteur, étapes, notes, journal. Le suivi des chantiers du cabinet, pas un dossier d'instruction ni une pièce administrative.
Feuille de route des élusNom, fonction, délégation, missions, agents qui accompagnent le poste. Des informations publiques par nature, celles d'un arrêté de délégation.
ÉquipesLes prénoms des agents, par service. Personne ne les saisit d'avance : ils s'inscrivent quand un chef confie une tâche, et sont proposés ensuite.
RappelsUn texte, une date, un service destinataire. Les rappels passés depuis plus de trente jours sont retirés dès qu'un nouveau est programmé.
Documents jointsDes fichiers déposés par la mairie : arrêtés, plans, affiches, au format PDF ou image, trois mégaoctets et demi au plus. Ils sont stockés à part et l'application ne garde que leur adresse.
Ce qui n'existe pasAucun état civil, aucune liste électorale, aucune demande d'urbanisme nominative, aucune adresse d'habitant, aucune adresse électronique, aucun cookie, aucune mesure d'audience.
Le point sensible
Les signalements : une photo, une position, une adresse#
C'est la seule partie d'Aprop qui produit de la donnée sensible, et autant le dire tout de suite. Un agent voit une branche tombée sur un trottoir, il prend une photo, il joint sa position d'un bouton, et la fiche part au service concerné.
Sont enregistrés : un titre, une catégorie, un lieu en toutes lettres, deux coordonnées, le service à prévenir, une priorité, la photo, l'auteur et l'heure. L'auteur est un service, pas une personne.
Les coordonnées sont celles de l'appareil au moment où l'agent appuie sur le bouton, sur cet écran et nulle part ailleurs : elles désignent le lieu du problème, devant lequel il se trouve. Elle n'est captée qu'au moment où quelqu'un appuie sur le bouton, sur cet écran, et nulle part ailleurs dans l'application. Aprop ne suit personne.
La photoFacultative. Avant l'envoi, le navigateur la redimensionne à mille pixels et la recompresse. L'opération reconstruit l'image et laisse derrière elle les métadonnées d'origine, y compris la position inscrite par l'appareil photo.
La positionLatitude et longitude, seulement si l'agent appuie sur « Utiliser ma position GPS » et que le téléphone l'y autorise. La fiche affiche ensuite une carte centrée sur ce point.
L'adresseLes coordonnées sont envoyées à Nominatim (OpenStreetMap), qui renvoie une adresse. Elle est proposée dans le champ « Lieu », reste modifiable, et l'agent peut tout aussi bien la taper à la main sans jamais utiliser le GPS.
Ce qui vous revientUne photo de l'espace public peut capter un passant ou une plaque d'immatriculation. Le cadrage, et le retrait d'une photo qui en dirait trop, restent la décision de la commune. Une fiche se supprime en deux gestes depuis l'application.
Ce que nous ne prétendons pasLe fichier image est servi depuis une adresse tirée au hasard, listée nulle part et non devinable. Elle n'est pas protégée par un second code : une image affichée dans une page ne peut pas présenter de mot de passe. C'est le compromis assumé pour qu'une photo s'ouvre tout de suite sur le terrain.
Accès
Deux codes, et des téléphones nommés#
Aprop n'a pas de comptes. On entre dans une commune avec son code, qui n'est pas devinable, et ce code n'ouvre que cette commune : les espaces sont cloisonnés, et un code inconnu demandé en série depuis la même adresse est bloqué.
Les écrans des élus sont derrière un second code, distinct. Il est vérifié sur le serveur : l'application demande seulement s'il existe un code, elle ne le reçoit jamais. Huit essais faux en dix minutes ferment la vérification pour le reste de la fenêtre.
Un code finit toujours par circuler : il se dicte, il se photographie, un agent qui part l'emporte. C'est pourquoi le maire peut verrouiller la commune et ne laisser entrer que les téléphones qu'il a validés.
VerrouillageDepuis « Téléphones de la commune », proposé au maire dans ses réglages. Ce qui protège cet écran n'est pas le profil mais le serveur : approuver, retirer ou verrouiller exige un appareil déjà approuvé de la commune. Une fois la commune verrouillée, un téléphone inconnu s'inscrit en attente et n'obtient rien tant qu'il n'est pas approuvé. Les téléphones déjà présents sont validés au moment du verrouillage : personne ne se retrouve dehors du jour au lendemain.
Approbation et retraitUn appareil retiré quitte le registre et perd l'accès au serveur. Approuver ou retirer exige un appareil déjà approuvé : le serveur refuse l'ordre venu d'ailleurs. Soixante appareils au plus par commune.
Expiration du déverrouillage élusDouze heures dans un simple onglet de navigateur, parce que cet onglet est peut-être celui du poste d'accueil. Trente jours sur une application installée, ou sur un appareil que son porteur a marqué comme personnel.
Des rôles, pas des personnesAprop authentifie neuf services et les élus, pas des individus. Le journal signe donc « Services techniques » ou « M. le Maire ». Un adjoint qui s'est reconnu dans la feuille de route signe de son nom. Il faut le savoir avant de traiter le journal comme une preuve individuelle.
Téléphone perduVerrouiller la commune et retirer l'appareil lui coupent l'accès au serveur en quelques secondes. La copie déjà téléchargée sur ce téléphone y reste : c'est elle qui permet de travailler hors ligne. Changez aussi le code élus.
L'éditeur
Une porte que vous ouvrez, jamais lui#
Tant que la commune n'est pas verrouillée, le code de commune suffit à lire et à écrire son espace, et l'éditeur, qui détient ce code, y a accès comme n'importe quel téléphone. C'est le verrouillage qui change la règle : sur une commune verrouillée, la clé d'exploitation de l'éditeur ne suffit plus, le serveur exige en plus que la commune ait ouvert une assistance : le serveur exige en plus que la commune ait ouvert une assistance, et cette autorisation ne peut venir que de vos réglages.
L'ouverture est un geste du maire ou de la direction générale, depuis l'écran de réglages. Elle dure vingt-quatre heures, se referme d'elle-même, et se ferme à la main avant terme. Les élus reçoivent une notification au moment où elle s'ouvre, et l'écran montre les trois dernières ouvertures et fermetures, les dix dernières étant conservées, avec leur auteur et leur heure. Une porte qui s'ouvre n'est pas un secret.
Sur une commune verrouillée, assistance fermée, l'éditeur ne voit plus que des compteurs. Ouverte, l'assistance lui donne ce que donne un téléphone approuvé : lire l'espace et y intervenir pour dépanner. Fermée, elle ne donne rien. Le reste du temps, ce que l'éditeur voit de votre commune tient en compteurs.
Le tableau de bord d'exploitationNombre d'événements, de signalements ouverts, de projets, date de dernière activité, nombre de téléphones et versions installées. Jamais un titre, jamais un nom, jamais une photo, jamais une position. La règle est écrite en tête du fichier qui produit cet écran.
EffacementUn espace classé commune cliente ne peut pas être effacé depuis ce tableau de bord : le serveur refuse l'ordre. Les bacs d'essai, les démonstrations et les espaces pas encore classés le peuvent, et un instantané est archivé avant tout effacement. Un départ se prépare et se prouve, il ne se clique pas.
La part contractuelleL'éditeur est aussi l'administrateur de l'hébergement, et aucune ligne de code ne peut lui retirer cela. C'est le contrat qui l'encadre : obligation de confidentialité, et interdiction de réutiliser vos données pour son compte, y compris pour des statistiques produit, une comparaison entre communes ou l'entraînement de systèmes algorithmiques.
Traçabilité
Le journal dit qui a fait quoi, et quand#
Chaque geste laisse une ligne : son heure, son auteur, ce qui a été fait. Une tâche cochée, une échéance déplacée, un signalement pris en charge, une décision de protocole. Ces lignes vivent dans la fiche concernée, et un onglet Activité montre en continu ce que font les autres services.
C'est une trace de coordination, pas un outil de contrôle. Le contrat l'écrit noir sur blanc : le journal n'est pas exploité à des fins d'évaluation individuelle, disciplinaire ou de mesure de productivité.
Le journal d'une fiche disparaît avec elle. Le contrat plafonne par ailleurs sa conservation à treize mois glissants. Aujourd'hui ce plafond est tenu par une intervention de l'éditeur, pas par une purge automatique : la fonction n'est pas encore écrite, et il vaut mieux l'écrire ici que de la laisser croire.
Ce qu'une ligne contientUn horodatage, un auteur (une fonction, ou le nom d'un élu), une phrase courte. Ni adresse IP, ni identifiant d'appareil.
Le registre des téléphonesChaque appareil porte un identifiant qu'il tire au hasard sur lui-même, un nom lisible du genre « iPhone · Technique », sa date de dernière ouverture et sa version. C'est ce qui permet au maire de reconnaître le téléphone qu'il approuve ou qu'il retire.
Adresses IPUn seul cas : quand un code de commune inconnu est demandé, le serveur compte ces demandes par adresse pour bloquer une énumération. Rien d'autre, dans l'application, n'enregistre d'adresse. L'hébergeur, lui, tient ses propres journaux techniques.
Rapports de plantageQuand un écran échoue, le téléphone envoie le message d'erreur, l'écran concerné, la version et le type de navigateur. Jamais le contenu de la commune. Les soixante derniers sont conservés.
Ce qui vous revientInformer vos agents de l'existence du journal, de sa finalité et de sa durée, et consulter les instances représentatives du personnel s'il y a lieu. Aprop ne peut pas le faire à votre place.
Conseils municipaux
Une aide à la séance, pas un acte#
Dans Aprop, un conseil municipal est une date et une feuille de présence. Les noms viennent de la feuille de route du mandat, et s'ajoutent à la main au besoin. Trois états : présent, excusé, absent. Chaque pointage porte son heure et son auteur, et deux téléphones peuvent pointer en même temps sans s'effacer l'un l'autre.
Le compteur de quorum apparaît dès que quelqu'un a pointé, et il compte les présents sur les noms de la feuille. L'article L. 2121-17 du CGCT, lui, se juge sur les membres en exercice. Si un siège est vacant ou si un nom manque à la feuille, notre compteur se trompe et le secrétaire de séance a raison.
Aprop ne rédige pas le procès-verbal, ne le signe pas et ne tient pas le registre des délibérations. Le procès-verbal reste l'acte, avec les mentions que l'article L. 2121-15 lui impose, dont les noms des membres présents et le quorum. La feuille de présence d'Aprop sert à préparer la séance et à la relire, pas à la prouver.
ConvocationsLa procédure type « Conseil municipal » rappelle les échéances : convocation des élus dans le délai franc, ordre du jour et note de synthèse, affichage légal, projets de délibération. Le modèle livré indique cinq jours francs, à ajuster à votre strate. Ce sont des cases à cocher : Aprop n'envoie pas les convocations et ne prouve pas leur envoi.
PouvoirsAprop ne gère pas les procurations. Un élu qui a donné pouvoir n'apparaît pas comme représenté : c'est à la feuille de présence officielle de porter cette mention, et au procès-verbal d'en tirer les conséquences sur le vote.
Après la séanceLa feuille reste attachée à la séance et s'imprime avec le dossier complet de la commune. Elle vous évite de reconstituer de mémoire qui était là, elle ne se substitue à aucune pièce du registre.
Hébergement
Netlify aujourd'hui, la France au déploiement commercial#
L'application et les données sont hébergées par Netlify, Inc., à San Francisco. C'est un transfert hors Union européenne, et il vaut mieux l'écrire ainsi que derrière la formule « hébergeur professionnel ».
Ce transfert est encadré dans l'annexe RGPD du contrat : décision d'adéquation EU-US Data Privacy Framework, et clauses contractuelles types (UE) 2021/914, module 3, qui s'appliquent automatiquement si l'adéquation tombe, sans avenant. Netlify est le seul sous-traitant ultérieur. Aucun autre n'entre sans votre autorisation écrite préalable.
L'hébergement français est prévu, il n'est pas fait. Le contrat engage l'éditeur à migrer vers un prestataire établi dans l'Union européenne dans les six mois suivant votre demande et sans surcoût, l'engagement portant sur le lieu de stockage et de traitement et sur l'absence d'accès depuis un pays tiers. Aucune règle n'impose à une collectivité d'héberger en France : c'est un engagement contractuel, pas une obligation que nous vous inventerions.
ÉchangesHTTPS sur tout le service. Le microphone est refusé au niveau du serveur web ; l'appareil photo et la localisation ne sont ouverts qu'à l'application elle-même.
SauvegardesUn instantané de chaque commune chaque nuit à 2 h UTC, conservé vingt et un jours. Avant toute intervention sur un espace, l'état en place est archivé, ce qui permet de revenir en arrière.
RéversibilitéLe « Dossier complet de la commune », dans les réglages, rassemble les événements et leurs tâches cochées, les feuilles de présence, les signalements avec leurs photos, les projets, les procédures et la feuille de route, dans un document à imprimer ou à enregistrer en PDF. L'application sait produire le même contenu en fichier de données réutilisable par un autre outil : c'est l'éditeur qui le déclenche, il n'y a pas de bouton dans l'application.
Ce qui sort vers des tiersTrois appels, depuis le navigateur de l'agent : OpenStreetMap pour l'adresse et la carte d'un signalement, Open-Meteo pour la météo d'un événement (le nom de la commune et une date), et le service de notifications du téléphone. Le contenu d'une notification est chiffré à destination du navigateur qui la reçoit : le relais transporte sans lire.
Aucun traceurPas de cookie, pas de mesure d'audience, aucune bibliothèque tierce livrée au navigateur. L'application se sert du stockage local, qui lui permet aussi de fonctionner hors ligne quand le réseau manque dans une salle des fêtes.
Le partage des rôles
Ce qui vous revient, et ce que nous ne prétendons pas#
La commune est responsable de traitement : elle détermine les finalités, décide de ce qu'elle enregistre et de ce qu'elle supprime. L'éditeur d'Aprop est sous-traitant au sens de l'article 28 du RGPD, et une annexe au contrat le formalise, y compris ses obligations d'assistance et d'audit.
Ce partage n'est pas une formule. Certaines obligations ne peuvent pas être remplies à votre place, et il vaut mieux les nommer que les laisser dans le flou.
Votre registreL'inscription de ce traitement à votre registre, au titre de l'article 30.1, vous appartient. L'éditeur tient le sien au titre de l'article 30.2 et le met à votre disposition, avec les éléments de description nécessaires à la rédaction de votre fiche.
L'information de vos agentsExistence du journal, finalité, durée, destinataires. Et la consultation des instances représentatives du personnel s'il y a lieu.
L'analyse d'impactC'est à vous d'apprécier si elle est nécessaire. L'éditeur fournit la matière technique et répond aux questions de votre délégué à la protection des données.
Le contenu de vos photosLe cadrage d'un signalement, et le retrait d'une image qui montrerait une personne identifiable ou une plaque lisible sans nécessité.
Violation de donnéesL'éditeur notifie votre référent et votre délégué à la protection des données dans les vingt-quatre heures suivant sa connaissance des faits. C'est ensuite la commune qui saisit la CNIL dans son délai de soixante-douze heures et qui informe les personnes concernées.
Pas de déclaration d'accessibilitéAucun audit RGAA n'a été mené. Nous n'affichons donc aucune conformité au RGAA. Le dire est plus utile à un DGS que de l'afficher.
Pas de labels que nous n'avons pasNi SecNumCloud, ni agrément hébergeur de données de santé, ni certification ISO. Aprop est un outil de coordination interne, tenu par une personne, avec un contrat qui l'engage et un code qui fait ce qui est écrit ici.
Une question que cette page ne règle pas ?
Vous parlez directement à la personne qui construit l'outil : 07 87 06 87 82 ou contact@aprop.fr.
Demander une démo
Cette page décrit Aprop tel qu'il fonctionne en août 2026, limites comprises.