DEKINNexus Etap

Politique de confidentialité

Date d’entrée en vigueur : 15 septembre 2026 (15.09.2026)

1. Qui sommes-nous ?

DEKINNexus Etap (« l’Application ») est une application de suivi d’activité exploitée par SARL DEK IN SAN (« la Société », « nous »), entrepreneur de travaux de construction exerçant en Algérie, et accessible à l’adresse etap.dekinnexus.com. Elle sert au suivi des projets, des procédures d’approbation administrative, des marchés et des ordres de service (ODS), des achats et des situations de travaux des sous-traitants. La Société est le responsable du traitement des données à caractère personnel traitées dans l’Application. Pour toute question : etap@dekinnexus.com

2. Champ d’application

L’Application est un outil de travail interne à la Société et ne permet aucune inscription publique : les comptes sont créés exclusivement par les administrateurs de la Société, pour les employés et les partenaires commerciaux autorisés. La présente politique s’applique aux données des titulaires de comptes ainsi qu’à celles des personnes de contact des fournisseurs, sous-traitants, organismes et chantiers enregistrées dans l’Application. Le droit applicable est le droit algérien, et notamment la Loi n° 18-07 du 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel. Les règles d’utilisation de l’Application sont exposées dans les Conditions d’utilisation.

3. Données que nous traitons

  • Données de compte : nom d’utilisateur, nom et prénom, fonction, téléphone, adresse électronique, rôle (et privilège de super administrateur), statut actif/inactif du compte, date de création, chantiers/unités de rattachement ; langue, couleur des notes, préférences de notification et indication de l’affichage ou non de la visite de présentation.
  • Informations de sécurité : uniquement l’empreinte bcrypt irréversible du mot de passe (le mot de passe n’est pas conservé en clair), les empreintes des 5 derniers mots de passe, la date du dernier changement de mot de passe, le statut de mot de passe initial, le compteur de connexions ; uniquement l’empreinte SHA-256 du lien de réinitialisation du mot de passe, à usage unique et valable 60 minutes.
  • Données professionnelles : informations relatives aux projets et aux marchés (service contractant, numéro et dates du marché, montant, coordonnées bancaires, ordres de service, cautions bancaires, polices d’assurance) ; étapes des procédures, notes et documents ; demandes d’achat, offres, approbations, commandes, livraisons, factures, paiements et correspondances ; contrats de sous-traitance et situations de travaux des sous-traitants.
  • Coordonnées de tiers : raison sociale, numéros NIF/RC/NIS/AI, adresse, téléphone, adresse électronique, personne habilitée et notes figurant dans les fiches des fournisseurs, sous-traitants, organismes et chantiers.
  • Autres : rappels personnels (visibles uniquement par leur titulaire), annonces, notifications internes à l’Application, liste des contacts WhatsApp et journaux d’utilisation décrits à la section 6.

4. Comment obtenons-nous les données ?

Les informations de compte proviennent des administrateurs qui créent votre compte ; les informations de profil, les enregistrements, les notes et les documents proviennent de vous ; les informations relatives aux fournisseurs, sous-traitants et organismes proviennent de vos collègues dans le cadre des processus métier ; les journaux de session et d’opérations sont quant à eux collectés automatiquement lors de l’utilisation de l’Application. Une partie des enregistrements Marchés/ODS a été transférée, avec les enregistrements de cautions, d’assurances et de documents qui y sont rattachés, depuis une autre application interne de la Société (hr.dekinnexus.com). Lorsque la fonctionnalité facultative d’intelligence artificielle est activée, certains champs de formulaire sont proposés à partir de la lecture du document contractuel téléversé (section 8).

Aucun compte ne peut être créé en l’absence des champs obligatoires du formulaire de création de compte. Si des champs facultatifs tels que le téléphone ou l’adresse électronique ne sont pas renseignés, le canal de notification correspondant, l’envoi des identifiants de connexion par WhatsApp ou le lien de réinitialisation du mot de passe ne peuvent pas être utilisés.

5. Finalités et bases juridiques

  • Gestion des comptes et authentification — exécution du contrat de travail ou du contrat commercial qui nous lie.
  • Conduite des activités liées aux projets, aux marchés, aux achats et à la sous-traitance ; conservation des documents — exécution des contrats et respect des obligations légales de la Société.
  • Données des personnes de contact des fournisseurs, sous-traitants, organismes et chantiers (demandes de prix, commandes, situations de travaux et correspondance officielle) — exécution du contrat conclu entre la Société et l’entité à laquelle ces personnes sont rattachées, et intérêt légitime de la Société.
  • Notifications (dans l’Application, par courrier électronique, par WhatsApp) — conduite des processus métier dans les délais ; vous pouvez limiter les canaux depuis votre profil.
  • Sécurité, prévention des abus, piste d’audit et statistiques d’utilisation — intérêt légitime et obligations légales de la Société.
  • Défense des droits et réponse aux demandes des autorités compétentes — obligations légales.

6. Journaux d’activité et de sécurité

Nous tenons à être transparents : vos activités dans l’Application sont enregistrées.

  • Journal d’audit des opérations : pour les requêtes des utilisateurs connectés (à l’exclusion des fichiers statiques, des vérifications système, des pages du guide et des requêtes d’interrogation automatique ; la limite indiquée ci-dessous s’applique aux requêtes non authentifiées) : identifiant et nom de l’utilisateur, rôle, type d’opération (opération, consultation de page, ouverture de document, export Excel/PDF, connexion, déconnexion, requête refusée), chemin de l’écran, code de résultat, bref résumé, enregistrement concerné, paramètres filtrés selon les règles de confidentialité (par exemple numéro d’enregistrement, statut, date ou montant, terme de recherche, nom ou intitulé de l’enregistrement, nom d’utilisateur saisi lors d’une tentative de connexion), adresse IP, informations complètes sur le navigateur (non conservées pour les consultations de page), langue et durée de l’opération.
  • Historique des sessions : heures de connexion, de dernière activité et de déconnexion, durée de la session, mode de clôture de la session, adresse IP et bref résumé du navigateur (par exemple « Chrome · Windows »). Les tentatives de connexion échouées sont enregistrées avec le nom d’utilisateur saisi, l’adresse IP, le résumé du navigateur et un code de motif.
  • Journaux des modifications : dans les modules procédures, marchés/ODS, achats et sous-traitance, l’identité de l’auteur de la modification, sa date, ainsi que la valeur modifiée et la nouvelle valeur.
  • Journaux techniques : les journaux de l’Application sont tenus de manière cyclique, les enregistrements les plus anciens étant supprimés lorsqu’une taille de fichier déterminée est atteinte ; certaines lignes peuvent contenir un nom d’utilisateur, une adresse électronique ou l’adresse demandée. En outre, le serveur web (proxy inverse) du serveur inscrit dans ses journaux d’accès, pour chaque requête, l’adresse IP, l’heure, l’adresse demandée (paramètres de requête compris), la page de provenance et les informations sur le navigateur ; ces journaux sont conservés selon les règles de gestion des journaux du serveur.

Éléments non enregistrés dans les journaux d’audit et de session : les mots de passe (y compris le mot de passe saisi lors des tentatives échouées), les clés d’accès, le cookie de session et le contenu des documents. Le contenu des formulaires n’est pas conservé en l’état : les champs de type mot de passe sont inscrits sous la forme « *** » ; les champs de description, de note, de motif, d’adresse, de téléphone et d’adresse électronique sont écartés ; seuls le nom et la taille des fichiers téléversés sont conservés. Pour les requêtes non authentifiées, seules les requêtes refusées et les tentatives de connexion/déconnexion sont enregistrées.

Qui peut y accéder ? Les écrans du journal d’audit et des statistiques d’utilisation sont accessibles exclusivement aux comptes super administrateur ; le rôle d’administrateur (admin) ne suffit pas à lui seul. Ces écrans indiquent ce qui est enregistré. L’accès aux journaux des modifications est soumis aux règles de rôle et de périmètre décrites à la section 11.

7. Données des utilisateurs Google

Les documents téléversés peuvent être stockés dans l’espace Google Drive d’un compte Google appartenant à la Société. La connexion est établie par un administrateur de la Société, au moyen de Google OAuth, pour le compte Google propre à la Société ; sur l’écran de consentement de Google, l’application apparaît sous le nom « ETAP Drive ». Les comptes Google personnels des employés ne sont pas connectés.

  • drive.file : L’Application ne peut accéder qu’aux fichiers et dossiers qu’elle a elle-même créés ainsi qu’aux fichiers qu’un utilisateur a expressément ouverts avec cette application ou partagés avec elle ; elle ne peut pas voir les autres fichiers du Drive. Cette autorisation est utilisée pour enregistrer les documents professionnels téléversés dans le dossier « DEKINNexus Etap Belgeleri », pour les présenter aux utilisateurs autorisés dans l’Application et pour les retirer également du Drive lorsqu’un document est supprimé définitivement. Le fichier d’un document d’achat supprimé de manière réversible demeure sur le Drive ; si la connexion au Drive a été retirée, les fichiers ne peuvent pas être supprimés du Drive par l’Application.
  • userinfo.email : l’adresse électronique du compte connecté ; elle est conservée afin d’indiquer aux administrateurs quel compte est connecté et, lors d’une nouvelle connexion, de déterminer s’il s’agit du même compte afin de décider si le dossier de documents enregistré doit être utilisé.
  • Conservation : le jeton d’actualisation (refresh token) de la connexion est conservé sous forme chiffrée au moyen d’AES-256-GCM ; les documents demeurent sur le Drive de la Société et les fiches des documents conservent, pour chaque fichier, son identifiant de fichier Drive et son lien. Lorsque la connexion est retirée de l’Application, le jeton d’actualisation est supprimé ; l’adresse électronique du compte connecté et l’identifiant du dossier de documents continuent d’être conservés afin que les documents restent regroupés dans un dossier unique si le même compte est reconnecté. Le retrait de la connexion depuis l’Application ne révoque pas automatiquement l’autorisation accordée du côté de Google ; pour supprimer entièrement cette autorisation, l’accès « ETAP Drive » doit être retiré dans la rubrique des accès tiers des paramètres du compte Google de la Société (myaccount.google.com/permissions).

Engagement d’utilisation limitée : les données obtenues au moyen des API Google ne sont pas vendues, ne sont pas utilisées à des fins publicitaires, ne sont pas utilisées pour évaluer la solvabilité ou à des fins d’octroi de crédit et ne sont pas utilisées pour développer ou entraîner des modèles généralisés d’intelligence artificielle ou d’apprentissage automatique (la fonctionnalité facultative Gemini ne lit aucune donnée du Drive et traite uniquement le document sélectionné par l’utilisateur dans le formulaire). Les données obtenues au moyen des API Google ne sont transférées que dans la mesure nécessaire pour fournir ou améliorer la fonctionnalité de stockage et de consultation des documents visible par l’utilisateur, pour assurer la sécurité ou pour se conformer à la loi ; elles ne sont transférées ni à des plateformes publicitaires, ni à des courtiers en données, ni à des revendeurs d’informations.

Aucune personne autre que les utilisateurs habilités à consulter les documents dans l’Application ne lit les données obtenues au moyen des API Google. Les seules exceptions à ce principe sont les suivantes : (a) le consentement exprès de l’utilisateur concerné pour des documents déterminés, (b) des finalités de sécurité, telles que l’enquête sur des abus, (c) le respect d’une obligation imposée par la législation en vigueur, (d) des opérations internes, à condition que les données aient été agrégées et anonymisées.

L’utilisation par DEKINNexus Etap des informations reçues au moyen des API Google et leur transfert vers toute autre application seront conformes aux Règles relatives aux données utilisateur des services d’API Google, y compris aux exigences d’utilisation limitée (Limited Use).

DEKINNexus Etap's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

8. Services tiers

  • Google Drive : documents téléversés (section 7). En l’absence de connexion au Drive ou en cas d’échec du téléversement vers le Drive, les documents sont enregistrés sur le compte de service Google de la Société s’il est configuré, et à défaut sur le disque propre du serveur. En cas d’utilisation d’un compte de service, l’Application accède à l’espace Drive de ce compte avec une autorisation Drive complète, et les documents ne sont pas partagés au moyen d’un lien public, sauf activation expresse dans la configuration.
  • Google Gemini (uniquement s’il est activé) : désactivé par défaut ; il ne fonctionne que si un administrateur autorise expressément l’envoi des documents à Google. Lorsqu’un utilisateur disposant d’un droit d’écriture sélectionne un PDF ou une image au moyen de la fonction « Lire depuis le document (AI) », l’image sélectionnée est envoyée à Google dans son intégralité et, s’agissant d’un fichier PDF, seules ses premières pages le sont (3 pour les marchés, 4 pour les contrats de sous-traitance), accompagnées d’une instruction d’extraction de champs. Le résultat sert uniquement à remplir le formulaire dans l’Application et n’est pas enregistré automatiquement. Le document envoyé est traité par Google, qui peut le conserver, conformément aux conditions de l’API Gemini ; en cas d’utilisation gratuite de l’API Gemini, ces conditions peuvent permettre l’utilisation du contenu envoyé pour l’amélioration des produits Google ainsi que son examen par des personnes physiques.
  • WhatsApp : les notifications sont envoyées, via le compte WhatsApp que la Société a connecté par code QR, à votre numéro de téléphone selon vos préférences ainsi qu’aux groupes/contacts définis par les administrateurs. Les messages peuvent contenir le projet, l’étape, l’organisme, le fournisseur, le montant, la date, des noms de personnes, une description et un lien ; chaque envoi est enregistré avec son contenu, son statut et le numéro de téléphone. La fonctionnalité « Envoyer les identifiants » transmet le nom, l’adresse de l’Application, le nom d’utilisateur et un nouveau mot de passe initial généré à cet instant ; le mot de passe précédent devient invalide et le mot de passe est masqué dans les journaux.
  • Courrier électronique : notifications d’événements (selon vos préférences), liens de réinitialisation du mot de passe et récapitulatifs quotidiens, via le serveur SMTP défini par l’administrateur.
  • Demandes de prix adressées aux fournisseurs : par courrier électronique ou par WhatsApp : informations sur la Société, articles de la demande, nom du représentant du fournisseur ainsi que nom, adresse électronique et téléphone de l’employé expéditeur.
  • Webhook (uniquement s’il est configuré) : titre, message et lien de la notification, ainsi que numéros de téléphone des destinataires.

Ces services sont soumis à leurs propres conditions et politiques de confidentialité (par exemple les Règles de confidentialité de Google). L’Application ne comporte aucun outil d’analyse, de publicité ou de suivi ; les documents PDF sont générés sur le serveur, sans être envoyés à un service externe.

9. Cookies et stockage dans le navigateur

L’Application utilise uniquement un cookie de session strictement nécessaire (connect.sid) : il ne peut pas être lu par JavaScript (httpOnly), il est restreint à l’égard des requêtes intersites (SameSite=Lax), il n’est transmis par défaut en production que sur une connexion chiffrée et il est valable 8 heures. Il est créé lors de la connexion ou lors du choix de la langue ; les données de session sont conservées dans la base de données du serveur. Aucun cookie publicitaire ou de suivi n’est utilisé.

Seules les préférences d’interface sont conservées dans le navigateur. localStorage : état ouvert/fermé des panneaux d’aide (ak_…), dernier onglet de marché consulté (marche_sekme), ordre de tri des situations de travaux (marche_hakedis_sira), état du menu (sv_menu_kapali, sv_menu_gizli), numéro de la dernière notification consultée (sv_last_notif_id), avertissement « non traduit » fermé dans le guide (kl_dil_not_…). sessionStorage : report de la visite de présentation (etap_tur_sonra) et position de défilement du menu (sv_menu_scroll).

10. Durées de conservation

  • Les notifications lues/archivées sont supprimées au bout de 90 jours ; les journaux des messages WhatsApp et les enregistrements d’audit relatifs aux consultations de page, au bout de 180 jours ; les lignes traitées de la file d’envoi WhatsApp, au bout de 30 jours. Les courriers électroniques envoyés ne font pas l’objet d’un enregistrement distinct dans la base de données. Les sessions expirées sont purgées lors de la maintenance quotidienne.
  • Éléments non supprimés automatiquement : l’historique des sessions, les enregistrements d’audit autres que ceux relatifs aux consultations de page et les journaux des modifications (conservés au titre de la piste d’audit) ; les enregistrements de réinitialisation de mot de passe utilisés ou expirés sont conservés jusqu’à la suppression de l’utilisateur.
  • Les enregistrements professionnels et les documents ne sont pas supprimés automatiquement ; ils sont gérés par les administrateurs en fonction des besoins de conservation professionnels et légaux de la Société. La suppression des documents d’achat est réversible ; « effacer » les notifications a pour effet de les archiver.
  • Lors de la suppression d’un compte, les rattachements aux chantiers, les notifications, l’historique des mots de passe, les enregistrements de réinitialisation, les rappels personnels et les envois WhatsApp en attente sont supprimés ; les enregistrements d’audit, l’historique des sessions, les journaux des modifications, les journaux WhatsApp et les commentaires sont conservés avec le nom enregistré.
  • Le serveur peut faire l’objet de sauvegardes ; les données supprimées peuvent subsister dans les sauvegardes jusqu’à l’expiration de leur cycle de rotation.

11. Sécurité et contrôle d’accès

  • Connexion chiffrée (HTTPS) ; le serveur de l’Application et la base de données ne sont pas directement exposés à Internet.
  • Politique de mots de passe : au moins 8 caractères, les mots de passe courants étant refusés ; le nouveau mot de passe ne peut être identique à aucun des deux derniers ; le changement est obligatoire à la troisième connexion effectuée avec le mot de passe attribué par l’administrateur ainsi que tous les 365 jours (afin d’éviter que l’accès au système ne soit bloqué, les comptes super administrateur sont dispensés de ces deux obligations). Tout changement de mot de passe met fin aux autres sessions.
  • Comparaison des mots de passe en temps constant, limitation du débit des tentatives de connexion, de réinitialisation du mot de passe et de suppression, renouvellement de l’identifiant de session lors de la connexion ; le compte est vérifié à chaque requête et un compte désactivé est immédiatement déconnecté.
  • Nouvelle saisie du mot de passe pour les opérations irréversibles telles que les suppressions ; politique de sécurité du contenu (Content Security Policy), en-têtes de sécurité et contrôle de l’origine contre la falsification de requêtes intersites (CSRF).
  • Le mot de passe SMTP, la clé Gemini et le jeton d’actualisation Drive sont conservés sous forme chiffrée au moyen d’AES-256-GCM ; une liste blanche de types de fichiers est appliquée aux téléversements et les documents sont servis dans un environnement isolé (sandbox).
  • Accès fondé sur les rôles (administrateur, direction générale, responsable, achats, responsable marchés/ODS) : les responsables ne voient que les projets dont ils sont le chef de projet, ceux au chantier desquels ils sont affectés ou ceux dont une procédure ou une étape relève de leur responsabilité. Les autorisations sont contrôlées côté serveur à chaque requête.

Aucun système n’est totalement exempt de risques ; si vous soupçonnez un problème de sécurité, signalez-le à un administrateur ou à l’adresse etap@dekinnexus.com.

12. Communication des données

Vos données à caractère personnel ne sont pas vendues et ne sont pas communiquées à des fins publicitaires. Au sein de la Société ainsi que pour les partenaires commerciaux autorisés disposant d’un compte, les données à caractère personnel sont visibles conformément aux règles de rôle et de périmètre ; la rubrique « équipe » de l’annuaire des contacts (nom, fonction, rôle, téléphone, adresse électronique) n’est présentée qu’aux rôles administrateur, direction générale et achats, qui peuvent l’exporter vers Excel. Hors de la Société, les données ne sont transférées qu’aux destinataires suivants, dans la mesure nécessaire à la finalité concernée : le prestataire d’hébergement du serveur de l’Application ; la destination de stockage des sauvegardes externe au serveur, si elle est configurée ; les prestataires de services visés à la section 8 ; les groupes et contacts WhatsApp définis par les administrateurs ; le destinataire du webhook, s’il est configuré ; les fournisseurs sélectionnés dans le cadre des demandes de prix et, lorsque la loi l’exige, les autorités compétentes.

13. Transferts vers l’étranger

Les données envoyées à des services tels que Google (Drive et, s’il est activé, Gemini), WhatsApp et le fournisseur de messagerie électronique, ainsi que les données hébergées par les services d’hébergement et de sauvegarde de l’Application lorsque ceux-ci sont situés hors d’Algérie, peuvent être traitées sur des serveurs situés hors d’Algérie. Ces transferts sont limités à ce qui est nécessaire à la fonctionnalité concernée et sont soumis aux conditions prévues par les dispositions de la Loi n° 18-07 relatives au transfert vers un pays étranger (y compris l’autorisation de l’autorité nationale et l’exigence d’un niveau de protection suffisant dans le pays destinataire).

14. Vos droits

En application de la Loi n° 18-07, vous disposez du droit d’information sur l’identité de la personne qui traite vos données et sur les finalités de ce traitement, du droit d’accès à vos données, du droit d’en demander la mise à jour et la rectification lorsqu’elles sont inexactes ou incomplètes, du droit d’opposition au traitement pour des motifs légitimes et du droit de demander l’effacement ou le verrouillage (limitation) des données dont le traitement est inutile ou illicite. Les enregistrements constituant une piste d’audit ainsi que les données dont la conservation est requise par la loi ou par les nécessités de l’activité peuvent ne pas être supprimés tant que cette exigence subsiste.

Comment exercer vos droits ? Vous pouvez modifier vous-même, depuis votre profil, vos nom et prénom, votre téléphone, votre mot de passe, la couleur de vos notes, votre langue et vos préférences de notification. Pour tout changement de nom d’utilisateur, d’adresse électronique ou de rôle, ainsi que pour les demandes d’accès, d’effacement et d’opposition, adressez-vous à un administrateur ou écrivez à etap@dekinnexus.com ; l’Application ne propose aucune fonction permettant de supprimer son propre compte ou d’exporter ses données. Nous pouvons être amenés à vérifier votre identité avant de traiter votre demande. Vous conservez le droit de saisir l’autorité nationale algérienne chargée de la protection des données à caractère personnel (ANPDP). Les personnes de contact des fournisseurs, sous-traitants ou organismes dont les informations sont enregistrées dans l’Application peuvent également écrire à la même adresse.

15. Enfants

L’Application est un outil de travail destiné aux employés et aux partenaires commerciaux ; elle ne s’adresse pas aux mineurs et aucun compte n’est sciemment créé pour ceux-ci.

16. Modifications de la politique

Nous pouvons mettre à jour la présente politique en fonction de l’évolution de l’Application ou de la réglementation. Le texte en vigueur est publié sur cette page avec sa date d’entrée en vigueur ; les modifications importantes sont annoncées dans l’Application.

17. Contact

SARL DEK IN SAN — DEKINNexus Etap. Pour toute question ou demande relative à la confidentialité : etap@dekinnexus.com

Conditions d'utilisation Se connecter