SISCOM — Identification permet aux utilisateurs autorisés de fournir leur identité professionnelle aux applications Console SISCOM et Annuaire SISCOM, avec un indicateur visuel de disponibilité et une fonction de réactivation de l'identification.
1. Données traitées par l’extension
Lorsque l'utilisateur accède au service professionnel Inpulse, l'extension peut observer un en-tête d'authentification contenant un jeton JWT. Elle en décode localement les champs nécessaires : prénom (first_name), nom (family_name), identifiant professionnel (user_name ou sub) et date d'expiration (exp).
L'extension enregistre aussi la date de capture pour limiter la durée de validité des informations. Le jeton complet n'est pas enregistré ni transmis aux applications par le protocole SISCOM ID V1.
2. Finalité de l’utilisation des données
- afficher l'identité professionnelle détectée dans la fenêtre de l'extension ;
- communiquer l'identité minimale à Console SISCOM et Annuaire SISCOM ;
- permettre la réactivation depuis l'extension ou une application compatible ;
- signaler la disponibilité ou l'expiration de l'identité à l'aide du cadenas et des indicateurs visuels.
3. Stockage local et durée de conservation
Les champs d'identité sont conservés temporairement dans storage.session du navigateur, pour une durée maximale de 30 minutes après leur capture, sans dépasser l'expiration du jeton d'origine (avec une marge de sécurité de cinq secondes).
À expiration, l'identité n'est plus communiquée comme valide et le cache est destiné à être supprimé. Une nouvelle connexion peut être nécessaire.
4. Services et applications concernés
| Domaine / service | Finalité |
|---|---|
https://www.inpulse.sncf.fr/services/ | Observation locale des en-têtes de requêtes d'authentification nécessaires à l'extraction de l'identité. |
http://82.67.88.11/console/ | Mise à disposition de l'identité professionnelle à Console SISCOM sur demande. |
http://82.67.88.11/annuaire/ | Mise à disposition de l'identité professionnelle à Annuaire SISCOM sur demande. |
Ces échanges sont réalisés au moyen du protocole de communication navigateur SISCOM ID V1. Les traitements et éventuels journaux propres aux applications destinataires ne sont pas décrits ici.
5. Permissions et authentification
Les permissions webRequest, storage, tabs et alarms servent à observer les requêtes nécessaires, conserver temporairement l'identité, gérer l'interface de réactivation et actualiser le cadenas.
L'extension décode le JWT sans vérifier cryptographiquement sa signature. Elle ne constitue donc pas, à elle seule, une authentification forte ni une décision d'habilitation. Les applications métier doivent appliquer leurs propres contrôles d'accès côté serveur.
6. Sécurité des communications
Les applications Console SISCOM et Annuaire SISCOM sont actuellement accessibles en HTTP et non en HTTPS. Les communications réseau correspondantes ne bénéficient donc pas d'un chiffrement de transport HTTPS. Cette limite doit être prise en compte avant toute diffusion publique ou utilisation avec des données professionnelles.
7. Données non recherchées et absence de télémétrie
Le code de l'extension ne prévoit ni publicité, ni traqueur d'audience, ni vente de données. Il n'a pas pour finalité de recueillir des données de santé, de paiement, de localisation, l'historique général de navigation, les frappes clavier ou les communications personnelles.
8. Contrôle par l’utilisateur
L'utilisateur peut désactiver ou supprimer l'extension depuis son navigateur. Cette opération ne supprime pas nécessairement les données déjà traitées par les applications Console SISCOM et Annuaire SISCOM.
9. Évolution de la politique
Cette politique sera actualisée si les fonctionnalités, permissions ou traitements de données de l'extension évoluent.
10. Contact et droits
Pour toute question concernant cette politique ou le fonctionnement de l'extension, utiliser le contact d'assistance indiqué dans la fiche Mozilla Add-ons ou Chrome Web Store. Les demandes relatives aux droits sur les données doivent être adressées au responsable du traitement professionnel concerné, qui reste à identifier formellement.