Relier un SIRH à une API de réservation VTC ne consiste pas à ouvrir une partie du dossier salarié au transporteur. Le besoin est plus étroit : créer une course, permettre la prise en charge, imputer la dépense et traiter un incident. Le cahier des charges doit donc partir de ces opérations, puis justifier chaque donnée transmise. Cette logique complète utilement le cadrage d’une intégration d’API de réservation : la réussite ne se mesure pas au nombre de champs synchronisés, mais à la capacité de rendre le service avec un flux maîtrisé.
Transformer l’objectif de minimisation en exigences vérifiables
« Transmettre le moins possible » n’est pas une exigence testable. Le dossier de consultation peut demander un dictionnaire de données versionné : nom du champ, format, origine, finalité, destinataire, caractère obligatoire ou facultatif, durée de conservation et condition de suppression. Pour chaque champ, l’acheteur doit pouvoir répondre à une question simple : quelle étape échoue si cette donnée n’est pas envoyée ? Si aucune étape nécessaire ne peut être nommée, le champ reste hors interface.
La fiche de la CNIL consacrée à la sécurité des API recommande de limiter le partage aux données strictement nécessaires, d’identifier les rôles, de tenir la documentation à jour et de disposer de journaux pertinents. Le principe juridique se trouve aussi à l’article 5 du règlement général sur la protection des données : les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités. Ces textes fixent un principe ; ils ne fournissent pas une liste universelle de champs pour une réservation VTC.
Construire la matrice champ par champ
Une réservation peut nécessiter une heure, un lieu de départ, une destination, un nombre de passagers, une référence de commande et un canal de contact opérationnel. Cela ne rend pas automatiquement nécessaires le matricule RH, l’intitulé du poste, le service détaillé, la rémunération, l’historique des absences ou l’agenda complet. Même le nom et le numéro de téléphone doivent être discutés selon le scénario : course nominative, accueil d’un visiteur, navette récurrente ou transport organisé par un assistant.
| Donnée candidate | Question d’acceptation | Réduction à tester | Responsable de la décision |
|---|---|---|---|
| Identité du voyageur | Le chauffeur doit-il reconnaître une personne ou seulement un numéro de course ? | Référence pseudonyme, initiales ou identité complète selon le cas documenté | Métier mobilité, avec avis du DPO |
| Téléphone | Un contact direct est-il indispensable pendant la fenêtre de prise en charge ? | Numéro relais, masqué ou temporaire | Responsable de service et sécurité |
| Lieu de prise en charge | L’adresse précise est-elle nécessaire à l’exécution ? | Point de rendez-vous professionnel ou repère convenu | Prescripteur mobilité |
| Imputation | La finance a-t-elle besoin d’un centre de coûts, d’un projet ou des deux ? | Code comptable sans libellé révélant une information personnelle | Contrôle de gestion |
| Besoin d’assistance | Quelle information fonctionnelle permet de réserver le service adapté ? | Code de service utile, sans diagnostic ni commentaire médical libre | Métier, DPO et référent inclusion |
Le tableau doit couvrir le trajet aller, les retours d’état de la course et le reporting. Une donnée absente de la requête peut réapparaître dans les journaux, les exports ou les messages d’erreur. Le travail rejoint donc une démarche plus large : collecter moins de données de mobilité tout en conservant la capacité de décider.
Qualifier les rôles avant de rédiger les clauses
L’entreprise acheteuse ne doit pas présumer que tout prestataire est automatiquement « sous-traitant » pour tous les traitements. La qualification dépend de qui détermine les finalités et les moyens. Pour les opérations réalisées pour le compte de l’entreprise et sur ses instructions, l’article 28 du RGPD prévoit un encadrement contractuel. Pour d’autres traitements imposés ou décidés par le prestataire, la qualification peut différer et doit être analysée. Le cahier des charges demande donc une cartographie des rôles par traitement, et non une étiquette unique pour toute la relation.
La CNIL détaille les précautions relatives à la sous-traitance : objet, durée, finalité, obligations de sécurité, gestion des incidents, restitution ou destruction en fin de contrat et moyens de vérifier les garanties. Ces éléments doivent être rapprochés du flux technique exact. Une clause générale ne compense pas un connecteur qui envoie davantage de données que prévu.
Donner une unité, un responsable, une fréquence et une limite à chaque indicateur
| Indicateur | Unité et calcul | Responsable | Fréquence proposée | Seuil interne | Limite |
|---|---|---|---|---|---|
| Champs personnels transmis | Nombre de champs par type de requête | Propriétaire produit API | Avant chaque mise en production et à chaque évolution du schéma | Zéro champ hors dictionnaire approuvé | Ne mesure pas la sensibilité ni le contenu des champs libres |
| Charges utiles non conformes | Pourcentage d’appels contenant au moins un champ ou format interdit | Équipe d’intégration | À chaque recette de version, puis sur un échantillon mensuel défini et après incident | 0 % au test d’acceptation ; toute occurrence en production ouvre un incident | Dépend de la qualité de l’échantillonnage et des règles de détection |
| Comptes avec accès aux données | Nombre de comptes actifs par rôle | Responsable des habilitations | Chaque trimestre et à chaque arrivée, mobilité ou départ signalé | Aucun compte sans rôle et approbation en cours | Le nombre seul ne prouve pas que les accès sont légitimes |
| Suppression exécutée | Délai en jours entre l’échéance prévue et la preuve de suppression | Prestataire, contrôlé par le responsable de contrat | À chaque échéance de suppression, avec consolidation trimestrielle | Délai maximal fixé au contrat selon la finalité | Une attestation ne prouve pas à elle seule l’effacement de chaque sauvegarde |
| Valeurs personnelles dans les journaux | Nombre d’occurrences détectées dans l’échantillon de logs | Sécurité des systèmes d’information | Sur un échantillon mensuel défini et après chaque changement de journalisation | Zéro valeur non prévue par la politique de journalisation | Un échantillon négatif ne garantit pas l’absence sur toute la période |
Les seuils « zéro » ci-dessus portent sur la conformité au référentiel interne, pas sur une promesse d’absence absolue de risque. La durée de conservation, la périodicité de revue et la taille de l’échantillon doivent être définies par l’organisation selon ses finalités et ses risques ; elles ne sont pas déduites d’un standard VTC.
Tester le connecteur comme un contrat exécutable
La recette doit partir d’un jeu synthétique, jamais d’une vraie fiche salarié copiée pour gagner du temps. Pour chaque scénario, l’équipe enregistre la requête, la réponse, les journaux applicatifs et l’export de reporting. Elle compare ces quatre sorties au dictionnaire approuvé. Un test négatif vérifie qu’un champ RH superflu ajouté au message est rejeté ou ignoré. Un autre contrôle confirme qu’un utilisateur métier ne peut pas appeler une fonction d’administration. Enfin, une demande de suppression est exécutée de bout en bout sur le jeu de test, avec une preuve horodatée.
La décision de mise en production appartient au responsable désigné par l’organisation, sur avis du métier, de la sécurité et du DPO lorsque son intervention est requise. Le critère d’arrêt est explicite : champ non approuvé, droit excessif, journal contenant une valeur interdite ou mécanisme de suppression non démontré. Une réserve ouverte ne devient pas conforme parce que la réservation fonctionne.
Prévoir les changements et les incidents
Chaque évolution de version doit fournir un différentiel du schéma de données. L’ajout d’un champ, d’une finalité, d’un destinataire ou d’une durée de conservation déclenche une nouvelle revue avant activation. En cas d’écart, le runbook précise qui coupe le flux, qui conserve les preuves techniques, qui qualifie l’événement et qui informe les parties concernées. Le délai réglementaire éventuellement applicable à une violation de données ne se confond pas avec le délai contractuel de notification par le prestataire : ce dernier doit être conçu pour permettre à l’entreprise de remplir ses propres obligations.
Le même niveau d’exigence vaut lorsque les données concernent des invités ou des dirigeants. Le dossier sur la protection de l’identité, de l’itinéraire et des coordonnées des visiteurs internationaux fournit un cas où la discrétion opérationnelle doit être prévue dès la réservation.
Le livrable attendu avant toute ouverture de flux
Le cahier des charges peut exiger six pièces : matrice des finalités et des champs, cartographie des rôles, schéma des flux et destinataires, règles d’habilitation, politique de conservation et protocole de recette. À ces pièces s’ajoutent un propriétaire nommé pour chaque contrôle et un registre des décisions de changement. L’objectif n’est pas de produire une documentation volumineuse : il est de rendre visible ce qui entre, ce qui sort, qui peut y accéder et à quel moment le flux doit être arrêté.