Centre de confiance / Sécurité et méthodologie

Sécurité et méthodologie

Chaque tonne de CO2e déclarée par Ecomiles peut être retracée jusqu’à des trajets individuels vérifiés par GPS. Cette page documente comment le chiffre est produit, qui l’assure et comment nous protégeons les personnes derrière les données.

Méthodologie CO2e (GHG Protocol)

Les calculs d’émissions évitées suivent le GHG Protocol Corporate Accounting and Reporting Standard (WRI/WBCSD), appliqué au Scope 3 catégorie 6 (déplacements professionnels) et catégorie 7 (trajets domicile-travail). La référence suppose que le trajet aurait été effectué en voiture essence conventionnelle ; le facteur d’émission du mode réel est soustrait de cette référence.

# Par trajet vérifié
CO2e évité (kg) = (Facteur de référence − Facteur du mode) × Distance (km) × GWP

La distance provient du suivi GPS de l’app — mesurée, et non déclarée.
Les facteurs d’émission sont versionnés par mode et par région, à partir de sources officielles (inventaires du gouvernement brésilien, GIEC AR4 GWP-100) — la marche et le vélo comptent pour zéro émission ; transports publics, éthanol et véhicules électriques utilisent des facteurs propres au mode et au réseau électrique.
Traçabilité : chaque tCO2e déclarée se décompose en trajets individuels, avec horodatage et mode — une piste d’audit de type MRV.

Assurance indépendante (KPMG)

KPMG a émis un rapport d’assurance limitée indépendant sur des indicateurs ESG sélectionnés d’Ecomiles, concluant que rien n’a été porté à son attention laissant penser que l’information n’avait pas été correctement préparée et présentée selon les critères applicables.

Les indicateurs assurés couvrent :

Thème	Indicateur
GES — contrôle opérationnel	Émissions évitées du Scope 3 : déplacements professionnels et trajets domicile-travail (tCO2e)
Intensité GES	Intensité des émissions évitées par km, par carburant (éthanol, électrique)
Crédits carbone	Crédits carbone de mobilité vérifiés (VCU) issus de trajets personnels validés

Les procédures d’assurance comprennent la comparaison des données déclarées aux sources sous-jacentes par sondage et la réexécution des calculs des indicateurs. Les trajets des programmes d’entreprise sont en plus validés par des plages d’horaires de bureau, une origine/destination commune (le bureau) et une identité confirmée par e-mail professionnel avec authentification à deux facteurs.

Les clients reçoivent la lettre d’assurance de leur période de reporting avec le rapport d’impact trimestriel. Pour en demander une copie : contato@ecomiles.app.

Anti-fraude et validation des trajets

Vitesse vs mode

Le profil de vitesse de chaque trajet doit être cohérent avec le mode déclaré — un « trajet à vélo » à 70 km/h est rejeté.

Dédoublonnage spatio-temporel

Les trajets qui se chevauchent ou sont dupliqués pour un même utilisateur sont fusionnés ; le même kilomètre n’est jamais compté deux fois.

Revue humaine + automatisée

Les trajets passent des contrôles automatisés et peuvent être signalés pour revue ; seuls les trajets approuvés (« wasAllApproved ») entrent dans le CO2e déclaré.

Identité vérifiée

Les programmes d’entreprise exigent l’e-mail professionnel et l’authentification à deux facteurs dans l’app.

Confidentialité (LGPD / RGPD)

Les entreprises ne voient que des agrégats. Les employeurs accèdent aux totaux d’émissions et d’engagement — jamais à la localisation en temps réel ni à l’historique des itinéraires d’une personne.
Suivi passif, limité à sa finalité. Les données GPS servent à valider les trajets et calculer le CO2e ; la minimisation des données s’applique partout.
Propagation de la suppression. Lorsqu’un utilisateur supprime son compte, la suppression se propage dans les systèmes de traitement.
Site « consentement d’abord ». Sur ce site, aucune balise analytics ou marketing ne se déclenche avant un choix explicite de cookies (Google Consent Mode v2).

Documents: Privacy policy · Data Processing Agreement (DPA) · Terms of use

Sécurité de la plateforme

TLS — chiffrement en transit partout, avec HSTS activé sur les sites web.
Security headers — CSP stricte, X-Frame-Options, nosniff et politique de référent sur ce portail.
API — clés d’entreprise (x-api-key) + jetons utilisateur de courte durée avec refresh ; limitation de débit par palier ; sandbox avant les clés de production.
Mastercard MDES — provisionnement des cartes via les standards du réseau ; le PAN n’est jamais exposé aux partenaires.
Responsible disclosure — vous avez trouvé une vulnérabilité ? Consultez security.txt ou écrivez à contato@ecomiles.app.