La liste des passagers

Un départ ouvert donne accès à sa liste de passagers. Une ligne par personne, avec son nom, son téléphone, sa pièce d'identité, son état d'embarquement et la méthode par laquelle cet embarquement a été enregistré. En haut, un compte qui ne demande aucun calcul : tant d'embarqués sur tant de vendus.

Un passager peut se trouver dans quatre états, et ils ne veulent pas dire la même chose :

• Non embarqué, il n'est pas encore passé à la barrière.

• Embarqué, il est à bord et l'enregistrement le prouve.

• Refusé, votre agent a refusé de le laisser monter. C'est une décision, et elle est enregistrée comme telle.

• N'a pas voyagé, il n'est jamais venu. Vous êtes payé pour lui quand même.

La méthode compte autant que l'état. Un embarquement enregistré par scan du QR ou par code d'embarquement est une preuve : le billet du passager a été présenté et lu. Un embarquement attesté par le personnel est la parole de votre agent, saisie à la main parce que le téléphone n'a pas voulu lire. Le portail écrit à côté que c'est une preuve faible, sans détour, parce que le jour où un passager conteste, cette distinction est toute la discussion.

Sur un car de soixante personnes, on ne fait pas défiler la liste. Vous cherchez par nom, par téléphone ou par référence de réservation, et vous filtrez sur les non embarqués quand la barrière est presque fermée et qu'il reste à savoir qui manque.

Vous pouvez tout voir de l'embarquement depuis le portail. Vous ne pouvez pas le lancer. Ce geste appartient à l'application du personnel, sur le téléphone qui va scanner, et le portail explique pourquoi plutôt que de simplement griser un bouton.

Lancer l'embarquement télécharge la liste des passagers sur l'appareil. C'est ce téléchargement qui permet de scanner quand le réseau tombe, et il tombe. Lancer l'embarquement depuis un navigateur, à l'autre bout du pays, laisserait le téléphone de la porte sans sa liste : l'agent scannerait dans le vide.

La clôture obéit à la même logique, avec une porte de sortie. Elle se fait normalement à la barrière, par l'agent, et c'est ce geste qui marque le car comme parti et libère votre argent. Si personne ne l'a fait, un responsable peut clôturer depuis le portail, mais seulement après 30 minutes, parce qu'un responsable assis dans un bureau ne sait pas si le dernier passager court encore sur le quai.

Avant de clôturer, le portail vérifie qu'aucun scan ne dort encore sur un téléphone. S'il en reste, il vous dit d'attendre que l'appareil se reconnecte : clôturer à cet instant sortirait ces passagers de la liste alors qu'ils sont à bord.

Et si personne ne clôture du tout, le portail le fait au bout d'une heure, puis marque le départ comme clôturé automatiquement et prévient que la liste peut être incomplète. Il ne prétend pas que la journée s'est bien passée.

Le passager voyage sous un nom, et vous devez parfois vérifier que la personne devant vous est bien celle-là. La pièce d'identité s'ouvre depuis la liste, recto et verso, en grand.

Deux règles encadrent ce geste, et elles sont écrites sur l'écran avant que vous ne cliquiez :

• L'ouverture est enregistrée dans le journal d'activité, avec votre nom. Pas le fait qu'une pièce existe : le fait que vous, à cette heure-là, l'avez regardée.

• Le lien cesse de fonctionner après 15 minutes. L'image n'est pas une adresse que l'on garde, que l'on colle dans un message ou que l'on retrouve dans un historique de navigation.

Ce n'est pas de la méfiance envers votre personnel. Une pièce d'identité est le document le plus sensible qu'une compagnie de transport manipule, et la seule protection sérieuse est que chaque consultation ait un nom et une heure. Un système où personne ne sait qui a regardé quoi n'est pas plus respectueux, il est seulement plus silencieux.