Politique de confidentialité

Dernière mise à jour : 2026-05-24 — Version 2.0

1. Introduction

La présente politique a pour objet d'informer les utilisateurs du service Spot2Ride (« le Service ») sur les traitements de données personnelles mis en œuvre par Car Culture (« l'Éditeur » ou « nous »), conformément au règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« loi Informatique et Libertés »).

Nous nous engageons à un traitement loyal, transparent, limité aux finalités déclarées et proportionné aux objectifs poursuivis.

2. Responsable du traitement

Le responsable de traitement est Car Culture, dont les coordonnées figurent dans les Mentions légales.

• Courriel dédié aux données personnelles : privacy@spot2ride.eu
• Délégué à la protection des données (DPO) : aucun DPO n'est désigné. Les traitements mis en œuvre par Spot2Ride ne relèvent d'aucune des hypothèses de désignation obligatoire prévues à l'article 37 du RGPD (autorité publique, suivi régulier et systématique à grande échelle de personnes concernées, traitement à grande échelle de catégories particulières de données ou de données relatives à des condamnations pénales). Un référent interne assure le suivi des questions relatives à la protection des données et peut être contacté à l'adresse ci-dessus.

3. Données collectées, finalités, bases légales et durées de conservation

3.1 Données de compte (utilisateurs inscrits)

• Données : adresse électronique, nom d'affichage, mot de passe haché (bcrypt), avatar (optionnel), identifiant Google OAuth (le cas échéant), date d'inscription, date de dernière connexion.
• Finalité : création et gestion du compte, authentification, communications transactionnelles.
• Base légale : exécution du contrat (art. 6.1.b RGPD).
• Durée : jusqu'à suppression du compte par l'utilisateur, anonymisation immédiate puis purge à J+30.

3.2 Contributions (terrains, photos, favoris)

• Données : descriptions de terrains, photographies, géolocalisation des terrains soumis, favoris, signalements.
• Finalité : constitution et fonctionnement de l'annuaire collaboratif.
• Base légale : exécution du contrat (art. 6.1.b RGPD) ; intérêt légitime (art. 6.1.f) pour la conservation post-suppression de compte avec anonymisation.
• Durée : contributions validées et publiées : conservation tant que le terrain est référencé ; en cas de suppression du compte, anonymisation du lien avec le contributeur tout en maintenant le contenu factuel publié — soumissions non validées : suppression sous 24 heures par un processus automatisé.

3.3 Géolocalisation de l'utilisateur

• Données : coordonnées GPS de l'utilisateur, en précision approximative ou précise selon le consentement.
• Finalité : calcul de distance, tri par proximité, centrage de la carte interactive.
• Base légale : consentement (art. 6.1.a RGPD), recueilli via les dialogues système Android/iOS.
• Durée : aucune donnée de géolocalisation utilisateur n'est conservée sur nos serveurs. Le traitement est réalisé localement sur l'appareil.

Précision : la géolocalisation, considérée isolément, n'est pas une donnée sensible au sens de l'article 9 RGPD. Elle est traitée sur la base du consentement spécifique requis par l'article 82 de la loi Informatique et Libertés.

3.4 Données techniques et journaux d'audit

• Données : adresse IP, user-agent, identifiant de session, horodatage des requêtes (notamment lors d'opérations sensibles : connexion, inscription, soumission).
• Finalité : sécurité du Service, prévention et détection des comportements malveillants, journalisation d'audit, application des limites de débit (rate limiting), diagnostic technique.
• Base légale : intérêt légitime (art. 6.1.f RGPD) : sécurité du système d'information et continuité du service.
• Durée : journaux d'audit : 6 mois — tentatives de connexion échouées : 1 an.

3.5 Notifications push (application mobile)

• Données : token Firebase Cloud Messaging (FCM), plateforme, version de l'application.
• Finalité : envoi de notifications fonctionnelles (validation de soumission, événements liés aux favoris).
• Base légale : consentement (art. 6.1.a RGPD), recueilli via les dialogues système Android 13+ / iOS.
• Durée : jusqu'à désactivation des notifications dans les paramètres de l'appareil ou suppression du compte.

3.6 Mesure d'audience

• Plausible Analytics : mesure cookieless, aucune donnée individuelle, IP non stockée. Exemption de consentement (recommandation CNIL sur les outils de mesure d'audience strictement anonymes).
• Google Analytics 4 + Google Tag Manager : cf. politique cookies. Consentement (art. 6.1.a RGPD) recueilli via le bandeau cookies.

3.7 Diagnostic d'erreur

• Données : traces d'exécution (stack trace) pseudonymisées, système d'exploitation, modèle d'appareil, version de l'application.
• Finalité : détection et correction des erreurs applicatives.
• Sous-traitant : Sentry (région UE).
• Mesures : pas de courriel transmis, masquage du contenu textuel de l'interface, conservation limitée.
• Base légale : intérêt légitime (art. 6.1.f RGPD).
• Durée : 90 jours.

3.8 Publicité (à compter de la mise en ligne sur les magasins d'applications)

• Données : identifiant publicitaire de l'appareil (Android Advertising ID ou Apple IDFA), événements d'impression et de clic publicitaires.
• Finalité : affichage de publicités au sein de l'application mobile (modèle économique gratuit).
• Base légale : consentement (art. 6.1.a RGPD) recueilli via le dispositif User Messaging Platform (UMP) de Google AdMob au premier lancement.
• Sous-traitant : Google Ireland Ltd. (AdMob).
• Note : l'identifiant publicitaire est réinitialisable depuis les paramètres système de l'appareil. Le refus du consentement publicitaire ne restreint pas l'accès aux fonctionnalités du Service.
• Durée : session publicitaire ; pas de conservation directe par Spot2Ride.

3.9 Absence de décision automatisée et de profilage à effet juridique

Spot2Ride ne met en œuvre aucune décision entièrement automatisée produisant des effets juridiques ou affectant significativement les utilisateurs au sens de l'article 22 du RGPD. La publicité diffusée via AdMob peut inclure un ciblage publicitaire contextuel ou comportemental selon le consentement de l'utilisateur, sans incidence juridique sur ce dernier.

3.10 Communications commerciales

Aucune prospection commerciale n'est mise en œuvre à ce jour. En cas de déploiement futur (lettre d'information), le consentement explicite préalable (double opt-in) sera recueilli et un mécanisme de désabonnement systématique sera proposé dans chaque message.

4. Destinataires et sous-traitants

Vos données sont accessibles aux personnes habilitées au sein de Car Culture (équipe technique restreinte) et aux sous-traitants suivants, sélectionnés pour leur conformité au RGPD :

• Infomaniak Network SA (Suisse) — hébergement cloud, courriels transactionnels. Décision d'adéquation Commission UE (2000/518/CE), accord de sous-traitance.
• Google Ireland Ltd. (Irlande, UE) — Firebase Cloud Messaging, Google Sign-In, AdMob. Accord de sous-traitance ; transferts éventuels USA encadrés par les Clauses Contractuelles Types (CCT) et le Data Privacy Framework (DPF) UE-USA.
• Apple Distribution International (Irlande, UE) — distribution App Store, Sign in with Apple (V2). Accord de sous-traitance ; CCT pour transferts éventuels.
• Intuition Machines Inc. (hCaptcha) (États-Unis) — protection anti-spam des formulaires. CCT, DPF.
• Plausible Insights OÜ (Estonie, UE) — mesure d'audience cookieless. Hébergement UE, accord de sous-traitance.
• Functional Software Inc. (Sentry) (États-Unis, région UE active) — journalisation des erreurs. CCT, DPF, région UE configurée, pseudonymisation.
• Meta Platforms Ireland Ltd. (Irlande, UE) — Page Plugin Facebook (intégration optionnelle au clic). CCT pour transferts éventuels.
• OpenStreetMap Foundation (Royaume-Uni) — fourniture de tuiles cartographiques. Décision d'adéquation Royaume-Uni du 28 juin 2021.

Aucun transfert n'est opéré vers un pays tiers n'offrant pas de garanties appropriées.

5. Transferts hors Union européenne

• Suisse : décision d'adéquation Commission UE (2000/518/CE).
• Royaume-Uni : décision d'adéquation Commission UE du 28 juin 2021.
• États-Unis : Clauses Contractuelles Types (décision 2021/914) + Data Privacy Framework UE-USA (décision 2023/1795) pour les sous-traitants certifiés.

6. Sécurité

L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées pour préserver la confidentialité, l'intégrité, la disponibilité et la résilience des données :

• chiffrement TLS 1.2+ pour l'ensemble des échanges réseau, HSTS preload activé ;
• stockage des mots de passe au format bcrypt (non réversible) ;
• authentification à double facteur (TOTP) obligatoire pour les comptes administrateur, optionnelle pour les utilisateurs ;
• cloisonnement strict des données par Row-Level Security (RLS) PostgreSQL ;
• chiffrement at-rest des sauvegardes (AES-256 via Restic), réplication hors-site sur infrastructure privée ;
• suppression systématique des métadonnées EXIF des photographies (anti-fuite de coordonnées GPS) ;
• limitation de débit (rate limiting) applicative et au niveau du reverse proxy ;
• en-têtes de sécurité durcis (HSTS, CSP, X-Frame-Options, Referrer-Policy, Permissions-Policy) ;
• politique de mots de passe forts, jetons d'authentification de courte durée (1 heure) en cookies httpOnly ;
• validation stricte des entrées côté serveur ;
• audits de sécurité réguliers ;
• procédures de gestion des incidents et de notification en cas de violation de données (art. 33 et 34 RGPD).

7. Droits des personnes concernées

Conformément aux articles 12 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) : obtenir confirmation que des données vous concernant sont traitées et en recevoir une copie.
• Droit de rectification (art. 16) : corriger des données inexactes ou compléter des données incomplètes.
• Droit à l'effacement (art. 17, « droit à l'oubli ») : obtenir la suppression de vos données dans les cas prévus par le RGPD.
• Droit à la limitation (art. 18) : restreindre temporairement le traitement.
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON).
• Droit d'opposition (art. 21) : vous opposer au traitement fondé sur l'intérêt légitime, sauf motif impérieux et légitime, ou à tout moment au traitement à des fins de prospection.
• Droit de retirer votre consentement (art. 7.3) : pour les traitements fondés sur le consentement (cookies non essentiels, géolocalisation, notifications push, publicité AdMob), à tout moment et sans incidence sur la licéité du traitement passé.
• Droit de définir des directives relatives au sort de vos données après votre décès (art. 85 LIL).
• Droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

7.1 Modalités d'exercice

• Courriel : privacy@spot2ride.eu
• Délai de réponse : un mois à compter de la réception de la demande, prorogeable de deux mois en cas de complexité ou de volume (art. 12.3 RGPD) ; vous êtes informé de toute prorogation et de ses motifs dans le délai initial.
• Vérification d'identité : une justification peut être demandée en cas de doute raisonnable sur l'identité du demandeur (art. 12.6 RGPD).
• Coût : exercice gratuit, sauf demande manifestement infondée ou excessive (art. 12.5 RGPD).

7.2 Outils en libre-service

• Accès et portabilité : export JSON depuis le profil utilisateur (à implémenter en V1)
• Rectification : édition directe depuis le profil
• Suppression : depuis les paramètres du compte (application et site)
• Retrait de consentement : depuis les paramètres (notifications push, cookies, AdMob)

8. Mineurs

L'âge minimum pour s'inscrire au Service est fixé à 15 ans (article 7-1 LIL). Les mineurs de moins de 15 ans ne peuvent s'inscrire qu'avec l'autorisation conjointe d'un titulaire de l'autorité parentale. L'âge est déclaratif au moment de l'inscription ; en cas de doute ou de signalement, l'Éditeur procédera aux vérifications nécessaires.

Toute personne ayant connaissance de l'inscription d'un mineur de moins de 15 ans sans autorisation parentale peut la signaler à privacy@spot2ride.eu en vue de la suspension du compte concerné.

9. Cookies et traceurs

L'usage des cookies et autres traceurs est détaillé dans la Politique cookies.

10. Modifications de la présente politique

La présente politique peut être mise à jour pour refléter l'évolution du Service, des sous-traitants, des bases légales ou de la réglementation applicable. Toute modification substantielle est notifiée par courriel aux utilisateurs inscrits au moins 30 jours avant entrée en vigueur. La version en vigueur est celle accessible à l'adresse https://www.spot2ride.eu/legal/privacy.

11. Contact

• Données personnelles : privacy@spot2ride.eu
• Autorité de contrôle : CNIL — www.cnil.fr