Bledrive — bledrive.com et application mobile (RGPD de l’UE, UK GDPR, LPRPDE, Loi 25 du Québec)
PROJET — à faire relire par un avocat qualifié avant toute utilisation
Version [X.X] — Dernière mise à jour : [DATE]
1. Responsable du traitement de vos données
1.1 Le responsable du traitement des données personnelles traitées via la Plateforme est Bledrive LLC, société à responsabilité limitée (limited liability company) de l’État de [ÉTAT], [ADRESSE], États-Unis (« Bledrive », « nous »). Contact pour toute question relative à la protection des données : [E-MAIL DPO].
1.2 Représentant dans l’UE (Bledrive étant établie hors de l’Union européenne) : [NOM, ADRESSE, E-MAIL]. Représentant au Royaume-Uni : [NOM, ADRESSE, E-MAIL]. Personne responsable de la protection des renseignements personnels (Québec) : [NOM/FONCTION, E-MAIL]. [AVOCAT : confirmer la nécessité de désigner un DPO.]
1.3 L’agence de location indépendante désignée dans votre réservation (le « Partenaire »), établie en Algérie, est un responsable du traitement distinct pour les données qu’elle traite afin d’exécuter le contrat de location.
2. Données collectées
| Catégorie | Exemples | Source |
|---|---|---|
| Identité | Nom, date et lieu de naissance, nationalité | Vous |
| Pièces d’identité | Copie du passeport / de la carte d’identité, copie du permis de conduire, permis de conduire international | Vous (téléversement) ou le Partenaire lors de la remise |
| Coordonnées | E-mail, téléphone, numéro WhatsApp, adresse postale, adresse en Algérie | Vous |
| Réservation | Dates, lieux, numéro de vol, véhicule, options, conducteurs, états des lieux et photos, dossiers de dommages/amendes | Vous, le Partenaire |
| Paiement | Métadonnées de paiement fournies par Stripe (type de carte, 4 derniers chiffres, pays, identifiant de transaction, statut) ; reçus de paiement à la livraison. Nous ne conservons pas les numéros de carte complets. | Stripe, le Partenaire |
| Communications | E-mails, messages WhatsApp, messages de chat, réclamations, notes d’appel | Vous, le Partenaire |
| Compte et appareil | Identifiants de connexion, adresse IP, données de l’appareil et du navigateur, version de l’application, langue, journaux | Automatiquement |
| Marketing et cookies | Identifiants de cookies, événements de pixels (Meta, TikTok, Google), source de campagne, préférences | Automatiquement, avec votre consentement lorsque requis |
2.1 Nous ne collectons pas intentionnellement de données sensibles (catégories particulières). Merci de ne pas inclure d’informations de santé ou d’autres informations sensibles dans vos messages, sauf si nécessaire (par exemple une demande d’accessibilité) ; dans ce cas, nous ne les traitons qu’avec votre consentement explicite.
3. Finalités et bases légales
Les bases légales ci-dessous se réfèrent au RGPD de l’UE et au UK GDPR. Pour les résidents canadiens, nous nous fondons sur votre consentement (exprès ou implicite, selon le cas) et sur les finalités indiquées, qu’une personne raisonnable estimerait appropriées.
| Finalité | Base légale (RGPD / UK GDPR) |
|---|---|
| Créer votre compte, enregistrer et gérer les réservations, transmettre la réservation au Partenaire, envoyer les confirmations et mises à jour | Exécution d’un contrat (art. 6(1)(b)) |
| Vérifier l’identité, l’âge et le permis du conducteur ; prévenir la fraude | Contrat ; intérêts légitimes à prévenir la fraude et à protéger les véhicules des Partenaires (art. 6(1)(f)) |
| Traiter les paiements, remboursements, dépôts de garantie et rétrofacturations | Contrat ; obligation légale |
| Comptabilité, fiscalité, réponses aux autorités | Obligation légale (art. 6(1)(c)) |
| Service client et réclamations, y compris le traitement des messages assisté par IA (section 9) | Contrat ; intérêts légitimes à assurer un support efficace |
| Mises à jour de réservation par WhatsApp | Contrat / votre choix de canal ; [consentement lorsque requis] |
| Gestion des dommages, amendes et litiges | Contrat ; intérêts légitimes à constater, exercer et défendre des droits en justice |
| E-mails/messages WhatsApp marketing | Consentement, ou exception « client existant » (soft opt-in) lorsqu’elle est autorisée ; vous pouvez vous désinscrire à tout moment |
| Cookies/pixels publicitaires et de mesure d’audience (Meta, TikTok, Google) | Consentement (art. 6(1)(a)) recueilli via le bandeau cookies |
| Sécurité de la Plateforme, débogage, amélioration du service | Intérêts légitimes |
4. Partage de vos données
4.1 Partenaires en Algérie. Nous communiquons au Partenaire en charge de votre réservation les données nécessaires à la mise à disposition du véhicule : noms, coordonnées, numéro de vol, adresse de livraison, informations sur les conducteurs et, le cas échéant, copies de votre permis et de votre passeport. Les Partenaires sont contractuellement tenus de les utiliser uniquement pour votre location et de les protéger.
4.2 Prestataires (sous-traitants) agissant sur nos instructions :
| Prestataire | Rôle | Localisation / mécanisme de transfert [À VÉRIFIER] |
|---|---|---|
| Supabase | Base de données, authentification, stockage de fichiers (copies de documents) | Région UE [RÉGION] ; des sous-traitants ultérieurs peuvent être situés hors UE |
| [HÉBERGEUR] | Hébergement du site / de l’application | UE [PAYS] |
| Stripe | Paiements par carte, prévention de la fraude (Stripe agit comme responsable de traitement indépendant pour certains traitements) | UE/États-Unis — Data Privacy Framework UE-États-Unis / CCT |
| WhatsApp (Meta) | Messages de réservation, support client | États-Unis/monde — DPF / CCT |
| [PRESTATAIRE E-MAIL] | E-mails transactionnels et marketing | [LOCALISATION] |
| [FOURNISSEUR(S) D’IA] | Agents IA assistant le traitement des messages clients (section 9) | [LOCALISATION] — [mécanisme] |
| Meta (Facebook/Instagram), TikTok, Google | Publicité, mesure et analyse d’audience via cookies/pixels (avec consentement). Ces prestataires peuvent agir comme responsables conjoints ou indépendants pour certains traitements. | États-Unis/monde — DPF / CCT |
| [OUTIL D’ANALYSE / CRM] | Analyse d’audience, CRM | [LOCALISATION] |
4.3 Nous pouvons également communiquer des données aux assureurs, experts en sinistres, avocats, auditeurs, à la police et à d’autres autorités lorsque la loi l’exige ou pour constater, exercer ou défendre des droits en justice, ainsi qu’à un acquéreur en cas de cession d’activité.
4.4 Nous ne vendons pas vos données personnelles.
5. Transferts internationaux
5.1 Vos données sont hébergées dans l’UE. Elles sont transférées hors de votre pays notamment : (a) vers l’Algérie, au Partenaire qui exécute votre location ; (b) vers les États-Unis, où Bledrive LLC est établie et où certains prestataires opèrent ; et (c) vers d’autres pays où nos prestataires ou leurs sous-traitants ultérieurs opèrent.
5.2 L’Algérie ne fait pas l’objet d’une décision d’adéquation de la Commission européenne ni du Royaume-Uni. Les transferts vers les Partenaires sont encadrés par les clauses contractuelles types de l’UE [et l’addendum britannique relatif aux transferts internationaux de données (IDTA)], complétées par des mesures contractuelles et organisationnelles (minimisation des données, liens de téléversement sécurisés, accès limité au personnel en charge de la location, suppression après la location). Certains transferts sont également nécessaires à l’exécution du contrat de location que vous avez demandé. [AVOCAT : confirmer le mécanisme de transfert et la nécessité d’une analyse d’impact des transferts.]
5.3 Les transferts vers les États-Unis reposent sur le Data Privacy Framework UE-États-Unis (et son extension britannique) lorsque le destinataire est certifié, ou sur les clauses contractuelles types.
5.4 Résidents du Canada et du Québec : vos renseignements peuvent être conservés et traités hors du Canada et du Québec et être accessibles aux tribunaux et autorités de ces pays. Avant de communiquer des renseignements personnels hors du Québec, nous évaluons s’ils bénéficieront d’une protection adéquate, comme l’exige la loi québécoise. [AVOCAT : évaluation des facteurs relatifs à la vie privée à documenter.]
5.5 Vous pouvez demander une copie des garanties applicables à [E-MAIL DPO].
6. Durées de conservation
| Données | Durée de conservation [À CONFIRMER] |
|---|---|
| Données de compte | Jusqu’à la suppression du compte, ou [3] ans d’inactivité |
| Données de réservation et de contrat | [5] ans après la fin de la location (délais de prescription) |
| Copies de passeport/permis | [30–90] jours après la fin de la location, sauf si nécessaires pour un litige ou une amende en cours ; la conservation par les Partenaires est soumise au droit algérien |
| Pièces comptables et de paiement | [7–10] ans, conformément aux obligations fiscales |
| Messages du service client (y compris WhatsApp et messages traités par IA) | [24] mois |
| Données marketing | Jusqu’au retrait de votre consentement, ou [3] ans après le dernier contact |
| Cookies | [13] mois maximum ; choix de consentement conservés [6–13] mois |
7. Vos droits
7.1 Selon votre lieu de résidence, vous disposez du droit : d’accéder à vos données ; de les rectifier ; de les effacer ; de limiter leur traitement ou de vous y opposer (y compris, à tout moment, à la prospection commerciale) ; à la portabilité ; de retirer votre consentement à tout moment, sans remettre en cause les traitements antérieurs ; et de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative de façon similaire. Les résidents du Québec ont également le droit d’être informés des renseignements utilisés pour une décision automatisée et d’en demander la rectification, ainsi que le droit à la désindexation le cas échéant.
7.2 Pour exercer vos droits, écrivez à [E-MAIL DPO]. Nous pouvons vous demander un justificatif d’identité. Nous répondons dans un délai d’un mois (UE/Royaume-Uni) ou de 30 jours (Canada), prolongeable lorsque la loi le permet.
7.3 Vous pouvez introduire une réclamation auprès d’une autorité de contrôle : en France la CNIL ; au Royaume-Uni l’Information Commissioner’s Office (ICO) ; au Canada le Commissariat à la protection de la vie privée du Canada ; au Québec la Commission d’accès à l’information ; ou l’autorité de votre pays de résidence dans l’UE.
8. Cookies, pixels et consentement
8.1 Nous utilisons : (a) des cookies strictement nécessaires (connexion, sécurité, réservation, enregistrement du consentement) — sans consentement requis ; (b) des cookies de mesure d’audience (par exemple Google Analytics) ; et (c) des cookies et pixels publicitaires (Meta Pixel / Conversions API, TikTok Pixel / Events API, balises Google Ads) pour mesurer nos campagnes et afficher des publicités pertinentes.
8.2 Les cookies et pixels de mesure d’audience et publicitaires ne sont activés qu’après votre consentement via notre bandeau cookies, qui propose « Tout accepter », « Tout refuser » et « Personnaliser » de manière équivalente. Les événements envoyés côté serveur aux plateformes publicitaires sont soumis au même consentement. Vous pouvez modifier votre choix à tout moment via « Paramètres des cookies » en pied de page du site ou dans les réglages de l’application.
8.3 La liste complète des cookies, de leurs fournisseurs et de leurs durées est disponible dans notre tableau des cookies [LIEN]. [AVOCAT : confirmer la configuration du mode de consentement et la formulation relative au suivi dans l’application (iOS ATT).]
9. Agents IA traitant les messages des clients
9.1 Nous utilisons des outils fondés sur l’intelligence artificielle (« agents IA ») fournis par [FOURNISSEUR(S) D’IA] pour aider à répondre à vos messages reçus par e-mail, WhatsApp ou chat et à les orienter, rédiger des réponses, résumer les conversations et extraire les informations de réservation (par exemple dates, numéros de vol). Les données traitées peuvent inclure le contenu de vos messages et les informations de votre réservation.
9.2 Les agents IA ne prennent aucune décision produisant des effets juridiques ou vous affectant de manière significative de façon similaire (comme refuser une réservation ou facturer des dommages) sans examen humain. Vous pouvez demander à tout moment à parler à un conseiller humain.
9.3 Nos fournisseurs d’IA agissent en qualité de sous-traitants dans le cadre d’accords de traitement des données et [n’utilisent pas vos données pour entraîner leurs modèles]. Nous configurons les agents IA pour qu’ils ne demandent pas de données sensibles. [AVOCAT : vérifier les obligations de transparence du règlement européen sur l’IA (AI Act) applicables aux chatbots et l’information requise au Québec sur les décisions automatisées.]
9.4 Lorsque vous échangez avec un agent IA, vous êtes informé(e) que vous communiquez avec un système automatisé.
10. Sécurité
10.1 Nous mettons en œuvre le chiffrement des données en transit et au repos, des contrôles d’accès selon le principe du moindre privilège, des liens sécurisés à durée limitée pour le partage de documents avec les Partenaires, la journalisation et des revues régulières. En cas de violation de données susceptible d’engendrer un risque pour vous, nous en informerons les autorités compétentes et vous-même conformément à la loi.
11. Mineurs
11.1 La Plateforme n’est pas destinée aux personnes de moins de 18 ans. Nous ne collectons pas sciemment de données concernant des enfants, à l’exception des noms/âges des enfants passagers lorsque cela est nécessaire pour un siège enfant, fournis par l’adulte qui réserve.
12. Modifications et contact
12.1 Nous pouvons mettre à jour la présente politique ; toute modification importante vous sera notifiée par e-mail ou dans l’application. Contact : [E-MAIL DPO] — Bledrive LLC, [ADRESSE].