Politique de Confidentialité

1 — Responsable de traitement

AL DEV TECH — contact@fastct.fr. Pour toute question relative à vos données personnelles, vous pouvez nous contacter à l'adresse : contact@fastct.fr (objet : RGPD). Nous vous répondrons dans un délai maximum d'1 mois à compter de la réception de votre demande (délai prorogeable à 3 mois en cas de demande complexe, avec notification dans le mois).

Vous pouvez également adresser une réclamation à la CNIL : cnil.fr

2 — Données collectées et personnes concernées

Utilisateurs (prise de RDV) : Nom, prénom, adresse email, numéro de téléphone, immatriculation du véhicule, créneau souhaité, adresse IP.

Utilisateurs (réservation de convoyage) : Nom, prénom, adresse email, numéro de téléphone, adresse de prise en charge, immatriculation et caractéristiques du véhicule, date et créneau souhaités, jetons de suivi, historique des étapes de la course, photographies du véhicule prises à l'enlèvement et à la livraison par le professionnel, montant et statut du paiement des frais de réservation, identifiant client Stripe. Aucune donnée de carte bancaire n'est reçue ni conservée par FAST CT : elle est saisie et détenue par Stripe.

Dépanneurs partenaires (professionnels) : Raison sociale, forme juridique, SIREN, SIRET, numéro de licence de transport lorsqu'il est déclaré, adresse d'établissement, rayon d'intervention, barème déclaré, nom, prénom, email et téléphone du contact, adresse IP tronquée et date d'acceptation des CGU, pièces justificatives téléversées (extrait Kbis, attestation d'assurance et, le cas échéant, autres pièces) et leurs dates d'expiration, résultats horodatés des vérifications effectuées dans les registres publics, historique des Missions, compteurs de réputation, et données de position transmises pendant l'exécution d'une Mission.

Centres CT partenaires : Raison sociale, SIRET, adresse, coordonnées GPS, horaires, tarifs, agrément préfectoral, statistiques d'utilisation.

Gérants de Centres CT : Nom, prénom, email professionnel, numéro de téléphone, adresse IP, historique de connexion, identifiant Stripe, date et IP d'acceptation des CGU.

Collaborateurs : Nom, prénom, email professionnel, adresse IP, historique de connexion, date et IP d'acceptation des CGU.

Commerciaux : Nom, prénom, email professionnel, adresse IP, historique de connexion, date et IP d'acceptation des CGU.

Administrateurs : Nom, prénom, email professionnel, logs d'accès au back-office.

3 — Bases légales

• Exécution du contrat (Art. 6(1)(b)) — traitement des demandes de rendez-vous, gestion des abonnements, authentification des comptes gérants, collaborateurs, commerciaux
• Obligation légale (Art. 6(1)(c)) — facturation, comptabilité (conservation 10 ans), et obligations déclaratives des opérateurs de plateforme prévues à l'article 1649 ter A du code général des impôts (dispositif « DAC7 ») pour les professionnels référencés
• Intérêt légitime (Art. 6(1)(f)) — sécurité de la plateforme, journalisation des connexions, prévention des fraudes, statistiques agrégées, et vérification dans les registres publics officiels de la régularité des professionnels référencés, dans l'intérêt de la protection des utilisateurs. Vous pouvez vous opposer à ces traitements (voir section 8).
• Consentement (Art. 6(1)(a)) — cookies analytiques (si activés)

4 — Durées de conservation

• Demandes de rendez-vous et réservations de convoyage (nom, email, téléphone, immatriculation, adresse) : 24 mois à compter de la dernière interaction, puis anonymisation automatique. Durée alignée sur la prescription civile applicable aux litiges contractuels (Art. 2224 Code civil) et permettant de répondre à une réclamation client tardive ou à une procédure préfectorale liée au contrôle technique.
• Données de position transmises pendant une Mission de convoyage : conservées le temps de la Mission et de son suivi, puis supprimées avec la Mission au terme de 24 mois.
• Données des Dépanneurs partenaires, pièces justificatives et traces de vérification : durée de la relation contractuelle + 5 ans, à fin de preuve de la diligence exercée et de prescription commerciale.
• Informations déclarées au titre du dispositif DAC7 : durée prévue par la réglementation fiscale.
• Données des Centres CT (gérants, abonnement) : durée de la relation contractuelle + 3 ans
• Données collaborateurs et commerciaux : durée de la mission + 1 an après révocation
• Données de facturation : 10 ans (obligation légale comptable)
• Logs d'accès (adresse IP) : 12 mois
• Cookies : 13 mois maximum (conformité CNIL), renouvellement du consentement requis à l'échéance

5 — Sous-traitants et transferts hors UE

AL DEV TECH fait appel aux prestataires suivants, sélectionnés pour leur conformité RGPD :

• OVH SAS — Hébergement des serveurs et bases de données. Localisation : France / Union européenne. Certification ISO 27001. Aucun transfert hors UE. DPA conclu conformément à l'Art. 28 RGPD.
• Stripe Payments Europe Ltd — Traitement des paiements : abonnements des gérants de centres, et enregistrement de la carte puis prélèvement des frais de réservation de 4 € dus par les Utilisateurs au titre d'une réservation de convoyage. Localisation : Irlande / Union européenne (entité européenne du groupe Stripe). Données transmises : nom, adresse email et téléphone de l'Utilisateur ou du gérant, identifiant client, référence de la course, montant. FAST CT ne reçoit ni ne stocke aucune donnée de carte bancaire : celles-ci sont saisies et conservées par Stripe dans son environnement certifié PCI-DSS. DPA conclu conformément à l'Art. 28 RGPD.
• Sendinblue (Brevo) — Envoi des emails transactionnels (confirmations de RDV, activations de compte, relances, notifications). Localisation : France / Union européenne. Données transmises : prénom, adresse email, contenu du message. DPA conclu conformément à l'Art. 28 RGPD.
• Sendinblue (Brevo) — service SMS — Envoi de SMS, à ce jour limité aux prises de contact commerciales adressées aux professionnels. Aucun SMS n'est adressé aux Utilisateurs particuliers. Localisation : France / Union européenne. Données transmises : numéro de téléphone, contenu du message. DPA conclu conformément à l'Art. 28 RGPD.
• Anthropic Ireland Ltd — Analyse automatisée des tickets de support (classification du sujet, détection d'abus, orientation vers l'équipe). Localisation : Irlande / Union européenne (entité européenne d'Anthropic depuis 2024). Données transmises : contenu du ticket (sujet, message), identifiant centre ou commercial si connecté. Aucune donnée bancaire ni mot de passe transmis. DPA conclu conformément à l'Art. 28 RGPD.
• Sentry GmbH (Functional Software Inc.) — Capture des erreurs applicatives techniques (stacktraces, contexte de la requête en erreur) pour le diagnostic et la résolution de bugs. Localisation : Allemagne / Union européenne (instance UE). Aucune donnée personnelle d'utilisateur n'est transmise (paramètre send_default_pii=false). DPA conclu conformément à l'Art. 28 RGPD.
• API Adresse (data.gouv.fr) — Géocodage des adresses lors de l'inscription des Centres CT et des Dépanneurs, et de l'adresse de prise en charge d'une course. Opérateur public français (DINUM). Aucune donnée d'identification personnelle transmise au-delà de l'adresse postale.
• API Recherche d'entreprises (data.gouv.fr / DINUM) — Vérification de l'immatriculation et de l'état d'activité des professionnels référencés, à partir de leur numéro SIREN. Opérateur public français. Données transmises : numéro SIREN.

Destinataires distincts des sous-traitants. Certaines données sont communiquées à des tiers qui les traitent pour leur propre compte :

• Centres CT et Dépanneurs partenaires — les coordonnées de l'Utilisateur et les informations relatives à son véhicule sont transmises au professionnel qu'il a sélectionné, pour les seuls besoins de l'exécution de la prestation. Ces professionnels sont responsables de traitement autonomes pour ces données. Toute réutilisation à des fins de prospection leur est contractuellement interdite.
• Direction générale des finances publiques — les informations d'identification et le volume d'activité des professionnels référencés lui sont déclarés au titre du dispositif « DAC7 » (article 1649 ter A du code général des impôts). Aucune donnée d'Utilisateur particulier n'est concernée.

L'ensemble des sous-traitants listés ci-dessus traite les données au sein de l'Union européenne. FAST CT ne procède à aucun transfert de données personnelles hors de l'Union européenne. Chacun de ces sous-traitants demeure tenu, au titre de son propre DPA, d'encadrer les recours éventuels à ses sous-traitants ultérieurs par les clauses contractuelles types de la Commission européenne.

La liste des sous-traitants est mise à jour à chaque évolution. Les utilisateurs peuvent consulter la version courante de cette politique à tout moment ; toute modification substantielle des destinataires fait l'objet d'une notification.

6 — Sécurité technique

• Chiffrement des mots de passe : bcrypt (coût 12+)
• Transport : HTTPS / TLS 1.3 minimum
• Tokens JWT stockés en cookies httpOnly (protection XSS)
• Chiffrement AES-256-GCM des données bancaires (RIB/IBAN)
• Rate limiting sur tous les endpoints sensibles (connexion, export, droits)
• Accès aux données par rôle strict (principe du moindre privilège)
• Journalisation des actions administratives (audit log)
• Accès au suivi d'une course sans compte : jeton aléatoire de 256 bits, non devinable, transmis par email au seul Utilisateur concerné et régénéré à chaque changement de professionnel. Ce lien vaut identification : il ne doit pas être communiqué à un tiers
• Contrôle des pièces justificatives téléversées par les professionnels (extension, type MIME et signature binaire), empreinte SHA-256 conservée
• Procédure de notification CNIL sous 72h en cas de violation (Art. 33 RGPD)

7 — Analytics et données comportementales

FAST CT peut collecter et analyser des données comportementales agrégées et anonymisées (parcours de navigation, taux de conversion) uniquement après consentement explicite aux cookies analytiques. Ces données ne permettent pas l'identification d'un utilisateur individuel. Aucune donnée n'est transmise à un tiers à des fins publicitaires.

8 — Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès (Art. 15) — obtenir une copie de vos données personnelles
• Droit de rectification (Art. 16) — corriger des données inexactes ou incomplètes
• Droit à l'effacement (Art. 17) — demander la suppression de vos données (sauf obligation légale de conservation)
• Droit à la limitation (Art. 18) — limiter temporairement le traitement de vos données
• Droit à la portabilité (Art. 20) — recevoir vos données dans un format structuré et lisible par machine
• Droit d'opposition (Art. 21) — vous opposer aux traitements fondés sur l'intérêt légitime (Art. 6(1)(f)) : journalisation des connexions, statistiques agrégées. Ce droit ne s'applique pas aux traitements nécessaires à l'exécution du contrat.
• Retrait du consentement — retirer à tout moment votre consentement aux cookies analytiques, sans affecter la licéité des traitements antérieurs

Pour exercer ces droits : contact@fastct.fr (objet : RGPD + nature de la demande). Délai de réponse : 1 mois maximum, prorogeable à 3 mois avec notification. Réclamation possible auprès de la CNIL : cnil.fr

9 — Intelligence artificielle et transparence (AI Act)

Conformément à l'article 50 du Règlement (UE) 2024/1689 (AI Act, applicable au 2 août 2026), FAST CT informe les utilisateurs de l'utilisation de systèmes d'intelligence artificielle dans les cas suivants :

• Analyse automatisée des tickets de support : Les messages transmis via le formulaire de support font l'objet d'une classification automatique (détection du sujet, niveau d'urgence, orientation vers l'équipe compétente) via la technologie Anthropic (Claude). Cette analyse est assistée, non décisionnelle : un membre de l'équipe FAST CT traite chaque ticket et peut surcharger toute classification automatique.

Assistant vocal téléphonique — service arrêté. FAST CT a exploité, pour le compte de Centres CT partenaires, un agent conversationnel vocal répondant aux appels téléphoniques. Ce service a été arrêté et n'est plus proposé. Les données issues de cette période — numéro de l'appelant, transcription et résumé de l'appel — font l'objet d'un effacement ; toute personne ayant appelé un centre pendant cette période peut en demander la suppression immédiate à contact@fastct.fr. Aucun enregistrement audio n'est conservé par FAST CT.

Aucun traitement automatisé ne produit de décision individuelle ayant un effet juridique ou significatif sur les utilisateurs (Art. 22 RGPD). Aucun système d'IA utilisé par FAST CT n'est classé « haut risque » au sens de l'AI Act.

10 — Cookies

Les cookies utilisés par FAST CT sont les suivants :

• access_token — Cookie d'authentification (JWT). Nécessaire au fonctionnement. Durée : 24h. HttpOnly, SameSite=Strict en production.
• refresh_token — Token de renouvellement de session. Nécessaire au fonctionnement. Durée : 30 jours. HttpOnly.
• user_type — Type de compte connecté. Nécessaire au fonctionnement. Durée : 30 jours.
• cookies_accepted — Enregistrement de vos préférences de consentement. Durée : 13 mois. Renouvelé à l'expiration.
• Cookies analytiques (optionnels) — Collecte de données de navigation anonymisées et agrégées (parcours, taux de conversion) uniquement si vous avez donné votre accord explicite. Ces données ne permettent pas votre identification individuelle et ne sont transmises à aucun tiers à des fins publicitaires. En l'absence de consentement (bouton « Refuser »), aucune donnée analytique n'est collectée.

Aucun cookie publicitaire ou de tracking tiers n'est déposé sans votre consentement explicite.

Vous pouvez modifier vos préférences à tout moment via le lien « Gestion des cookies » en pied de page, conformément à la loi n° 78-17 du 6 janvier 1978 (article 82) et aux recommandations de la CNIL.