Politique de Confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est Soondle S.L. (ci-après « Soondle » ou « nous »), société espagnole immatriculée sous le NIF [NIF en attente] et dont le siège social se situe à [Siège social en attente].

Vous pouvez nous contacter à l'adresse soporte@soondle.com. Pour toute question spécifique à la protection des données, écrivez à notre Délégué à la Protection des Données : dpo@soondle.com.

2. Données personnelles collectées

VTP Inspector est un outil B2B destiné aux techniciens de garage et au personnel de contrôle technique automobile. Les catégories de données que nous traitons sont les suivantes :

• Adresse électronique : utilisée pour authentifier votre session via un code à usage unique (OTP). Nous n'envoyons pas de communications commerciales sans votre consentement explicite.
• Données du véhicule inspecté : immatriculation, numéro d'identification (VIN), catégorie d'homologation UE (M1, N2, O3, etc.), coordonnées GPS au point de contrôle et données propres à chaque pneumatique (code DOT, dimension, date de fabrication, conformité et dommages détectés).
• Photographies capturées : images du marquage DOT sur le flanc du pneumatique et images des dommages visuels. Ces images font partie du passeport signé du véhicule et sont conservées comme preuve du travail effectué.
• Données de session et d'appareil : jetons d'accès (stockés dans le Trousseau iOS), identifiant d'appareil, versions iOS et cliente, adresse IP et signaux techniques que Supabase Auth enregistre pour des raisons de sécurité et anti-fraude.
• Données du portefeuille de crédits : solde disponible, historique d'achats et débits par décodage. Les données de carte bancaire ne sont pas traitées par Soondle ; elles sont gérées par Stripe (voir section 5).
• Signalements de lectures incorrectes : lorsque vous marquez un pneumatique comme « non lisible » à destination de l'équipe, nous traitons la photographie, la description libre que vous fournissez et les métadonnées OCR associées.
• Journaux techniques et d'audit : chaque inspection signée produit un enregistrement cryptographique (Ed25519) contenant un horodatage, l'identifiant de l'opérateur et un condensé canonique du contenu. Ces enregistrements sont immuables par conception.

VTP Inspector ne collecte pas vos contacts, calendriers, données de santé, contenu d'autres applications ni identifiants publicitaires. Nous ne procédons à aucun profilage à des fins publicitaires tierces.

3. Base juridique du traitement

Nous traitons vos données sur les bases juridiques suivantes du Règlement (UE) 2016/679 (RGPD) :

• Exécution d'un contrat (art. 6.1.b RGPD) : la quasi-totalité des traitements (authentification, enregistrement des inspections, signature cryptographique, gestion du portefeuille de crédits) est nécessaire pour vous fournir le service souscrit par votre garage ou votre employeur.
• Intérêt légitime (art. 6.1.f RGPD) : sécurité de la plateforme, prévention de la fraude, journaux techniques d'audit et amélioration du service. Vous pouvez vous opposer à ce traitement via les canaux indiqués à la section 8.
• Obligation légale (art. 6.1.c RGPD) : conservation de documents pertinents pour la comptabilité, la fiscalité et la traçabilité du contrôle technique automobile en vertu de la réglementation applicable.
• Consentement (art. 6.1.a RGPD) : si nous activons à l'avenir des communications commerciales ou des fonctionnalités additionnelles qui l'exigent, nous vous le demanderons expressément et vous pourrez le retirer à tout moment.

4. Finalités du traitement

• Vous authentifier et maintenir votre session active de manière sécurisée.
• Enregistrer chaque inspection, la signer cryptographiquement et générer le passeport numérique du véhicule.
• Permettre le partage du passeport signé avec les tiers que vous autorisez, au moyen de liens à durée limitée.
• Facturer les crédits consommés par chaque décodage en direct et mettre à jour votre solde après un achat sur Stripe.
• Gérer les signalements de lectures incorrectes et le flux de revue par l'équipe d'administration.
• Vous notifier par courriel ou dans l'application les événements pertinents (par exemple, lorsque l'équipe résout l'un de vos signalements).
• Prévenir les accès non autorisés, modérer les contenus téléversés (photographies) et respecter nos obligations légales.

5. Sous-traitants et tiers ayant accès aux données

Pour fournir le service, nous faisons appel à des prestataires agissant en qualité de sous-traitants dans le cadre de contrats conformes au RGPD :

• Supabase (Supabase Inc., États-Unis avec infrastructure dans l'Union européenne) : stockage des comptes, base de données multi-tenant, authentification par OTP et canaux temps réel. Lorsqu'une sous-traitance transfère des données hors UE, nous appliquons les Clauses Contractuelles Types (CCT).
• Cloudflare (Cloudflare Inc.) : réseau de distribution, worker en périphérie exposant l'API publique et pare-feu applicatif. Le trafic est routé en priorité vers des nœuds européens.
• Eines Vision (prestataire de vision par ordinateur) : décodage OCR du marquage DOT. Reçoit l'image du pneumatique depuis notre worker via mTLS et renvoie le résultat structuré ; il ne reçoit aucune donnée relative au compte ni au véhicule.
• Stripe (Stripe Payments Europe, Ltd.) : traitement des paiements et facturation des recharges de crédits. Les données de carte sont traitées directement par Stripe conformément à sa propre politique de confidentialité.
• Apple (Apple Distribution International Ltd.) : distribution de l'application via l'App Store et TestFlight. Apple applique sa propre politique de confidentialité à l'installation et aux rapports d'erreur.

Nous ne vendons vos données personnelles à aucun tiers, en aucune circonstance. Nous ne partageons d'informations avec les administrations publiques que lorsqu'une exigence légale contraignante l'impose.

6. Transferts internationaux

Les serveurs principaux sont situés dans l'Union européenne. Lorsqu'un sous-traitant (typiquement Supabase ou Stripe) doit traiter des données en dehors de l'Espace économique européen, le transfert est encadré par les Clauses Contractuelles Types approuvées par la Commission européenne (Décision 2021/914) et, le cas échéant, par des mesures complémentaires techniques et organisationnelles.

7. Durées de conservation

• Données du compte : pendant toute la durée de votre relation contractuelle avec Soondle ou avec votre garage.
• Passeports signés et images d'inspection : pendant toute la période légalement exigible pour les contrôles techniques automobiles (généralement entre 5 et 10 ans selon la juridiction). Passée cette période, les données sont anonymisées ou supprimées.
• Registres comptables et de facturation : six ans, conformément à l'article 30 du Code de commerce espagnol et à la législation fiscale applicable.
• Jetons de session et journaux techniques : jusqu'à quatre-vingt-dix (90) jours à compter de leur génération, sauf obligation légale contraire.
• Comptes supprimés à votre demande : nous ne conservons que les données strictement nécessaires au respect de nos obligations légales ou à la défense d'éventuelles réclamations, dûment isolées.

8. Vos droits

Vous pouvez à tout moment exercer les droits suivants reconnus par le RGPD :

• Accès à vos données personnelles (art. 15).
• Rectification des données inexactes (art. 16).
• Effacement ou « droit à l'oubli » (art. 17), sous réserve des exceptions prévues par le règlement.
• Limitation du traitement (art. 18).
• Portabilité des données que vous nous avez fournies (art. 20).
• Opposition au traitement fondé sur l'intérêt légitime (art. 21).
• Ne pas faire l'objet d'une décision automatisée produisant des effets juridiques significatifs (art. 22). VTP Inspector ne prend pas de telles décisions.

Pour exercer l'un de ces droits, écrivez à dpo@soondle.com en indiquant le droit que vous souhaitez exercer et en joignant une copie de votre pièce d'identité. Nous répondrons dans un délai maximal d'un mois.

Si vous estimez que le traitement n'est pas conforme à la réglementation, vous pouvez introduire une réclamation auprès de l'Agence Espagnole de Protection des Données (AEPD) à l'adresse www.aepd.es, ou auprès de l'autorité de contrôle compétente dans votre pays (en France, la CNIL).

9. Sécurité

Nous appliquons des mesures techniques et organisationnelles raisonnables pour protéger vos données :

• Chiffrement en transit avec TLS 1.2 ou supérieur sur tous les canaux.
• Stockage des jetons de session dans le Trousseau iOS, protégé par le Secure Enclave de l'appareil.
• Isolation multi-tenant au niveau de la base de données via Row-Level Security (Supabase), de sorte que chaque garage n'accède qu'à ses propres inspections.
• Signature cryptographique Ed25519 de chaque passeport, avec vérification publique via un service de clés (JWKS), pour détecter toute altération.
• Filtrage anti-fraude et modération des images téléversées sur la plateforme.
• Journalisation d'audit immuable des actions sensibles.

10. Cookies et technologies similaires

L'application iOS n'utilise pas de cookies web. Lorsque vous accédez à la section « Acheter des crédits » de votre profil, l'application ouvre une vue Safari intégrée (SFSafariViewController) sur app.vtp.soondle.com/wallet. Cette vue peut déposer des cookies strictement nécessaires à la gestion de session et au flux de paiement Stripe. Nous n'utilisons pas de cookies à des fins publicitaires ni d'analyse tierce.

11. Mineurs

VTP Inspector est un outil professionnel B2B. Il n'est pas destiné aux personnes de moins de dix-huit (18) ans, et nous ne collectons pas sciemment de données de mineurs. Si nous constatons que des données concernant un mineur ont été fournies, nous procéderons à leur suppression.

12. Modifications de la politique

Nous pouvons mettre à jour cette politique pour refléter des évolutions légales, techniques ou opérationnelles. La version en vigueur sera toujours publiée à cette même URL avec la date de dernière mise à jour indiquée. Lorsqu'une modification affecte substantiellement le traitement de vos données, nous vous en informerons par courriel ou par un avis dans l'application au moins trente (30) jours avant l'entrée en vigueur.

13. Contact

Pour toute question concernant cette politique ou le traitement de vos données personnelles :

• Adresse électronique générale : soporte@soondle.com
• Délégué à la Protection des Données : dpo@soondle.com
• Adresse postale : Soondle S.L., [Siège social en attente]