Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via la plateforme Automo est :

2. Données collectées

2.1 Données que vous nous fournissez

• Compte utilisateur : adresse email, nom/prénom (optionnel), photo de profil (optionnelle), nom d'utilisateur.
• Annonces : informations sur le véhicule (marque, modèle, kilométrage, prix, description), photos du véhicule, localisation approximative (ville).
• Messagerie : contenu des messages échangés entre utilisateurs via la plateforme.
• Espace Pro : dénomination sociale, adresse professionnelle, SIRET (optionnel), informations de facturation (traitées par Stripe).
• Contact : contenu de vos emails à contact@automo.fr.

2.2 Données collectées automatiquement

• Données de connexion : adresse IP (pseudonymisée), type de navigateur, système d'exploitation, pages visitées, durée de visite.
• Cookies techniques : jeton de session Supabase (HttpOnly, SameSite=Lax), préférences utilisateur.
• Mesure d'audience (exemptée de consentement) : statistiques anonymes et sans cookie via Vercel Analytics.
• Publicités (si consentement) : identifiants publicitaires via Google AdSense.

2.3 Données que nous ne collectons pas

• Numéros de carte bancaire (traitement exclusif par Stripe, certifié PCI-DSS) ;
• Mots de passe en clair (hashés par Supabase Auth) ;
• Données de géolocalisation précise (GPS) sans consentement explicite.

3. Finalités et bases légales

4. Durée de conservation

• Données de compte actif : pendant toute la durée de votre inscription, puis 3 ans après la dernière activité (CNIL recommandation).
• Données de compte supprimé : suppression sous 30 jours, sauf obligations légales contraires.
• Annonces : conservées pendant leur durée de publication (60 jours renouvelables), puis 1 an après expiration pour des raisons de litige.
• Messages : conservés 2 ans après la dernière interaction.
• Données de facturation : 10 ans conformément au code de commerce français.
• Logs de connexion : 12 mois maximum conformément à la loi française.
• Données de support : 3 ans après la clôture du ticket.

5. Destinataires des données

Vos données ne sont jamais vendues. Elles peuvent être partagées avec les sous-traitants suivants, uniquement pour les besoins du service :

Tous nos sous-traitants sont liés par des Accords de Traitement des Données (DPA) conformes au RGPD.

6. Transferts hors UE

Certains de nos sous-traitants (Stripe, Vercel, Resend, Google) traitent des données aux États-Unis. Ces transferts sont encadrés par des Clauses Contractuelles Types (CCT) approuvées par la Commission européenne, conformément à l'article 46 du RGPD, ou par le Data Privacy Framework UE–États-Unis pour les entités certifiées.

7. Vos droits RGPD

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15) : obtenir une copie de vos données traitées par Automo.
• Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes.
• Droit à l'effacement (art. 17) : demander la suppression de vos données (« droit à l'oubli »), dans les limites des obligations légales.
• Droit à la limitation (art. 18) : demander la suspension du traitement de vos données.
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition (art. 21) : vous opposer au traitement fondé sur l'intérêt légitime ou à des fins de prospection.
• Droit au retrait du consentement : retirer à tout moment un consentement donné, sans affecter la licéité du traitement antérieur.
• Droit de définir des directives post-mortem : instructions sur le sort de vos données après votre décès.

En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : cnil.fr — 3, Place de Fontenoy, 75007 Paris.

8. Cookies et traceurs

8.1 Cookies nécessaires (sans consentement)

• Session Supabase : maintien de la connexion utilisateur. HttpOnly, SameSite=Lax, durée : 8h.
• Préférences cookies : mémorisation de votre choix. Durée : 1 an.

8.2 Mesure d'audience (exemptée de consentement)

• Vercel Analytics : mesure de l'audience sans identifiant persistant et sans dépôt de cookie. Données agrégées et anonymisées — exemption de consentement au sens des lignes directrices CNIL.

8.3 Cookies publicitaires (avec consentement)

• Google AdSense : diffusion de publicités personnalisées. Peut déposer des cookies tiers. Vous pouvez gérer vos préférences via adssettings.google.com.

9. Protection des mineurs

Automo est destiné aux personnes majeures (18 ans et plus). La plateforme ne collecte pas sciemment des données de mineurs. Si vous avez connaissance qu'un mineur a créé un compte, veuillez nous en informer à support@automo.fr afin que nous puissions supprimer ces données.

10. Sécurité des données

Automo met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• Chiffrement des communications via TLS 1.2+ (HTTPS obligatoire) ;
• Mots de passe hashés avec bcrypt via Supabase Auth ;
• Cookies de session HttpOnly et SameSite pour prévenir les attaques XSS et CSRF ;
• Isolation des données par Row Level Security (RLS) sur Supabase ;
• En-têtes de sécurité HTTP (CSP, HSTS, X-Frame-Options) ;
• Journalisation des accès et monitoring des erreurs via Sentry ;
• Accès aux données de production restreint aux seuls développeurs habilités.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, Automo s'engage à notifier la CNIL dans les 72 heures et les personnes concernées dans les meilleurs délais, conformément à l'article 33 du RGPD.

11. Modifications

Automo se réserve le droit de modifier la présente politique à tout moment. En cas de modification substantielle, vous serez informé par email ou par une notification sur la plateforme. La date de dernière mise à jour est indiquée en tête de document.

12. Contact & DPO

Pour toute question relative à la protection de vos données personnelles :

Autorité de contrôle compétente : CNIL — Commission Nationale de l'Informatique et des Libertés, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Site : cnil.fr