Politique de confidentialité (RGPD)

Responsable de traitement

Pour les données des visiteurs du site, des prospects et des utilisateurs de l’espace client, le responsable de traitement est AMBAUTO (sigle AMB), SAS, 61 rue de Lyon, 75012 Paris. Pour les données issues des boîtiers (positions, trajets, comportement de conduite), le client est responsable de traitement et AMBAUTO agit en qualité de sous-traitant au sens de l’article 28 du RGPD.

Données collectées, finalités et bases légales

• Formulaires de contact, de démonstration et de candidature partenaire : identité, e-mail, téléphone, société, taille de flotte, secteur, message — répondre à votre demande (mesures précontractuelles, art. 6.1.b RGPD). Les champs marqués comme obligatoires sont nécessaires pour traiter la demande.
• Compte et facturation : identité, e-mail, téléphone, société, données de paiement — exécution du contrat (art. 6.1.b) et obligations comptables (art. 6.1.c).
• Données véhicule et télématique : position GPS, trajets, vitesse, codes défaut, kilométrage, VIN — fourniture du service pour le compte du client.
• Données d’usage : journaux de connexion, adresse IP, pages consultées — sécurité et amélioration du service (intérêt légitime, art. 6.1.f).
• Prospection : e-mail professionnel — intérêt légitime ou consentement selon le canal ; vous pouvez vous y opposer à tout moment via le lien présent dans chaque message.

Connexion avec Google

Si vous choisissez « Continuer avec Google », AMB Auto reçoit de Google uniquement votre nom, votre adresse e-mail, votre photo de profil et un identifiant de compte Google (autorisations openid, email et profile). Aucun accès n’est demandé à vos e-mails, fichiers, contacts ou agenda.

Ces informations servent exclusivement à créer votre compte, vous authentifier et personnaliser votre espace. Elles ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires, ni transmises à des tiers en dehors des sous-traitants techniques listés ci-dessous, et ne servent pas à entraîner des modèles d’intelligence artificielle.

L’utilisation des informations reçues des API Google respecte les Google API Services User Data Policy, y compris les exigences d’utilisation limitée (Limited Use). Vous pouvez retirer l’accès à tout moment depuis myaccount.google.com/permissions et demander la suppression de votre compte à rgpd@ambauto.fr.

Durées de conservation

• Demandes de contact, prospects et candidatures : 3 ans à compter du dernier contact.
• Données de compte : durée du contrat puis 3 ans à des fins commerciales.
• Historique des trajets : 6 mois en offre Pro, 36 mois en offre Premium, puis suppression ou anonymisation.
• Documents comptables : 10 ans (obligation légale).
• Journaux de connexion : 12 mois.

Destinataires et sous-traitants

Les données sont accessibles aux seules équipes habilitées d’AMBAUTO et à ses sous-traitants : Vercel Inc. (hébergement), Supabase Inc. (base de données et authentification), Resend (e-mails transactionnels), Whop et Stripe (paiement), Web3Forms (acheminement des formulaires du site), Crisp (support client), Brevo (e-mailing). Elles ne sont jamais vendues.

Transferts hors de l’Union européenne

Certains sous-traitants sont établis ou disposent de moyens techniques hors de l’Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par la décision d’adéquation « EU-US Data Privacy Framework » lorsque le prestataire y est certifié, ou à défaut par les clauses contractuelles types de la Commission européenne.

Sécurité

Chiffrement des données en transit et au repos, cloisonnement par client, gestion des accès par rôle, journalisation, sauvegardes quotidiennes, tests de sécurité annuels. En cas de violation de données, notification à la CNIL sous 72 heures et information des personnes concernées lorsque le risque est élevé.

Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci, et du droit de définir des directives relatives au sort de vos données après votre décès. Exercez-les auprès de rgpd@ambauto.fr ou par courrier au 61 rue de Lyon, 75012 Paris. Une pièce justificative peut être demandée en cas de doute raisonnable sur votre identité. Réponse sous un mois.

Aucune décision produisant des effets juridiques n’est prise sur le seul fondement d’un traitement automatisé. Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr).

• Contact protection des données : rgpd@ambauto.fr — aucun délégué à la protection des données n’est désigné à ce jour.