Politique de confidentialité (RGPD)

1. Rôles : responsable de traitement et sous-traitant

Pour les données de ses clients finaux, de leurs véhicules et de leurs dossiers, le garage abonné est responsable de traitement : il en détermine les finalités et informe les personnes concernées.

L'éditeur de MedaPilot agit en qualité de sous-traitant pour ces données : il les traite uniquement sur instruction du garage, pour fournir le service.

L'éditeur est en revanche responsable de traitement pour la gestion des comptes utilisateurs, la facturation de l'abonnement, le support, la sécurité et l'amélioration du service, ainsi que pour la facturation des commissions du réseau décrite ci-dessous.

2. Personnes concernées et données traitées

Utilisateurs professionnels : identité, email, téléphone, rôle, garage de rattachement, journaux de connexion et d'activité.

Clients finaux des garages : identité, coordonnées postales, téléphone, email, véhicules (immatriculation, VIN, marque, modèle, kilométrage), dossiers sinistres (assureur, expert, numéro de sinistre), documents, éléments de signature électronique et données de facturation.

Données techniques : adresses IP, horodatages, informations de navigation nécessaires à la sécurité du service.

3. Finalités et bases légales

Fourniture du service, gestion des comptes et exécution de l'abonnement : exécution du contrat (art. 6.1.b RGPD).

Facturation, comptabilité, piste d'audit fiable et conservation des pièces : obligation légale (art. 6.1.c RGPD).

Sécurité, prévention de la fraude, amélioration du service et statistiques agrégées : intérêt légitime (art. 6.1.f RGPD).

Envoi de communications commerciales par l'éditeur à des prospects professionnels : intérêt légitime ou consentement selon le canal utilisé.

4. Accès du réseau SMG aux données de facturation des clients apportés

Finalité : SMG, opérateur du réseau, apporte des clients aux garages membres. Pour calculer et facturer sa commission, une alerte est déclenchée lorsqu'une facture émise par un garage correspond à un client préalablement enregistré comme apporté par SMG.

Base légale : intérêt légitime de l'opérateur du réseau à percevoir sa rémunération (art. 6.1.f RGPD) et exécution du contrat de réseau conclu avec le garage.

Minimisation : la mise en correspondance repose sur une forme normalisée de la plaque d'immatriculation et du nom du client. Les informations rendues accessibles à SMG sont limitées à la référence, à la date et au montant de la facture, ainsi qu'au client et au véhicule concernés. Le détail des prestations, les autres clients du garage et les données des autres garages ne sont pas accessibles.

Destinataires et cloisonnement : ces alertes ne sont consultables que par l'administrateur du réseau (super administrateur). Les garages n'ont accès ni aux alertes des autres garages, ni aux clients apportés qui ne les concernent pas ; ce cloisonnement est appliqué techniquement au niveau de la base de données.

Conservation : les alertes et éléments de commission sont conservés pendant la durée de la relation contractuelle avec le garage, puis pendant le délai légal de conservation des pièces justificatives (10 ans).

Information des personnes : le garage informe son client, lors de la prise en charge, que son dossier a été apporté par le réseau et que les éléments de facturation correspondants sont transmis à l'opérateur du réseau aux seules fins de commissionnement.

5. Destinataires et sous-traitants

Les données ne sont accessibles qu'aux personnes habilitées et aux prestataires nécessaires au fonctionnement du service : hébergement et base de données, envoi d'emails transactionnels, envoi de SMS, fournisseurs de modèles d'intelligence artificielle (lecture de documents, chiffrage, assistant).

Ces prestataires agissent sur instruction, dans le cadre d'accords de sous-traitance comportant des engagements de confidentialité et de sécurité. Ils ne réutilisent pas les données à leurs propres fins.

6. Transferts hors Union européenne

Certains prestataires peuvent traiter des données en dehors de l'Union européenne. Ces transferts s'appuient alors sur les garanties prévues par le RGPD (décision d'adéquation ou clauses contractuelles types), complétées le cas échéant par des mesures techniques supplémentaires.

7. Durées de conservation

Comptes utilisateurs : durée de l'abonnement, puis suppression ou anonymisation dans un délai raisonnable.

Clients, véhicules, dossiers et documents : durée de la relation commerciale du garage, puis archivage pour la durée des obligations légales.

Factures et pièces comptables : 10 ans à compter de la clôture de l'exercice (art. L123-22 du Code de commerce).

Éléments de preuve de signature électronique : durée nécessaire à la valeur probante du document signé.

Journaux techniques et de sécurité : 12 mois au maximum, sauf incident.

8. Sécurité

Le service met en œuvre un contrôle d'accès par rôle, un cloisonnement des données par garage appliqué au niveau de la base, le chiffrement des échanges, des sauvegardes et une journalisation des actions sensibles. Les accès sont limités aux personnes habilitées selon le principe du moindre privilège.

9. Cookies et mesure d'audience

Le service utilise les cookies strictement nécessaires à son fonctionnement (session, authentification, sécurité), qui ne requièrent pas de consentement. Tout cookie de mesure d'audience ou de publicité non essentiel serait soumis au consentement préalable de l'utilisateur.

Les emails envoyés depuis la plateforme peuvent comporter un indicateur d'ouverture destiné au suivi des relances et des demandes de signature ; un lien de désinscription est proposé pour les communications non essentielles.

10. Droits des personnes

Toute personne concernée dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de ses données après son décès.

Les clients finaux exercent leurs droits auprès du garage responsable de traitement, dont les coordonnées figurent sur les documents reçus. Les utilisateurs professionnels et les demandes relatives au réseau s'adressent à l'éditeur, via l'adresse indiquée dans les mentions légales.

En cas de réponse insatisfaisante, une réclamation peut être adressée à la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr).

11. Modifications

La présente politique peut être mise à jour pour refléter l'évolution du service ou de la réglementation. La date de dernière mise à jour figure en haut de cette page.