Politique de confidentialité

1. Qui est responsable de quoi

Pour les comptes utilisateurs (dirigeants, gestionnaires, chauffeurs invités), l'éditeur de Flotille est responsable du traitement.

Pour les données de la flotte et des salariés du client (positions des véhicules, heures, chauffeurs), le client est responsable du traitement ; l'éditeur agit pour son compte, comme sous-traitant au sens de l'article 28 du RGPD, et uniquement pour fournir le service. Les engagements correspondants sont détaillés dans l'accord de sous-traitance des données. Il appartient au client d'informer au préalable ses salariés (et son CSE le cas échéant) de la géolocalisation des véhicules, selon les recommandations de la CNIL.

2. Données traitées

• Comptes : nom, adresse e-mail, mot de passe (jamais stocké en clair).
• Connexion avec Google (si vous la choisissez) : Google transmet votre nom, votre adresse e-mail, votre photo de profil et l'identifiant de votre compte Google. Ils servent seulement à vous connecter au compte Flotille portant la même adresse ; Flotille n'a accès ni à vos e-mails, ni à vos contacts, ni à vos fichiers Google, et ne transmet rien à Google en retour.
• Entreprise : raison sociale, SIREN, n° de TVA, adresse, échéances de ses documents (si renseignées).
• Véhicules : données transmises par le boîtier installé (positions GPS, vitesse, contact, compteur, niveau de carburant, tension, codes défaut) et caractéristiques saisies (immatriculation, coûts).
• États des lieux des véhicules : 4 à 6 photos du véhicule prises par le dirigeant ou l'exploitant (carrosserie, poste de conduite, chargement), avec la date, le nom de la personne qui les a prises, et le kilométrage, le carburant et le lieu lus par le boîtier. Les informations cachées du téléphone (dont sa position) sont retirées des photos. Une personne peut apparaître sur une photo : elles servent à savoir si un dégât était déjà là, jamais à surveiller quelqu'un. La plaque lue sur les photos peut être proposée pour compléter la fiche du véhicule.
• Chauffeurs : nom, téléphone, e-mail, dates d'échéance du permis et de la visite médicale. Aucune donnée de santé n'est enregistrée : seulement une date. Si le client choisit de les renseigner : contrat de travail (type, dates, durée), date de la déclaration d'embauche, fin de validité du titre de séjour, date de naissance, adresse, personne à prévenir, et les pièces qu'il joint au dossier (contrat, accusé de réception de la déclaration d'embauche, permis, pièce d'identité). Ni numéro de sécurité sociale ni coordonnées bancaires ne sont demandés.
• Application iPhone, position du téléphone (pour chaque personne qui utilise l'application de l'entreprise, chauffeur, exploitant ou dirigeant, si l'entreprise l'a mise en place et après l'en avoir informée) : quand un véhicule de l'entreprise vient de partir, le serveur demande une seule position (heure, coordonnées, précision, vitesse) aux téléphones des personnes prévues ce jour-là ; à défaut, le téléphone en prend quelques-unes au départ d'un déplacement. Une position qui ne correspond pas, au même moment, au trajet du véhicule est supprimée dès qu'elle est jugée : chez soi, dans sa voiture, rien n'est gardé. Le téléphone ne sert qu'à savoir qui conduit quel véhicule, jamais à mesurer le temps de travail ni les livraisons. Les positions qui correspondent sont effacées à 2 mois (un mois de plus dans les sauvegardes). Les appareils d'une version plus ancienne de l'application peuvent encore envoyer, si la personne l'a autorisé (« Mouvements et forme »), les moments en voiture et à pied, sans position, gardés seulement quand un véhicule de l'entreprise roulait, effacés à 2 mois. Rien d'autre n'est lu sur le téléphone : ni contacts, ni messages, ni applications, ni photos (sauf celles que la personne envoie elle-même).
• Pièces : tickets de carburant, avis de contravention, contrats et règlements saisis ou déposés par le client.
• Technique : adresse IP et journal des actions, pour la sécurité du compte.
• Demandes d'invitation et démonstration : les coordonnées laissées sur la page « Demander une invitation » servent uniquement à vous rappeler au sujet de Flotille. La démonstration ne demande aucune donnée personnelle ; l'espace fictif est effacé au bout de 24 heures, et seule une empreinte de l'adresse IP est gardée le temps de limiter les ouvertures.

3. Pourquoi

• Fournir le service : trajets, tournées, heures, carburant, coûts, facturation, alertes.
• Évaluer la conduite (freinages, accélérations, virages, ramenés aux 100 km ; jamais les excès de vitesse) pour aider le client à former ses chauffeurs : jamais pour les sanctionner sur cette seule base.
• Reconnaître qui conduit quel véhicule de l'entreprise, en comparant la position du téléphone du chauffeur au trajet du véhicule : jamais pour suivre une personne en dehors d'un véhicule de l'entreprise.
• Gérer les comptes et la connexion.
• Envoyer les notifications que le client a activées.
• Assurer la sécurité et le support.

Base légale : l'exécution du contrat avec le client, l'intérêt légitime (sécurité) et les obligations légales (pièces comptables).

4. Combien de temps

• Positions détaillées des véhicules : selon la durée choisie par le client dans Réglages → Données.
• Positions du téléphone d'un chauffeur : 2 mois au plus, pour vérifier qui conduisait et répondre en cas de contestation, puis suppression (un mois de plus dans les sauvegardes) ; seul reste « tel chauffeur a conduit tel trajet ».
• Comptes et données du client : pendant l'abonnement, puis 90 jours après sa fin (le temps d'une récupération), avant suppression.
• Pièces comptables : selon les obligations légales du client.
• Photos des états des lieux : 3 ans, puis suppression ; un état des lieux commencé et jamais enregistré, 2 jours.
• Questions posées à l'assistant (et ses réponses) : 90 jours, pour en améliorer les réponses, puis suppression. Un message vocal est transcrit puis effacé aussitôt ; seul son texte est gardé, comme une question écrite.
• Demandes d'invitation : 12 mois, puis suppression.
• Sauvegardes : 30 jours, chiffrées hors de notre serveur (60 jours au plus pour une pièce retirée).

5. Qui y a accès

Les données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires. Seuls interviennent :

• Cloudflare, Inc. (États-Unis) : acheminement sécurisé du site et, lorsqu'elle est en service, vérification anti-robot (Turnstile) quand vous ouvrez la démonstration ou demandez une invitation ; garanties contractuelles de la Commission européenne.
• Google LLC (États-Unis) : seulement si vous choisissez « Continuer avec Google » pour vous connecter ; garanties contractuelles de la Commission européenne.
• Resend, Inc. (États-Unis) : envoi des e-mails du service (invitations, mot de passe oublié, notifications choisies) ; garanties contractuelles de la Commission européenne.
• OVH SAS (France) : stockage des sauvegardes, chiffrées avant envoi.
• 1NCE GmbH (Allemagne) : carte SIM des boîtiers, par laquelle transitent leurs données.
• OpenFreeMap : fonds de carte affichés dans l'application (le navigateur télécharge les images de la zone affichée ; aucune position de véhicule ne leur est transmise).
• IGN (Institut national de l'information géographique et forestière, Géoplateforme data.geopf.fr) : photos aériennes de la vue satellite des cartes, affichée par défaut, le plan restant au choix (le navigateur télécharge les images de la zone affichée ; aucune position de véhicule ne lui est transmise).
• MET Norway (Institut météorologique norvégien, api.met.no) : dit le temps qu'il fait autour de votre dépôt (pluie, neige, brouillard, vent), pour le décor de la page Aujourd'hui. Seule la position du dépôt lui est envoyée, arrondie à une dizaine de kilomètres ; aucune position de véhicule ne lui est transmise. Données météo : MET Norway, licence CC BY 4.0.
• Base Adresse Nationale et API Découpage administratif (État français, api-adresse.data.gouv.fr, geo.api.gouv.fr) : transforment les positions des arrêts des véhicules (arrondies à une dizaine de mètres) en adresse et en commune lisibles, et retrouvent l'adresse ou la ville que vous donnez comme destination à l'assistant.
• Annuaire des entreprises (État français, recherche-entreprises.api.gouv.fr) : vérification du SIREN saisi à l'inscription, et recherche d'un donneur d'ordre (messagerie, livraison de colis…) autour d'un lieu où vos véhicules s'arrêtent souvent en journée, pour proposer votre dépôt. Seules les coordonnées du lieu sont envoyées, jamais celles d'un lieu où un véhicule passe la nuit.
• Services de notification des navigateurs (Apple, Google, Mozilla, Microsoft) : acheminent les notifications de l'appli vers les appareils où le client les a activées ; le contenu est chiffré de bout en bout.
• Apple Inc. (États-Unis) : dans l'application iPhone, acheminement des notifications de l'iPhone vers les téléphones où elles ont été autorisées ; garanties contractuelles de la Commission européenne. Le scanner de documents de l'application fonctionne sur le téléphone : rien n'est envoyé à Apple.
• Telegram : messagerie interne de l'éditeur. Les coordonnées saisies dans une demande d'invitation lui sont transmises par ce canal. Les clients ne reçoivent rien par Telegram.

Pour trouver les stations-service proches, une zone autour de la position du véhicule est interrogée dans le flux public des prix des carburants (data.economie.gouv.fr, prix-carburants.gouv.fr), et les enseignes des stations sont lues dans OpenStreetMap (overpass-api.de), sans nom, ni plaque, ni aucune donnée d'identification. Sur l'accueil, le prix du gazole s'affiche près de chez vous à partir de la ville déduite de votre adresse IP par Cloudflare, jamais conservée. La lecture automatique des tickets et des avis se fait sur le serveur de l'éditeur : aucune pièce n'est envoyée à un service d'intelligence artificielle extérieur.

Assistant (si le client l'active, dans Réglages → Notifications) : les questions, écrites ou vocales, sont comprises par un modèle d'intelligence artificielle qui tourne sur le serveur de l'éditeur. Ni les questions, ni les données de la flotte ne sont envoyées à un service d'intelligence artificielle extérieur. L'assistant ne voit que les données de l'entreprise de la personne qui lui parle, et n'enregistre rien sans son appui sur un bouton de confirmation. Un message vocal est transcrit sur le même serveur, puis effacé.

6. Sécurité

• Connexion chiffrée (HTTPS) et mots de passe protégés par hachage.
• Cloisonnement strict entre entreprises : chacune ne voit que ses données.
• Sauvegarde quotidienne, chiffrée, conservée hors du serveur.
• Journal des actions sensibles.

7. Mesure d'audience du site

Sur le site public, Flotille compte les pages vues, l'origine des visites (moteur de recherche, réseau, accès direct) et le type d'appareil, en totaux par jour. Aucun cookie n'est déposé pour cela, et rien ne permet de reconnaître un visiteur : ni adresse IP, ni identifiant ne sont gardés.

8. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de portabilité, d'opposition et de limitation. Écrivez à contact@flotille.fr : réponse sous 30 jours. Un salarié géolocalisé peut aussi s'adresser à son employeur, responsable de ces données. Vous pouvez saisir la CNIL (cnil.fr).

Dans l'application iPhone, la position se coupe à tout moment dans les réglages du téléphone, et votre compte se supprime depuis l'application elle-même (menu de votre compte, « Supprimer mon compte »). Le compte d'un chauffeur ou d'un membre de l'équipe est supprimé aussitôt ; celui du propriétaire ferme l'entreprise, dont les données sont effacées 30 jours plus tard (le temps de les exporter ou d'annuler).