1. Responsable du traitement

Le responsable du traitement est CORDON SERVICES (EURL au capital de 500 €), 5 rue de Gascogne, 17100 Saintes, RCS Saintes 940515125. Pour toute question liée à la protection des données : support@my-cars.fr.

2. Données collectées

• Identité et compte : prénom, nom, adresse email, mot de passe haché, identifiant de compte, méthode de connexion (email ou Google).
• Véhicules : marque, modèle, version, énergie, plaque d'immatriculation, kilométrage, date de mise en circulation, date du dernier contrôle technique, photo du véhicule (optionnelle).
• Entretien : factures (photos et données extraites), réparations effectuées et planifiées, montants, dates, libellés.
• Partage familial : adresse email des personnes invitées, statut de l'invitation, droits accordés.
• Abonnement : formule en cours (Gratuit, Premium ou Famille), état et date d'échéance de l'abonnement, identifiant technique de transaction et identifiant pseudonyme attribué par notre prestataire de gestion d'abonnements. Aucune donnée bancaire (numéro de carte, coordonnées de paiement) ne nous est transmise : le paiement est traité de bout en bout par Apple ou Google.
• Publicité (formule Gratuite uniquement) : identifiant publicitaire de l'appareil (IDFA sur iOS, identifiant publicitaire Android), état de votre consentement publicitaire, et données d'interaction avec les annonces collectées par la régie.
• Récompenses publicitaires : identifiant de la transaction publicitaire, nature de la récompense obtenue, date d'attribution et date de consommation — conservés pour créditer la récompense de manière fiable et empêcher qu'une même vidéo soit comptée plusieurs fois.
• Notifications : jeton de notification push Expo (Android, iOS), préférences de rappel.
• Données techniques : adresse IP tronquée, type d'appareil, version du système d'exploitation, version de l'application, logs de connexion et de sécurité, données de diagnostic en cas d'incident.

3. Finalités et bases légales (RGPD)

• Création et gestion du compte utilisateur : exécution du contrat (article 6.1.b RGPD).
• Stockage des véhicules, factures et historique d'entretien : exécution du contrat (article 6.1.b RGPD).
• Analyse automatique des factures par intelligence artificielle pour en extraire les libellés et montants : exécution du contrat (article 6.1.b RGPD).
• Génération de suggestions de futures réparations et d'estimations de coût : exécution du contrat (article 6.1.b RGPD).
• Envoi de rappels d'échéances (contrôle technique, entretien) par notification push : exécution du contrat (article 6.1.b RGPD).
• Gestion des abonnements payants, ouverture des fonctionnalités correspondantes et vérification de la validité de l'abonnement : exécution du contrat (article 6.1.b RGPD).
• Lecture et dépôt d'identifiants publicitaires sur votre terminal, et affichage d'annonces personnalisées : consentement (article 6.1.a RGPD et article 82 de la loi Informatique et Libertés), recueilli par un formulaire dédié au premier lancement et révocable à tout moment.
• Attribution et décompte des récompenses obtenues en regardant une vidéo, et prévention de la fraude sur ce mécanisme : exécution du contrat et intérêt légitime (articles 6.1.b et 6.1.f RGPD).
• Sécurité du service, prévention de la fraude et des abus : intérêt légitime (article 6.1.f RGPD).
• Envoi de communications non essentielles (nouveautés produit, enquêtes de satisfaction) : consentement préalable (article 6.1.a RGPD).

4. Durées de conservation

• Données de compte et véhicules : pendant toute la durée de vie du compte, puis supprimées dans un délai de 30 jours après la fermeture du compte.
• Factures et historique d'entretien : pendant toute la durée de vie du compte, exportables avant suppression sur demande.
• Données d'abonnement : pendant la durée de vie du compte, puis conservées le temps nécessaire au traitement d'un éventuel litige et au respect des obligations comptables.
• Adresse email d'une personne invitée au partage familial : conservée le temps de l'invitation seulement, soit sept jours au plus, et effacée dès que l'invitation est acceptée, annulée ou expirée. Elle n'est utilisée que pour transmettre le code d'invitation et n'alimente aucune autre finalité.
• Historique des récompenses publicitaires : 13 mois, durée qui couvre largement la période de quota (le mois calendaire) et permet de détecter les abus.
• Consentement publicitaire : conservé par le formulaire de consentement pour une durée maximale de 13 mois, au terme de laquelle votre choix vous est à nouveau demandé.
• Logs techniques et de sécurité : 12 mois maximum.
• Données nécessaires aux obligations comptables ou légales : archivées séparément pour la durée légale de conservation.

5. Destinataires et sous-traitants

Les données sont accessibles uniquement aux personnes habilitées de l'Éditeur. Pour fournir le service, nous recourons aux sous-traitants techniques suivants, qui agissent sur nos instructions et avec des garanties contractuelles conformes au RGPD :

• Supabase Inc. (États-Unis, hébergement données en région UE — Francfort) : base de données, authentification, stockage des photos de factures.
• Vercel Inc. (États-Unis) : hébergement et diffusion du site et de l'application web.
• Railway Corp. (États-Unis) : hébergement de l'API serveur.
• Anthropic PBC (États-Unis) : analyse par intelligence artificielle des photos de factures et génération de suggestions de futures réparations. Les données envoyées ne sont pas conservées par le sous-traitant et ne sont pas utilisées pour l'entraînement de modèles.
• RevenueCat Inc. (États-Unis) : gestion technique des abonnements — vérification des reçus d'achat auprès d'Apple et de Google, et détermination des droits ouverts. Reçoit un identifiant pseudonyme de compte et les identifiants de transaction, jamais vos données bancaires.
• Apple Inc. et Google LLC, en qualité de vendeurs des abonnements : traitement du paiement, facturation, renouvellement et remboursement, selon leurs propres politiques de confidentialité. Ces sociétés agissent alors en tant que responsables de traitement indépendants.
• Google Ireland Ltd / Google LLC (AdMob) : diffusion des annonces et des vidéos récompensées auprès des utilisateurs de la formule Gratuite ayant consenti, recueil du consentement publicitaire, et confirmation serveur des récompenses obtenues.
• Google LLC (États-Unis) : connexion par compte Google si l'utilisateur choisit cette méthode ; notifications push Android via Firebase Cloud Messaging ; contrôle d'intégrité de l'application via Firebase App Check.
• Apple Inc. (États-Unis) : notifications push iOS via Apple Push Notification Service.
• Expo (États-Unis) : routage des notifications push.
• Resend (États-Unis) : acheminement des emails transactionnels (confirmation d'adresse, réinitialisation de mot de passe, invitations au partage familial).
• RapidAPI / fournisseur d'API d'immatriculation : enrichissement des informations véhicule à partir de la plaque saisie (aucune donnée personnelle identifiante transmise au-delà de la plaque).

6. Transferts hors UE

Certains sous-traitants sont établis hors Union européenne (notamment États-Unis). Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne, complétées par des mesures techniques et organisationnelles (chiffrement en transit et au repos, contrôle d'accès) garantissant un niveau de protection équivalent à celui exigé dans l'UE.

Les données primaires (compte utilisateur, véhicules, factures) sont stockées dans la région UE de notre hébergeur de base de données (Francfort).

7. Vos droits (RGPD)

• Droit d'accès à vos données personnelles.
• Droit de rectification des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli »).
• Droit à la limitation du traitement.
• Droit d'opposition pour motifs légitimes.
• Droit à la portabilité de vos données dans un format structuré et lisible par machine.
• Droit de retirer votre consentement à tout moment, lorsque le traitement est fondé sur le consentement — notamment le consentement publicitaire, révocable depuis l'écran « Profil » de l'application.
• Droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

8. Exercice des droits et suppression de compte

Vous pouvez exercer vos droits, demander une copie de vos données ou supprimer votre compte directement depuis l'application (écran « Profil ») ou en écrivant à support@my-cars.fr. Une preuve d'identité peut être demandée pour sécuriser la demande. La suppression entraîne l'effacement de l'ensemble de vos données dans un délai maximum de 30 jours, sauf obligation légale de conservation.

Supprimer votre compte n'annule pas un abonnement en cours, qui est géré par Apple ou Google : pensez à le résilier depuis les réglages de votre compte sur la plateforme concernée, faute de quoi il continuerait à vous être facturé.

9. Sécurité des données

Vos données sont chiffrées en transit (HTTPS / TLS 1.2 minimum) et au repos (chiffrement disque côté hébergeur). Les mots de passe sont stockés sous forme de hachés cryptographiques irréversibles. L'accès aux données est restreint par contrôle d'accès et journalisation.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, vous serez informé conformément à l'article 34 du RGPD.

10. Authentification biométrique

L'application propose un déverrouillage par reconnaissance biométrique (Face ID, Touch ID, empreinte digitale Android). Cette fonctionnalité est strictement optionnelle. Les données biométriques ne quittent jamais votre appareil : elles sont gérées par le système d'exploitation (Apple ou Google) et MyCars ne reçoit qu'une confirmation booléenne du résultat de l'authentification.

11. Documents associés

Cette politique complète les conditions d'utilisation.

12. Notifications push

Avec votre accord explicite (demandé au premier lancement ou dans les réglages de votre appareil), MyCars envoie des notifications push pour vous rappeler les échéances d'entretien et de contrôle technique. Vous pouvez désactiver ces notifications à tout moment depuis les réglages de votre appareil ou de l'application.

13. Suggestions générées par intelligence artificielle

MyCars utilise un système d'intelligence artificielle (modèles Claude d'Anthropic) pour deux usages : (1) lire les photos de factures que vous prenez afin d'en extraire les libellés et montants, et (2) générer des suggestions de futures réparations et leurs coûts estimés à partir de votre historique, du kilométrage et des caractéristiques du véhicule.

Ces suggestions sont produites automatiquement et sont fournies uniquement à titre indicatif. Elles ne constituent ni un diagnostic mécanique, ni un conseil professionnel, et peuvent contenir des approximations. Aucune décision automatisée produisant des effets juridiques n'est prise à votre sujet (article 22 RGPD).

L'étendue de ces traitements dépend de votre formule : la formule Gratuite limite le prévisionnel au mois en cours et au suivant et n'y intègre pas votre historique de factures, là où les formules payantes le portent à douze mois et le croisent avec votre kilométrage et vos factures. Cette différence porte sur la quantité de données analysées, jamais sur leur destination : les mêmes sous-traitants, les mêmes garanties et les mêmes durées de conservation s'appliquent à toutes les formules.

Les données transmises au sous-traitant Anthropic ne sont pas conservées par celui-ci et ne sont pas utilisées pour l'entraînement de leurs modèles.

14. Publicité et consentement

La formule Gratuite affiche des annonces fournies par Google AdMob, ainsi que des vidéos récompensées permettant de débloquer ponctuellement certaines fonctionnalités payantes. Les formules Premium et Famille n'affichent aucune publicité et ne déposent aucun identifiant publicitaire.

Aucune annonce n'est demandée avant le recueil de votre consentement, obtenu au premier lancement via le formulaire de Google (SDK UMP), conforme au cadre de transparence et de consentement européen. Ce formulaire vous permet d'accepter ou de refuser la personnalisation des annonces ainsi que la lecture et le dépôt d'identifiants sur votre appareil.

Vous pouvez rouvrir ce formulaire et modifier ou retirer votre choix à tout moment depuis l'écran « Profil » de l'application, aussi simplement que vous l'avez donné. Un refus n'entraîne aucune restriction d'accès au service : seule la personnalisation des annonces en est affectée.

Lorsque vous regardez une vidéo récompensée, la régie confirme directement à notre serveur que la vidéo a bien été visionnée, afin de créditer la récompense sans passer par l'application — un décompte réalisé sur l'appareil serait falsifiable. Cette confirmation contient un identifiant de transaction et l'identifiant de votre compte, à l'exclusion de toute donnée relative à votre véhicule ou à vos factures.

15. Abonnements et données de paiement

Les abonnements Premium et Famille sont vendus par Apple et Google. Le paiement, la facturation et les remboursements sont traités intégralement par ces plateformes : l'Éditeur ne reçoit, ne traite et ne stocke aucune donnée bancaire, aucun numéro de carte et aucune adresse de facturation.

Nous recevons uniquement, par l'intermédiaire de notre prestataire RevenueCat, l'information nécessaire à l'ouverture des droits : la formule souscrite, son état (active, expirée, résiliée), sa date d'échéance et un identifiant technique de transaction, rattachés à un identifiant pseudonyme de votre compte.

Cette information est indispensable à l'exécution du contrat : sans elle, un abonnement payé ne pourrait pas être reconnu et les fonctionnalités correspondantes resteraient fermées.

16. Cookies et traceurs

Le site web MyCars utilise uniquement des cookies strictement nécessaires au fonctionnement du service (session, authentification, sécurité). Aucun cookie publicitaire ou de mesure d'audience tiers n'est déposé sans votre consentement préalable.

L'application mobile n'utilise pas de cookies. Elle stocke localement un jeton de session, supprimable en vous déconnectant ou en désinstallant l'application. Dans la formule Gratuite et après votre consentement, le SDK publicitaire peut lire et écrire des identifiants sur votre appareil, dans les conditions décrites à l'article 14.

17. Mineurs

Le service n'est pas destiné aux mineurs de moins de 16 ans. Si vous constatez qu'un mineur de moins de 16 ans a créé un compte, merci de nous le signaler à support@my-cars.fr : le compte sera supprimé sans délai.

18. Modification de la politique

Cette politique peut être mise à jour pour refléter l'évolution du service, de la réglementation ou de nos sous-traitants. La version applicable est toujours celle publiée à la présente adresse. Les modifications substantielles vous seront notifiées par email ou via l'application.