Politique de confidentialité — Dovora

Version 2.1 — En vigueur à compter du [DATE_MISE_EN_LIGNE]

Cette politique explique de manière transparente comment Dovora traite les données personnelles dans son application, son site et ses services. Elle s’applique aux Acheteurs, aux Mécaniciens et aux personnes dont les informations apparaissent dans un contenu transmis à Dovora.

1. Responsable du traitement

Pour les traitements liés au fonctionnement de Dovora, le responsable du traitement est :

Imad EL MOUSSAID, entrepreneur individuel (EI), exerçant sous le nom commercial IEM AUTOMATISATION et exploitant Dovora SIREN : 984 044 081 Adresse professionnelle : 67 rue des Vosges, 68110 Illzach, France Email données personnelles : privacy@dovora.fr Téléphone : +33 7 68 80 12 17

Aucun délégué à la protection des données n’est désigné à ce jour. L’adresse ci-dessus permet d’exercer les droits décrits à l’article 11.

Le Mécanicien choisi agit comme responsable de traitement distinct lorsqu’il utilise les données nécessaires pour répondre à une demande, exécuter et facturer l’inspection, gérer une réclamation ou remplir ses obligations légales. Stripe peut également agir comme responsable de traitement distinct pour certaines opérations de paiement, de lutte contre la fraude et de vérification réglementaire. Leurs propres politiques s’appliquent alors.

2. Données traitées et sources

Compte et identité

• adresse email, identifiant interne, date de création et statut du compte ;
• nom, prénom, adresse de facturation, photo et téléphone lorsqu’ils sont fournis ou nécessaires ;
• identifiant de connexion Apple et éventuelle adresse relais ;
• préférences, consentements et réglages de notification.

Ces données proviennent de l’utilisateur ou du fournisseur de connexion qu’il choisit.

Profil professionnel

• identité, dénomination et forme juridique, nom commercial, SIREN/SIRET, adresse, régime de TVA et numéro de TVA intracommunautaire le cas échéant, coordonnées professionnelles ;
• prestations, prix, zone d’intervention, disponibilités et présentation ;
• justificatifs d’immatriculation, assurance, compétences et statut de validation ;
• coordonnées de paiement et informations de vérification recueillies directement par Stripe ;
• avis Dovora et, lorsque la fonction est utilisée conformément aux règles de Google, note publique de la fiche Google Business Profile.

Ces données proviennent du Mécanicien, de Stripe et de sources professionnelles publiques vérifiables.

Analyses et dossiers de recherche

• liens, textes, caractéristiques, prix et images d’annonces ;
• captures d’écran, y compris les réponses du vendeur volontairement importées ;
• instructions adressées à l’outil, résultats d’analyse, messages proposés, verdicts et historique du dossier ;
• quotas et état d’avancement du parcours.

Ces contenus peuvent accidentellement inclure des données d’un vendeur ou d’un autre tiers. L’utilisateur doit masquer les informations sans rapport avec l’analyse.

Demandes et Missions

• véhicule concerné, prix, adresse ou zone du rendez-vous, créneaux et statuts ;
• messages, pièces jointes et signalements ;
• Rapport, observations, points contrôlés ou non contrôlés et photographies ;
• confirmation, annulation, réclamation et avis.

L’adresse peut être saisie manuellement. Si Dovora propose la localisation de l’appareil, elle n’est utilisée qu’après autorisation du système et une alternative manuelle reste disponible.

Paiements et facturation

• montant, devise, commission, statut, remboursement, contestation et identifiants de transaction ;
• informations nécessaires à la facture et à la preuve comptable ;
• factures d’inspection établies au nom du Mécanicien sous mandat de facturation, et instantané des données de facturation figé sur chaque réservation au moment du paiement.

Dovora ne reçoit ni ne stocke le numéro complet de carte ou le cryptogramme. Stripe collecte les données de paiement et, pour les Pros, les informations bancaires et de vérification nécessaires.

Pour le Pass Recherche, l’achat est réalisé via le système d’achat intégré d’Apple ou de Google : Dovora reçoit, via son prestataire RevenueCat, les identifiants de transaction et le statut de l’achat, sans jamais accéder au moyen de paiement.

Données techniques et sécurité

• adresse IP, dates de connexion, version de l’app et du système, type d’appareil ;
• identifiants de session, journaux d’erreur, événements de sécurité et traces d’administration ;
• jeton de notification push et identifiants techniques strictement nécessaires.

Aucun outil tiers d’analyse d’audience, de publicité ou de rapport de plantage n’est intégré à la date de la présente version.

Permissions de l’appareil

Selon les fonctions utilisées, l’application peut demander l’accès à l’appareil photo, à une sélection de photos, aux notifications et à la localisation. Chaque permission est demandée au moment utile et peut être refusée ou retirée dans les réglages du téléphone. Dovora ne demande pas l’accès général aux contacts ni au microphone si ces fonctions ne sont pas nécessaires.

3. Caractère obligatoire

Les champs signalés comme obligatoires sont nécessaires à la création du compte, à la sécurité, à la réservation, au paiement ou à une obligation légale. Sans eux, Dovora peut ne pas être en mesure de fournir la fonction concernée.

Les données de profil facultatives, la localisation de l’appareil, les notifications non essentielles et les communications commerciales peuvent être refusées sans empêcher l’accès aux autres fonctions, sous réserve des informations strictement nécessaires à une Mission.

4. Finalités et bases légales

Dovora ne prend aucune décision produisant un effet juridique ou un effet similaire significatif à l’égard d’un utilisateur sur le seul fondement d’un traitement automatisé. Une Analyse ou un indicateur de risque reste informatif.

5. Intelligence artificielle

Pour générer une Analyse, Dovora transmet à OpenAI par API les éléments nécessaires de l’annonce et les instructions associées. Dovora cherche à limiter les données personnelles transmises et demande à l’utilisateur de masquer les informations inutiles.

Par défaut, OpenAI indique ne pas utiliser les entrées et sorties de ses services API professionnels pour entraîner ses modèles, sauf participation volontaire du client. La durée de conservation technique peut varier selon le service API, les réglages du compte, les obligations de sécurité et les exigences légales. Dovora applique la configuration contractuelle disponible visant à limiter cette conservation.

Les résultats peuvent être inexacts. Ils sont conservés par Dovora avec le dossier selon les durées de l’article 9, et non utilisés pour entraîner un modèle appartenant à Dovora sans information et base légale nouvelles.

6. Destinataires et rôles

Dans la limite de leurs besoins, les données peuvent être accessibles :

• aux personnes habilitées administrant Dovora ;
• au Mécanicien choisi, responsable distinct pour la Mission ;
• à Supabase, pour la base, l’authentification et le stockage, hébergés dans l’Union européenne (région Paris, France) ;
• à OpenAI, pour les Analyses ;
• à Stripe, pour le paiement, les remboursements, la lutte contre la fraude et la vérification des Pros ;
• à Apple et Google, pour la distribution, la connexion éventuelle et l’acheminement des notifications ;
• à Expo (EAS), pour la construction des applications et, le cas échéant, l’acheminement des notifications push ;
• à RevenueCat, pour la validation des achats intégrés (Pass Recherche) et la notification des transactions ;
• aux conseils, assureurs, médiateurs, autorités ou juridictions lorsque cela est nécessaire pour respecter la loi ou défendre un droit.

Les avis et certaines informations professionnelles sont visibles par les utilisateurs de la Plateforme. Les messages, Rapports, adresses précises et justificatifs ne sont pas publics.

Dovora ne vend pas les données personnelles et ne les partage pas à des fins de publicité comportementale. Dovora exige contractuellement de ses sous-traitants un niveau de protection conforme au RGPD et adapté aux engagements décrits ici.

7. Données de tiers présentes dans une annonce

Un utilisateur peut transmettre une capture contenant le nom, le pseudonyme, le téléphone, le véhicule ou les messages d’un vendeur. Dovora traite ces données pour répondre à la demande d’analyse et sécuriser la recherche de véhicule, sur la base de l’exécution du service demandé et de l’intérêt légitime de l’utilisateur et de Dovora.

Ces données ne doivent pas être utilisées pour contacter le tiers, établir un profil général, publier ses coordonnées ou prendre une décision juridique à son égard. Toute personne concernée peut contacter privacy@dovora.fr ; Dovora examinera la demande en tenant compte des droits de l’utilisateur, de la preuve et des obligations applicables.

8. Transferts internationaux

Certains prestataires peuvent traiter des données depuis les États-Unis ou d’autres pays situés hors de l’Espace économique européen. Selon le prestataire et le flux, ces transferts reposent sur une décision d’adéquation, notamment le Cadre de protection des données UE–États-Unis lorsque le destinataire est certifié, ou sur les clauses contractuelles types de la Commission européenne complétées, lorsque nécessaire, par des mesures additionnelles.

La liste et les mécanismes doivent être vérifiés à la date du lancement dans les contrats et annexes de Supabase, OpenAI, Stripe, Apple, Google, Expo et de tout SDK réellement actif.

9. Durées de conservation

Lors d’une suppression de compte, les données qui ne doivent pas être conservées sont supprimées ou anonymisées des systèmes actifs dans un délai cible de 30 jours. Les copies de sauvegarde sont isolées puis écrasées selon leur cycle. Les données conservées pour une obligation légale, une fraude, une contestation ou la défense de droits sont restreintes et ne sont plus utilisées pour fournir le service ou prospecter.

10. Sécurité

Dovora met en œuvre des mesures proportionnées aux risques, notamment le chiffrement des échanges, la gestion des droits d’accès, la séparation des rôles, la protection des espaces de stockage, la journalisation des actions sensibles, les mises à jour de sécurité et la sauvegarde des données utiles.

Avant publication, Dovora doit vérifier en production : les règles Row Level Security de toutes les tables Supabase, le caractère privé des buckets, la durée des liens signés, les droits du rôle service, l’absence de clés secrètes dans l’app, la rotation des secrets et les procédures de restauration.

Aucun système n’offre une sécurité absolue. En cas de violation présentant un risque pour les personnes, Dovora la documente, la notifie à la CNIL dans le délai applicable et informe les personnes lorsqu’un risque élevé le justifie.

11. Droits des personnes

Selon les conditions prévues par la loi, toute personne dispose des droits suivants :

• accéder à ses données et en obtenir une copie ;
• rectifier des données inexactes ;
• demander leur effacement ;
• limiter un traitement ;
• s’opposer à un traitement fondé sur l’intérêt légitime ou à la prospection ;
• recevoir les données fournies dans un format portable lorsque le droit s’applique ;
• retirer un consentement à tout moment, sans effet rétroactif ;
• définir des directives sur le sort de ses données après son décès ;
• présenter des observations sur une décision qui ne serait pas exclusivement automatisée.

La demande peut être adressée à privacy@dovora.fr. Dovora peut demander les informations strictement nécessaires pour confirmer l’identité en cas de doute raisonnable. Une réponse est apportée en principe sous un mois, avec prolongation possible de deux mois pour une demande complexe, après information.

Une réclamation peut être déposée auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr.

12. Suppression du compte et retrait des permissions

L’utilisateur peut initier la suppression dans l’application : Profil > Paramètres > Supprimer mon compte, ou via https://dovora.fr/suppression-compte.

La demande peut être initiée même si une Mission existe. Lorsque la suppression immédiate empêcherait l’exécution, un remboursement, la lutte contre la fraude ou la défense d’un droit, Dovora clôture d’abord ces opérations et informe l’utilisateur du délai. Le compte ne reste pas simplement « désactivé » sans traitement de ses données.

Si Sign in with Apple est utilisé, Dovora révoque le jeton d’autorisation conformément aux exigences Apple lors de la suppression. Les permissions caméra, photos, localisation et notifications peuvent être retirées dans les réglages du téléphone. Le lien de désinscription permet de retirer le consentement aux emails commerciaux.

La suppression du compte Dovora n’annule pas automatiquement un contrat ou compte distinct détenu par Stripe, Apple, Google ou un Mécanicien ; l’utilisateur peut exercer séparément ses droits auprès d’eux.

13. Mineurs

Dovora est réservé aux personnes majeures et ne collecte pas sciemment de données auprès de mineurs. Toute collecte identifiée par erreur est supprimée, sauf obligation légale de conservation.

14. Modifications

Dovora peut mettre à jour cette politique pour refléter une évolution légale, technique ou fonctionnelle. La date et le numéro de version sont modifiés. Une évolution substantielle est portée à la connaissance des utilisateurs avant son entrée en vigueur lorsque cela est nécessaire. Un nouveau consentement est recueilli si la finalité ou la base légale l’exige.

15. Contact

Pour toute question ou demande relative aux données personnelles : privacy@dovora.fr.