Traitement des données personnelles

Responsable de traitement

Le responsable de traitement est l'éditeur du service VEHILIO, dont les coordonnées figurent dans les mentions légales. Pour toute question ou pour exercer vos droits, écrivez à contact@vehil.io.

Où sont hébergées et traitées vos données

Vos données sont hébergées en France, chez Amazon Web Services (région Paris, eu-west-3). Les traitements automatisés d'extraction des documents (factures, cartes grises, procès-verbaux de contrôle technique, autres documents) et l'assistant conversationnel (offre Premium) s'exécutent dans l'Union européenne, via des modèles d'IA d'Amazon Bedrock avec profils d'inférence européens.

Un seul traitement automatisé — l'assistance à la planification d'entretien — fait appel à un modèle d'IA hébergé aux États-Unis (Amazon Bedrock, us-east-1). Ce transfert est encadré par les clauses contractuelles types AWS et par la décision d'adéquation UE — États-Unis (Data Privacy Framework). Seule la description technique du moteur (marque, modèle, génération, année, code moteur, carburant) est transmise à ce modèle. Aucun identifiant client, aucune plaque, aucun VIN, aucun e-mail, aucun kilométrage individuel ne sort de l'Union européenne dans le cadre de ce traitement.

Registre des traitements

Pour chaque traitement, cette section précise la finalité, la base légale, les catégories de données concernées, les destinataires, la durée de conservation et les éventuels transferts hors Union européenne.

1. Gestion de compte

• Finalité : permettre l'accès au service et l'identification de l'utilisateur.
• Base légale : exécution du contrat (article 6.1.b RGPD).
• Données : adresse e-mail, mot de passe (haché), type d'organisation.
• Destinataires : VEHILIO, Amazon Cognito (identification, hébergement Union européenne).
• Durée : durée du compte + 30 jours.
• Transferts hors UE : aucun.

2. Gestion de véhicules et de documents

• Finalité : constituer et conserver le carnet d'entretien et le dossier de revente du véhicule.
• Base légale : exécution du contrat (article 6.1.b RGPD).
• Données : plaque, VIN, kilométrage, factures d'entretien, cartes grises, procès-verbaux de contrôle technique et autres documents déposés, données extraites de ces documents (dont la date du prochain contrôle technique).
• Destinataires : VEHILIO, Amazon Web Services (hébergement, France).
• Durée : durée du compte + 30 jours.
• Transferts hors UE : aucun.

3. Extraction automatique des documents

• Finalité : transcrire automatiquement le contenu des documents déposés (factures, cartes grises, procès-verbaux de contrôle technique, autres documents) pour alimenter l'historique.
• Base légale : exécution du contrat (article 6.1.b RGPD).
• Données : contenu textuel des documents importés.
• Destinataires : Amazon Bedrock, profils d'inférence européens (eu.anthropic.claude-haiku-4-5, eu.anthropic.claude-sonnet-4-5) ; Amazon Textract (région Paris), en lecture de secours.
• Durée : temps de traitement, sans conservation par le modèle.
• Transferts hors UE : aucun (France et Irlande).

4. Vérification de carte grise

• Finalité : vérifier la cohérence de la carte grise avec le véhicule (plaque, VIN) et préremplir ses caractéristiques.
• Base légale : exécution du contrat (article 6.1.b RGPD).
• Données : fichier de la carte grise et sa transcription intégrale ; nom du titulaire, VIN et caractéristiques du véhicule qui en sont extraits.
• Destinataires : VEHILIO, Amazon Bedrock (profils d'inférence européens), Amazon Textract (région Paris).
• Durée : fichier original supprimé définitivement dès la fin de la vérification (au plus 2 jours) ; transcription intégrale : 7 jours, puis purge ; nom du titulaire conservé chiffré sur la fiche du véhicule, jamais partagé ni transmis lors d'un transfert ; VIN et caractéristiques : durée du compte + 30 jours.
• Transferts hors UE : aucun.

5. Contrôle technique et autres documents

• Finalité : suivre l'échéance du contrôle technique, et joindre ces documents au dossier de revente en masquant les données personnelles qu'ils contiennent.
• Base légale : exécution du contrat (article 6.1.b RGPD).
• Données : dates du contrôle technique ; nom et adresse du titulaire figurant sur le procès-verbal ; noms, adresses et autres données personnelles relevés sur les autres documents. Ces relevés servent uniquement à localiser les zones à masquer.
• Destinataires : VEHILIO, Amazon Bedrock (profils d'inférence européens), Amazon Textract (région Paris, localisation des zones à masquer lors de la génération du dossier).
• Durée : durée de conservation du document, au plus durée du compte + 30 jours.
• Transferts hors UE : aucun.

6. Assistance à la planification d'entretien

• Finalité : proposer un prévisionnel d'entretien à partir des intervalles constructeurs.
• Base légale : exécution du contrat (article 6.1.b RGPD).
• Données : description technique du moteur uniquement (marque, modèle, génération, année, code moteur, carburant). Aucun identifiant client, aucune plaque, aucun VIN, aucun e-mail, aucun kilométrage individuel.
• Destinataires : Amazon Bedrock (États-Unis, us-east-1), DuckDuckGo (recherche web de sources constructeurs, États-Unis).
• Durée : temps de traitement, sans conservation par le modèle. Le plan résultant est mis en cache dans l'Union européenne.
• Transferts hors UE : États-Unis, encadrés par les clauses contractuelles types AWS et par la décision d'adéquation UE — États-Unis (Data Privacy Framework).

7. Identification par plaque

• Finalité : préremplir les caractéristiques du véhicule à partir de la plaque saisie par l'utilisateur.
• Base légale : exécution du contrat (article 6.1.b RGPD).
• Données : plaque d'immatriculation.
• Destinataires : fournisseur français d'identification par plaque.
• Durée : non conservée par VEHILIO au-delà de la restitution du résultat.
• Transferts hors UE : aucun (traitement en Union européenne).

8. Partage et transfert de véhicule

• Finalité : partager un dossier avec un acheteur potentiel ou transférer la propriété du dossier à l'issue d'une vente.
• Base légale : exécution du contrat (article 6.1.b RGPD), à l'initiative de l'utilisateur.
• Données : instantané du dossier ; lors d'un transfert, copies des factures que le vendeur choisit de joindre, transmises telles quelles (avec les nom et adresse qui y figurent).
• Destinataires : destinataire du lien de partage, ou nouveau titulaire lors du transfert.
• Durée : expiration + 30 jours (partage) ; 72 heures + 30 jours (transfert).
• Transferts hors UE : aucun.

9. Journal d'audit

• Finalité : tracer les actions sensibles pour la sécurité et la preuve.
• Base légale : intérêt légitime (article 6.1.f RGPD) — sécurité du service, prévention des abus.
• Données : acteur, action, adresse IP tronquée.
• Destinataires : VEHILIO.
• Durée : 400 jours.
• Transferts hors UE : aucun.

10. Abonnement et facturation

• Finalité : encaisser l'abonnement, établir la facturation, respecter les obligations comptables et fiscales.
• Base légale : exécution du contrat (article 6.1.b RGPD) et obligation légale (article 6.1.c RGPD).
• Données : identité du payeur, historique de paiement, numéro de TVA, identifiants Stripe, quantité, période, statut de paiement. Aucune donnée de carte bancaire n'est traitée ni conservée par VEHILIO.
• Destinataires : Stripe (entité européenne).
• Durée : durée du compte + 30 jours (projection VEHILIO) ; 10 ans chez Stripe (obligation comptable).
• Transferts hors UE : possibles par Stripe, encadrés par les clauses contractuelles types.

11. E-mails transactionnels

• Finalité : confirmer une inscription, un dépôt de document, un changement de statut, un partage ; rappeler les échéances d'entretien (offre Premium) et l'échéance du contrôle technique (rappels désactivables depuis votre compte).
• Base légale : exécution du contrat (article 6.1.b RGPD).
• Données : adresse e-mail, contenu de la notification.
• Destinataires : Amazon SES (hébergement Union européenne).
• Durée : non conservés au-delà de l'envoi.
• Transferts hors UE : aucun.

12. Assistant conversationnel (offre Premium)

• Finalité : répondre aux questions de l'utilisateur sur l'entretien de son véhicule.
• Base légale : exécution du contrat (article 6.1.b RGPD).
• Données : questions et réponses, données d'entretien du véhicule concerné (factures confirmées, historique, prévisionnel).
• Destinataires : VEHILIO, Amazon Bedrock, profil d'inférence européen (eu.anthropic.claude-haiku-4-5) ; aucune donnée utilisée pour entraîner le modèle.
• Durée : 12 mois ; suppression d'une conversation depuis l'assistant tant que l'abonnement Premium est actif et le véhicule modifiable ; suppression automatique avec le véhicule ou le compte ; incluses dans l'export de vos données.
• Transferts hors UE : aucun.

13. E-mails d'accompagnement

• Finalité : aider à prendre en main le service et présenter l'offre Premium : trois e-mails, envoyés 2, 6 et 13 jours après l'inscription, aux seuls comptes Gratuits.
• Base légale : intérêt légitime (article 6.1.f RGPD), pour des services analogues à celui utilisé (article L34-5 du Code des postes et des communications électroniques). Vous pouvez vous y opposer à tout moment.
• Données : adresse e-mail, date d'inscription, palier, liste des e-mails déjà envoyés.
• Destinataires : VEHILIO, Amazon SES (hébergement Union européenne).
• Durée : les envois cessent au passage à l'offre Premium ou à la désinscription ; la liste des e-mails envoyés est conservée avec le compte (durée du compte + 30 jours) ; les statistiques d'envoi sont agrégées par mois, sans adresse.
• Opposition : lien de désinscription en un clic dans chaque e-mail, ou case « Conseils et nouveautés » dans les préférences e-mail de votre compte.
• Transferts hors UE : aucun.

14. Recherche d'un dossier par code VEHILIO

• Finalité : permettre à un acheteur d'ouvrir, depuis le site vehil.io, le dossier de vente dont le code VEHILIO figure dans une annonce, en protégeant cette recherche contre les accès automatisés.
• Base légale : intérêt légitime (article 6.1.f RGPD) — protection contre les accès automatisés.
• Données : code saisi ; adresse IP et signaux techniques du navigateur, traités par Cloudflare Turnstile pour la vérification anti-robot.
• Destinataires : VEHILIO, Cloudflare, Inc. (vérification anti-robot).
• Durée : le code saisi n'est pas conservé ; seuls des compteurs anti-abus par adresse IP sont gardés, avec une suppression automatique programmée au plus tard 30 minutes ou 48 heures après leur création (fenêtres de 15 minutes et de 24 heures), plus le délai technique de purge de l'hébergeur.
• Transferts hors UE : États-Unis (Cloudflare), encadrés par la décision d'adéquation UE — États-Unis (Data Privacy Framework).

Sous-traitants

• Amazon Web Services (France, Paris ; inférence dans l'Union européenne) : hébergement, stockage, calcul, identification (Cognito), envoi d'e-mails (SES), extraction automatique des documents et assistant conversationnel (Bedrock, profils d'inférence européens), lecture de secours des documents et localisation des zones à masquer (Textract).
• Amazon Web Services (États-Unis) : assistance à la planification d'entretien (Bedrock, us-east-1), sur description technique du moteur uniquement.
• DuckDuckGo : recherche web des intervalles constructeurs pour l'assistance à la planification d'entretien (requête = description technique du moteur).
• Fournisseur français d'identification par plaque : préremplissage marque/modèle à partir de la plaque saisie.
• Stripe : encaissement, facturation, TVA (aucune donnée de carte reçue par VEHILIO).
• Cloudflare (États-Unis) : vérification anti-robot Cloudflare Turnstile du champ « code VEHILIO » du site vehil.io (adresse IP et signaux techniques du navigateur, sans cookie).

Vos droits

Conformément au Règlement général sur la protection des données, vous disposez d'un droit d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition sur vos données personnelles. La plupart de ces droits s'exercent directement depuis votre compte (édition, export libre-service en JSON et CSV, suppression avec délai d'annulation de 30 jours). Pour toute autre demande, écrivez à contact@vehil.io.

Vous disposez également du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

Aucun profilage, aucune publicité ciblée

VEHILIO ne pratique aucun profilage et aucune publicité ciblée. Les seuls e-mails promotionnels sont les trois e-mails d'accompagnement décrits ci-dessus, désactivables à tout moment. Aucune donnée n'est vendue ni partagée avec des tiers à des fins commerciales.