Politique de confidentialité

1. Éditeur, responsable et contacts

• Éditeur / responsable du traitement : Leprest Antonin, entrepreneur individuel exploitant sous le nom commercial Dreamfetch (SIREN 980 423 164, SIRET 98042316400014), établi en France. Adresse postale communiquée sur demande.
• Responsable de la protection des renseignements personnels (Loi 25) : Leprest Antonin (Dreamfetch) — privacy@cleanmyauto.app.
• Délégué à la protection des données (DPD/DPO) (RGPD) : non désigné (non requis à ce stade) — contact : privacy@cleanmyauto.app.
• Représentant dans l'UE : non requis, l'éditeur étant établi dans l'UE (France).

2. Renseignements que nous recueillons

Nous appliquons la minimisation : seules les données nécessaires sont recueillies.

Compte et identité

Nom, adresse courriel, mot de passe (haché). Avec Sign in with Apple : identifiant Apple anonymisé et, si vous le partagez, l'adresse courriel relais.

Localisation

Position approximative ou précise (avec votre autorisation), pour afficher les lave-autos à proximité. Aucun suivi en arrière-plan.

Réservations et contenu

Réservations (lave-auto, services, créneau), favoris, avis, notes et photos. Les métadonnées EXIF des photos sont retirées au téléversement.

Établissement (comptes professionnels)

Nom, adresse, photos, services, prix, horaires, téléphone, réservations reçues, et connexion à un agenda (Google Agenda / iCal) si activée.

Notifications

Jeton d'appareil (APNs) et préférences de notification.

Renseignements techniques

Journaux et rapports d'erreur (sécurité, diagnostic). Adresses IP hachées (SHA-256 + sel), pas de données identifiantes en clair dans les journaux.

3. Fins, base légale (RGPD) et consentement (Canada)

Au Canada, nos traitements reposent sur votre consentement (exprès ou implicite selon le contexte) ou sur ce que la loi permet. Dans l'UE/EEE, chaque traitement repose sur une base légale de l'article 6 du RGPD :

Nous ne vendons pas vos données et ne faisons pas de marketing sans consentement distinct.

4. Destinataires et sous-traitants

Nous faisons appel à des sous-traitants qui traitent certaines données pour notre compte, encadrés par contrat (art. 28 RGPD) :

Les journaux et rapports d'erreur sont conservés sur notre propre infrastructure (DigitalOcean, UE) et ne sont pas transmis à un service d'analyse tiers. Nous pouvons aussi communiquer des données lorsque la loi l'exige.

5. Transferts internationaux

L'hébergement principal de vos données (serveurs, base de données, photos) se situe dans l'Union européenne (datacenter de Francfort, Allemagne) ; les courriels transactionnels sont traités dans l'UE (France). Les seuls traitements hors UE/EEE sont ceux d'Apple et de Google (authentification, notifications, synchronisation d'agenda), qui peuvent traiter des données aux États-Unis.

• Loi 25 : avant toute communication hors Québec, nous réalisons l'évaluation des facteurs relatifs à la vie privée requise et nous assurons d'une protection adéquate.
• RGPD : tout transfert hors UE/EEE (Apple, Google) est encadré par un mécanisme approprié — décision d'adéquation EU-US Data Privacy Framework lorsqu'elle s'applique, clauses contractuelles types (CCT/SCC) ou autre garantie de l'art. 46.

6. Durées de conservation

• Comptes inactifs : suppression logique après 36 mois sans activité.
• Compte supprimé : compte anonymisé immédiatement, suppression définitive 30 jours après la demande (photos supprimées).
• Avis après suppression du compte : anonymisés et conservés jusqu'à 1 an, puis supprimés.
• Réservations : jusqu'à 2 ans.
• Jetons de session (rafraîchissement) expirés : 7 jours.
• Journaux techniques et d'audit : 30 jours.

7. Vos droits

Selon votre situation (Canada et/ou UE), vous disposez des droits suivants : accès, rectification, effacement, portabilité, retrait du consentement, opposition et limitation (RGPD), refus d'une décision exclusivement automatisée (RGPD), et désindexation (Loi 25).

En libre-service dans l'application

• Consulter et modifier votre profil ;
• Exporter vos données (format structuré) ;
• Supprimer votre compte et les données associées ;
• Gérer vos consentements et préférences de notification.

Nous écrire

À privacy@cleanmyauto.app. Nous répondons dans les délais légaux (30 jours au Canada ; un mois sous le RGPD, prolongeable dans les cas complexes).

8. Sécurité

Mesures techniques et organisationnelles raisonnables, notamment :

• chiffrement des communications (TLS) ;
• mots de passe hachés avec argon2id ;
• retrait des métadonnées EXIF des photos au téléversement ;
• adresses IP hachées (SHA-256 + sel) ;
• sauvegardes chiffrées (AES-256) et contrôle d'accès aux systèmes.

9. Incident / violation de données

En cas d'incident de confidentialité présentant un risque :

• Loi 25 : si risque de préjudice sérieux, nous avisons la Commission d'accès à l'information du Québec (CAI) et les personnes concernées, et tenons un registre.
• RGPD : notification à l'autorité de contrôle dans les 72 heures (art. 33) et information des personnes concernées si risque élevé (art. 34).

10. Témoins (cookies) et site web

Ce site vitrine n'utilise pas de témoins de suivi ni d'outils d'analyse. Les polices de caractères sont chargées depuis Google Fonts, ce qui peut transmettre votre adresse IP à Google au moment du chargement. Les applications n'utilisent pas de traceurs publicitaires tiers.

11. Mineurs

CleanMyAuto n'est pas destinée aux mineurs sous l'âge requis. Loi 25 : le consentement d'un mineur de moins de 14 ans doit être donné par le titulaire de l'autorité parentale. RGPD : l'âge du consentement pour les services en ligne est de 16 ans (ou l'âge inférieur fixé par l'État membre, minimum 13 ans), à défaut duquel le consentement parental est requis.

12. Décisions automatisées

Nous ne prenons pas de décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé. Si cela évoluait, nous vous en informerions et préciserions vos droits (RGPD art. 22 ; Loi 25).

13. Modifications

Cette politique peut être mise à jour ; la date figure en haut. En cas de changement important, nous vous en informerons par un moyen approprié.

14. Plaintes

Contactez d'abord notre responsable de la protection des renseignements personnels. Vous pouvez ensuite saisir l'autorité compétente : la Commission d'accès à l'information du Québec (CAI), le Commissariat à la protection de la vie privée du Canada (CPVP), ou, dans l'UE/EEE, votre autorité de contrôle nationale (p. ex. la CNIL en France).