Datenschutzerklärung

Modèle à compléter. Ce document est le modèle fourni par le prestataire technique du service. Les passages signalés « À COMPLÉTER » doivent être renseignés, et l’ensemble relu par l’exploitant du service avant la mise en service.

La présente politique informe les Usagers du service Optymo (site web et applications mobiles, le « Service ») de la manière dont leurs données personnelles sont traitées, conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 (« loi Informatique et Libertés »).

Article 1. Responsable de traitement

SMTC 90 (Syndicat Mixte des Transports en Commun du Territoire de Belfort), Syndicat mixte
Siège : Jonxion 1, 1 avenue de la Gare TGV, CS 30602, 90400 Meroux-Moval
SIRET : 259 000 016 00032
Contact : contact@optymo.fr
Délégué à la protection des données : [À COMPLÉTER : adresse électronique du délégué à la protection des données]

Le responsable de traitement détermine les finalités et les moyens des traitements décrits ci-dessous.

Article 2. Prestataire technique

Le Service est conçu, hébergé et maintenu pour le compte du responsable de traitement par Bullify SL, société de droit andorran, en qualité de sous-traitant au sens de l’article 28 du RGPD. Il agit uniquement sur instruction documentée du responsable de traitement et n’utilise les données pour aucune finalité qui lui soit propre. Son délégué à la protection des données est joignable à dpo@bullify.io.

Article 3. Données traitées

Sans compte

L’information voyageurs est consultable sans compte. Seules sont alors traitées les données techniques nécessaires au fonctionnement (adresse IP, type de navigateur ou d’appareil) et, si l’Usager l’autorise, la position de son appareil (voir l’article « Géolocalisation »).

À la création d’un compte

Quatre informations sont demandées, toutes obligatoires : prénom, nom, adresse électronique et mot de passe. Le mot de passe n’est jamais conservé en clair, seule une empreinte irréversible l’est. Sans ces informations, le compte ne peut pas être créé. Aucune autre donnée n’est exigée pour ouvrir un compte.

Achat sans compte

Certains titres peuvent être achetés sans compte. Sont alors traités l’adresse électronique saisie à la commande, pour l’envoi du justificatif d’achat, et un identifiant technique du téléphone, auquel les titres sont attachés.

Données facultatives

téléphone : pour être joint sur un dossier ou un objet trouvé et recevoir des SMS si l’Usager les active ;
date de naissance : demandée uniquement pour un tarif soumis à une condition d’âge ;
adresse postale : pour figurer sur un justificatif d’achat, à la demande de l’Usager ;
photo de profil : pour personnaliser le compte et, pour un titre de transport nominatif, pour figurer sur le titre afin d’en identifier le titulaire.

Données produites par l’utilisation du Service

favoris, trajets enregistrés et préférences (langue, notifications, alertes) ;
commandes, titres, validations et justificatifs d’achat, et statut du paiement transmis par le prestataire de paiement ;
demandes adressées au service client, réclamations et déclarations d’objets perdus, avec leurs pièces jointes et les réponses des agents ;
questions posées à l’assistant conversationnel et réponses obtenues ;
jeton technique de notification de l’appareil, si l’Usager autorise les notifications ;
données de connexion : session, type d’appareil, adresse IP tronquée, date et heure.

Ces données proviennent de l’Usager, de son utilisation du Service, du prestataire de paiement et des agents du responsable de traitement (réponses et décisions sur les dossiers).

Ce qui n’est jamais collecté

aucun historique de déplacements : la position n’est enregistrée nulle part ;
aucune donnée complète de carte bancaire ;
aucune donnée à des fins publicitaires, et aucune donnée n’est vendue.

Article 4. Finalités, bases légales et durées de conservation

Gestion du compte (création, authentification, profil, préférences). Base légale : mission d’intérêt public (article 6.1.e du RGPD). Conservation : tant que le compte est actif, puis anonymisation irréversible après 24 mois sans connexion ou à la demande de l’Usager.
Information voyageurs, calcul d’itinéraire et guidage. Base légale : mission d’intérêt public (article 6.1.e du RGPD). Conservation : la position n’est pas conservée ; favoris et trajets enregistrés suivent le compte.
Vente, délivrance et validation des titres, édition des justificatifs d’achat. Base légale : exécution du contrat de vente (article 6.1.b du RGPD). Conservation : durée du compte ; toutes les commandes et pièces comptables : 10 ans (obligation légale de conservation des pièces comptables, article 6.1.c du RGPD).
Messages de service par courrier électronique (compte, sécurité, réponses aux demandes). Base légale : mission d’intérêt public (article 6.1.e du RGPD) et exécution du contrat de vente. Conservation : contenu des messages effacé après 3 mois, trace de l’envoi conservée.
Notifications sur téléphone et SMS choisis par l’Usager. Base légale : consentement, retirable à tout moment (article 6.1.a du RGPD). Conservation : jeton de notification conservé tant que l’application est utilisée, supprimé à l’anonymisation du compte.
Réponses de l’assistant conversationnel. Base légale : mission d’intérêt public (article 6.1.e du RGPD), au titre de l’information des voyageurs. Conservation : jusqu’à la suppression de l’historique par l’Usager, qui peut l’effacer à tout moment.
Service client, réclamations et objets trouvés. Base légale : mission d’intérêt public (article 6.1.e du RGPD). Conservation : dossier du service client : messages, pièces jointes et adresse électronique d’un demandeur sans compte effacés 24 mois après sa clôture ; objet trouvé : coordonnées du déclarant et photos effacées 12 mois après la clôture du dossier.
Mesure d’audience. Base légale : consentement, retirable à tout moment (article 6.1.a du RGPD). Conservation : 13 mois au plus.
Sécurité du Service, diagnostic des erreurs et preuve des opérations. Base légale : mission d’intérêt public (article 6.1.e du RGPD) et obligation de sécurité (article 32 du RGPD). Conservation : journaux du serveur : 1 an ; journal des opérations sensibles : 5 ans, avec un identifiant pseudonymisé et une adresse IP tronquée.
Preuve des choix en matière de cookies. Base légale : obligation légale (articles 6.1.c et 7.1 du RGPD). Conservation : 13 mois au plus, puis le choix est redemandé.

Article 5. Géolocalisation

La position de l’appareil n’est utilisée qu’avec l’autorisation donnée par l’Usager dans son système d’exploitation, et seulement pour calculer un itinéraire depuis l’endroit où il se trouve et afficher les arrêts et services proches, ainsi que pour le guider pendant un trajet. Pendant un guidage, la position peut être lue écran verrouillé, jusqu’à la fin du guidage. La position n’est pas enregistrée et ne sert à aucune autre fin. L’Usager retire l’autorisation à tout moment dans les réglages de son appareil.

Article 6. Destinataires

Ont accès aux données, dans la limite de leurs attributions :

les agents habilités du responsable de traitement, pour le service client ; chaque action d’un agent est journalisée ;
le prestataire technique Bullify SL, pour l’hébergement, la maintenance et le support technique ;
les prestataires suivants, chacun pour sa seule mission :
- Scaleway SAS (Paris, France) : hébergement des serveurs, de la base de données et des sauvegardes, en France ;
- Brevo, Sendinblue SAS (Paris, France) : envoi des courriers électroniques et des SMS ;
- Functional Software, Inc. (Sentry) : diagnostic des erreurs, données hébergées dans l’Union européenne ;
- PostHog, Inc. : mesure d’audience, uniquement après consentement, données hébergées dans l’Union européenne ;
- 650 Industries, Inc. (Expo, États-Unis) : acheminement des notifications vers Apple et Google, sans donnée d’identité ;
- la Direction interministérielle du numérique (Base Adresse Nationale, France) et komoot GmbH (Photon, Allemagne) : recherche d’adresses, sans rattachement au compte ;
- Mistral AI SAS (Paris, France) : génération des réponses de l’assistant, dans l’Union européenne ;
- Lyra Network (PayZen, France) : traitement des paiements ; il reçoit l’identifiant du compte, l’adresse électronique et le nom du payeur, et conserve l’historique des paiements au titre de ses propres obligations légales, y compris après la suppression du compte ;
Apple et Google, en qualité de responsables de traitement distincts, pour la distribution des applications sur leurs magasins et l’acheminement final des notifications ;
les autorités administratives ou judiciaires, sur réquisition et dans les limites prévues par la loi.

Article 7. Transferts hors de l’Union européenne

Les données sont hébergées en France. Les flux suivants quittent l’Union européenne :

le prestataire technique est établi en Principauté d’Andorre, pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat (décision 2010/625/UE du 19 octobre 2010) : l’accès de ses équipes aux données pour la maintenance ne requiert pas d’autre garantie ;
l’acheminement des notifications passe par Expo, aux États-Unis, dans le cadre de protection des données UE-États-Unis (Data Privacy Framework) et des clauses contractuelles types de la Commission européenne ; il ne porte qu’un jeton technique et le texte du message, sans nom ni adresse ;
Sentry et PostHog sont des sociétés de droit américain dont les données sont hébergées dans l’Union européenne ; les clauses contractuelles types s’appliquent à titre de garantie complémentaire.

Un Usager qui refuse les notifications n’est concerné par aucun envoi vers Expo.

Article 8. Anonymisation et suppression du compte

Un compte sans connexion depuis 24 mois est anonymisé de façon irréversible ; l’Usager peut aussi le demander à tout moment depuis son compte, sans attendre ce délai. Le nom, le prénom, le téléphone, l’adresse postale, la date de naissance, le mot de passe et les fichiers personnels sont effacés, et l’adresse électronique est remplacée par un identifiant qui ne désigne plus personne. La ligne du compte subsiste, vidée de ces données, parce que les écritures comptables liées aux achats doivent être conservées 10 ans ; les pièces comptables elles-mêmes conservent les mentions exigées par la loi.

Article 9. Sécurité

Les mesures appliquées comprennent notamment : chiffrement des communications, hébergement en France, cloisonnement des données entre réseaux, accès des agents limités à leur rôle et journalisés, mots de passe stockés sous forme d’empreinte, sauvegardes, supervision et procédure de gestion des incidents. En cas de violation de données présentant un risque, le responsable de traitement la notifie à la CNIL et, si le risque est élevé, en informe les personnes concernées.

Article 10. Décision automatisée

Aucune décision produisant des effets juridiques ou affectant l’Usager de manière significative n’est prise sur le seul fondement d’un traitement automatisé.

Article 11. Droits des personnes

Chaque Usager dispose des droits suivants :

accès à ses données et obtention d’une copie (article 15 du RGPD) ;
rectification (article 16) ;
effacement (article 17) ;
limitation du traitement (article 18) ;
portabilité des données qu’il a fournies, pour les traitements fondés sur le consentement ou sur un contrat (article 20) ;
opposition, pour des raisons tenant à sa situation particulière, aux traitements fondés sur la mission d’intérêt public (article 21) ;
retrait de son consentement à tout moment, sans remettre en cause les traitements réalisés avant ce retrait (article 7.3) ;
définition de directives sur le sort de ses données après son décès (article 85 de la loi Informatique et Libertés).

Depuis son compte, l’Usager consulte et rectifie directement ses informations, télécharge l’ensemble de ses données et supprime son compte. Pour toute autre demande, il écrit au délégué à la protection des données du responsable de traitement : [À COMPLÉTER : adresse électronique du délégué à la protection des données], ou par courrier au siège. Une réponse lui est apportée dans un délai d’un mois, prolongeable de deux mois pour une demande complexe ; un justificatif d’identité ne lui est demandé qu’en cas de doute raisonnable sur son identité.

L’Usager peut introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

Article 12. Mineurs

Un mineur de moins de 15 ans ne peut consentir seul aux traitements fondés sur le consentement (notifications, mesure d’audience) : l’accord de son représentant légal est alors requis (article 45 de la loi Informatique et Libertés). Le rattachement d’un mineur à un compte famille se fait par invitation acceptée, jamais par création unilatérale. Les représentants légaux exercent les droits du mineur dans les conditions prévues par la loi.

Article 13. Cookies et traceurs

Sur le site web, les cookies strictement nécessaires (session de connexion, mémorisation des choix de l’Usager) sont déposés sans consentement. Les traceurs de mesure d’audience (PostHog) ne le sont qu’après accord, pour 13 mois au plus. Aucun traceur publicitaire n’est utilisé. Dans l’application mobile, la mesure d’audience suit le même choix, et le diagnostic des erreurs (Sentry) sert uniquement à détecter et corriger les anomalies.

L’Usager modifie ses choix à tout moment depuis le lien « Gérer mes cookies » du site ou les préférences de confidentialité de l’application.

Article 14. Modification de la politique

La présente politique peut évoluer, notamment à l’ouverture d’un nouveau service ou lors d’un changement de prestataire. La date de la version en vigueur figure en tête du document ; toute modification substantielle est portée à la connaissance des titulaires d’un compte.