Politique de confidentialité

Responsable du traitement

JANJOR CARS LTD, Flat 1, 61 Morpeth Street, Hull, HU3 1RF, Royaume-Uni — numéro d’immatriculation 16568399 (Angleterre et pays de Galles) — téléphone +44 7537 174486.

Contact confidentialité

[email protected], pour l'exercice des droits et pour toute question sur la présente politique.

Délégué à la protection des données

[email protected], pour les demandes concernant la base de données véhicules et pour les réclamations.

La désignation d'un délégué à la protection des données est recommandée par la recherche de conformité et, selon toute probabilité, obligatoire : l'activité principale de vincode consiste en un suivi régulier et systématique, à grande échelle, de données rattachables à des identifiants de véhicule (art. 37, paragraphe 1, point b), du RGPD). Une fois désigné, les coordonnées du DPO doivent être communiquées au Garante par le portail dédié (art. 37, paragraphe 7).

C'est la question la plus débattue du secteur, et la réponse honnête est : cela dépend de qui le détient.

La Cour de justice de l'Union européenne, dans l'affaire C-319/22 (Gesamtverband Autoteile-Handel eV contre Scania CV AB, arrêt du 9 novembre 2023), a retenu une approche relative : le numéro de châssis n'est pas en soi une donnée personnelle, mais il le devient pour celui qui dispose raisonnablement de moyens permettant de l'associer à une personne déterminée. Il faut tenir compte de l'ensemble des moyens auxquels le responsable du traitement ou un tiers peut raisonnablement recourir. La Cour précise en outre qu'il n'est pas nécessaire que toutes les informations permettant d'identifier la personne se trouvent entre les mains d'un seul acteur : c'est la limite qui pèse le plus sur nous, car « nous ne détenons pas la correspondance avec la plaque » n'est pas, à soi seul, une réponse.

En Italie, le cadre est plus strict. La Corte di cassazione, la Cour de cassation italienne, a jugé par l'ordonnance n° 4648 du 21 février 2024 que la plaque d'immatriculation est une donnée personnelle, parce qu'elle permet d'identifier le titulaire et de le profiler. Le Pubblico Registro Automobilistico étant interrogeable par plaque, les moyens d'identification sont en Italie à la disposition de quiconque, de façon économique et licite : le test des « moyens raisonnablement susceptibles d'être utilisés » est satisfait presque par construction.

Le Comité européen de la protection des données (EDPB), dans ses lignes directrices 01/2020 sur les véhicules connectés (adoptées le 9 mars 2021), observe à son tour que des données techniques comme le style de conduite, le kilométrage parcouru et l'usure concernent le conducteur ou le passager parce que, croisées avec d'autres données telles que le numéro de châssis, elles peuvent être rattachées à une personne.

La conclusion opérationnelle de vincode est la suivante : nous concevons en supposant que la réponse est oui, et nous construisons le système de manière à ce qu'entre nos mains elle devienne non. Voici les règles qui en découlent, et elles s'imposent à qui écrit le code autant qu'à qui écrit les documents.

Numéro de châssis seul

Clé de la base de données d'événements. Aucun nom, aucune adresse, aucune coordonnée n'est jamais associé à l'enregistrement.

Plaque d'immatriculation

Traitée comme une donnée personnelle dans tous les cas : chiffrée au repos, conservation courte, accès journalisés.

Correspondance plaque → châssis

C'est le pont qui rend tout le reste identifiable. Isolée de la base de données d'événements, chiffrée, supprimée au bout de 90 jours.

Châssis associé à un nom ou à une adresse

Non acquis, non conservé, non affiché. Jamais, depuis aucune source, pour aucune finalité.

Photographies issues d'annonces passées

Plaques et visages floutés au moment de l'acquisition, avant que l'image n'entre dans l'archive.

Garder les trois flux séparés est le choix le plus utile de toute cette politique : ils ont des personnes concernées différentes, des finalités différentes et des bases légales différentes, et les confondre est le plus court chemin vers l'erreur.

Nous n'utilisons pas le consentement comme base légale du traitement A. Ce serait un mauvais choix : cela rendrait révocable à tout moment un traitement nécessaire à l'exécution du contrat que vous nous avez demandé d'exécuter, et cela nous obligerait à interrompre la livraison d'un Rapport déjà payé.

Nous n'utilisons pas non plus le consentement pour le traitement B, mais pour une autre raison : il n'est pas possible d'obtenir le consentement d'un propriétaire précédent que nous ne pouvons pas contacter, et un consentement que l'on ne peut pas démontrer vaut moins que pas de consentement du tout. Avant le lancement, l'évaluation de l'intérêt légitime (LIA) et l'analyse d'impact relative à la protection des données (AIPD) doivent être formalisées par écrit.

Données de contact et de compte

Adresse e-mail, mot de passe conservé sous forme d'empreinte, langue et pays, préférences de communication.

Données de commande

Pack acheté, montant, devise, taux de TVA appliqué et pays d'application, identifiant de la transaction, crédits achetés et consommés.

Preuve du consentement à la renonciation à la rétractation

Le texte littéral que vous avez accepté, le numéro de version, la date et l'heure, la langue, l'état de la case avant l'envoi, le libellé du bouton de commande, l'identifiant de l'e-mail de confirmation et le moment où le Rapport a été débloqué.

Éléments de preuve de localisation aux fins de la TVA

Pays de facturation déclaré, pays déduit côté serveur à partir de l'adresse IP, pays d'émission de la carte, résultat de la comparaison entre ces éléments.

Recherches effectuées

Les numéros de châssis et les plaques que vous avez cherchés, avec la date. Les plaques sont chiffrées et supprimées selon les délais indiqués au point 7.

Données d'assistance

Le contenu des messages que vous nous envoyez et la correspondance qui s'ensuit.

Journaux techniques

Adresse IP, date et heure, ressource demandée, résultat de la requête, user agent.

Nous ne traitons pas de catégories particulières de données au sens de l'art. 9 du RGPD et nous ne vous en demandons pas. Nous ne recevons pas et ne conservons pas les données de votre carte de paiement : c'est Stripe qui les traite, et nous ne voyons que le résultat, le pays d'émission et les quatre derniers chiffres.

La fourniture des données de contact et de commande est nécessaire à la conclusion du contrat : sans elles, nous ne pouvons ni vous livrer le Rapport ni émettre les documents fiscaux. Tout le reste est facultatif.

Les données qui vous concernent en tant que client, c'est vous qui les fournissez, à deux exceptions près : les données techniques collectées automatiquement par le serveur et les informations que nous recevons de Stripe au sujet du paiement, c'est-à-dire le résultat, le pays d'émission de la carte et les quatre derniers chiffres.

Les données contenues dans la base de données véhicules ne proviennent en revanche pas des personnes concernées. Elles proviennent de registres d'immatriculation, d'archives de contrôle technique, de gestionnaires de sinistres d'assurance, de signalements de vol, de réseaux d'ateliers et de réparateurs agréés, d'annonces de vente passées et de campagnes de rappel des constructeurs.

C'est pourquoi l'art. 14 du RGPD s'applique à ce traitement, et non l'art. 13, et c'est pourquoi la notice d'information sur les données des véhicules doit être publique, indexable par les moteurs de recherche et accessible sans compte et sans qu'aucun cookie ne soit déposé. La source doit elle aussi être indiquée, y compris s'il s'agit de sources accessibles au public (art. 14, paragraphe 2, point f)).

Chaque catégorie a une durée déclarée et une raison. Une durée sans raison n'est pas une politique de conservation, c'est une échéance inventée.

Nous faisons appel à des prestataires qui traitent des données pour notre compte. Ils sont désignés sous-traitants au sens de l'art. 28 du RGPD et liés par un contrat écrit qui en définit les finalités, la durée, les mesures de sécurité et les obligations d'effacement.

Nous ne vendons, ne cédons et ne louons aucune donnée personnelle à des tiers à des fins de marketing. Nous ne faisons pas d'enrichissement de profils et nous n'achetons pas de fichiers.

Nous privilégions les prestataires établis dans l'Union européenne ou dans l'Espace économique européen. Là où un prestataire américain est inévitable, nous ne nous appuyons pas sur la seule décision d'adéquation : nous signons de toute façon les clauses contractuelles types approuvées par la Commission et nous réalisons une analyse d'impact du transfert. Si ce prestataire est certifié au titre du EU–US Data Privacy Framework, nous vérifions la certification active dans le registre officiel avant de l'activer et nous en conservons la preuve documentaire, mais nous la traitons comme une garantie de plus et non comme la base du transfert.

Aux clauses contractuelles types nous ajoutons, si nécessaire, des mesures supplémentaires telles que le chiffrement avec des clés conservées dans l'Union. La raison de ce choix est pratique : une décision d'adéquation peut être annulée ou suspendue avec effet immédiat, et celui qui ne s'appuyait que sur elle se retrouve, ce jour-là, sans base juridique pour le transfert.

Le Rapport contient une appréciation synthétique générée automatiquement à partir des événements trouvés. Ce score concerne un véhicule, pas une personne : il ne produit pas d'effets juridiques à votre égard et ne vous affecte pas de manière significative de façon analogue. Il ne décide pas si vous pouvez acheter, ne vous attribue pas de score de crédit, ne conditionne pas l'accès à un service.

L'analyse d'impact relative à la protection des données reste obligatoire, mais pas à cause du score. Le Garante, dans le provvedimento n° 467 du 11 octobre 2018 (doc. web 9058979) — sa décision formelle —, énumère les traitements qui l'exigent, et le nôtre y entre d'abord parce qu'il opère « par interconnexion, combinaison ou rapprochement d'informations » : la base de données d'événements et la correspondance plaque → châssis sont exactement cela, et ce point ne fixe aucun seuil de taille. L'AIPD doit être achevée avant le début du traitement ; si le risque résiduel demeurait élevé, une consultation préalable du Garante s'imposerait au titre de l'art. 36 du RGPD.

Dans tous les cas, vous pouvez nous demander de réexaminer manuellement une appréciation que vous estimez erronée, et ce réexamen est gratuit. C'est le même canal que les signalements d'erreur sur le Rapport.

Vous pouvez exercer à tout moment les droits prévus aux art. 15 à 22 du RGPD.

Comment les exercer : écrivez à [email protected] en indiquant quel droit vous souhaitez exercer. Nous répondons sans retard injustifié et en tout état de cause dans un délai d'un mois ; ce délai peut être prolongé de deux mois dans les cas complexes, et nous vous en informons alors dans le premier mois (art. 12, paragraphe 3). L'exercice des droits est gratuit (art. 12, paragraphe 5) et nous n'avons pas l'intention d'appliquer la participation aux frais prévue pour les demandes manifestement infondées ou excessives.

Si vous êtes client, nous vous identifions par votre compte et nous ne vous demandons rien d'autre : vous recevez les données du compte, des commandes et des accès au Rapport. Si en revanche la demande porte sur un véhicule — « dites-moi tout ce que vous avez sur le châssis X » — nous vous demandons une pièce d'identité et une preuve de votre lien avec ce véhicule : certificat de propriété numérique, certificat d'immatriculation ou extrait du PRA établi à votre nom.

Si vous nous demandez d'effacer vos données, nous supprimons le compte et tout ce que nous ne sommes pas tenus de conserver. Nous ne pouvons en revanche pas effacer les écritures comptables, les factures et les reçus relatifs aux achats que vous avez faits : l'art. 2220 du Codice civile impose de conserver les livres comptables et la correspondance qui s'y rapporte pendant dix ans, et l'art. 17, paragraphe 3, point b), du RGPD écarte le droit à l'effacement lorsque le traitement est nécessaire au respect d'une obligation légale.

Pour la même raison, nous conservons pendant dix ans les éléments de preuve de localisation utilisés pour déterminer la TVA. Nous conservons aussi longtemps la preuve du consentement à l'exécution immédiate et à la renonciation à la rétractation, où le fondement est également l'art. 17, paragraphe 3, point e) : la constatation, l'exercice ou la défense d'un droit en justice.

Nous préférons le dire ouvertement plutôt que de vous promettre un effacement intégral qui n'aura pas lieu. Concrètement, voici ce qui se passe : les données que nous devons conserver sont isolées, elles ne sont plus utilisées à aucune fin opérationnelle, elles n'entrent dans aucune communication commerciale, elles ne sont accessibles qu'à ceux qui ont une raison administrative de les consulter, et elles sont effacées à l'échéance du délai.

Une logique analogue, avec des motifs différents, vaut pour les demandes d'effacement portant sur la base de données véhicules. La demande d'effacer l'enregistrement d'une manipulation de compteur est exactement le cas où il faut apprécier s'il existe des motifs légitimes impérieux qui prévalent sur les intérêts de la personne concernée (art. 17, paragraphe 1, point c), et 21, paragraphe 1, du RGPD) : la prévention de la fraude et la sécurité routière de celui qui achètera ce véhicule. Nous apprécions au cas par cas, nous consignons la décision par écrit et nous en conservons le registre. Ni un « nous effaçons toujours » ni un « nous n'effaçons jamais » ne seraient des réponses acceptables.

Lorsque nous procédons à une rectification ou à un effacement, nous en informons les destinataires auxquels les données avaient été communiquées, comme le prévoit l'art. 19 du RGPD, à moins que cela ne se révèle impossible ou n'exige des efforts disproportionnés.

Les mesures techniques et organisationnelles sont proportionnées au risque, comme l'exige l'art. 32 du RGPD. En résumé :

• TLS 1.3 pour tout le trafic en transit ;
• chiffrement au repos des données personnelles des clients et de la table de correspondance plaque → châssis ;
• séparation des rôles entre l'archive des événements et la table pont, qui ne résident pas dans le même environnement logique ;
• journalisation de chaque lecture de la table pont, avec revue périodique des accès ;
• mots de passe conservés exclusivement sous forme d'empreinte, jamais en clair ;
• principe du moindre privilège pour les accès internes, avec revue périodique.

En cas de violation de données personnelles entraînant un risque pour les droits et libertés des personnes concernées, nous notifions au Garante dans les 72 heures à compter du moment où nous en avons connaissance (art. 33) et nous informons les personnes concernées sans retard injustifié lorsque le risque est élevé (art. 34). La procédure de réponse doit être écrite avant l'incident, pas pendant.

L'autorité de contrôle compétente pour l'Italie est le Garante per la protezione dei dati personali (garanteprivacy.it). Vous pouvez introduire une réclamation au titre de l'art. 77 du RGPD et des dispositions correspondantes du Codice Privacy (D.Lgs. du 30 juin 2003, n° 196), ou vous adresser à l'autorité de contrôle de l'État membre où vous résidez habituellement ou travaillez.

Vous pouvez également saisir directement le juge (art. 79 du RGPD). Le recours au Garante et le recours au juge sont alternatifs : une fois l'un introduit, l'autre n'est plus possible sur la même question.

Nous vous demandons, si possible, de nous écrire d'abord : la plupart des demandes se règlent en quelques jours, et une réclamation bien motivée nous est de toute façon utile.

Chaque version de cette politique est numérotée, datée et archivée : nous devons pouvoir démontrer quel texte était publié à une date donnée, et c'est une obligation de responsabilité autant qu'une bonne pratique. La présente version française est une traduction fournie à titre de commodité ; en cas de divergence, le texte italien prévaut.

Si nous apportons des modifications substantielles, nous vous les communiquons, lorsque nous disposons d'un moyen de contact approprié, avant qu'elles ne prennent effet. Les modifications de nature rédactionnelle sont publiées avec un nouveau numéro de version et une nouvelle date.