Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement, au sens de l'article 4-7 du RGPD, est Iroko SAS, éditrice de ZeroPV, dont le siège social est situé au 60 rue François 1^er, 75008 Paris, France (voir mentions légales).

Toute demande relative à la protection des données peut être adressée au délégué à la protection des données (DPO) : rgpd@app-zeropv.com, ou par courrier postal à l'adresse du siège social, à l'attention du DPO.

2. Catégories de données collectées

Dans le cadre de l'utilisation du Service, sont collectées les catégories de données suivantes :

• Données d'identification et de compte : adresse électronique, nom, numéro de téléphone (facultatif), mot de passe (haché et salé).
• Données relatives aux véhicules : type, libellé, plaque d'immatriculation (chiffrée au repos).
• Données de preuve : coordonnées GPS, photographie (chiffrée), horodatage qualifié, type de véhicule, données d'environnement (météo, adresse inverse).
• Données de stationnement : adresse, géolocalisation, durée prévue, tarif déclaré.
• Données de consentement : historique des choix de l'Utilisateur (géolocalisation, caméra, notifications, mesure d'audience).
• Données techniques et journaux : adresse IP, user-agent, journal des actions sensibles (export, suppression de compte, accès administrateur).

3. Finalités et bases légales

Chaque traitement repose sur une base légale identifiée parmi celles énumérées à l'article 6 du RGPD :

• Exécution du contrat (art. 6-1-b) : fourniture du Service, gestion du compte, génération des attestations, traitement des paiements.
• Consentement (art. 6-1-a) : accès à la géolocalisation, à la caméra, envoi de notifications commerciales, mesure d'audience.
• Obligation légale (art. 6-1-c) : conservation des journaux d'audit, obligations comptables et fiscales, lutte contre la fraude.
• Intérêt légitime (art. 6-1-f) : amélioration du Service, sécurité des systèmes d'information, prévention des abus.

4. Durées de conservation

Les données sont conservées pendant les durées strictement nécessaires aux finalités poursuivies :

• Compte actif : pendant toute la durée de la relation contractuelle.
• Preuves et attestations : cinq (5) ans, correspondant à la durée de prescription applicable aux contraventions.
• Journaux d'audit et données comptables : six (6) ans, conformément aux obligations du Code de commerce et du Livre des procédures fiscales.
• Historique des consentements : trois (3) ans à compter de leur révocation.
• Compte supprimé : effacement définitif dans un délai maximum de trente (30) jours suivant la demande, sauf obligation légale de conservation.

5. Destinataires, sous-traitants et transferts

Les données sont accessibles, dans la stricte limite de leurs missions, au personnel habilité d'Iroko SAS et à ses sous-traitants liés par un contrat conforme à l'article 28 du RGPD :

• Cloudflare, Inc. et Supabase Inc. (hébergement, via la plateforme Lovable Cloud) — données hébergées au sein de l'Union européenne.
• Brevo (Sendinblue), France — envoi des courriels et SMS transactionnels.
• DigiCert — autorité d'horodatage qualifiée RFC 3161 ; ancrage public sur la blockchain Tezos.
• Stripe Payments Europe Ltd, Irlande — traitement des paiements.

Aucun transfert de données hors de l'Union européenne n'est effectué sans encadrement approprié (clauses contractuelles types adoptées par la Commission européenne ou décision d'adéquation).

6. Vos droits

Conformément aux articles 15 à 22 du RGPD et aux articles 49 et suivants de la loi Informatique et Libertés, vous disposez des droits suivants, exerçables auprès du DPO :

• Droit d'accès et de portabilité : téléchargement intégral de vos données depuis votre compte → RGPD → Exporter mes données.
• Droit de rectification : modification directe de vos informations depuis votre espace personnel.
• Droit à l'effacement : suppression de votre compte (assortie d'un délai de grâce de trente jours).
• Droit d'opposition et de limitation : révocation de vos consentements à tout moment, sans incidence sur les traitements antérieurs.
• Droit de définir des directives post-mortem sur le sort de vos données après votre décès.
• Droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (www.cnil.fr).

Toute demande sera traitée dans un délai d'un (1) mois, prorogeable de deux (2) mois en cas de complexité particulière.

7. Cookies et traceurs

ZeroPV recourt exclusivement à des cookies strictement nécessaires au fonctionnement du Service (gestion de session, sécurité). Conformément à la délibération n° 2020-091 de la CNIL, ces cookies sont dispensés de consentement préalable.

Toute mesure d'audience ou tout traceur tiers est désactivé par défaut et ne s'active qu'avec le consentement libre, éclairé et univoque de l'Utilisateur, retiré aussi aisément qu'accordé.

8. Sécurité des traitements

Conformément à l'article 32 du RGPD, l'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté aux risques : chiffrement au repos des plaques d'immatriculation et des photographies, hachage robuste des mots de passe (Argon2 / bcrypt), chiffrement des communications en HTTPS/TLS 1.3, cloisonnement des accès, journalisation des opérations sensibles et revue régulière des autorisations.

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, la CNIL sera notifiée dans les soixante-douze (72) heures, et les utilisateurs concernés en seront informés sans délai injustifié.