1. Qui est responsable ?
Restit, édité par Léo Axel Leys (EI) (1 rue Pierre Lesdain, 62000 Dainville). Pour toute question sur vos données : contact@restit.eu.
2. Deux situations différentes
Les données des agences clientes (compte, facturation, sécurité) : Restit en est responsable de traitement.
Les données des locataires saisies par une agence (identité, permis, photographies, signatures) : l’agence en est responsable, et Restit agit comme sous-traitant au sens de l’article 28 du RGPD. Un locataire qui souhaite exercer ses droits s’adresse d’abord à l’agence qui lui a loué le véhicule. Les engagements de Restit envers les agences sont décrits dans les conditions générales de vente.
3. Données collectées
Pour l’agence cliente
- Adresse e-mail, mot de passe (conservé uniquement sous forme chiffrée par notre prestataire d’authentification), nom de l’agence.
- Informations de l’agence renseignées dans les réglages : raison sociale, SIRET, adresse, téléphone, logo.
- Réglage de la double authentification et codes à usage unique (conservés sous forme d’empreinte, jamais en clair).
- Données d’abonnement : palier, identifiants client et abonnement Stripe. Restit ne reçoit ni ne conserve les numéros de carte bancaire.
- Données techniques nécessaires au fonctionnement et à la sécurité : jetons de session, date d’acceptation des CGV, journaux techniques de l’hébergeur.
Pour le compte de l’agence (données des locataires)
- Identité et coordonnées du locataire : nom, prénom, date et lieu de naissance, adresse, téléphone, e-mail.
- Numéro, date et lieu de délivrance du permis de conduire.
- Informations de location : véhicule, dates, kilométrage, carburant, montants, cautions, retenues.
- Photographies horodatées de l’état des lieux et signatures manuscrites numérisées.
- Réservations et éventuel véhicule laissé en garantie.
4. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Créer et gérer le compte, fournir le service | Exécution du contrat (art. 6.1.b RGPD) |
| Facturer et encaisser l’abonnement | Exécution du contrat ; obligations comptables (art. 6.1.c) |
| Sécuriser l’accès (codes, limitation des essais, double authentification) | Intérêt légitime à protéger les comptes et les données (art. 6.1.f) |
| Envoyer les e-mails indispensables (codes de confirmation et de connexion) | Exécution du contrat |
| Traiter les données des locataires pour l’agence | Instructions de l’agence, responsable de traitement (art. 28) |
| Envoyer aux locataires, au nom de l’agence, la confirmation de réservation, le récapitulatif du contrat signé, le décompte de restitution et les rappels avant le départ et le retour (désactivable par l’agence) | Instructions de l’agence, responsable de traitement (art. 28) |
| Mesurer la fréquentation du site de façon anonyme et sans cookie (pages vues, provenance, type d’appareil) | Intérêt légitime à améliorer le site (art. 6.1.f) |
Restit n’envoie aucune prospection commerciale, ne revend aucune donnée et n’utilise pas vos données pour de la publicité.
5. Durées de conservation
- Compte de l’agence : tant que le compte existe, puis suppression dans un délai de 30 jours après la clôture, sauf obligation légale. L’agence peut aussi supprimer son compte elle-même, à tout moment, depuis les Réglages de l’application : l’effacement est alors immédiat.
- Pièces comptables (factures émises par Stripe) : 10 ans, conformément à l’article L123-22 du Code de commerce.
- Codes à usage unique : expirés en 10 à 15 minutes ; empreintes effacées au plus tard 24 heures après leur création.
- Traces des essais de code : effacées au plus tard 24 heures après.
- Journal technique des erreurs (page concernée, message d’erreur, type de navigateur ; aucune donnée saisie) : 90 jours, pour corriger les pannes.
- Journal des e-mails envoyés aux locataires (référence de la réservation, type d’e-mail, date ; sans le contenu) : 6 mois, pour éviter les envois en double.
- Données des locataires : durée fixée par l’agence (réglable dans l’application, 1 an par défaut), et au plus tard jusqu’à la suppression par l’agence ou la clôture de son compte.
6. Destinataires et prestataires
Les données ne sont accessibles qu’à l’agence concernée et, pour les besoins du service, aux prestataires suivants :
| Prestataire | Rôle | Localisation des traitements |
|---|---|---|
| Supabase | Base de données, authentification et stockage des photographies | Irlande (Union européenne), région eu-west-1 |
| Vercel | Hébergement et exécution du site, mesure d’audience anonyme sans cookie | Francfort (Union européenne), société établie aux États-Unis |
| Resend | Envoi des e-mails (codes de confirmation et de connexion) | Irlande (Union européenne), société établie aux États-Unis |
| Stripe Payments Europe, Limited | Paiement des abonnements | Irlande (Union européenne) |
Les polices de caractères et certaines bibliothèques techniques sont chargées depuis des services de diffusion (Google Fonts, jsDelivr, cdnjs), qui reçoivent à cette occasion l’adresse IP du navigateur.
7. Transferts hors de l’Union européenne
Les données du service sont traitées dans l’Union européenne. Certains prestataires étant des sociétés établies aux États-Unis, un accès depuis ce pays ne peut être exclu : il est encadré par le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le prestataire y a adhéré, ou par les clauses contractuelles types de la Commission européenne.
8. Sécurité
- Chaque agence est cloisonnée directement dans la base de données : une agence ne peut pas lire les données d’une autre.
- Connexions chiffrées (HTTPS), mots de passe jamais stockés en clair, codes conservés sous forme d’empreinte.
- Double authentification disponible ; lorsqu’elle est active, la base refuse toute donnée à une session qui n’a pas présenté son code.
- Limitation des essais de connexion et de code.
9. Cookies et stockage local
Restit ne dépose que des cookies strictement nécessaires : ceux qui maintiennent la session de connexion. Le navigateur conserve aussi quelques préférences d’affichage (par exemple, masquer la liste de démarrage). Aucun cookie publicitaire n’est utilisé. La fréquentation du site est mesurée par Vercel Web Analytics sans déposer ni lire aucun cookie et sans identifiant persistant : les visites sont comptées de façon agrégée et anonyme, sans suivi d’un site à l’autre. Aucun consentement préalable n’est donc requis (article 82 de la loi Informatique et Libertés).
10. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données. Pour les exercer, écrivez à contact@restit.eu. Une réponse vous est apportée dans un délai d’un mois.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes.