Politique de confidentialite

1. Introduction

Bienvenue sur CFM - CONTROL FLEET MOTOS ("CFM", "nous", "notre" ou "nos"). Nous nous engageons à protéger la vie privée et les données personnelles de nos utilisateurs, clients et visiteurs du site web. La présente Politique de confidentialité explique comment nous collectons, utilisons, stockons, partageons et protégeons vos données personnelles lorsque vous utilisez notre plateforme de gestion de flotte et les services associés.

CFM fournit une plateforme de type logiciel en tant que service (SaaS) basée sur le cloud, conçue pour les entreprises de location de motocyclettes. Notre plateforme permet aux opérateurs de flottes de gérer leur inventaire de motocyclettes, les contrats de location, les programmes de maintenance, les registres financiers et les relations clients.

La présente Politique de confidentialité s'applique à toutes les données personnelles traitées via notre plateforme sur https://fleetmoto.com, y compris les données collectées via notre application web et tout service associé. En accédant à ou en utilisant notre plateforme, vous reconnaissez avoir lu et compris la présente Politique de confidentialité.

Si vous avez des questions sur la façon dont nous traitons vos données personnelles, veuillez nous contacter en utilisant les coordonnées fournies à la Section 15 de la présente politique.

2. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

En tant que responsable du traitement, nous déterminons les finalités et les moyens du traitement des données personnelles conformément à la législation applicable en matière de protection des données. Nous sommes responsables de veiller à ce que toutes les activités de traitement soient conformes au Règlement général sur la protection des données (RGPD) et aux lois portugaises sur la protection des données.

Pour toute demande, question ou préoccupation concernant le traitement de vos données personnelles, veuillez contacter notre Délégué à la protection des données à l'adresse dpo@fleetmoto.com.

3. Cadre juridique

Nos activités de traitement des données sont régies par les instruments juridiques suivants :

• Règlement (UE) 2016/679 — Règlement général sur la protection des données (RGPD): Le règlement principal de l'Union européenne en matière de protection des données et de la vie privée, directement applicable dans tous les États membres de l'UE, y compris le Portugal. Il établit les droits des personnes concernées et les obligations des responsables du traitement et des sous-traitants.
• Lei n.º 58/2019, de 8 de agosto — Loi portugaise sur la protection des données: La loi nationale qui assure l'exécution du RGPD dans l'ordre juridique portugais. Elle précise les dérogations nationales, la compétence de l'autorité de contrôle et les dispositions spécifiques au contexte portugais.
• Lei n.º 59/2019, de 8 de agosto — Loi portugaise sur la confidentialité électronique: Transpose la directive européenne 2002/58/CE (directive ePrivacy) en droit portugais, régissant le traitement des données personnelles et la protection de la vie privée dans le secteur des communications électroniques, y compris les règles relatives aux cookies, au marketing direct et aux données de trafic.
• Comissão Nacional de Proteção de Dados (CNPD) : L'autorité nationale portugaise de contrôle de la protection des données, établie en vertu du RGPD et du droit portugais. La CNPD supervise et fait respecter la conformité avec la législation sur la protection des données au Portugal.

Nous révisons régulièrement nos pratiques de traitement des données pour assurer une conformité continue avec ces cadres juridiques et toute modification ou orientation ultérieure émise par la CNPD, le Comité européen de la protection des données (CEPD) ou les juridictions compétentes.

4. Données collectées

Nous collectons et traitons les catégories suivantes de données personnelles, qui varient en fonction de votre rôle et de votre utilisation de notre plateforme :

4.1. Données de compte et d'identité

• Nom complet
• Adresse e-mail
• Mot de passe (stocké de manière sécurisée ; nous ne stockons jamais les mots de passe en clair)
• Image de profil (si fournie volontairement)
• Rôle et permissions de l'utilisateur au sein de la plateforme
• Horodatages de création du compte et de dernière connexion

4.2. Données organisationnelles

• Nom, identifiant et logo de l'organisation
• Détails de l'adhésion à l'organisation et rôles des utilisateurs
• Registres d'invitation (e-mail de l'invité, rôle, statut, expiration)

4.3. Données de flotte et données commerciales

• Données de la flotte de motocyclettes : marque, modèle, année, plaque d'immatriculation, numéro d'identification du véhicule (VIN), couleur, kilométrage, statut, détails d'acquisition (date, prix, source), informations d'assurance et documentation associée
• Registres de location : contrats de location, dates de début/fin, tarification, statut de paiement, affectations clients et conditions contractuelles
• Données des locataires (clients) : nom, e-mail, numéro de téléphone, détails de la pièce d'identité, informations du permis de conduire, adresse et historique de location
• Registres de maintenance : type de service, date, coût, kilométrage au moment du service, informations sur le prestataire et documentation associée
• Données financières : écritures comptables, montants des transactions, catégories de paiement, registres de revenus et dépenses, et documentation fiscale

4.4. Données techniques et d'utilisation

• Adresse IP
• Type et version du navigateur
• Système d'exploitation
• Type d'appareil et résolution d'écran
• Pages visitées et fonctionnalités utilisées sur la plateforme
• Date et heure d'accès
• URL de provenance
• Jetons de session et données d'authentification

4.5. Données de communication

• E-mails envoyés via la plateforme (par ex. e-mails d'invitation, notifications)
• Demandes d'assistance et correspondance

Nous ne collectons pas de catégories particulières de données personnelles (telles que l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses, les données de santé ou les données biométriques), sauf si cela est strictement nécessaire et avec votre consentement explicite.

5. Finalité et base juridique

Nous traitons vos données personnelles aux fins suivantes, chacune reposant sur une base juridique licite au titre de l'article 6, paragraphe 1, du RGPD :

Lorsque nous nous appuyons sur l'intérêt légitime comme base juridique, nous avons effectué un test de mise en balance pour nous assurer que nos intérêts ne l'emportent pas sur vos droits et libertés fondamentaux. Vous avez le droit de vous opposer à tout moment au traitement fondé sur l'intérêt légitime (voir Section 7).

Nous n'utilisons pas vos données personnelles pour des prises de décision automatisées ou du profilage produisant des effets juridiques vous concernant ou vous affectant de manière significative similaire.

6. Durées de conservation

Nous conservons vos données personnelles uniquement pendant la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées, ou conformément aux exigences de la loi applicable. Les durées de conservation spécifiques sont les suivantes :

À l'expiration de la durée de conservation, les données personnelles seront supprimées ou anonymisées de manière sécurisée. Les données anonymisées, qui ne peuvent plus être reliées à une personne identifiable, peuvent être conservées indéfiniment à des fins statistiques et analytiques.

Si vous demandez la suppression de votre compte, nous supprimerons ou anonymiserons vos données personnelles dans un délai de 30 jours, à l'exception des données que nous sommes légalement tenus de conserver (telles que les registres financiers et fiscaux) comme indiqué ci-dessus.

7. Droits des personnes concernées

En vertu du RGPD (articles 15 à 22) et du droit portugais de la protection des données, vous disposez des droits suivants concernant vos données personnelles :

• Droit d'accès (Art. 15 RGPD) : Vous avez le droit d'obtenir la confirmation que nous traitons vos données personnelles et, le cas échéant, d'accéder à ces données ainsi qu'aux informations sur les finalités du traitement, les catégories de données concernées, les destinataires, les durées de conservation et la source des données.
• Droit de rectification (Art. 16 RGPD) : Vous avez le droit de demander la correction des données personnelles inexactes et de faire compléter les données incomplètes.
• Droit à l'effacement ("droit à l'oubli") (Art. 17 RGPD): Vous avez le droit de demander la suppression de vos données personnelles lorsque : les données ne sont plus nécessaires à leur finalité initiale ; vous retirez votre consentement (lorsque le consentement constituait la base juridique) ; vous vous opposez au traitement et il n'existe pas de motifs légitimes impérieux ; les données ont été traitées de manière illicite ; ou la suppression est requise pour se conformer à une obligation légale. Ce droit est soumis à des exceptions, notamment notre obligation légale de conserver les registres financiers et fiscaux.
• Droit à la limitation du traitement (Art. 18 RGPD): Vous pouvez demander que nous limitions le traitement de vos données dans certaines circonstances, par exemple lorsque vous contestez l'exactitude des données, lorsque le traitement est illicite mais que vous vous opposez à l'effacement, lorsque nous n'avons plus besoin des données mais que vous en avez besoin pour des actions en justice, ou lorsque vous vous êtes opposé au traitement en attendant vérification.
• Droit à la portabilité des données (Art. 20 RGPD) : Vous avez le droit de recevoir vos données personnelles dans un format structuré, couramment utilisé et lisible par machine, et de transmettre ces données à un autre responsable du traitement sans entrave, lorsque le traitement est fondé sur le consentement ou un contrat et est effectué à l'aide de procédés automatisés.
• Droit d'opposition (Art. 21 RGPD) : Vous avez le droit de vous opposer au traitement de vos données personnelles fondé sur l'intérêt légitime (Art. 6(1)(f) RGPD). Dès réception de votre opposition, nous cesserons le traitement, sauf si nous pouvons démontrer des motifs légitimes impérieux qui l'emportent sur vos intérêts, droits et libertés, ou si le traitement est nécessaire à la constatation, l'exercice ou la défense de droits en justice.
• Droit de ne pas faire l'objet d'une décision automatisée (Art. 22 RGPD): Vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques vous concernant ou vous affectant de manière significative similaire. CFM ne pratique actuellement pas de telle prise de décision automatisée.
• Droit de retirer le consentement : Lorsque nous traitons vos données sur la base de votre consentement, vous avez le droit de retirer ce consentement à tout moment. Le retrait du consentement n'affecte pas la licéité du traitement effectué avant le retrait.

Comment exercer vos droits

Pour exercer l'un de ces droits, veuillez contacter notre Délégué à la protection des données à l'adresse dpo@fleetmoto.com ou nous écrire à Avenida Do Brasil 127, 2735-674 Agualva-Cacém, Portugal. Nous répondrons à votre demande dans un délai d'un (1) mois à compter de sa réception. Ce délai peut être prolongé de deux (2) mois supplémentaires si nécessaire, compte tenu de la complexité et du nombre de demandes. Nous vous informerons de toute prolongation dans un délai d'un mois à compter de la réception de la demande.

Nous pouvons demander une preuve d'identité avant de traiter votre demande afin de garantir la sécurité de vos données personnelles. Nous ne facturerons pas de frais pour l'exercice de vos droits, sauf si les demandes sont manifestement infondées ou excessives, auquel cas nous pourrons facturer des frais raisonnables ou refuser d'y donner suite.

Si vous estimez que nous n'avons pas traité votre demande de manière adéquate, vous avez le droit de déposer une réclamation auprès de l'autorité de contrôle portugaise (CNPD) — voir Section 15.

8. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données personnelles contre l'accès non autorisé, la modification, la divulgation ou la destruction, conformément à l'article 32 du RGPD. Ces mesures comprennent, sans s'y limiter :

8.1. Mesures techniques

• Chiffrement en transit : Toutes les données transmises entre votre navigateur et nos serveurs sont chiffrées via TLS/HTTPS.
• Chiffrement au repos : Le stockage en base de données est chiffré au repos par nos partenaires d'infrastructure.
• Sécurité des mots de passe : Les mots de passe des utilisateurs sont hachés à l'aide d'algorithmes cryptographiques aux standards de l'industrie et ne sont jamais stockés en clair.
• Gestion des sessions : Jetons de session sécurisés avec des politiques d'expiration appropriées.
• Isolation des données : Séparation stricte des données organisationnelles garantissant que chaque organisation ne peut accéder qu'à ses propres données.
• Validation des entrées : Toutes les entrées utilisateur sont validées et assainies à l'aide d'une validation basée sur des schémas pour prévenir les attaques par injection.
• Contrôle d'accès basé sur les rôles : Système de permissions granulaire garantissant que les utilisateurs ne peuvent accéder qu'aux données et fonctionnalités autorisées pour leur rôle.

8.2. Mesures organisationnelles

• L'accès aux données personnelles est limité au personnel autorisé qui en a besoin pour exercer ses fonctions.
• Des évaluations de sécurité régulières et des revues de code sont effectuées.
• Des procédures de réponse aux incidents sont en place pour la gestion des violations de données (voir Section 12).
• Les sous-traitants sont vérifiés et liés par des contrats de traitement des données (voir Section 9).
• Des sauvegardes régulières sont maintenues avec des contrôles d'accès et un chiffrement appropriés.

Bien que nous prenions des mesures étendues pour protéger vos données, aucune méthode de transmission sur Internet ou de stockage électronique n'est sécurisée à 100 %. Nous évaluons et améliorons continuellement nos pratiques de sécurité pour maintenir le plus haut niveau de protection.

9. Sous-traitants

Nous faisons appel aux sous-traitants suivants pour fournir et soutenir notre plateforme. Chaque sous-traitant est lié par un contrat de traitement des données (DPA) conformément à l'article 28 du RGPD, et nous avons vérifié qu'ils mettent en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles.

Nous ne vendons, ne louons et ne partageons pas vos données personnelles avec des tiers à leurs propres fins de marketing ou commerciales. Les données ne sont partagées qu'avec les sous-traitants énumérés ci-dessus, et uniquement dans la mesure nécessaire à la fourniture de nos services.

Nous révisons régulièrement nos contrats de sous-traitance et pouvons mettre à jour cette liste à mesure que notre infrastructure de service évolue. Tout changement significatif concernant nos sous-traitants sera reflété dans la présente Politique de confidentialité.

10. Transferts internationaux de données

CFM est une entreprise portugaise et notre stockage principal de données se trouve au sein de l'Espace économique européen (EEE). Toutefois, certains de nos sous-traitants peuvent traiter des données personnelles en dehors de l'EEE, notamment aux États-Unis.

Lorsque des données personnelles sont transférées en dehors de l'EEE, nous veillons à ce que des garanties appropriées soient en place, conformément au chapitre V du RGPD (articles 44 à 49) :

• Décisions d'adéquation de l'UE (Art. 45 RGPD): Lorsque la Commission européenne a déterminé qu'un pays tiers assure un niveau de protection adéquat, les transferts sont effectués sur la base de cette décision d'adéquation. Le cadre EU-US Data Privacy Framework s'applique aux organisations américaines certifiées.
• Clauses contractuelles types (CCT) (Art. 46(2)(c) RGPD): En l'absence de décision d'adéquation, nous nous appuyons sur les clauses contractuelles types de la Commission européenne, approuvées par la décision d'exécution (UE) 2021/914, qui obligent contractuellement l'importateur de données à protéger les données personnelles selon les normes de l'EEE.
• Mesures supplémentaires : Le cas échéant, sur la base d'une analyse d'impact du transfert, des mesures techniques supplémentaires (telles que le chiffrement en transit et au repos) ou des mesures organisationnelles sont mises en œuvre pour garantir un niveau de protection essentiellement équivalent.

Notre base de données et notre stockage principal de fichiers (via Supabase) sont hébergés dans les régions UE (Francfort, Allemagne), garantissant que la majeure partie des données personnelles reste au sein de l'EEE. Vercel traite les données principalement dans les régions UE mais peut utiliser son réseau Edge mondial pour la diffusion de contenu ; tout ce traitement est couvert par des CCT. Resend traite les données d'e-mail aux États-Unis sous CCT et le cadre EU-US Data Privacy Framework.

Vous pouvez obtenir une copie des garanties que nous avons mises en place pour les transferts internationaux en contactant notre DPO à l'adresse dpo@fleetmoto.com.

11. Cookies

Notre plateforme utilise des cookies et des technologies similaires pour assurer le bon fonctionnement du service. Nous utilisons actuellement uniquement des cookies strictement nécessaires (essentiels), qui sont requis pour le fonctionnement de la plateforme et ne nécessitent pas votre consentement en vertu du RGPD et de la Lei n.º 59/2019.

11.1. Cookies essentiels que nous utilisons

11.2. Cookies que nous n'utilisons pas

Nous n'utilisons actuellement pas :

• De cookies d'analyse ou de suivi (par ex. Google Analytics)
• De cookies publicitaires ou de reciblage
• De cookies de réseaux sociaux tiers
• De cookies qui suivent votre activité de navigation sur d'autres sites web

Si nous introduisons des cookies non essentiels à l'avenir, nous mettrons à jour cette politique et mettrons en place un mécanisme de consentement aux cookies conformément au RGPD et à la Lei n.º 59/2019, garantissant que vous pouvez donner ou retirer votre consentement avant que des cookies non essentiels ne soient placés sur votre appareil.

12. Notification des violations de données

En cas de violation de données personnelles, nous nous conformerons aux obligations de notification prévues aux articles 33 et 34 du RGPD.

12.1. Notification à l'autorité de contrôle (Art. 33 RGPD)

Lorsqu'une violation de données personnelles est susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, nous notifierons l'autorité de contrôle portugaise (Comissão Nacional de Proteção de Dados — CNPD) sans délai indu et, si possible, dans les 72 heures suivant la prise de connaissance de la violation. Si la notification n'est pas effectuée dans les 72 heures, nous fournirons les raisons du retard.

La notification à la CNPD comprendra :

• Une description de la nature de la violation, y compris le nombre approximatif de personnes concernées et d'enregistrements concernés
• Le nom et les coordonnées de notre Délégué à la protection des données
• Une description des conséquences probables de la violation
• Une description des mesures prises ou proposées pour remédier à la violation, y compris les mesures visant à atténuer ses éventuels effets négatifs

12.2. Communication aux personnes concernées (Art. 34 RGPD)

Lorsqu'une violation de données personnelles est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, nous communiquerons la violation aux personnes concernées sans délai indu, dans un langage clair et simple. Cette communication décrira la nature de la violation et fournira des recommandations permettant aux personnes concernées d'atténuer les effets négatifs potentiels.

La communication aux personnes concernées peut ne pas être requise lorsque : nous avons mis en œuvre des mesures de protection techniques appropriées (telles que le chiffrement) rendant les données inintelligibles ; nous avons pris des mesures ultérieures garantissant que le risque élevé n'est plus susceptible de se matérialiser ; ou lorsqu'elle nécessiterait un effort disproportionné, auquel cas une communication publique ou une mesure similaire sera effectuée à la place.

12.3. Procédure interne de réponse aux violations

Nous maintenons un plan interne de réponse aux violations de données qui comprend des procédures pour identifier, contenir, évaluer et documenter toutes les violations de données personnelles, qu'elles soient ou non soumises à notification. Toutes les violations sont consignées dans un registre interne conformément à l'article 33, paragraphe 5, du RGPD.

13. Protection des mineurs

CFM - CONTROL FLEET MOTOS est une plateforme SaaS interentreprises (B2B) conçue pour les entreprises de location de motocyclettes. Nos services ne s'adressent pas aux personnes de moins de 16 ans, qui est l'âge minimum pour consentir aux services de la société de l'information au Portugal en vertu de la Lei n.º 58/2019, Art. 16.º (mettant en œuvre l'Art. 8 RGPD).

Nous ne collectons pas sciemment de données personnelles auprès d'enfants de moins de 16 ans. Si nous apprenons que nous avons collecté par inadvertance des données personnelles d'un enfant de moins de 16 ans sans le consentement parental ou du tuteur approprié, nous prendrons des mesures pour supprimer ces données dans les plus brefs délais.

Si vous êtes un parent ou un tuteur et que vous pensez que votre enfant nous a fourni des données personnelles, veuillez nous contacter à l'adresse dpo@fleetmoto.com afin que nous puissions prendre les mesures appropriées.

14. Modifications de cette politique

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre pour refléter les changements dans nos pratiques de traitement des données, les exigences légales ou nos services. Lorsque nous apportons des modifications, nous mettrons à jour la "Date d'entrée en vigueur" au début de cette politique.

Pour les modifications substantielles affectant de manière significative la façon dont nous traitons vos données personnelles, nous fournirons un avis visible via la plateforme (tel qu'une bannière ou une notification) et, lorsque la loi l'exige, nous solliciterons votre consentement avant de continuer à traiter vos données selon les conditions mises à jour.

Nous vous encourageons à consulter régulièrement la présente Politique de confidentialité pour rester informé de la façon dont nous protégeons vos données personnelles. L'utilisation continue de la plateforme après la publication des modifications constitue votre prise de connaissance de la politique révisée, sauf lorsque le consentement est requis.

Les versions précédentes de cette Politique de confidentialité sont disponibles sur demande auprès de notre DPO à l'adresse dpo@fleetmoto.com.

15. Contact et réclamations

Si vous avez des questions, des préoccupations ou des demandes concernant la présente Politique de confidentialité ou nos pratiques de traitement des données, veuillez nous contacter :

Droit de déposer une réclamation

Si vous estimez que notre traitement de vos données personnelles enfreint le RGPD ou le droit portugais de la protection des données, vous avez le droit de déposer une réclamation auprès de l'autorité de contrôle portugaise :

Comissão Nacional de Proteção de Dados (CNPD)
Av. D. Carlos I, 134 - 1.º
1200-651 Lisboa, Portugal
Téléphone : +351 213 928 400
Fax : +351 213 976 832
E-mail : geral@cnpd.pt
Site web : www.cnpd.pt

Vous pouvez également déposer une réclamation auprès de l'autorité de contrôle de l'État membre de l'UE de votre résidence habituelle, de votre lieu de travail ou du lieu de l'infraction présumée, conformément à l'article 77 du RGPD.

Nous vous encourageons à nous contacter en premier lieu pour tenter de résoudre toute préoccupation avant de déposer une réclamation formelle auprès d'une autorité de contrôle.

Date d'entrée en vigueur : 1er février 2026