Politique de confidentialité

CabMaster — Traitement des données personnelles
Version : [À COMPLÉTER : numéro de version]
Dernière mise à jour : 13 octobre 2026

⚠️ AVERTISSEMENT — DOCUMENT NON PUBLIABLE EN L'ÉTAT. Toutes les mentions entre crochets [À COMPLÉTER : …] sont des informations que seul l'exploitant connaît (identité, durées retenues, DPO, sous-traitants). Elles doivent être renseignées avant publication. Aucune valeur n'a été inventée. Mise à jour du 13 octobre 2026 : ajout du traitement des données du passager lorsque la réservation est faite pour un tiers (section 2.1), conformément à la FAQ du gérant ; le prestataire de paiement en ligne n'est plus nommé côté client (sections 2.4, 7.2, 8 et 12).

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur le site est :

Point de contact pour les questions de protection des données : contact.cabmaster@gmail.com
Délégué à la protection des données (DPO) : [À COMPLÉTER : nom et coordonnées du délégué à la protection des données, si un DPO a été désigné. À défaut, indiquer qu'aucun DPO n'a été désigné et que les demandes sont adressées au point de contact ci-dessus.]

2. Quelles données sont collectées ?

2.1 Données fournies par le Client lors d'une réservation

• Identité : nom, prénom
• Coordonnées : numéro de téléphone, adresse e-mail
• Données de trajet : adresse de prise en charge, adresse de destination
• Données de la prestation : date, heure, nombre de passagers, gamme de véhicule choisie
• Options : siège(s) enfant (cette option peut indirectement révéler la présence d'un enfant, donc des données concernant un mineur), accueil avec tablette
• Remarques libres : le champ « remarques » est libre ; nous invitons le Client à ne pas y inscrire de données sensibles (santé, opinions, origine, etc.) ; voir l'article 9.
• Données de suivi : le code de suivi permettant de consulter la réservation

Lorsque la réservation est faite pour une autre personne (collaborateur, client, proche, invité), le Client nous transmet les coordonnées et les informations nécessaires à la prise en charge du passager. Ces données du passager (nom, téléphone, adresse et heure de prise en charge) sont traitées pour la seule exécution de la prestation, aux mêmes finalités que celles décrites à l'article 3 ; le Client veille à ce que le passager soit informé de cette transmission.

2.2 Données fournies pour une demande de devis

• Identité, coordonnées
• Nature de la prestation (mariage, excursion, groupe professionnel, mise à disposition, événement, longue distance)
• Détails du projet communiqués par le Client

2.3 Données collectées automatiquement

• Données de connexion / techniques : adresse IP, journaux (logs) du serveur, horodatage des requêtes, données d'identification de l'appareil et du navigateur — nécessaires au fonctionnement, à la sécurité et à la disponibilité du site
• Stockage technique local : identifiants enregistrés dans le stockage local (localStorage) du navigateur pour retrouver la dernière réservation et le code de suivi (voir la page Information sur les cookies)
• Mesure d'ouverture de nos courriels (traceur) : les courriels de confirmation contiennent une image invisible de 1 pixel. Elle permet de savoir que le message a bien été reçu et affiché, et à quel moment. Ce traceur n'enregistre aucune adresse IP, aucun appareil, aucune adresse e-mail : seuls un identifiant technique opaque du message et l'horodatage de l'ouverture sont conservés. Il est décrit en clair à l'article 13.

2.4 Données de paiement

À la date de la présente version, le paiement en ligne n'est pas activé : aucune donnée bancaire n'est collectée par le site. Le paiement s'effectue à bord (espèces ou carte bancaire) ou par virement bancaire (voir les CGV, article 7.1).
Lorsque le paiement en ligne sera activé, les données de paiement seront traitées par notre prestataire de paiement en ligne ; aucune donnée de carte bancaire n'est conservée par CabMaster.

2.5 Données concernant des mineurs

Le site n'est pas destiné aux mineurs, qui ne doivent pas créer de réservation eux-mêmes. La réservation d'un siège enfant est faite par l'adulte responsable.

3. Pour quelles finalités les données sont-elles traitées ?

Aucune décision entièrement automatisée produisant des effets juridiques n'est prise à partir de ces données.
[À COMPLÉTER : confirmer qu'aucun profilage ni décision automatisée n'est mis en œuvre ; le cas échéant, le décrire.]

4. Sur quelles bases légales ?

Conformément à l'article 6 du RGPD :

Lorsqu'une donnée est collectée sur la base du consentement, le Client peut le retirer à tout moment, sans que cela remette en cause la licéité du traitement antérieur.

5. Caractère obligatoire ou facultatif des réponses

Les informations marquées comme obligatoires dans le formulaire de réservation ou de devis doivent être fournies pour que la demande puisse être traitée. La non-fourniture de ces informations empêche la réservation ou la réponse à la demande.

Les autres informations (dont le champ « remarques ») sont facultatives. Le Client qui produit une donnée sensible dans le champ libre le fait de sa propre initiative ; nous l'invitons à s'en abstenir.

6. Combien de temps les données sont-elles conservées ?

Les durées ci-dessous doivent être confirmées et ajustées par l'exploitant. Elles respectent le principe de limitation de la conservation (article 5.1.e du RGPD) et les recommandations de la CNIL.

À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

7. Qui a accès aux données ? (destinataires)

7.1 Accès interne

Les données sont accessibles, dans la limite de ce qui est nécessaire à leur mission :

• à l'exploitant (gérant) et à son associé, pour la gestion des réservations et de la relation client ;
• au chauffeur affecté à la prestation, pour les seules données nécessaires à l'exécution (nom, coordonnées, adresses, heure, nombre de passagers, options).

[À COMPLÉTER : liste nominative des personnes ayant accès à l'outil de gestion (prénom et nom, rôle) — la réglementation impose une gestion des accès limitée au nécessaire.]

7.2 Destinataires externes (sous-traitants)

[À COMPLÉTER : identité exacte et coordonnées de l'hébergeur ainsi que du fournisseur de messagerie, et signature/renvoi vers un contrat de sous-traitance (article 28 du RGPD).]
[À COMPLÉTER : autres sous-traitants éventuels (outil de gestion, outil de signature, service d'envoi de SMS, etc.) — à compléter s'ils existent.]

Certains de ces prestataires peuvent être considérés comme responsables conjoints ou sous-traitants ultérieurs. Nous ne vendons ni ne louons jamais les données personnelles.

7.3 Transferts à des autorités

Les données peuvent être communiquées aux autorités administratives ou judiciaires, sur réquisition légale.

8. Transferts en dehors de l'Union européenne

Certaines données sont susceptibles d'être traitées en dehors de l'Union européenne :

Lorsqu'un transfert hors Union européenne repose sur des garanties appropriées, celles-ci sont mises à disposition sur demande adressée au point de contact de l'article 1.

9. Données sensibles et champ « remarques »

Le champ « remarques » du formulaire de réservation est libre. Il ne doit pas être utilisé pour communiquer des données sensibles au sens de l'article 9 du RGPD (santé, handicap, origine, opinions politiques ou religieuses, etc.).

Si un Client fournit volontairement une telle information (par exemple pour signaler un besoin d'assistance lié à un handicap ou un dispositif médical), cette donnée sera traitée sur la base de son consentement explicite (art. 9.2.a du RGPD), pour la seule finalité d'adapter la prestation, et supprimée à l'issue de la durée de conservation retenue.
[À COMPLÉTER : confirmer cette base légale et la manière dont ces données sont effacées après la prestation.]

10. Sécurité des données

Des mesures techniques et organisationnelles appropriées sont mises en œuvre pour protéger les données contre la destruction, la perte, l'altération et l'accès non autorisé, notamment :

• accès à l'outil de gestion protégé par identifiant et mot de passe individuels ;
• cloisonnement des accès (chaque personne n'accède qu'aux données utiles à sa mission) ;
• hébergement sur un serveur dédié au projet ;
• [À COMPLÉTER : autres mesures en place (chiffrement, sauvegardes, journalisation des accès, double authentification…). Aucune mesure n'a été inventée ici.]

En cas de violation de données susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, celles-ci seront informées conformément à l'article 34 du RGPD.

11. Vos droits

Conformément aux articles 15 à 22 du RGPD et à la loi n° 78-17 du 6 janvier 1978 modifiée, toute personne concernée dispose des droits suivants :

• Droit d'accès : obtenir la confirmation que ses données sont traitées et en recevoir une copie ;
• Droit de rectification : faire corriger des données inexactes ou incomplètes ;
• Droit à l'effacement (droit à l'oubli) : demander la suppression de ses données, dans les cas prévus par la loi ;
• Droit à la limitation du traitement ;
• Droit d'opposition au traitement, notamment à des fins de prospection commerciale ;
• Droit à la portabilité de ses données ;
• Droit de retirer son consentement à tout moment, lorsque le traitement repose sur celui-ci ;
• Droit de définir des directives relatives au sort de ses données après son décès.

Comment exercer ces droits ?

Adressez votre demande :

• par e-mail : contact.cabmaster@gmail.com
• par courrier : [À COMPLÉTER : adresse postale de traitement des demandes de droits — le siège social de l'entreprise ou l'adresse dédiée]
• par téléphone : (+33) 4 65 84 75 45 — par WhatsApp : (+33) 7 65 85 15 96

Précisez votre identité, le droit que vous souhaitez exercer et joignez si nécessaire un justificatif d'identité. Une réponse vous sera apportée dans un délai d'un mois à compter de la réception de la demande ; ce délai peut être prolongé de deux mois supplémentaires en cas de demande complexe, avec information préalable.

L'exercice de ces droits est gratuit, sauf demande manifestement infondée ou excessive.

Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés (CNIL) :

• en ligne : https://www.cnil.fr/fr/plaintes
• par courrier : CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

12. Modifications de la présente politique

Cette politique peut être modifiée pour tenir compte de l'évolution des traitements, des sous-traitants ou de la réglementation. La version applicable est celle publiée sur le site.

Évolutions prévues à déclarer :

• Paiement en ligne (activation) : [À COMPLÉTER : date prévue]
• Rapatriement du serveur d'hébergement vers la France / l'Union européenne : [À COMPLÉTER : date prévue]
• EN PLACE depuis le 12 octobre 2026 — mesure d'ouverture des courriels transactionnels (traceur déclaré à l'article 13) : la confirmation de réservation et l'accusé de réception d'une demande de devis portent une image invisible de 1 pixel, qui indique que le message a été affiché. Aucune adresse IP n'est conservée.
• [À COMPLÉTER : mise en place éventuelle d'un outil de mesure d'audience sur le SITE, ou d'un outil de communication (SMS, infolettre).]

13. Mesure d'ouverture de nos courriels (traceur)

Ce qui existe aujourd'hui, dit sans détour. Les courriels que CabMaster adresse au Client — la confirmation de réservation et l'accusé de réception d'une demande de devis — contiennent une image invisible de 1 pixel. Lorsque votre logiciel de messagerie affiche le message, cette image est chargée depuis notre site : nous savons alors que le message a été reçu et affiché, et à quel moment. C'est le seul traceur de ce type dans nos échanges : il n'existe ni sur le site, ni dans un autre courriel, ni dans un document.

Pourquoi ce traceur existe. Savoir qu'une confirmation est bien arrivée et a été ouverte permet de rappeler un Client dont le message serait resté dans les indésirables, de repérer une adresse erronée et de s'assurer que le récapitulatif de la course a bien été lu. C'est un service rendu au Client, pas une mesure publicitaire.

Aucun profilage, aucune publicité, aucune revente. Ces informations ne servent jamais à vous adresser des offres, ni à suivre votre navigation sur quelque site que ce soit.

Emplacements à compléter dans ce document

1. [À COMPLÉTER : numéro de version]
2. [À COMPLÉTER : nom et coordonnées du délégué à la protection des données (DPO), ou mention de son absence]
3. [À COMPLÉTER : confirmation sur les décisions automatisées / profilage]
4. [À COMPLÉTER : durées de conservation — réservations réalisées]
5. [À COMPLÉTER : durées de conservation — demandes de devis non concrétisées]
6. [À COMPLÉTER : durées de conservation — journaux techniques / logs]
7. [À COMPLÉTER : durées de conservation — communication commerciale]
8. [À COMPLÉTER : liste nominative des personnes ayant accès à l'outil de gestion]
9. [À COMPLÉTER : identité et coordonnées exactes de l'hébergeur et du fournisseur de messagerie + contrat de sous-traitance (art. 28 RGPD)]
10. [À COMPLÉTER : autres sous-traitants éventuels (SMS, e-mailing, outil de gestion, etc.)]
11. [À COMPLÉTER : confirmation des transferts hors UE avec le prestataire de paiement en ligne et garanties associées]
12. [À COMPLÉTER : fournisseur de messagerie utilisé (Google/Gmail ou autre) et encadrement du transfert]
13. [À COMPLÉTER : base légale retenue pour les données sensibles du champ « remarques » et modalité d'effacement]
14. [À COMPLÉTER : autres mesures de sécurité en place]
15. [À COMPLÉTER : adresse postale de traitement des demandes d'exercice des droits]
16. [À COMPLÉTER : date prévue d'activation du paiement en ligne]
17. [À COMPLÉTER : date prévue du rapatriement du serveur]
18. [À COMPLÉTER : outils futurs (mesure d'audience sur le site, SMS, infolettre) — la mesure d'ouverture des courriels, elle, est DÉJÀ déclarée à l'article 13.]
19. [À COMPLÉTER : durée de conservation retenue pour le journal des ouvertures de courriels (traceur de l'article 13).]
20. [À CONFIRMER PAR LE GÉRANT : aucune exclusion par destinataire n'existe encore pour le traceur d'ouverture — la mesure est aujourd'hui générale, et toute demande d'opposition est traitée à la main. Faut-il prévoir un réglage par dossier ?]

Sources

• CNIL — Le règlement général sur la protection des données (RGPD) — https://www.cnil.fr/fr/reglement-europeen-protection-donnees
• CNIL — Les durées de conservation des données — https://www.cnil.fr/fr/passer-laction/les-durees-de-conservation-des-donnees
• CNIL — Les droits des personnes sur leurs données — https://www.cnil.fr/fr/passer-laction/les-droits-des-personnes-sur-leurs-donnees
• CNIL — Les droits pour maîtriser vos données personnelles — https://www.cnil.fr/fr/mes-demarches/les-droits-pour-maitriser-vos-donnees-personnelles
• CNIL — Transferts de données hors de l'Union européenne — https://www.cnil.fr/fr/les-outils-de-la-conformite/transferer-des-donnees-hors-de-lue
• CNIL — Responsables de traitement : comment identifier et traiter des transferts de données hors UE — https://www.cnil.fr/fr/responsables-de-traitement-comment-identifier-et-traiter-des-transferts-de-donnees-hors-ue
• CNIL — Plainte en ligne — https://www.cnil.fr/fr/plaintes
• economie.gouv.fr — « Mentions sur votre site internet : les obligations à respecter » (informations d'information RGPD à publier) — https://www.economie.gouv.fr/entreprises/developper-son-entreprise/innover-et-numeriser-son-entreprise/mentions-sur-votre-site-internet-les-obligations-respecter
• Code de commerce, article L123-22 (obligation de conservation des documents comptables pendant dix ans) — https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006219327

Signalement — atelier RGPD « suppression des données d'un client » (13/10/2026)

Bloc AJOUTÉ à la fin de ce fichier par un autre atelier. Aucune ligne existante n'a été modifiée, retirée ni réécrite. À intégrer dans la FAQ « Vos droits » par l'atelier en charge de la reprise de ce fichier, puis ce bloc peut être retiré.

1. Le droit à l'effacement (article 11, « Vos droits ») comporte une limite légale : les

pièces comptables (factures) sont conservées dix ans au titre de l'article L123-22 du
code de commerce. La réponse au client est donc : **les coordonnées sont effacées, la
facture est conservée**.

1. La mention de la durée « dix ans » pour les pièces comptables peut être inscrite dans le

tableau du § 6 (durées de conservation) : aujourd'hui, elle y est « à compléter ».

1. La procédure complète — ce qu'on efface, ce qu'on garde, qui le fait, comment c'est tracé,

et la réponse type à envoyer au client — est écrite dans
juridique/procedure-suppression-donnees-client.md.

1. L'outil de gestion sait appliquer cette suppression : écran Clients & prospects → fiche

→ bloc « Données personnelles — anonymisation RGPD ». L'opération s'écrit comme un
événement dans anonymisations/anonymisations.jsonl (journal en ajout seul) ; l'affichage
montre ensuite le dossier anonymisé. Preuves : verifications/rgpd-anonymisation/.

1. Complément (décision du gérant, 13/10/2026) : sur la facture conservée, l'**identité de

l'acheteur n'est PAS effacée** — une facture doit identifier son acheteur (art. L123-22 du code
de commerce). L'effacement porte sur le fichier client, l'historique du contact et les
dossiers d'exploitation ; le numéro et les montants restent intacts partout.
Preuves : verifications/rgpd-factures-nom/.