Politique de confidentialité

Dernière mise à jour : 13 août 2026

Cette politique décrit les traitements de données à caractère personnel mis en œuvre par le service AutoComp — Comparateur Auto, conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée.

1. Qui est responsable de quoi

Le service fait intervenir deux responsables de traitement distincts. Cette distinction détermine à qui adresser une demande d'exercice de droits.

Rôle	Entité	Périmètre
Responsable de traitement	Fakhri Mansour / INRAE [À COMPLÉTER : forme juridique, SIREN, adresse, contact]	Données saisies dans l'outil : fiches clients et prospects, notes sur annonces, favoris, historique de recherche, tâches de surveillance.
Sous-traitant (art. 28 RGPD)	[À COMPLÉTER : raison sociale de l'éditeur]	Héberge et exploite le service pour le compte du responsable de traitement, sur instruction documentée de celui-ci, dans le cadre d'un contrat de sous-traitance.
Responsable de traitement (traitements propres)	[À COMPLÉTER : raison sociale de l'éditeur]	Données techniques nécessaires à la sécurité et au bon fonctionnement du service : journaux d'authentification, adresses IP, mesures anti-abus.

2. Traitements mis en œuvre

2.1 Gestion du compte et sécurité

Données	Adresse électronique, empreinte du mot de passe (jamais le mot de passe en clair), adresse IP, horodatage des connexions, des échecs de connexion et des verrouillages de compte, identifiant technique de requête.
Finalités	Authentifier l'utilisateur, détecter et bloquer les tentatives d'accès frauduleuses, tracer les actions sensibles.
Base légale	Intérêt légitime (art. 6.1.f) — sécurité du système d'information et protection des données qu'il contient.
Conservation	Journal de sécurité : [À COMPLÉTER : durée à fixer et à implémenter]. Compteurs d'échecs de connexion : purgés à la connexion réussie ou à l'expiration du verrouillage.

2.2 Fiches clients et prospects

Données	Nom, budget, notes libres, véhicule recherché, notes attachées à des annonces, favoris.
Personnes concernées	Clients et prospects du professionnel utilisateur.
Finalités	Suivi commercial, rapprochement entre une recherche client et les annonces disponibles.
Base légale	Exécution de mesures précontractuelles ou du contrat (art. 6.1.b) pour un client ; intérêt légitime (art. 6.1.f) pour la prospection d'un prospect.
Conservation	[À COMPLÉTER : durée à fixer et à implémenter — recommandation CNIL : 3 ans à compter du dernier contact pour un prospect]

Champs libres. Les notes sont saisies en texte libre. Aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions, appartenance syndicale, etc.) ne doit y être consignée. Les commentaires doivent rester objectifs et pertinents au regard de la finalité commerciale.

2.3 Annonces collectées sur des sites tiers

Données	Titre de l'annonce, prix, année, kilométrage, énergie, localisation (ville ou département), adresse de l'annonce.
Personnes concernées	Vendeurs particuliers ayant publié une annonce sur une plateforme accessible au public.
Source	Collecte indirecte, par consultation automatisée de pages publiques des sites LeBoncoin, AutoScout24, mobile.de, ParuVendu, Marktplaats et 2ememain.
Finalités	Établir un référentiel de prix de marché et détecter les nouvelles annonces et baisses de prix correspondant à une recherche enregistrée.
Base légale	Intérêt légitime (art. 6.1.f) — connaissance du marché de l'occasion. Aucune donnée d'identification directe du vendeur (nom, téléphone, adresse exacte) n'est collectée ni conservée.
Conservation	Annonces surveillées : supprimées automatiquement 30 jours après leur dernière observation en ligne. Résultats de recherche en cache : [À COMPLÉTER : durée à fixer et à implémenter].

Information des personnes concernées (art. 14.5.b RGPD). L'information individuelle des vendeurs exigerait de les contacter un par un via les plateformes d'origine, alors que le service ne collecte aucune coordonnée et que les annonces sont conservées pour une durée brève. Cette démarche représenterait un effort disproportionné au sens de l'article 14.5.b. La présente politique, publiquement accessible, constitue la mesure d'information alternative prévue par ce texte. Toute personne identifiant une annonce la concernant peut en demander la suppression aux coordonnées du point 6.

2.4 Notifications

Données	Identifiant technique d'abonnement aux notifications web (endpoint et clés de chiffrement), identifiant de conversation Telegram.
Finalités	Alerter l'utilisateur d'une nouvelle annonce, d'une baisse de prix ou d'un incident technique.
Base légale	Consentement (art. 6.1.a) — l'abonnement résulte d'une action explicite et se retire à tout moment depuis l'interface ou le navigateur.
Conservation	Jusqu'au retrait de l'abonnement ou à l'invalidation de l'identifiant par le navigateur.

3. Destinataires et sous-traitants ultérieurs

Les données ne sont ni vendues, ni louées, ni cédées. Elles sont communiquées uniquement aux prestataires techniques strictement nécessaires au fonctionnement du service :

Prestataire	Rôle	Données transmises	Localisation
Hostinger International Ltd	Hébergement du serveur	Ensemble des données du service	Serveurs en France 🇫🇷 — UE
Mistral AI	Analyse comparative des annonces	Caractéristiques des annonces (titre, prix, année, kilométrage, localisation) et paramètres de frais du garage. Aucune donnée client n'est transmise.	France 🇫🇷 — UE
Apify	Collecte des annonces LeBoncoin	Marque et modèle recherchés uniquement	Union européenne [à confirmer au contrat]
Telegram	Messagerie d'alerte et commandes à distance	Contenu des alertes : caractéristiques d'annonces et, si la fonction de gestion des clients à distance est utilisée, nom et informations des fiches clients	Hors Union européenne ⚠️
Services de notification des navigateurs (Google, Mozilla, Apple)	Acheminement des notifications web	Message chiffré de bout en bout et identifiant d'abonnement	Selon le navigateur, possiblement hors UE ⚠️

Transferts hors Union européenne

L'acheminement des alertes via Telegram implique un transfert vers un pays tiers ne bénéficiant pas d'une décision d'adéquation de la Commission européenne. Ce transfert est limité aux seules données figurant dans les messages d'alerte.

Mesure recommandée : n'activer les alertes Telegram que pour les annonces, et ne pas utiliser les commandes de gestion de clients à distance, afin qu'aucune donnée de client ou de prospect ne quitte l'Union européenne. Voir le point 8.

4. Cookies et traceurs

Le service dépose un seul cookie :

Nom	Finalité	Durée
`session`	Maintenir la session authentifiée. Signé cryptographiquement, restreint au site (`SameSite=Strict`), transmis uniquement en HTTPS.	7 jours au maximum, avec expiration après 8 heures d'inactivité

Ce cookie est strictement nécessaire à la fourniture du service expressément demandé par l'utilisateur. Il est à ce titre exempté de consentement préalable au sens de l'article 82 de la loi Informatique et Libertés. Aucun cookie de mesure d'audience, de publicité ou de réseau social n'est utilisé, et aucun traceur tiers n'est déposé.

5. Sécurité

Mesures techniques et organisationnelles effectivement en place (art. 32 RGPD) :

Chiffrement de l'ensemble des échanges en HTTPS, avec HSTS et redirection permanente.
Mots de passe stockés sous forme d'empreinte calculée par une fonction de dérivation résistante au calcul intensif ; longueur minimale de 16 caractères imposée.
Verrouillage automatique du compte après plusieurs échecs de connexion, avec alerte.
Sessions révocables globalement, expirant après inactivité.
Protection contre la falsification de requête (CSRF) sur toutes les opérations d'écriture.
Journal de sécurité horodaté : connexions, échecs, verrouillages, refus d'accès, suppressions de données.
Application isolée dans un conteneur à système de fichiers en lecture seule, sans privilège, exécutée sous un compte non privilégié et non exposée directement à Internet.
Base de données sauvegardée quotidiennement, chiffrée, avec contrôle d'intégrité et rétention de 14 sauvegardes quotidiennes et 6 mensuelles.

6. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité prévus aux articles 15 à 22 du RGPD.

Données commerciales (fiche client, notes, favoris) : adresser la demande au responsable de traitement — Fakhri Mansour / INRAE, [À COMPLÉTER : adresse électronique de contact].
Annonce vous concernant, données de connexion : adresser la demande à l'éditeur — [À COMPLÉTER : adresse électronique de contact].

Une réponse est apportée dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe. Une pièce d'identité peut être demandée en cas de doute raisonnable sur l'identité du demandeur.

En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

7. Décision automatisée

L'analyse produite par l'intelligence artificielle classe des annonces et propose une estimation. Elle ne produit aucun effet juridique à l'égard d'une personne et ne constitue pas une décision automatisée au sens de l'article 22 du RGPD : elle porte sur des véhicules, non sur des personnes, et toute décision commerciale reste prise par un opérateur humain.

8. Violation de données

En cas de violation de données à caractère personnel, l'éditeur en informe le responsable de traitement sans délai injustifié. Le responsable de traitement notifie la CNIL dans les 72 heures lorsque la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes, et informe les personnes concernées lorsque le risque est élevé.

9. Modification

Cette politique peut être mise à jour pour tenir compte d'évolutions du service ou de la réglementation. La date de dernière mise à jour figure en tête de page.