Vos données personnelles chez Citadine Auto

Confier une voiture à un professionnel, c'est lui confier aussi votre nom, votre adresse, votre carte grise et souvent une copie de votre pièce d'identité. Cette page dit exactement ce qui est collecté, pourquoi, pendant combien de temps, et qui y a accès.

Elle est écrite traitement par traitement. C'est plus long qu'un texte général. C'est aussi la seule façon d'être vérifiable.

Responsable de traitement :, SIRET. Contact : ou. Textes applicables : règlement (UE) 2016/679 (RGPD) et loi n° 78-17 du 6 janvier 1978 modifiée.

Traitement 1 — Répondre à une demande envoyée par le site

Ce qui est collecté. Nom, prénom, téléphone, courriel, contenu de votre message. Si votre demande porte sur un véhicule : marque, modèle, année, kilométrage, motorisation, état déclaré, et les photos que vous joignez.

Pourquoi. Vous rappeler, vous répondre, préparer un rendez-vous.

Base légale. Mesures précontractuelles prises à votre demande — article 6.1.b du RGPD. Vous nous écrivez pour obtenir une réponse : votre consentement n'est ni demandé ni nécessaire, il est remplacé par votre démarche elle-même.

Qui y accède. Le personnel chargé de la relation client. L'hébergeur du site, en tant que sous-traitant technique.

Durée. 3 ans à compter de votre dernier contact, si aucune relation contractuelle ne s'ouvre. C'est la durée retenue par la CNIL pour les données de prospection. Passé ce délai, suppression.

Traitement 2 — Gérer un dépôt-vente ou une vente

Ce qui est collecté. État civil complet, adresse postale, coordonnées, coordonnées bancaires pour le versement du prix. Pour le véhicule : immatriculation, numéro de série (VIN), certificat d'immatriculation, kilométrage relevé, procès-verbal de contrôle technique, certificat de situation administrative, factures d'entretien remises.

Pourquoi. Rédiger et exécuter le mandat de vente, établir le certificat de cession, encaisser le prix, vous le reverser.

Base légale. Exécution du contrat — article 6.1.b du RGPD.

Qui y accède. Le personnel habilité. L'acheteur, pour les seules données que la loi impose de lui transmettre. L'ANTS, pour la déclaration de cession. Votre banque et la nôtre, pour le virement. L'expert-comptable de l'entreprise.

Durée. Pendant toute la durée du mandat, puis archivage 5 ans à compter de la fin de la relation, durée de la prescription commerciale de droit commun. Les pièces à valeur comptable — factures, relevés de commission — sont conservées 10 ans, conformément à l'article L123-22 du code de commerce.

Traitement 3 — Copie de la pièce d'identité et registre des objets mobiliers

Ce traitement est traité à part. C'est le plus sensible des cinq.

Ce qui est collecté. Nature du document présenté, numéro, date de délivrance, autorité émettrice, identité du déposant. Le cas échéant, une photocopie ou un scan du document.

Pourquoi. L'article 321-7 du code pénal impose au professionnel qui reçoit des biens mobiliers d'occasion en dépôt-vente de tenir un registre journalier identifiant chaque déposant, à partir d'un document d'identité présenté. Le dispositif vise le recel : il permet de retracer l'origine d'un véhicule.

Base légale. Obligation légale — article 6.1.c du RGPD. Pas de consentement ici : vous ne pouvez pas refuser, et nous ne pouvons pas y renoncer. Sans identification, pas de dépôt.

Qui y accède. Le personnel habilité. Les services de police et de gendarmerie, sur réquisition ou lors d'un contrôle.

Durée. Le registre est conservé 5 ans à compter de sa clôture, conformément à l'article R321-6 du code pénal.

Point à faire trancher par un juriste. La CNIL distingue le relevé des mentions d'identité, qui est ce que la loi impose, et la conservation d'une copie intégrale du document, qu'elle considère comme rarement justifiée et qu'elle a déjà sanctionnée. Deux questions restent ouvertes et doivent être arbitrées avant mise en ligne : la copie du titre d'identité doit-elle être conservée, ou seules ses références ? Et si une copie est conservée, sur quelle durée exacte — six mois est la durée souvent retenue pour des justificatifs, ce qui entre en tension avec les cinq ans du registre. Ne pas laisser cette ambiguïté dans le texte publié.

Traitement 4 — Comptabilité et obligations fiscales

Ce qui est collecté. Identité, adresse, montants encaissés et reversés, commission prélevée, numéro de facture.

Pourquoi. Tenir la comptabilité et répondre à un contrôle.

Base légale. Obligation légale — article 6.1.c du RGPD.

Qui y accède. L'expert-comptable, l'administration fiscale sur demande.

Durée. 10 ans à compter de la clôture de l'exercice.

Traitement 5 — Sécurité du site et journaux de connexion

Ce qui est collecté. Adresse IP, date et heure de la requête, page demandée, type de navigateur, réponse du serveur.

Pourquoi. Détecter les tentatives d'intrusion, bloquer les envois automatisés de formulaires, reconstituer l'origine d'un incident.

Base légale. Intérêt légitime — article 6.1.f du RGPD. Notre intérêt est de garder un site qui fonctionne et des formulaires exploitables ; il ne porte pas atteinte à vos droits puisque ces journaux ne servent à aucun profilage.

Qui y accède. L'administrateur technique du site et l'hébergeur.

Durée. 12 mois, puis effacement automatique.

Traitement 6 — Envoi d'informations commerciales

Ce qui est collecté. Courriel, prénom, éventuellement le type de véhicule recherché.

Pourquoi. Vous signaler l'arrivée d'un véhicule correspondant à votre recherche.

Base légale. Consentement — article 6.1.a du RGPD. C'est le seul traitement de cette page fondé sur le consentement, et c'est volontaire : le consentement n'est pas un passe-partout, il ne vaut que là où vous avez un vrai choix.

Durée. Jusqu'au retrait de votre consentement, et au plus 3 ans après votre dernier contact. Chaque message contient un lien de désinscription.

Transferts hors Union européenne

Aucun transfert de vos données en dehors de l'Union européenne n'est réalisé. Le site est hébergé en France par. Si cette situation changeait, cette page serait mise à jour avant le transfert.

Vos droits, et comment les exercer

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité (articles 15 à 22 du RGPD). Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.

Ces droits ont des limites concrètes, autant les dire :

• Une demande d'effacement ne vous permet pas de faire disparaître une inscription au registre des objets mobiliers, ni une facture. Ces conservations sont imposées par la loi.
• Le droit d'opposition ne s'applique pas aux traitements fondés sur l'exécution du contrat que vous avez signé.
• La portabilité ne concerne que les données fondées sur le consentement ou sur le contrat, et que vous avez vous-même fournies.

Procédure. Écrivez, objet « RGPD », ou par courrier. Précisez le droit exercé et le traitement concerné. Une preuve d'identité peut vous être demandée en cas de doute raisonnable sur votre identité — et seulement dans ce cas.

Délai de réponse. 1 mois à compter de la réception, prolongeable de 2 mois si la demande est complexe, avec information de votre part dans le premier mois.

Réclamation auprès de la CNIL

Si la réponse ne vous convient pas, ou en l'absence de réponse, vous pouvez saisir la Commission nationale de l'informatique et des libertés (article 77 du RGPD).

CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr

La saisine est gratuite et ne vous prive d'aucun recours devant un tribunal.

Sécurité

Le site est servi en HTTPS. Les formulaires sont protégés contre la soumission automatisée. L'accès aux dossiers de dépôt est limité au personnel qui en a besoin. Les documents papier sont rangés sous clé.

Aucune de ces mesures n'est un absolu. En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, vous en seriez informé conformément à l'article 34 du RGPD.

Mise à jour

Cette politique est datée. Toute modification substantielle sera signalée sur cette page.