Politique de confidentialité

1. Qui sommes-nous ?

Drivea est un logiciel de gestion pour auto-écoles édité par CZSYN SAS (SIREN 933 357 071, siège social : 69 Rue du Rouet, 13008 Marseille). La présente politique décrit comment les données personnelles sont traitées dans l'application Drivea (mobile et web) et sur le site drivea.fr, conformément au Règlement général sur la protection des données (RGPD, règlement UE 2016/679) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.

Contact pour toute question relative à vos données : [email protected].

2. Qui est responsable de vos données ?

• Élèves et moniteurs : votre auto-école est responsable du traitement des données qu'elle gère dans Drivea (dossier élève, planning, progression, paiements, contrats). CZSYN SAS agit alors comme sous-traitant, pour le compte et sur instruction de l'auto-école, dans le cadre de l'accord de sous-traitance (article 28 du RGPD) publié sur drivea.fr/dpa.
• Gérants d'auto-école : CZSYN SAS est responsable du traitement des données de votre compte gérant, de votre abonnement et de votre facturation.
• Prospects et visiteurs : CZSYN SAS est responsable du traitement des demandes envoyées depuis l'annuaire des auto-écoles, les formulaires de demande de devis ou de recherche par secteur, et des mesures d'audience du site.

3. Données collectées

• Identification : nom, prénom, adresse email, numéro de téléphone, date et lieu de naissance, adresse postale, photo de profil (facultative).
• Formation à la conduite : numéro NEPH, catégorie de permis, forfait, heures effectuées, planning des leçons, comptes rendus, progression dans le référentiel REMC, résultats des séances de révision du code, inscriptions à l'examen du code, trajets du carnet de conduite accompagnée (date, kilomètres, durée, conditions).
• Élèves mineurs : coordonnées du représentant légal, lorsque l'auto-école les renseigne.
• Contrat de formation : contrat, preuve de signature électronique (date, adresse IP, navigateur, tracé de la signature), code de vérification envoyé par email.
• Auto-école : raison sociale, SIRET, numéro d'agrément, adresse, tarifs, numéro d'autorisation d'enseigner des moniteurs.
• Paiements : historique des paiements enregistrés par l'auto-école, échéanciers, reste à payer repris d'un précédent logiciel, abonnements Drivea. Aucune donnée de carte bancaire n'est stockée par Drivea.
• Messagerie : messages échangés entre l'élève et son auto-école dans l'application, avec leur date et leur statut de lecture.
• Avis : note et commentaire déposés par l'élève sur son auto-école, date de sa dernière leçon terminée, réponse de l'auto-école.
• Prospects : prénom, nom, email ou téléphone, ville ou département, catégorie de permis, message, consentement, adresse IP et navigateur au moment de la demande.
• Données techniques : identifiant de notification push de l'appareil, journaux de connexion, erreurs techniques, événements d'utilisation du produit (par exemple « premier élève ajouté »).

4. Finalités et bases légales

• Exécution du contrat : fourniture du Service aux auto-écoles et à leurs utilisateurs, gestion des comptes, planning, contrats, paiements, abonnement et facturation.
• Mesures précontractuelles : transmission de votre demande à une ou plusieurs auto-écoles lorsque vous en faites la demande depuis drivea.fr.
• Obligation légale : conservation des pièces comptables, contrat type d'enseignement de la conduite, réponse aux demandes des autorités.
• Intérêt légitime : sécurité du Service, prévention des abus, détection des erreurs, amélioration du produit à partir de statistiques d'utilisation.

5. Annuaire : demandes de devis et avis publiés

Lorsque vous contactez une auto-école depuis l'annuaire de drivea.fr, votre demande (prénom, nom, coordonnées, ville, permis visé, message) est transmise à cette auto-école. Lorsque vous publiez une recherche par secteur, elle est transmise aux auto-écoles utilisatrices de Drivea de votre département. Ces auto-écoles deviennent responsables de l'usage qu'elles font de vos coordonnées pour vous recontacter.

Votre adresse IP et votre navigateur sont supprimés 30 jours après la demande. Vos coordonnées et votre message sont anonymisés 12 mois après la demande.

Lorsqu'une auto-école publie les avis de ses élèves sur sa fiche de l'annuaire, chaque avis y apparaît avec le prénom et l'initiale du nom de son auteur. L'avis est supprimé lorsque son auteur supprime son compte ou demande l'effacement de ses données.

6. Destinataires et sous-traitants

Les données sont accessibles à votre auto-école (gérant et moniteurs, selon leur rôle) et à l'équipe CZSYN pour le support et la maintenance. CZSYN SAS fait appel aux prestataires suivants :

• IONOS SE : hébergement du serveur applicatif et de la base de données MongoDB (serveur situé en France, Union européenne).
• Cloudflare, Inc. : DNS, certificat TLS et réseau de diffusion de contenu (CDN) placé devant le site et l'API. Société américaine : transfert encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne).
• Purelymail : envoi des emails transactionnels (invitation, vérification d'adresse, réinitialisation du mot de passe, contrat, notifications) via SMTP. Prestataire établi aux États-Unis : transfert encadré par des garanties appropriées.
• Stripe : paiement des abonnements des auto-écoles. Les données de carte bancaire sont saisies et traitées exclusivement par Stripe (certifié PCI-DSS) et ne transitent pas par nos serveurs.
• Expo (650 Industries, Inc.), Apple et Google : acheminement des notifications push vers les téléphones (identifiant technique de l'appareil et contenu de la notification).
• Functional Software, Inc. (Sentry) : détection des erreurs techniques de l'application et de l'API (message d'erreur, contexte technique, identifiant de l'utilisateur concerné le cas échéant ; les en-têtes d'authentification, cookies et paramètres d'URL sont retirés). Hébergement aux États-Unis : transfert encadré par des garanties appropriées.
• Discord : alertes techniques internes à l'équipe (erreurs serveur). Ces alertes ne contiennent ni mot de passe ni jeton ; les paramètres d'URL en sont retirés. Service établi aux États-Unis.
• SGS (ObjectifCode) : inscription des élèves à l'examen du code de la route, uniquement lorsque l'auto-école le demande (identité, date de naissance, NEPH, session choisie).

Nous ne vendons aucune donnée personnelle et n'utilisons pas vos données à des fins publicitaires.

7. Durées de conservation

• Comptes et dossiers élèves : pendant la relation avec l'auto-école, puis supprimés ou anonymisés à la demande de la personne ou de l'auto-école, sous réserve des obligations légales ci-dessous.
• Pièces comptables et paiements : 10 ans (article L123-22 du Code de commerce).
• Contrats signés et preuves de signature : pendant la durée de prescription des actions contractuelles.
• Demandes des prospects : adresse IP et navigateur 30 jours, coordonnées et message 12 mois.
• Messages et avis : pendant la relation avec l'auto-école ; supprimés avec les données de l'élève auprès de cette auto-école.
• Événements d'utilisation du produit : 13 mois.
• Erreurs techniques (Sentry) : 90 jours au plus.
• Journaux de connexion du serveur : 12 mois au plus.

8. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès.

Depuis l'application : Paramètres > Exporter mes données (fichier JSON complet) et Supprimer mon compte. Un élève peut aussi s'adresser à son auto-école, qui peut exporter ou effacer ses données depuis sa fiche. Vous pouvez également écrire à [email protected]. Nous répondons dans un délai d'un mois.

À la suppression d'un compte élève, les données d'identité, le NEPH, l'adresse, le lieu et la date de naissance et l'historique des heures sont effacés et les leçons à venir sont libérées. Les paiements et contrats signés sont conservés sous forme anonymisée pour les durées légales.

9. Mineurs

Un élève peut être mineur. Son inscription et la signature de son contrat de formation relèvent de l'auto-école, qui recueille l'accord de son représentant légal. Les droits d'un élève de moins de 15 ans sont exercés par son représentant légal.

10. Sécurité

Mots de passe chiffrés (bcrypt), communications chiffrées (HTTPS/TLS), jetons de session à durée limitée et révocables, cloisonnement des données par auto-école et par rôle, limitation du nombre de requêtes, suppression des jetons et paramètres d'URL dans les journaux d'erreurs.

11. Cookies

La version web de l'application utilise un cookie httpOnly sécurisé, strictement nécessaire, pour maintenir votre session. Il ne requiert pas de consentement. L'application mobile n'utilise pas de cookie.

12. Réclamation

Si vous estimez que le traitement de vos données n'est pas conforme, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).