Politique de confidentialité

1. Qui traite vos données ?

Pour la gestion de ses prospects, comptes, abonnements, sécurité et relation client, le responsable de traitement est Christophe FAURE, Entrepreneur individuel, 240 route de Panissage, 38730 Chélieu, France. Contact : [email protected].

Pour les adresses, coordonnées ou autres données personnelles qu’un client transmet à l’API pour ses propres finalités, le client détermine les finalités et demeure responsable de traitement ; geocodeme.net agit alors comme sous-traitant. Ce second rôle est encadré par le DPA.

2. Données de compte, finalités et bases légales

• Compte et authentification : nom facultatif, email, mot de passe haché, état de vérification, préférences de langue, configuration de double authentification et codes de récupération hachés ; exécution du contrat et sécurité du Service.
• Clés et secrets techniques : identifiants de clés API et de secrets de tuiles, libellés, empreintes, dates de création, d’expiration et de dernière utilisation ; exécution du contrat et intérêt légitime à sécuriser les accès.
• Usage et quotas : clé associée, catégorie d’endpoint, horodatage, temps de réponse, statut HTTP et présence éventuelle d’un résultat en cache ; exécution du contrat, facturation, dimensionnement et intérêt légitime à prévenir les abus. Le journal d’usage ne conserve ni l’adresse recherchée ni les coordonnées de la requête.
• Abonnement et facturation : offre, état de l’abonnement, identifiants Stripe, échéances, factures et données comptables ; exécution du contrat et obligations légales comptables et fiscales.
• Support : nom, email, sujet, contenu et métadonnées nécessaires au traitement du message ; mesures précontractuelles, exécution du contrat ou intérêt légitime à répondre.
• Newsletter de lancement : email, langue, source et date d’inscription ; consentement, retirable à tout moment.
• Sécurité : adresse IP ou empreinte temporaire, événements d’authentification et journaux techniques ; intérêt légitime à protéger le Service, les comptes et l’infrastructure.

3. Données envoyées à l’API

Selon l’endpoint utilisé, une requête peut contenir une adresse postale, un lieu, des coordonnées géographiques, une série de points de trajet ou des paramètres de carte. Le client ne doit transmettre que les données nécessaires et doit disposer d’une base légale valable, informer les personnes concernées et respecter leurs droits.

Le Service ne demande aucun nom, email, numéro de téléphone ni identifiant de personne dans une requête de géocodage. Le client s’interdit d’en ajouter dans les champs libres lorsqu’ils ne sont pas nécessaires, ainsi que de transmettre des catégories particulières de données au sens de l’article 9 du RGPD sans accord écrit préalable.

4. Cache et journaux

Afin d’améliorer les performances et de limiter les appels aux moteurs cartographiques, les résultats de géocodage direct et inverse peuvent être placés dans un cache technique pendant 24 heures. Les clés de recherche directe sont hachées ; les clés de recherche inverse utilisent des coordonnées arrondies. Les réponses mises en cache peuvent néanmoins contenir l’adresse ou les coordonnées du résultat.

Les journaux d’usage structurés sont limités aux métadonnées décrites ci-dessus et sont automatiquement supprimés après 90 jours. Des journaux de sécurité ou d’infrastructure distincts peuvent être conservés pendant la durée strictement nécessaire à l’analyse d’un incident, puis supprimés ou anonymisés.

5. Destinataires et prestataires

Dans la limite de leurs missions, les données peuvent être accessibles à :

• Cloudflare : acheminement, protection réseau et sécurité du trafic public ;
• Stripe : paiement, facturation et gestion des abonnements ;
• Brevo : emails transactionnels, messages de contact et newsletter de lancement ;
• les autorités ou conseils habilités, uniquement lorsqu’une obligation légale ou la défense d’un droit le justifie.

L’infrastructure, les bases, le cache et les moteurs cartographiques sont hébergés en France sur des serveurs exploités directement par l’éditeur: aucun prestataire d’hébergement tiers n’a accès aux données à ce jour, et les requêtes ne sont pas envoyées aux instances publiques OpenStreetMap. Le recours à un hébergeur tiers pour l’exploitation commerciale sera annoncé ici avant sa prise d’effet : à compléter : dénomination et pays de l’hébergeur.

6. Transferts hors de l’Espace économique européen

Certains prestataires peuvent traiter des données depuis des pays situés hors de l’EEE. Dans ce cas, le transfert repose sur une décision d’adéquation, les clauses contractuelles types de la Commission européenne ou un autre mécanisme prévu par le chapitre V du RGPD, complété lorsque nécessaire par des mesures supplémentaires. Les informations disponibles sur ces garanties peuvent être demandées à [email protected].

7. Durées de conservation

• compte, clés et configuration : pendant la relation contractuelle, puis suppression à la clôture sous réserve des obligations légales ;
• cache de géocodage direct et inverse : 24 heures au maximum ;
• journaux structurés d’usage API : 90 jours ;
• jetons de vérification, de changement d’email ou de réinitialisation : jusqu’à leur utilisation ou expiration ;
• données de facturation et pièces comptables : 10 ans à compter de la clôture de l’exercice concerné ;
• prospects et demandes commerciales : durée de la relation ou de la demande, puis au maximum 3 ans après le dernier contact actif ;
• newsletter de lancement : jusqu’au retrait du consentement ou à la fin de la campagne de lancement, puis conservation restreinte de la preuve du retrait si nécessaire ;
• litiges et preuves contractuelles : durée de la prescription applicable.

8. Suppression du compte

Le titulaire peut supprimer son compte depuis Paramètres. Un abonnement payant actif doit d’abord être résilié afin d’éviter un abonnement orphelin. La suppression efface le compte, les clés, secrets et jetons associés. Les journaux d’usage restants sont dissociés du compte et supprimés au terme de leur durée de 90 jours. Les pièces légalement requises et les données détenues par Stripe suivent leurs propres obligations de conservation.

9. Vos droits

Vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou la portabilité de vos données, vous opposer aux traitements fondés sur l’intérêt légitime et retirer votre consentement à tout moment. Le retrait ne remet pas en cause les traitements antérieurs. Une réponse est apportée en principe sous un mois, sous réserve d’une vérification raisonnable de l’identité. Contact : [email protected].

Pour une donnée transmise par un client de l’API, adressez-vous d’abord à ce client, qui est responsable de traitement. geocodeme.net l’assistera conformément au DPA. Vous pouvez aussi saisir la CNIL.

10. Cookies et stockage local

Le site et le dashboard utilisent uniquement des cookies nécessaires à l’authentification, à la sécurité des formulaires et au choix de langue. Le navigateur peut aussi mémoriser dans son stockage local l’accusé de lecture de l’information sur les cookies et, dans son stockage de session, l’état temporaire d’un parcours de paiement. Aucun traceur publicitaire ou outil tiers de mesure d’audience n’est chargé. Ces éléments nécessaires ne requièrent pas de consentement préalable ; ils peuvent être supprimés dans les réglages du navigateur, au risque d’altérer certaines fonctions.

11. Sécurité

Le Service applique notamment TLS, hachage des mots de passe, chiffrement des sessions, contrôle d’accès, clés révocables, double authentification facultative, limitations de débit, séparation des secrets et surveillance. Aucun système n’étant exempt de risque, ces mesures sont réévaluées selon l’état de l’art et la nature des traitements.

12. Évolution de la politique

Cette politique peut évoluer pour refléter le Service ou le droit applicable. Une modification substantielle est portée à la connaissance des titulaires de compte par un moyen approprié avant son entrée en vigueur lorsque cela est requis.