Politique de confidentialité

2. Données collectées

Dans le cadre de l'utilisation de notre plateforme, nous collectons et traitons les données à caractère personnel suivantes :

2.1 Lors de l'inscription

• Nom (prénom et nom)
• Adresse e-mail
• Mot de passe (stocké sous forme chiffrée)
• Numéro de téléphone (facultatif)

2.2 Lors de l'utilisation de la plateforme

• Annonces de véhicules et données associées (photos, descriptions, prix)
• Demandes d'achat adressées aux vendeurs (nom, adresse e-mail, numéro de téléphone facultatif, message)
• Demandes de contact envoyées via le formulaire de contact
• Liste de favoris, recherches enregistrées et inscription à la newsletter (uniquement si vous utilisez ces fonctions)

2.3 Données collectées automatiquement

• Adresse IP
• Type et version du navigateur
• Système d'exploitation
• Date et heure de l'accès
• URL de provenance (referrer)

2.4 Annonces de véhicules, mise en ligne d'images et documents du véhicule

Lorsque vous créez des annonces de véhicules, nous traitons les photos de véhicules que vous mettez en ligne ainsi que les données de l'annonce (descriptions, caractéristiques techniques, prix, localisation). Ce traitement est nécessaire à l'exécution du contrat d'utilisation et repose sur l'art. 6, par. 1, point b) du RGPD (exécution d'un contrat). Lors de la publication de l'annonce, ces contenus deviennent visibles pour les autres utilisateurs de la plateforme.

Vous pouvez en outre joindre à une annonce des documents relatifs au véhicule (p. ex. documents d'immatriculation, factures, expertises). Ces documents ne sont pas publiés. Vous seul pouvez les consulter, et ils ne sont mis à la disposition d'acheteurs intéressés que si vous les libérez expressément pour une demande d'achat précise — via un lien à durée limitée, qui expire après sept jours ou après un nombre limité de consultations et que vous pouvez révoquer à tout moment. La base juridique est l'art. 6, par. 1, point b) du RGPD.

La base juridique du traitement est l'art. 6, par. 1, point b) du RGPD (exécution d'un contrat) ainsi que l'art. 6, par. 1, point f) du RGPD (intérêt légitime).

3. Cookies et consentement

Nous utilisons des cookies sur notre site web. Les cookies sont de petits fichiers texte enregistrés sur votre terminal. Les cookies techniquement nécessaires sont indispensables pour assurer les fonctions de base du site, en particulier l'authentification et la gestion des sessions (connexion). Ces cookies sont déposés sans consentement distinct ; la base juridique est le § 25, al. 2, TDDDG en combinaison avec l'art. 6, par. 1, point f) du RGPD (intérêt légitime à une mise à disposition sûre et fonctionnelle du site web).

Par ailleurs, nous n'utilisons des cookies statistiques optionnels (p. ex. Google Analytics 4) que si vous y avez expressément consenti au préalable via notre bannière de cookies. La base juridique en est votre consentement conformément au § 25, al. 1, TDDDG en combinaison avec l'art. 6, par. 1, point a) du RGPD. Sans votre consentement, aucun cookie de statistique ou d'analyse n'est déposé.

Votre consentement est libre et peut être retiré à tout moment, avec effet pour l'avenir. Vous pouvez modifier ou retirer votre choix à tout moment via le lien « Paramètres des cookies » dans le pied de page du site. Lors de la collecte de données statistiques, l'anonymisation des adresses IP est activée.

3.1 Google Analytics

Si vous avez donné votre consentement dans le bandeau cookies (« Accepter », ou statistiques activées dans les paramètres), nous utilisons Google Analytics 4, un service d’analyse web de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (« Google »). Sans votre consentement, Google Analytics n’est pas chargé : aucun cookie d’analyse n’est déposé et aucune donnée d’utilisation n’est transmise à Google. Google Analytics sert à la mesure d’audience et nous aide à évaluer statistiquement l’utilisation de notre site web afin de l’améliorer. Des données d’utilisation (p. ex. pages consultées, heure et durée de la visite, provenance approximative, types d’appareils et de navigateurs utilisés) sont traitées à cette occasion au moyen de cookies (_ga, _ga_*). Votre adresse IP est tronquée ; Google Analytics 4 n’enregistre pas d’adresses IP complètes. Les signaux Google (analyse multi-appareils), les fonctions publicitaires et le partage de données avec Google à ses propres fins (paramètres de partage des données) sont désactivés. Les données d’événements sont supprimées automatiquement au bout de 14 mois.

Google traite les données pour notre compte ; un contrat de sous-traitance au sens de l’art. 28 du RGPD a été conclu. Des données peuvent également être transférées à Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Ce transfert repose sur la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework, art. 45 du RGPD), dans le cadre duquel Google LLC est certifiée ; en complément, les clauses contractuelles types de la Commission européenne font partie des conditions de traitement des données de Google. La base juridique est exclusivement votre consentement conformément au § 25, al. 1, TDDDG et à l’art. 6, par. 1, point a) du RGPD. Vous pouvez le retirer à tout moment avec effet pour l’avenir via le lien « Paramètres des cookies » dans le pied de page ; Google Analytics est alors désactivé et les cookies d’analyse sont supprimés. Plus d’informations : https://policies.google.com/privacy

4. Hébergement

Notre site web est hébergé chez DigitalOcean (App Platform). Les serveurs se trouvent dans le centre de données de Frankfurt am Main, Allemagne (UE). Le prestataire est :

DigitalOcean, LLC
101 Avenue of the Americas, 10th Floor
New York, NY 10013, USA

Le traitement des données a lieu sur des serveurs situés dans l’Union européenne. Un contrat de sous-traitance a été conclu avec DigitalOcean conformément à l’art. 28 du RGPD. Dans la mesure où un accès depuis les États-Unis ne peut être exclu, par exemple dans le cadre de la maintenance ou du support, un tel transfert est encadré par les clauses contractuelles types de la Commission européenne intégrées au contrat de sous-traitance (art. 46, par. 2, point c) du RGPD). La base juridique est l’art. 6, par. 1, point f) du RGPD (intérêt légitime à une mise à disposition fiable du site web).

La base de données de la plateforme est exploitée sous forme de service de base de données géré par DigitalOcean, dans la même région. Le prestataire crée automatiquement chaque jour une sauvegarde, conservée pendant sept jours puis écrasée ; les sauvegardes servent exclusivement à la restauration après une panne.

Lors de la consultation du site web, des journaux techniques d'accès et d'erreurs (adresse IP, horodatage, adresse consultée, identifiant du navigateur) sont générés dans l'infrastructure de l'hébergeur. L'hébergeur ne les conserve que brièvement, à des fins d'analyse des erreurs et de défense contre les dysfonctionnements et les attaques ; nous ne les transmettons pas à des tiers et ne les exploitons à aucune autre fin.

Les requêtes adressées à notre site web transitent par le réseau de Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, États-Unis, que DigitalOcean utilise comme sous-traitant ultérieur pour la couche réseau de l’App Platform (acheminement, mise en cache de fichiers statiques, protection contre les attaques). Des données de connexion telles que votre adresse IP, l’heure et l’adresse consultée sont alors traitées. Ce traitement est couvert par le contrat de sous-traitance conclu avec DigitalOcean ; dans la mesure où des données sont transférées vers les États-Unis, ce transfert repose sur la décision d’adéquation relative au cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework), dans le cadre duquel Cloudflare est certifiée, ainsi que sur des clauses contractuelles types. La base juridique est l’art. 6, par. 1, point f) du RGPD (intérêt légitime à une mise à disposition sûre et rapide du site web).

5. Stockage des images et des documents (stockage objet)

Les fichiers mis en ligne ne sont pas conservés sur le serveur web, mais déposés dans le stockage objet DigitalOcean Spaces de DigitalOcean, LLC (adresse : voir section 4), dans la région de Frankfurt am Main, depuis lequel ils sont également distribués. Sont concernés les photos de véhicules, les images des articles du Magazine, les photos de profil et de couverture, les justificatifs transmis dans le cadre de la vérification des concessionnaires, les documents de véhicule joints aux annonces ainsi que les factures que nous établissons.

Sont alors traités le contenu du fichier lui-même, un nom de fichier généré techniquement ainsi que les données de connexion produites lors de la consultation (notamment l'adresse IP et l'horodatage). Les images mises en ligne sont recalculées côté serveur avant leur enregistrement ; les métadonnées qu'elles contiennent (p. ex. données EXIF avec coordonnées GPS) ne sont pas reprises.

Les photos de véhicules, les images du Magazine et les photos de profil sont, conformément à leur finalité, accessibles publiquement et distribuées via le réseau de diffusion de contenu (CDN) de DigitalOcean Spaces, où une copie peut rester en cache jusqu'à une heure. Si notre administration bloque une annonce, ses photos sont également rendues non publiques. Les justificatifs issus de la vérification des concessionnaires, les documents de véhicule et les factures sont conservés exclusivement de manière non publique et ne sont distribués que via un accès vérifié et authentifié : les justificatifs aux collaborateurs habilités, les documents de véhicule au vendeur lui-même et — après libération par celui-ci — aux acheteurs intéressés via des liens à durée limitée (section 2.4), les factures au titulaire du compte.

La base juridique est l'art. 6, par. 1, point b) du RGPD (exécution d'un contrat) pour vos propres mises en ligne et l'art. 6, par. 1, point f) du RGPD (intérêt légitime à une distribution performante) pour la consultation par les visiteurs. Le contrat de sous-traitance conclu avec DigitalOcean conformément à l'art. 28 du RGPD (section 4) couvre également le stockage objet et le CDN.

6. Envoi d’e-mails

Pour l’envoi d’e-mails (p. ex. confirmations d’inscription, réinitialisations de mot de passe, notifications, factures), nous utilisons le serveur de messagerie de Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp, Allemagne.

Le traitement a lieu dans des centres de données situés en Allemagne. Seules les données nécessaires à l’envoi sont traitées.

L'adresse e-mail du destinataire ainsi que le contenu de l'e-mail sont transmis au prestataire à cette occasion. Un contrat de sous-traitance a été conclu conformément à l'art. 28 du RGPD. La base juridique est l'art. 6, par. 1, point b) du RGPD (exécution d'un contrat).

7. Traitement des paiements (Stripe)

Nous facturons les forfaits payants — forfaits professionnels et annonce de particulier — par l'intermédiaire du prestataire de services de paiement Stripe : Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlande. Lors de la réservation, vous êtes redirigé vers une page de paiement de Stripe et saisissez vos données de paiement (numéro de carte ou IBAN) directement auprès de Stripe. Nous ne recevons aucune donnée complète de carte ou de compte, mais uniquement le moyen de paiement, ses quatre derniers chiffres, la date d'expiration pour les cartes ainsi que le statut des paiements.

Nous transmettons à Stripe votre nom ou raison sociale, votre adresse e-mail, votre adresse de facturation, votre langue, un numéro client interne ainsi que le forfait ou l'annonce réservé(e) et les montants. Stripe traite ces données pour exécuter les paiements et les prélèvements. Lorsque Stripe traite des données à des fins de prévention de la fraude et pour remplir ses propres obligations légales (par exemple en matière de lutte contre le blanchiment), Stripe en est lui-même responsable.

La base juridique est l’article 6, paragraphe 1, point b) du RGPD (exécution d’un contrat) ainsi que l’article 6, paragraphe 1, point c) du RGPD (obligations légales). Stripe peut également transférer des données à Stripe, Inc. aux États-Unis ; ce transfert repose sur la décision d’adéquation relative au EU-US Data Privacy Framework, auquel Stripe est certifié, ainsi que sur les clauses contractuelles types de la Commission européenne. Plus d’informations : https://stripe.com/fr/privacy

Nous conservons les factures et les données de paiement correspondantes conformément aux dispositions du droit commercial et fiscal (voir section 9). Si vous supprimez votre compte, nous faisons supprimer votre fiche client chez Stripe ; les justificatifs de paiement restent conservés chez Stripe et chez nous dans le cadre des obligations légales de conservation. Lorsque des professionnels établis dans un autre État membre de l’UE indiquent un numéro de TVA intracommunautaire, nous en vérifions la validité via le système d’échange d’informations sur la TVA (VIES) de la Commission européenne ; seuls ce numéro et notre propre numéro de TVA sont transmis (art. 6, par. 1, points b) et c) du RGPD).

8. Polices de caractères et éléments graphiques intégrés

Les polices de caractères utilisées sur ce site web (Cormorant, Inter et JetBrains Mono) sont servies localement depuis notre serveur. Elles sont intégrées dès la compilation de l'application ; lors de la consultation du site, aucune connexion n'est établie avec Google Fonts ni avec un autre service de polices. Votre adresse IP n'est donc transmise à aucun fournisseur de polices.

De même, les icônes et les drapeaux des pays sont livrés comme partie intégrante de la page et ne sont pas chargés depuis un service d'images externe.

Lors de la consultation du site, des connexions à des services extérieurs à l’infrastructure d’hébergement décrite aux points 4 et 5 ne se produisent que du fait de la mesure d’audience décrite au point 3.1 — et uniquement après votre consentement exprès. Lors de la réservation d’un forfait payant, vous êtes en outre redirigé vers la page de paiement de Stripe (point 7).

9. Durées de conservation et délais de suppression

Nous ne conservons les données à caractère personnel que le temps nécessaire à la finalité concernée ou aussi longtemps que des obligations légales de conservation l'exigent. Dans le détail :

• Données du compte : pendant toute la durée de la relation d'utilisation. Après une demande de suppression — via les paramètres du compte ou par e-mail —, toutes les informations identifiantes (nom, e-mail, numéro de téléphone, coordonnées postales, données de profil et d'entreprise, données de connexion y compris les deuxièmes facteurs) sont écrasées de manière irréversible ; le jeu de données anonymisé n'est conservé que dans la mesure nécessaire au rattachement d'opérations déjà clôturées (par exemple des factures). Les comptes dont l'adresse e-mail n'a pas été confirmée dans les 30 jours suivant l'inscription, ainsi que les comptes non confirmés sans contenu propre sur lesquels aucune connexion n'a eu lieu depuis 90 jours, sont supprimés automatiquement.
• Comptes bloqués : Un compte que nous avons bloqué pour manquement aux conditions d’utilisation reste enregistré avec ses données et ses annonces aussi longtemps que nécessaire pour assurer la traçabilité du dossier et prévenir les abus – en particulier afin que le blocage ne puisse pas être contourné par une nouvelle inscription –, et au plus tard trois ans après le blocage ; il est exclu de la suppression automatique. Ensuite, nous limitons les données conservées à ce qui est nécessaire pour faire respecter le blocage (adresse e-mail, date et motif du blocage). Si un blocage est levé, les autres délais du présent point s’appliquent à nouveau.
• Annonces de véhicules : pendant la durée du forfait souscrit (annonce de particulier : 90 jours). Elles sont ensuite désactivées automatiquement et restent enregistrées en vue d'une réactivation par le vendeur. Lors de la suppression du compte, les photos et les documents du véhicule sont supprimés ; l'annonce est désactivée et expurgée du numéro de châssis, de la localisation et de la description.
• Jetons de connexion et de session : Une connexion reste valable au maximum sept jours sans nouvelle utilisation ; les jetons expirés sont supprimés automatiquement par une tâche de maintenance quotidienne. En cas de déconnexion ou de suppression du compte, ils sont retirés immédiatement.
• Liens et jetons à usage unique : Les liens de confirmation de l'adresse e-mail sont valables sept jours, les liens de réinitialisation du mot de passe une heure, les liens de confirmation d'un changement d'adresse 24 heures. Les jetons expirés sont supprimés au plus tard lors de la prochaine tâche de maintenance quotidienne.
• Demandes d'achat adressées aux vendeurs et messages envoyés via le formulaire de contact : douze mois à compter de la réception ; ils sont ensuite supprimés automatiquement. Les demandes d'achat reçues par un vendeur sont en outre supprimées lors de la suppression de son compte.
• Partages de documents du véhicule : Un lien par lequel un vendeur transmet des documents du véhicule à un acheteur intéressé est valable sept jours et limité à un certain nombre de consultations ; chaque consultation est journalisée avec son horodatage. Le partage et le journal des consultations sont supprimés 30 jours après l'expiration ou la révocation.
• Newsletter : jusqu'au retrait du consentement. Après la désinscription, l'entrée reste enregistrée comme désinscrite afin que la même adresse ne soit plus sollicitée ; une inscription qui n'est pas confirmée dans les 30 jours est supprimée.
• Justificatifs de la vérification des concessionnaires : jusqu'à l'achèvement du contrôle et pendant la durée de la relation avec le concessionnaire, à titre de preuve de notre obligation de vérification. Ils sont supprimés 90 jours après la fin de la relation avec le concessionnaire, 30 jours après un refus, après 90 jours sans décision sur le justificatif et immédiatement lors de la suppression du compte.
• Signalements d’annonces, de professionnels et de demandes : Nous conservons les signalements et leur traitement aussi longtemps que nécessaire pour prouver que les notifications de contenus illicites ont été traitées (règlement (UE) 2022/2065, Digital Services Act) et pour prévenir les manquements répétés, et au plus tard douze mois après la clôture du traitement. Si la personne à l’origine du signalement supprime son compte, son lien avec le signalement est retiré.
• Journal d'administration : Les interventions de nos collaborateurs sur les comptes et les annonces (par exemple validations, blocages, notes de contrôle) sont journalisées avec l'horodatage, l'enregistrement concerné et l'adresse IP tronquée de la personne intervenante, puis supprimées après douze mois.
• Journaux du serveur : Les journaux d'accès et d'erreurs sont générés chez l'hébergeur et n'y sont conservés que brièvement à des fins d'analyse des erreurs (section 4). Notre application elle-même ne conserve les adresses IP que temporairement en mémoire, afin de limiter le nombre de requêtes par expéditeur (protection contre les abus), et sous forme tronquée dans le journal d'administration.
• Sauvegardes : La base de données est sauvegardée automatiquement chaque jour par l'hébergeur ; chaque sauvegarde est conservée sept jours puis écrasée. Des données supprimées peuvent donc subsister jusqu'à sept jours dans une sauvegarde ; les sauvegardes servent exclusivement à la restauration après une panne.
• Mesure d’audience (uniquement avec consentement) : Les données d’événements dans Google Analytics sont supprimées automatiquement au bout de 14 mois. Les cookies d’analyse (_ga, _ga_*) expirent au plus tard au bout de deux ans et sont supprimés lorsque vous retirez votre consentement. Nous conservons votre choix dans le bandeau cookies pendant six mois dans le cookie strictement nécessaire « stern_consent ».
• Documents soumis à une obligation légale de conservation : Les factures et les pièces comptables sont conservées huit ou dix ans, selon le document, conformément au § 147 AO et au § 257 HGB — y compris après la suppression du compte. Pendant cette période, le traitement est limité à la conservation.

10. Droits des personnes concernées

Conformément au RGPD, vous disposez des droits suivants concernant vos données à caractère personnel :

10.1 Droit d'accès (art. 15 du RGPD)

Vous avez le droit d'obtenir la confirmation que des données à caractère personnel vous concernant sont ou ne sont pas traitées. Lorsqu'elles le sont, vous avez le droit d'y accéder ainsi qu'aux informations énumérées à l'art. 15 du RGPD.

10.2 Droit de rectification (art. 16 du RGPD)

Vous avez le droit d'obtenir la rectification des données à caractère personnel inexactes et de faire compléter les données incomplètes.

10.3 Droit à l'effacement (art. 17 du RGPD)

Vous avez le droit d'obtenir l'effacement de vos données à caractère personnel, dans la mesure où l'un des motifs énumérés à l'art. 17 du RGPD s'applique.

10.4 Droit à la limitation du traitement (art. 18 du RGPD)

Vous avez le droit d'obtenir la limitation du traitement de vos données lorsque l'une des conditions énumérées à l'art. 18 du RGPD est remplie.

10.5 Droit à la portabilité des données (art. 20 du RGPD)

Vous avez le droit de recevoir vos données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine, et de transmettre ces données à un autre responsable du traitement.

10.6 Droit d'opposition (art. 21 du RGPD)

Vous avez le droit de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, au traitement des données à caractère personnel vous concernant.

Vous avez en outre le droit d'introduire une réclamation auprès d'une autorité de contrôle en matière de protection des données au sujet du traitement de vos données à caractère personnel.

11. Contact pour les demandes relatives à la protection des données

Pour toute question relative à la protection des données ou pour exercer vos droits en tant que personne concernée, veuillez vous adresser à :

Markus Kalweit
sternclassics Media UG (haftungsbeschränkt)
An der Germania Brauerei 7
48159 Münster
E-mail : datenschutz@everstern.eu