Qui est responsable de vos données ?
Creards est une entreprise individuelle exploitée dans le cadre d’une activité indépendante complémentaire et inscrite à la BCE sous le numéro 0835.763.183. Creards édite le service RoadCoach et agit comme responsable du traitement au sens du Règlement général sur la protection des données (RGPD).
Contact général et demandes relatives aux données : contact@roadcoach.pro. Aucun délégué à la protection des données n’est désigné à ce stade.
Quelles données sont traitées ?
- Compte et identitéAdresse e-mail, identifiant utilisateur, nom affiché, statut de vérification et méthode de connexion.
- Profil d’apprentissagePays et langue du permis, préférences, formule, historique des QCM, réponses, résultats, statistiques, catégories d’erreurs et progression.
- Parcours et localisationPosition précise ou approximative lorsque l’autorisation est accordée, adresses saisies, coordonnées de départ et d’arrivée, parcours générés, favoris et historique associé.
- AchatsIdentifiant du produit, preuve ou jeton d’achat fourni par Google Play ou Apple, statut de l’abonnement et droits associés. RoadCoach ne reçoit pas les données complètes de carte bancaire.
- Technique et sécuritéAdresse IP côté serveur, version de l’application, plateforme, identifiant d’installation ou d’appareil généré localement, jetons de sécurité, journaux techniques et rapports de plantage.
- Publicité dans l’offre gratuiteChoix de confidentialité, données techniques, interactions avec les annonces, diagnostics et identifiants d’appareil accessibles au SDK Google selon la plateforme, les réglages du système et les choix applicables. L’adresse IP peut permettre une estimation approximative de la localisation.
- SupportAdresse e-mail, contenu du message et diagnostics techniques que vous choisissez d’envoyer.
Certaines fonctions peuvent être utilisées en mode invité. Un jeton anonyme et des données techniques restent alors nécessaires pour sécuriser le service et appliquer les quotas.
Pourquoi et sur quelle base ?
| Finalité | Données | Base juridique |
|---|---|---|
| Créer le compte, authentifier et synchroniser le profil | Compte, profil, sécurité | Exécution du service demandé |
| Fournir les QCM, statistiques et recommandations | Progression, réponses, pays et niveau | Exécution du service demandé |
| Générer et enregistrer des parcours | Localisation, adresses, critères et historique | Exécution du service et autorisation système pour la position |
| Partager les données nécessaires à la génération avec Google Gemini | Critères d’entraînement, zone de départ, destination éventuelle et points utiles au parcours | Consentement recueilli dans l’application |
| Valider les achats et droits PRO | Produit, preuve d’achat, statut | Exécution du contrat et obligations comptables applicables |
| Prévenir les abus et sécuriser l’API | IP, appareil, App Check, journaux | Intérêt légitime à protéger le service |
| Diagnostiquer les plantages | Rapports Crashlytics et informations techniques | Intérêt légitime à maintenir la fiabilité du service |
| Présenter des annonces dans l’offre gratuite Android et iOS lorsque la monétisation est activée | Choix de confidentialité, données techniques, interactions publicitaires, diagnostics et identifiants autorisés | Consentement lorsqu’il est requis et choix exprimés dans Google UMP |
| Répondre au support et aux demandes RGPD | Contact, message, preuves de vérification | Exécution de la demande et obligation légale |
RoadCoach n’utilise pas vos réponses, votre position ou vos parcours pour de la publicité personnalisée. Aucun profilage produisant une décision juridique ou un effet similaire n’est réalisé.
RoadCoach demande actuellement des annonces non personnalisées. Si vous refusez les finalités publicitaires proposées, Google AdMob peut tenter d’afficher une annonce limitée lorsque ce mode est autorisé et disponible. Dans le cas contraire, aucune annonce n’est demandée.
Lorsque Google UMP le requiert, la rubrique « Choix de confidentialité publicitaire » du profil permet de consulter ou modifier vos choix. RoadCoach ne fournit pas au SDK publicitaire vos réponses aux QCM, votre historique pédagogique, vos coordonnées précises ni vos parcours pour cibler les annonces.
Sur iOS, cette intégration ne demande pas l’autorisation de suivi ATT et n’utilise pas l’identifiant publicitaire IDFA soumis à cette autorisation. Les versions sans monétisation publicitaire activée ne demandent pas d’annonce via ce flux. Le SDK peut toutefois traiter les données techniques et publicitaires décrites ci-dessus lorsque la publicité est activée.
Localisation et parcours
La position est demandée uniquement lorsque vous utilisez une fonction qui en a besoin, par exemple centrer la carte ou définir le départ d’un parcours. RoadCoach demande un accès pendant l’utilisation de l’app et n’utilise pas la localisation en arrière-plan à des fins publicitaires.
Vous pouvez refuser ou retirer l’autorisation dans les réglages du téléphone. Les fonctions reposant sur la position pourront alors être limitées, mais vous pourrez saisir une adresse manuellement lorsque cette option est disponible.
Avant de générer un parcours, RoadCoach vous demande votre accord pour transmettre à Google Gemini, via son service de génération, vos critères d’entraînement, votre zone de départ, votre destination éventuelle et les points utiles au parcours. Ces données peuvent inclure des coordonnées précises. Lorsque vous ouvrez le lien d’un parcours, Google Maps affiche l’itinéraire et peut vous guider.
Vous pouvez refuser ce partage et utiliser les autres fonctionnalités. Pour modifier votre choix pour les prochaines générations, ouvrez « Choix des données de parcours » dans votre profil.
Qui peut recevoir les données ?
Seules les données nécessaires sont transmises aux catégories suivantes :
- OVHcloud (OVH SAS) pour l’hébergement du VPS/API et des données applicatives ;
- Google Firebase pour Authentication, App Check et Crashlytics ;
- Google Sign-In et Apple Sign in with Apple si vous choisissez ces méthodes ;
- Google Maps et les services OpenStreetMap utilisés pour les cartes, le géocodage ou les données routières ;
- Google Gemini pour générer les parcours que vous demandez, après votre accord dans l’application ;
- Google Play et Apple pour les achats intégrés et la gestion des abonnements ;
- Google AdMob, Google UMP et les partenaires publicitaires présentés dans le formulaire UMP pour recueillir les choix applicables et diffuser des annonces dans l’offre gratuite Android et iOS lorsque la monétisation est activée ;
- Cloudflare Pages pour l’hébergement des pages juridiques et de suppression de compte, ainsi que Cloudflare Turnstile pour sécuriser le formulaire web lorsqu’il est utilisé ;
- Vercel pour maintenir temporairement une copie accessible de ces pages pendant la migration technique ;
- les autorités ou conseils professionnels lorsque la loi l’exige ou pour défendre des droits.
Ces prestataires agissent selon leur rôle de sous-traitant ou de responsable indépendant. Leurs propres politiques peuvent également s’appliquer, notamment celles de Firebase, Google, Apple et OpenStreetMap Foundation, ainsi que les mentions d’OVHcloud.
Traitements hors Espace économique européen
Certains prestataires internationaux, notamment Google, Apple, Vercel ou Cloudflare, peuvent traiter des données en dehors de l’Espace économique européen. Ces transferts reposent, selon le service et le pays, sur une décision d’adéquation, le Data Privacy Framework UE-États-Unis ou des clauses contractuelles types approuvées par la Commission européenne.
Combien de temps ?
| Catégorie | Durée ou critère |
|---|---|
| Compte, profil, progression et favoris | Pendant la vie du compte, puis suppression après le délai de sécurité de 7 jours lorsqu’une demande vérifiée est confirmée. |
| Cache des résultats de génération | 30 minutes pour permettre à l’application de récupérer le résultat. |
| Historique des parcours en base | Les cinq parcours les plus récents du compte sont conservés sans date d’expiration. Une fois la limite de cinq atteinte, chaque nouveau parcours enregistré remplace le plus ancien. Le délai de suppression du compte indiqué ci-dessus s’applique à cet historique. |
| Authentification Firebase | Jusqu’à la suppression du compte ; certaines sauvegardes peuvent nécessiter jusqu’à 180 jours pour être purgées par Firebase. |
| Rapports Crashlytics | 90 jours selon la documentation Firebase. |
| Journaux backend | Les journaux techniques ordinaires sont conservés 30 jours et les journaux de sécurité 90 jours. Les éléments isolés liés à un incident de sécurité confirmé peuvent être conservés jusqu’à 6 mois après sa clôture, ou pendant une procédure en cours dûment documentée. |
| Support | 12 mois après la clôture de la demande. Les captures et diagnostics joints sont supprimés au plus tard 30 jours après la clôture, sauf s’ils sont nécessaires à un incident ou litige en cours. |
| Preuves techniques d’achat et droits PRO | Pendant l’abonnement, puis 12 mois après sa fin pour traiter les restaurations, remboursements et contestations. Les documents ayant une valeur comptable ou fiscale sont conservés 10 ans à partir du 1er janvier suivant leur date. |
| Demandes RGPD et audits de suppression | Les données minimales prouvant la demande, sa vérification, son statut et son exécution sont conservées 2 ans après la clôture. Les justificatifs d’identité éventuellement demandés sont supprimés au plus tard 7 jours après la clôture. |
Les données locales peuvent rester sur l’appareil jusqu’à la déconnexion, l’effacement des données de l’app ou sa désinstallation. Des données strictement anonymisées peuvent être conservées sans durée déterminée lorsqu’elles ne permettent plus de vous identifier. À l’expiration des durées ci-dessus, les données sont supprimées ou anonymisées, sauf obligation légale ou procédure en cours dûment documentée.
Vos droits
Selon les conditions du RGPD, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, l’opposition ou la portabilité de vos données. Vous pouvez retirer une autorisation fondée sur votre consentement sans affecter les traitements déjà réalisés.
Écrivez à contact@roadcoach.pro. Une preuve raisonnable d’identité peut être demandée. RoadCoach répond en principe dans un délai d’un mois, prolongeable lorsque le RGPD le permet.
Vous pouvez programmer la suppression depuis l’app ou utiliser la page web de suppression. La demande est précédée d’un délai de sécurité de 7 jours et peut être annulée explicitement pendant ce délai.
Vous pouvez également introduire une plainte auprès de l’Autorité de protection des données belge ou de l’autorité compétente de votre pays de résidence.
Utilisateurs mineurs
RoadCoach est un outil d’apprentissage qui peut être utilisé par des candidats mineurs. Lorsque la loi exige l’autorisation d’un parent ou représentant légal pour créer un compte, communiquer des données ou souscrire une offre payante, cette autorisation doit être obtenue avant l’utilisation concernée.
Sécurité
RoadCoach utilise notamment le chiffrement HTTPS, Firebase App Check, des contrôles d’accès backend et le stockage sécurisé du téléphone pour les jetons sensibles. Les accès sont limités au besoin opérationnel. Aucun système ne pouvant garantir une sécurité absolue, tout incident avéré est traité selon les obligations applicables.
Évolution de cette politique
Cette politique sera mise à jour lorsque les traitements changent, notamment lorsque les traitements publicitaires, les fournisseurs ou les finalités évoluent. En cas de changement important, une information adaptée sera présentée dans l’application ou envoyée aux utilisateurs concernés.