Qui est responsable de vos données ?
RoadCoach est le nom commercial d’une entreprise individuelle inscrite à la BCE sous le numéro 0835.763.183 et établie à [ADRESSE POSTALE À COMPLÉTER], agissant comme responsable du traitement au sens du Règlement général sur la protection des données (RGPD).
Contact général et demandes relatives aux données : contact@roadcoach.pro. Aucun délégué à la protection des données n’est désigné à ce stade.
Quelles données sont traitées ?
- Compte et identitéAdresse e-mail, identifiant utilisateur, nom affiché, statut de vérification et méthode de connexion.
- Profil d’apprentissagePays et langue du permis, préférences, formule, historique des QCM, réponses, résultats, statistiques, catégories d’erreurs et progression.
- Parcours et localisationPosition précise ou approximative lorsque l’autorisation est accordée, adresses saisies, coordonnées de départ et d’arrivée, parcours générés, favoris et historique associé.
- AchatsIdentifiant du produit, preuve ou jeton d’achat fourni par Google Play ou Apple, statut de l’abonnement et droits associés. RoadCoach ne reçoit pas les données complètes de carte bancaire.
- Technique et sécuritéAdresse IP côté serveur, version de l’application, plateforme, identifiant d’installation ou d’appareil généré localement, jetons de sécurité, journaux techniques et rapports de plantage.
- SupportAdresse e-mail, contenu du message et diagnostics techniques que vous choisissez d’envoyer.
Certaines fonctions peuvent être utilisées en mode invité. Un jeton anonyme et des données techniques restent alors nécessaires pour sécuriser le service et appliquer les quotas.
Pourquoi et sur quelle base ?
| Finalité | Données | Base juridique |
|---|---|---|
| Créer le compte, authentifier et synchroniser le profil | Compte, profil, sécurité | Exécution du service demandé |
| Fournir les QCM, statistiques et recommandations | Progression, réponses, pays et niveau | Exécution du service demandé |
| Générer et enregistrer des parcours | Localisation, adresses, critères et historique | Exécution du service et autorisation système pour la position |
| Valider les achats et droits PRO | Produit, preuve d’achat, statut | Exécution du contrat et obligations comptables applicables |
| Prévenir les abus et sécuriser l’API | IP, appareil, App Check, journaux | Intérêt légitime à protéger le service |
| Diagnostiquer les plantages | Rapports Crashlytics et informations techniques | Intérêt légitime à maintenir la fiabilité du service |
| Répondre au support et aux demandes RGPD | Contact, message, preuves de vérification | Exécution de la demande et obligation légale |
RoadCoach n’utilise pas vos réponses, votre position ou vos parcours pour de la publicité personnalisée. Aucun profilage produisant une décision juridique ou un effet similaire n’est réalisé.
Localisation et parcours
La position est demandée uniquement lorsque vous utilisez une fonction qui en a besoin, par exemple centrer la carte ou définir le départ d’un parcours. RoadCoach demande un accès pendant l’utilisation de l’app et n’utilise pas la localisation en arrière-plan à des fins publicitaires.
Vous pouvez refuser ou retirer l’autorisation dans les réglages du téléphone. Les fonctions reposant sur la position pourront alors être limitées, mais vous pourrez saisir une adresse manuellement lorsque cette option est disponible.
Qui peut recevoir les données ?
Seules les données nécessaires sont transmises aux catégories suivantes :
- OVHcloud (OVH SAS) pour l’hébergement du VPS/API et des données applicatives ;
- Google Firebase pour Authentication, App Check et Crashlytics ;
- Google Sign-In et Apple Sign in with Apple si vous choisissez ces méthodes ;
- Google Maps et les services OpenStreetMap utilisés pour les cartes, le géocodage ou les données routières ;
- Google Play et Apple pour les achats intégrés et la gestion des abonnements ;
- Cloudflare Pages pour l’hébergement des pages juridiques et de suppression de compte, ainsi que Cloudflare Turnstile pour sécuriser le formulaire web lorsqu’il est utilisé ;
- Vercel pour maintenir temporairement une copie accessible de ces pages pendant la migration technique ;
- les autorités ou conseils professionnels lorsque la loi l’exige ou pour défendre des droits.
Ces prestataires agissent selon leur rôle de sous-traitant ou de responsable indépendant. Leurs propres politiques peuvent également s’appliquer, notamment celles de Firebase, Google, Apple et OpenStreetMap Foundation, ainsi que les mentions d’OVHcloud.
Traitements hors Espace économique européen
Certains prestataires internationaux, notamment Google, Apple, Vercel ou Cloudflare, peuvent traiter des données en dehors de l’Espace économique européen. Ces transferts reposent, selon le service et le pays, sur une décision d’adéquation, le Data Privacy Framework UE-États-Unis ou des clauses contractuelles types approuvées par la Commission européenne.
Combien de temps ?
| Catégorie | Durée ou critère |
|---|---|
| Compte, profil, progression et parcours | Pendant la vie du compte, puis suppression après le délai de sécurité de 7 jours lorsqu’une demande vérifiée est confirmée. |
| Authentification Firebase | Jusqu’à la suppression du compte ; certaines sauvegardes peuvent nécessiter jusqu’à 180 jours pour être purgées par Firebase. |
| Rapports Crashlytics | 90 jours selon la documentation Firebase. |
| Journaux backend | Les journaux techniques ordinaires sont conservés 30 jours et les journaux de sécurité 90 jours. Les éléments isolés liés à un incident de sécurité confirmé peuvent être conservés jusqu’à 6 mois après sa clôture, ou pendant une procédure en cours dûment documentée. |
| Support | 12 mois après la clôture de la demande. Les captures et diagnostics joints sont supprimés au plus tard 30 jours après la clôture, sauf s’ils sont nécessaires à un incident ou litige en cours. |
| Preuves techniques d’achat et droits PRO | Pendant l’abonnement, puis 12 mois après sa fin pour traiter les restaurations, remboursements et contestations. Les documents ayant une valeur comptable ou fiscale sont conservés 10 ans à partir du 1er janvier suivant leur date. |
| Demandes RGPD et audits de suppression | Les données minimales prouvant la demande, sa vérification, son statut et son exécution sont conservées 2 ans après la clôture. Les justificatifs d’identité éventuellement demandés sont supprimés au plus tard 7 jours après la clôture. |
Les données locales peuvent rester sur l’appareil jusqu’à la déconnexion, l’effacement des données de l’app ou sa désinstallation. Des données strictement anonymisées peuvent être conservées sans durée déterminée lorsqu’elles ne permettent plus de vous identifier. À l’expiration des durées ci-dessus, les données sont supprimées ou anonymisées, sauf obligation légale ou procédure en cours dûment documentée.
Vos droits
Selon les conditions du RGPD, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, l’opposition ou la portabilité de vos données. Vous pouvez retirer une autorisation fondée sur votre consentement sans affecter les traitements déjà réalisés.
Écrivez à contact@roadcoach.pro. Une preuve raisonnable d’identité peut être demandée. RoadCoach répond en principe dans un délai d’un mois, prolongeable lorsque le RGPD le permet.
Vous pouvez programmer la suppression depuis l’app ou utiliser la page web de suppression. La demande est précédée d’un délai de sécurité de 7 jours et peut être annulée explicitement pendant ce délai.
Vous pouvez également introduire une plainte auprès de l’Autorité de protection des données belge ou de l’autorité compétente de votre pays de résidence.
Utilisateurs mineurs
RoadCoach est un outil d’apprentissage qui peut être utilisé par des candidats mineurs. Lorsque la loi exige l’autorisation d’un parent ou représentant légal pour créer un compte, communiquer des données ou souscrire une offre payante, cette autorisation doit être obtenue avant l’utilisation concernée.
Sécurité
RoadCoach utilise notamment le chiffrement HTTPS, Firebase App Check, des contrôles d’accès backend et le stockage sécurisé du téléphone pour les jetons sensibles. Les accès sont limités au besoin opérationnel. Aucun système ne pouvant garantir une sécurité absolue, tout incident avéré est traité selon les obligations applicables.
Évolution de cette politique
Cette politique sera mise à jour lorsque les traitements changent, notamment avant l’ajout d’un SDK publicitaire ou d’une nouvelle finalité. En cas de changement important, une information adaptée sera présentée dans l’application ou envoyée aux utilisateurs concernés.