Politique de confidentialité

Deux rôles coexistent. Pour les comptes des utilisateurs du garage (nom, email, rôle, journaux de connexion), l'éditeur de GarageFlow est responsable de traitement. Pour les données des clients du garage (coordonnées, véhicules, dossiers, photos), le garage est responsable de traitement et l'éditeur agit comme sous-traitant, uniquement sur instruction du garage.

• Comptes utilisateurs : nom, prénom, email, rôle, mot de passe haché. Finalité : authentification et gestion des accès.
• Clients du garage : nom, téléphone, email, adresse, notes. Finalité : suivi des interventions et contact.
• Véhicules et dossiers : immatriculation, numéro de série, kilométrage, diagnostics, photos, travaux et décisions. Finalité : exécution et traçabilité de la prestation.
• Validations client : date, heure et adresse IP de la réponse. Finalité : preuve de l'accord donné sur les travaux.
• Journaux techniques : connexions, actions sensibles, tentatives échouées. Finalité : sécurité et détection d'abus.

Le traitement des comptes utilisateurs repose sur l'exécution du contrat d'abonnement. Le traitement des données des clients du garage repose sur l'exécution du contrat de réparation et sur l'intérêt légitime du garage à conserver une traçabilité de ses interventions. Les journaux de sécurité reposent sur l'intérêt légitime à protéger le service.

• Données des dossiers : pendant la relation commerciale, puis 5 ans, durée usuelle de conservation des preuves d'intervention.
• Comptes utilisateurs : jusqu'à la résiliation, puis 60 jours pour permettre un export.
• Liens de validation client : détruits à expiration ; seule la décision enregistrée est conservée.
• Journaux techniques : 12 mois.

Les données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires. Elles sont accessibles au seul garage concerné : le cloisonnement entre garages est appliqué à chaque requête et vérifié par des tests automatisés. L'équipe GarageFlow n'accède aux données d'un garage que sur demande de celui-ci, dans le cadre du support.

Sous-traitants techniques : hébergeur de l'application et de la base de données, service de stockage des photos, prestataire d'envoi d'emails et, le cas échéant, prestataire de paiement pour la facturation. Tous sont situés dans l'Union européenne ou présentent des garanties équivalentes.

Mots de passe hachés (bcrypt), sessions serveur à jeton haché, liens de validation à jeton aléatoire de 256 bits stocké haché et expirant, accès aux photos par URL signée de courte durée, limitation du nombre de tentatives de connexion, journal d'audit des actions sensibles et chiffrement des échanges en HTTPS.

Toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Le client d'un garage exerce ses droits directement auprès de ce garage, qui décide des suites à donner. Un utilisateur du service peut écrire à contact@garageflow.fr.

Le garage dispose d'un export complet de ses données au format JSON, disponible à tout moment depuis les paramètres, y compris après la fin de son abonnement.

En cas de désaccord persistant, une réclamation peut être adressée à la Commission nationale de l'informatique et des libertés (CNIL).

GarageFlow n'utilise ni cookie publicitaire, ni traceur d'audience tiers. Un unique cookie strictement nécessaire conserve la session de l'utilisateur connecté ; il ne requiert pas de consentement préalable et disparaît à la déconnexion.