English · Français
Politique de confidentialité de smart-ALICE
smart-ALICE permet aux habitants de Grenoble-Alpes Métropole de donner leur matériel informatique usagé à des organisations agréées du secteur du réemploi, et de consulter, réserver et retirer des appareils reconditionnés. Il est disponible sous forme d'application mobile et d'application web à l'adresse smartalice.dotsoft.gr. La présente politique explique quelles données personnelles l'application (« l'Application ») collecte, pourquoi, qui les reçoit, combien de temps elles sont conservées et quels sont vos droits.
Responsable du traitement
DOTSOFT SA, Posidonos 71, 55535, Thessalonique, Grèce
G.E.MI. 059277904000 · TVA EL999566850 · [email protected]
DOTSOFT SA détermine les finalités et les moyens du traitement de vos données et est votre interlocuteur à ce sujet. smart-ALICE est développé pour Grenoble-Alpes Métropole, autorité publique compétente sur le territoire du pilote ; Grenoble-Alpes Métropole n'exploite pas l'Application et ne reçoit pas de données personnelles du seul fait de ce rôle.
1. Informations que nous collectons
1.1 Ce que vous nous fournissez
| Données | Quand | Obligatoire |
|---|---|---|
| Adresse e-mail et mot de passe | Inscription et connexion | Oui |
| Prénom et nom | Inscription, et modifiables dans votre profil | Demandés ; si vous les laissez vides, les organisations voient votre adresse e-mail à leur place |
| Déclaration attestant que vous avez au moins 18 ans | Avant votre première réservation ou votre premier achat, ou plus tôt si vous la faites à l'inscription | Oui, pour les réservations et les achats |
| Numéro de téléphone et adresse postale | Dans votre profil, ou enregistrés depuis un formulaire de don ou de réservation | Non |
| Détails du don : catégorie, marque, modèle et numéro de série de l'appareil, description, jusqu'à 5 photos, adresse et téléphone de retrait, date et créneau horaire souhaités, remarques pour le retrait, et toute remarque ajoutée en cas d'annulation | Lorsque vous proposez un appareil | Oui, pour faire un don |
| Détails de la réservation : mode de retrait, date et créneau de retrait souhaités, adresse de livraison, téléphone et, pour un appareil gratuit, l'usage que vous comptez en faire et l'engagement de ne pas le revendre | Lorsque vous réservez ou achetez un appareil | Oui, pour ces actions |
| Favoris | Lorsque vous enregistrez une annonce | Non |
| Nom, adresse, e-mail et téléphone de contact de l'organisation, ainsi que le nom et l'e-mail de connexion de la personne de contact | Inscription d'un compte du secteur du réemploi | Oui, pour ces comptes |
| Tout ce que vous nous écrivez | Lorsque vous nous contactez | Non |
Nous ne vérifions pas votre âge. La déclaration est votre propre affirmation et, une fois faite, elle reste attachée à votre compte. La zone d'intervention d'une organisation du secteur du réemploi est définie par les administrateurs de la plateforme, et non collectée auprès de l'organisation.
Les métadonnées des photos sont supprimées. Les photos prises avec un appareil photo contiennent généralement des informations cachées sur la prise de vue, y compris les coordonnées GPS lorsque la géolocalisation est activée. L'application mobile les supprime sur votre appareil, en ne conservant que l'indicateur d'orientation pour que les photos ne s'affichent pas de travers, et refuse un fichier dans un format dont elle ne peut pas les supprimer. Nos serveurs réencodent également chaque photo d'appareil lors de son enregistrement, de sorte qu'aucune photo n'est conservée avec ses informations cachées.
1.2 Ce qui est collecté automatiquement
| Données | Quand | Pourquoi |
|---|---|---|
| Adresse IP, heure, adresse demandée, statut de la réponse, page de provenance, taille de la réponse et agent utilisateur de l'appareil | À chaque requête vers nos serveurs | Sécurité et diagnostic |
| Jetons de session | Lorsque vous vous connectez | Pour vous maintenir connecté |
| Localisation approximative | Uniquement lorsqu'un écran de carte ou d'adresse est ouvert, et uniquement avec votre autorisation | Pour centrer la carte et remplir une adresse de retrait |
| Images de l'appareil photo | Lors de la lecture de l'étiquette d'un appareil ou de la photo d'un don | Les images sont traitées sur votre appareil ; seules les photos que vous joignez sont envoyées |
| Identifiant d'étiquette NFC | Attribution d'étiquettes par le secteur du réemploi uniquement | Pour associer une étiquette à un appareil |
| Dates de création du compte, de dernière connexion et de dernière activité | Automatiquement | Pour faire fonctionner et sécuriser le compte |
L'Application ne contient aucun SDK d'analyse, de suivi, de publicité ou de rapport de plantage, ne dépose aucun cookie de suivi et ne demande aucun accès aux contacts, au calendrier, au microphone ou à la localisation en arrière-plan. Nous ne vous profilons pas, ne prenons aucune décision automatisée vous concernant et ne vendons pas de données personnelles.
2. Comment nous utilisons vos informations
| Finalité | Base légale (art. 6 du RGPD) |
|---|---|
| Créer et gérer votre compte et vous maintenir connecté | Contrat, art. 6, par. 1, point b) |
| Organiser les dons et permettre à l'organisation du secteur du réemploi de vous contacter et de retirer l'appareil | Contrat |
| Gérer les réservations et les achats, enregistrer le reçu de l'organisation et votre confirmation de réception | Contrat |
| Vous montrer vos propres dons, réservations, achats, favoris et notifications | Contrat |
| Réserver les réservations et les achats aux adultes | Intérêt légitime, art. 6, par. 1, point f) |
| Afficher les organisations à proximité et remplir les adresses de retrait | Consentement, art. 6, par. 1, point a), donné via la demande d'autorisation de votre appareil et révocable dans ses réglages |
| Suivre les appareils tout au long de leur cycle de réemploi grâce aux étiquettes QR et NFC | Intérêt légitime à disposer d'un système de réemploi traçable |
| Assurer la sécurité du service, prévenir les abus et diagnostiquer les pannes | Intérêt légitime |
| Rendre compte de l'impact environnemental du pilote, uniquement à partir de chiffres agrégés et anonymes | Intérêt légitime |
| Répondre à vos demandes et respecter vos droits | Obligation légale, art. 6, par. 1, point c) |
3. Cookies et stockage local
L'Application ne dépose aucun cookie. L'application mobile enregistre quatre valeurs sur votre appareil :
| Clé | Contenu | Conservée jusqu'à |
|---|---|---|
| auth_access_token | Jeton de session de courte durée | Votre déconnexion ou l'expiration de la session |
| auth_refresh_token | Jeton utilisé pour renouveler la session | Votre déconnexion |
| app_locale | Langue choisie, en ou fr | Vous la modifiez ou désinstallez l'application |
| app_theme_mode | Thème choisi | Vous le modifiez ou désinstallez l'application |
Elles sont conservées dans le stockage sécurisé de la plateforme : le Keystore sur Android, le Trousseau (Keychain) sur iOS dans une classe qui les tient à l'écart des autres appareils et des sauvegardes, et un stockage du navigateur chiffré avec une clé Web Crypto sur le web. La sauvegarde de l'application Android est désactivée, de sorte que les jetons n'atteignent jamais une sauvegarde dans le cloud. La déconnexion supprime les deux jetons. La version web met aussi en cache le code et les images propres à l'Application, qui ne contiennent aucune donnée personnelle.
L'application web à l'adresse smartalice.dotsoft.gr/dashboard/ enregistre cinq valeurs dans le stockage local du navigateur, non chiffrées : sa_access et sa_refresh (les jetons de session), sa_user (les détails de votre compte tels qu'affichés dans l'application : e-mail, nom, téléphone, adresse et rôle), sa_lang (langue) et sa_theme (thème). La déconnexion supprime les jetons et les détails de votre compte ; la langue et le thème restent jusqu'à ce que vous les modifiiez ou effaciez les données du navigateur.
4. Services tiers et partage des données
Services auxquels l'Application se connecte. Les données de compte, de don, de réservation, de transaction et de notification sont envoyées au serveur de smart-ALICE à l'adresse smartalice.dotsoft.gr, via HTTPS. Tout le trafic vers smartalice.dotsoft.gr passe par Cloudflare, notre réseau de diffusion de contenu, qui déchiffre la connexion pour la filtrer et la transmettre, et voit donc votre adresse IP et le contenu de vos requêtes. Si vous demandez la réinitialisation de votre mot de passe, l'e-mail contenant le lien de réinitialisation est envoyé par notre prestataire d'envoi d'e-mails, qui reçoit votre adresse e-mail. La recherche d'adresse et le placement d'un repère envoient le texte que vous saisissez ou les coordonnées que vous choisissez, ainsi que votre adresse IP, à OpenStreetMap Nominatim (https://osmfoundation.org/wiki/Privacy_Policy). Les images de carte proviennent de CARTO, qui voit votre adresse IP et la zone que vous consultez (https://carto.com/privacy). Aucun des deux ne reçoit votre nom, votre e-mail, les détails de votre compte ou votre jeton de session. Aucun autre service externe n'est contacté.
Qui reçoit vos données. L'organisation du secteur du réemploi que vous choisissez reçoit votre nom, votre adresse e-mail, votre adresse de retrait ou de livraison, votre téléphone, vos remarques (y compris toute remarque d'annulation), vos horaires souhaités, les détails et les photos de l'appareil et, pour un appareil gratuit, l'usage que vous comptez en faire et votre engagement de non-revente, afin de pouvoir retirer ou remettre l'appareil ; elle est responsable de ce qu'elle en fait ensuite. Les administrateurs de la plateforme, qui agréent les organisations et suivent le pilote, peuvent voir l'ensemble des dons, réservations, achats et reçus. Les autres utilisateurs de l'Application ne voient jamais votre nom, votre e-mail ni votre adresse ; les annonces apparaissent sous le nom de l'organisation, et les pages publiques des appareils n'affichent que des informations sur l'appareil. Si vous partagez une annonce ou un reçu, il est transmis à l'application que vous choisissez. Nous partageons également des données avec les autorités publiques lorsque la loi l'exige.
Où vos données sont conservées. Sur les propres serveurs de DOTSOFT SA, dans ses locaux de Thessalonique, en Grèce, et non chez un fournisseur de cloud ou d'hébergement ; elles restent donc dans l'Union européenne. Les exceptions sont Cloudflare, qui exploite un réseau mondial et est établi aux États-Unis, ainsi que les recherches d'adresse et les images de carte mentionnées ci-dessus : la Fondation OpenStreetMap est enregistrée au Royaume-Uni et CARTO diffuse depuis un réseau mondial, de sorte que ces requêtes peuvent être traitées hors de l'EEE.
5. Conservation et sécurité des données
5.1 Conservation
| Données | Durée de conservation |
|---|---|
| Profil du compte et favoris | Tant que votre compte existe ; supprimés lorsque la suppression du compte est effectuée |
| Dons non encore retirés | Tant que votre compte existe. Lorsque la suppression du compte est effectuée, le don est annulé, et sa description, ses remarques, l'adresse et le téléphone de retrait, la marque, le modèle et le numéro de série de l'appareil ainsi que ses photos sont supprimés ; les enregistrements du don et de l'appareil restent, sans lien avec vous, avec uniquement la catégorie et le statut de l'appareil |
| Dons déjà retirés | Tant que votre compte existe. Lorsque la suppression du compte est effectuée, la description, les remarques, l'adresse et le téléphone de retrait sont supprimés et le lien avec vous est retiré ; l'enregistrement de l'appareil, y compris sa marque, son modèle, son numéro de série et ses photos, reste dans l'historique de réemploi de l'appareil |
| Réservations | Une réservation encore ouverte lorsque la suppression du compte est effectuée est annulée et supprimée, et l'appareil revient sur la place de marché |
| Achats et reçus | Tant que votre compte existe. Lorsque la suppression du compte est effectuée, l'adresse de livraison, le téléphone et l'usage prévu sont supprimés et le lien avec vous est retiré. L'enregistrement de la vente reste auprès de l'organisation, y compris son reçu, qui est un document propre à l'organisation et peut contenir des informations qu'elle a choisi d'y faire figurer |
| Photos des appareils | Enregistrées sans métadonnées cachées. Conservées comme indiqué ci-dessus : supprimées avec un don non encore retiré, conservées avec l'enregistrement d'un appareil retiré |
| Enregistrements des appareils et leur historique de réemploi | Pendant toute la durée de vie de l'appareil dans le système ; tout lien avec votre compte ou d'autres données personnelles est retiré lorsque la suppression du compte est effectuée |
| Notifications | 180 jours, ou jusqu'à la suppression du compte si elle intervient avant |
| Journaux des requêtes serveur | 30 jours |
| Jetons de session | Jusqu'à votre déconnexion, l'expiration de la session ou la suppression du compte. Les jetons d'accès expirent au bout d'1 jour et les jetons de renouvellement au bout de 365 jours ; un jeton d'accès peut rester valide jusqu'à 24 heures après votre déconnexion. |
5.2 Sécurité
- Tout le trafic utilise TLS. La version Android n'autorise aucune connexion non chiffrée.
- Les mots de passe ne circulent que via TLS et ne sont jamais enregistrés sur votre appareil.
- Les jetons de session sont placés dans le stockage sécurisé de la plateforme, exclus des sauvegardes de l'appareil et effacés à la déconnexion.
- Les métadonnées des photos sont supprimées sur votre appareil par l'application mobile, puis à nouveau sur nos serveurs, de sorte qu'une photo n'est jamais conservée avec ses données de localisation.
- Les services d'adresse et de carte passent par une connexion distincte, non authentifiée, et ne reçoivent jamais votre jeton de session.
- Les données de compte ne sont accessibles que par des requêtes authentifiées, les rôles étant contrôlés sur le serveur.
- Les reçus sont enregistrés sous des noms aléatoires et ne s'ouvrent que via des liens que le serveur délivre aux utilisateurs autorisés à les voir et qui expirent au bout d'une heure.
- Les serveurs se trouvent dans les propres locaux de DOTSOFT, qui en contrôle donc l'accès physique.
Aucun système n'est parfaitement sûr. Si une violation affecte vos données personnelles, nous vous en informerons, ainsi que l'autorité de contrôle, comme la loi l'exige.
6. Vos droits et nos coordonnées
En vertu du RGPD, vous pouvez accéder à vos données et en recevoir une copie, les rectifier, nous demander de les effacer, limiter le traitement fondé sur l'intérêt légitime ou vous y opposer, les recevoir dans un format portable lisible par machine, et retirer votre consentement à tout moment, par exemple en désactivant l'autorisation de localisation de l'Application. Vous pouvez également introduire une réclamation auprès d'une autorité de contrôle : la CNIL en France (https://www.cnil.fr), ou l'Autorité hellénique de protection des données (https://www.dpa.gr), DOTSOFT SA étant établie en Grèce.
Vous pouvez modifier vous-même votre nom, votre numéro de téléphone et votre adresse sous Profil, Informations personnelles, et vous déconnecter sous Profil, Se déconnecter, ce qui efface la session de votre appareil.
Si vous avez un compte donateur/acheteur, vous pouvez le supprimer vous-même, dans l'Application, sous Profil, Supprimer le compte. Une confirmation vous est d'abord demandée ; la suppression prend ensuite effet immédiatement, est irréversible et vous déconnecte. Ce qui est supprimé et ce qui peut subsister est indiqué dans le tableau de conservation ci-dessus.
Pour exercer tout autre droit, notamment recevoir une copie de vos données, ou pour nous demander de supprimer votre compte plutôt que de le faire vous-même, écrivez à [email protected] depuis l'adresse utilisée par votre compte, ou donnez-nous suffisamment d'informations pour vous identifier. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes lorsque le RGPD le permet. Lorsque la suppression du compte est effectuée, les données personnelles liées à votre compte sont supprimées, à l'exception de ce que le tableau de conservation ci-dessus indique comme conservé : les enregistrements et photos des appareils déjà retirés, et les enregistrements de vente avec le reçu de l'organisation, le lien avec vous étant retiré dans tous les cas.
Enfants. smart-ALICE s'adresse aux adultes, et les réservations et achats exigent que vous déclariez avoir 18 ans ou plus. Nous ne collectons pas sciemment de données concernant des enfants de moins de 16 ans. Si vous pensez que cela a été le cas, dites-le-nous et nous les supprimerons.
Modifications. Nous mettrons à jour la présente politique lorsque nos pratiques changeront et indiquerons une nouvelle date ci-dessus. Les modifications importantes seront annoncées dans l'Application.
Contact. DOTSOFT SA, Posidonos 71, 55535, Thessalonique, Grèce · [email protected]
La présente politique est régie par le RGPD et le droit grec de la protection des données.