Politique de confidentialité (RGPD)

1. Responsable du traitement

Le responsable du traitement des données est :

• Éditeur : Particulier — propriétaire du site cargateexport.com
• E-mail : contact@cargateexport.com

2. Données collectées

Nous collectons les données suivantes :

Données fournies par l'utilisateur

• Nom et prénom — lors de la création de compte ou d'une réservation
• Adresse e-mail — pour la communication et l'authentification
• Numéro de téléphone — pour le suivi de commande
• Adresse postale — pour la facturation et la livraison
• Préferences automobile — marque, modèle, budget, etc.
• Photos de véhicules — pour les annonces de vente/reprise

Données collectées automatiquement

• Adresse IP — pour la sécurité et la prévention des attaques
• User-Agent (navigateur, OS) — pour l'analyse technique
• Données de navigation — pages visitées, durée, referrer
• Cookies de session — pour l'authentification (httpOnly, sécurisés)

3. Finalités du traitement

Les données sont utilisées pour :

• Gérer les comptes utilisateurs et l'authentification
• Traiter les réservations et commandes de véhicules
• Organiser le transport et le suivi des livraisons
• Communiquer avec les clients (devis, mises à jour, support)
• Gérer les demandes de reprise (trade-in)
• Assurer la sécurité du site (prévention des attaques, rate limiting)
• Respecter les obligations légales et comptables

4. Base légale

Le traitement des données repose sur les bases légales suivantes :

• Exécution du contrat — pour le traitement des commandes et livraisons
• Consentement — pour la création de compte et la newsletter
• Intérêt légitime — pour la sécurité du site et la prévention des fraudes
• Obligation légale — pour la conservation des factures et données comptables

5. Durée de conservation

6. Destinataires des données

Les données sont accessibles à :

• CarGate Export — gestion interne des commandes et du support
• Vercel — hébergement du site (USA, certifié SOC 2)
• Vercel Postgres / Neon — hébergement de la base de données
• Stripe — traitement des paiements (PCI-DSS certifié)
• Resend — envoi d'e-mails transactionnels
• Google — authentification OAuth (si l'utilisateur choisit Google Login)

Les données ne sont jamais vendues ni cédées à des tiers à des fins commerciales.

7. Sécurité des données

Nous mettons en œuvre les mesures de sécurité suivantes :

• Mots de passe hashés avec bcrypt (jamais stockés en clair)
• Session signée avec HMAC-SHA256 (anti-falsification)
• Authentification admin à double facteur (TOTP)
• Rate limiting sur les endpoints sensibles
• Headers de sécurité : CSP, HSTS, X-Frame-Options, nosniff
• Validation et sanitisation de toutes les entrées utilisateur
• Connexion HTTPS forcée (TLS 1.2+)
• Cookies httpOnly + Secure + SameSite

8. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès — obtenir une copie de vos données
• Droit de rectification — corriger des données inexactes
• Droit d'effacement — demander la suppression de vos données
• Droit à la limitation — restreindre le traitement
• Droit à la portabilité — recevoir vos données dans un format structuré
• Droit d'opposition — refuser le traitement pour intérêt légitime
• Droit de retirer votre consentement — à tout moment

Pour exercer ces droits, contactez-nous à contact@cargateexport.com en précisant votre demande. Nous répondrons dans un délai maximum de 30 jours.

9. Cookies

Le site utilise les cookies suivants :

• auth_session — cookie d'authentification (httpOnly, Secure, SameSite=Lax). Durée : 7 jours (client) / 24h (admin). Nécessaire pour le fonctionnement du site.
• google_oauth_state — cookie anti-CSRF pour Google Login. Durée : 10 minutes.

Nous n'utilisons aucun cookie de tracking publicitaire ni de cookies tiers à des fins marketing.

10. Notification de violation

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à notifier la CNIL dans les 72 heures suivant la découverte de la violation, conformément à l'article 33 du RGPD, et à vous informer des mesures prises.

11. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez déposer une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) :

• Site : https://www.cnil.fr/fr/plaintes
• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07

12. Transferts hors UE

Certaines données sont hébergées par Vercel (USA) et Stripe (USA). Ces transferts sont encadrés par des clauses contractuelles types (SCC) conformément à l'article 46 du RGPD. Vercel est certifié SOC 2 Type II et Stripe est certifié PCI-DSS Level 1.