Protection des données personnelles

1. Préambule

Par la présente Politique de Confidentialité, la société 1C2F informe les Personnes Concernées sur la manière dont leurs Données Personnelles sont traitées sur l’Application et le Site City-Drop ainsi que sur les droits spécifiques pouvant être exercés.
La présente Politique de Confidentialité fait partie intégrante des CGL et des CGU. https://www.city-drop.com/fr/conditions-generales-location/, si bien que les définitions utilisées dans ces dernières sont réutilisées dans la présente Politique de Confidentialité.

2. Définitions

Les termes suivants, qu’ils soient employés au singulier ou au pluriel dans la présente Politique de Confidentialité, auront la définition donnée dans les CGU, les CGL ou, à défaut, auront la signification suivante :

Archivage Intermédiaire :	désigne le déplacement des Données Personnelles qui présentent encore pour 1C2F un intérêt administratif (comme en cas de contentieux et/ou en cas d’obligation légale) dans une base de données distincte, séparée logiquement ou physiquement et dont, en tout état de cause, l’accès est restreint. Cette archive est une étape intermédiaire avant la suppression des Données Personnelles concernées ou leur anonymisation ;
Destinataires :	désignent l’ensemble des sous-traitants, responsables conjoints et destinataires des Données Personnelles traitées par 1C2F.
Personne concernée :	désigne tout locataire, conducteur, prospect, ou encore toute personne qui peut être identifiée, directement ou indirectement dont les données sont traitées par 1C2F dans le cadre son activité.
Responsable de traitement :	Désigne la société par actions simplifiée 1C2F, société au capital de 440 330 euros dont le siège social se trouve au 5 rue du Mont Valérien 92150 Suresnes, France également désignée, le Loueur.
Règlementation sur les Données Personnelles :	désigne la Loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, relative à la protection des données personnelles, en application du Règlement communautaire du 27 avril 2016 publiée au Journal Officiel de l’Union européenne le 4 mai 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (dit « RGPD » pour Règlement Général pour la Protection des Données).

3. Description et finalités des Traitements

Les Données Personnelles des Personnes Concernées sont traitées sur l’Application et sur le Site pour réaliser les traitements ci-après :

Données personnelles traitées	Finalités	Bases légales
Données d’identification (nom, prénom, adresse e-mail, numéro de téléphone, adresse postale, date et lieu de naissance, identifiant de compte, profil (personnel ou professionnel) ; Le cas échéant, les données d’identification du/des conducteur(s) additionnel(s) : nom, prénom, adresse email, numéro de téléphone, adresse postale, N° de permis de conduire et celui du/des éventuel(s) conducteur(s) additionnel(s) ; Date d’obtention du permis de conduire ; Organisme de délivrance du permis de conduire ; Copie du permis de conduire ; Copie d’une pièce d’identité en cours de validité (si cela s’avère nécessaire) Données relatives à l’activité du compte ; Données financières (facture) ; Le cas échéant des données relatives aux infractions au code de la route ; Adresse IP ; Des données relatives à la navigation sur le Site Internet et l’Application ; Des données concernant les enquêtes de satisfaction ou provenant des interactions de la Personne Concernée sur les pages dédiées et/ou les réseaux sociaux ; Données vocales, audiovisuelles et électroniques : les enregistrements des communications par e-mail, chat ou téléphone avec notre service client ; Données des véhicules connectés : l'état du véhicule, des informations relatives aux dommages ou accidents, des données relatives aux performances du véhicule, des données opérationnelles et de diagnostic, des informations relatives au kilométrage, les vitesses d'accélération et de freinage, la consommation de carburant et les niveaux de carburant, la pression des pneus, les relevés du compteur kilométrique, l'emplacement du véhicule ainsi que d'autres informations relatives au véhicule ; Données justifiant du consentement et de la lecture des documents	Location de véhicule	Exécution du contrat entre la Personne concernée et 1C2F
	Gestion de la relation commerciale avec la Personne concernée	Exécution du contrat entre la Personne concernée et 1C2F
	Gestion des infractions	Obligations légales
	Gestion en cas de sinistre, panne, accident	Exécution du contrat entre la Personne concernée et 1C2F
	Gestion des réclamations	Exécution du contrat entre la Personne concernée et 1C2F
	Élaboration de statistiques commerciales, d’analyses et d’outils marketing (notamment classification, score, etc.)	Intérêt légitime
	Gestion des fichiers de suivi des personnes à risques ayant pour conséquence le refus de location aux personnes concernées	Intérêt légitime
	Gestion d’exercice de droits spécifiques	Obligations légales
	Gestion des impayés et des contentieux	Exécution du contrat entre la Personne concernée et 1C2F
	Lutte contre la fraude et les intrusions sur l’Application	Intérêt légitime
	Gestion du parcours de location (livraison, collecte, entretien du Véhicule, facturation, etc.) S’assurer du respect des obligations prévues au Contrat de location dans le contrat de location (par exemple, si le Véhicule n’est pas retourné à la fin de la période de location qui a été définie, ou si le véhicule est utilisé en dehors du périmètre géographique autorisé).	Exécution du contrat entre la Personne concernée et 1C2F
	Gestion des avis en ligne	Intérêt légitime
Données de localisation des Véhicules	S'assurer du point de départ et d'arrivée du Véhicule loué, vérifier que le Véhicule n'est pas sorti de l'espace Schengen (gestion de la flotte).	Exécution du contrat entre la Personne concernée et 1C2F
	Retrouver les véhicules en cas de vol.	Intérêt légitime
	Porter assistance aux locataires (par exemple pour trouver un garage, un lieu de stationnement, en cas de dépannage / d'accident).	Exécution du contrat entre la Personne concernée et 1C2F

La Société collecte l’essentiel des Données Personnelles directement auprès des Personnes Concernées mais elle peut être amenée à recevoir des données de la part de tiers, et notamment des autorités en charge de la gestion des amendes relatives aux infractions aux règles de la circulation.
La Société collecte également des données liées aux cookies et aux autres technologies analogues, conformément à la politique en matière de cookies <https:/www.city-drop.com/fr/politique-cookies>.

4. Conservation des Données

Les Données Personnelles traitées dans le but de répondre aux obligations contractuelles sont conservées pendant la durée de la relation commerciale en base active et cinq (5) ans après la fin de celle-ci en archivage intermédiaire, à l’exception des conversations téléphoniques enregistrées lors d’un appel passé par la Personne Concernée avec le standard téléphonique qui sont conservées pendant une durée de six (6) mois.
Les Données Personnelles traitées aux fins de gestion des infractions sont conservées en cas de contravention pour une durée nécessaire à l’identification du conducteur, dans la limite de 45 jours et conserver au-delà en Archivage Intermédiaire pendant une durée supplémentaire d’une (1) année. Les Données personnelles sont par ailleurs conservées cinq (5) années supplémentaires pour les délits.
Les Données Personnelles liées à la gestion des impayés sont conservées en base active jusqu’à la régularisation de l’impayé et sont effacées dans les quarante-huit (48) heures suivant le constat de la régularisation par City-Drop ou à partir du moment où l’impayé a été effectivement soldé. En cas de non-régularisation, les données personnelles sont conservées dans la limite de cinq (5) ans à compter de la survenance de l’impayé.
Les Données Personnelles liées à la localisation des Véhicules sont conservées au regard des finalités suivantes :
- s'assurer du point de départ et d'arrivée du Véhicule loué : City-Drop a recours à la géolocalisation du Véhicule pour s’assurer de son emplacement de stationnement convenu avec le Locataire. Dès lors que City-Drop a connaissance de la volonté du Locataire de restituer le Véhicule à un autre emplacement que celui préalablement convenu, elle active la géolocalisation afin de gérer cette situation.
- retrouver le Véhicule en cas de vol : les données de localisation sont collectées à partir de la déclaration de vol, puis le temps de l’instruction du dossier par les autorités judiciaires compétentes ou jusqu’à l’issue d’une procédure de levée de doute n’aboutissant pas à la confirmation du vol du véhicule. En cas de vol, les données de géolocalisation en lien avec ces procédures sont conservées en archivage intermédiaire par City-Drop pour se constituer une preuve en cas de contentieux et dans la limite du délai de prescription applicable.
- porter assistance aux Locataires (par exemple pour trouver un garage, un lieu de stationnement, en cas de dépannage / d'accident) : les données de localisation sont collectées qu'à partir du moment où le Locataire sollicite l'assistance de City-Drop.
Les Données Personnelles financières répondant aux obligations comptables et fiscales (factures et montant des transactions réalisées ainsi que la date et l’heure de ces transactions) sont conservées deux (ans) en base active à compter de la fin de la relation contractuelle puis pendant une durée supplémentaire de huit (8) années en Archivage Intermédiaire.
Les Données Personnelles collectées dans le cadre de la publication des avis en ligne et de l’élaboration de statistiques commerciales sont conservées jusqu'à l'exercice du droit d'opposition de la personne concernée.
Les Données Personnelles traitées dans le cadre des fichiers de suivi des personnes à risques, de l’exercice des droits spécifiques et en cas de lutte contre la fraude sont conservées pendant une durée de cinq (5) ans.

5. Le stockage des Données Personnelles

Le Site City-Drop est hébergé par Amazon Web Services (Amazon.com Legal Department - 410 Terry Avenue North, Seattle, WA 98109-5210, USA).
L’Application est hébergée par OVH, dont les coordonnées sont disponibles en cliquant ici https://www.ovh.com/fr/support/mentions-legales/.
Toutes les précautions ont été prises pour stocker les Données personnelles des Personnes concernées dans un environnement sécurisé et empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès. Les informations transmises par la Personne concernée ne seront jamais transmises à des tiers dans un but commercial ni vendues ni échangées sans son consentement.

6. Destinataires ou catégories de Destinataires s’ils existent

Les Données Personnelles traitées sur City-Drop sont accessibles à certains collaborateurs afin de répondre au mieux aux finalités précitées, mais également à des Destinataires externes autorisés pour la fourniture du service.

Nom du Destinataire	Pays d’établissement du destinataire des données	Nature des données transférées	Finalité du transfert envisagé	Catégories de destinataire des données	Niveau de protection offert par le pays ou exception prévue par la Règlementation sur les Données Personnelles
Amazon Web Services Europe	Europe	Données Personnelles collectées à partir du Site (logs de connexion, données personnelles relatives au Compte, avis en ligne, etc.)	Hébergement du Site Internet City-Drop	Sous-traitant	Approprié
Ariadnext SAS	France	Noms, prénom, sexe, date et lieu de naissance et N° de permis de conduire et celui du/des éventuel(s) conducteur(s) additionnel(s) ; Date d’obtention du permis de conduire ; Organisme de délivrance du permis de conduire ; Copie du permis de conduire ;	Vérification de l’authenticité du permis de conduire transmis par le Locataire ; Location de véhicule ; Gestion des infractions ; gestion de sinistre, panne et accident	Sous-traitant	Approprié
Stripe	Irlande	Données d’identification, informations de paiement et données bancaires (numéro de carte de paiement, code CVC et date d’expiration); Adresse ip ; données de navigation	Prestation de service de paiement ; Détection de fraude	Responsable conjoint	Approprié
DO YOU DREAM UP	France	Données de chat (discussion, message, appréciation interne, logs de connexion).	Editeur et fournisseur de l’outil de chat en ligne	Sous-traitant	Approprié
Vulog	Allemagne / France	Prénom, Nom, Langue, Date de naissance, Adresse électronique, Numéro d'identification, CustomerID, Date/heure du voyage, Position GPS, État du véhicule, État des portes, État de la batterie, Kilomètres parcourus, Niveau de carburant, Nombre de satellites communiquant avec le Véhicule, Historique du compte, Données d'analyse des trajets, Données d'identification du Véhicule / numéro, Données d'identification du système embarqué du Véhicule (Vubox), Données d'analyse de la géolocalisation gratuite des véhicules	Outil permettant de géolocaliser le Véhicule	Sous-traitant	Approprié
OVH	France	Données Personnelles collectées à partir de l’Application (logs de connexion, stationnement du Véhicule, etc.)	Hébergement de l’Application	Sous-traitant	Approprié
Cryptolog (UniverSign)	France et USA	Données d’identification, preuves de signatures électroniques des Contrats de Location, logs de connexion, stockage des documents.	Utilisation de la solution de signature électronique désignée « Universign »	Responsable du traitement et Co-responsable de traitement concernant le stockage des documents.	Approprié
Message Bird	USA	Numéro de téléphone	Solution d’envoi de SMS	Sous-traitant
Ringover	France / UE	Numéro de téléphone, Enregistrement des conversations	Outil de gestion de standard téléphonique	Sous-traitant	Approprié
Twilio/Sendgrid	USA	Adresse électronique	Outil d’envoi de courrier électronique	Sous-traitant	Approprié

7. Droits spécifiques

Droit d’accès : La Personne Concernée a la possibilité d’obtenir de 1C2F la confirmation que les Données Personnelles la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites Données Personnelles ainsi que les informations suivantes :
- les finalités du traitement ;
- les catégories de Données Personnelles ;
- les destinataires ou catégories de destinataires auxquels les Données Personnelles ont été ou seront communiquées ;
- lorsque cela est possible, la durée de conservation des Données Personnelles envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
- l’existence du droit de demander à 1C2F la rectification ou l’effacement de Données Personnelles, ou une limitation du traitement de ses Données Personnelles, ou du droit de s’opposer à ce traitement ;
- le droit d’introduire une réclamation auprès de la CNIL ;
- lorsque les Données Personnelles ne sont pas collectées auprès de la Personne Concernée, toute information disponible quant à leur source ;
- l’existence d’une prise de décision automatisée, y compris un profilage, et, au moins en pareil cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la Personne Concernée.
Lorsque les Données Personnelles sont transférées vers un pays tiers ou à une organisation internationale, la Personne Concernée a le droit d’être informée des garanties appropriées, en ce qui concerne ce transfert. 1C2F fournit une copie des Données Personnelles faisant l’objet d’un traitement. 1C2F peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la Personne Concernée. Lorsque la Personne Concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins qu’elle ne demande qu’il en soit autrement. Le droit de la Personne Concernée d’obtenir une copie de ses Données Personnelles ne doit pas porter atteinte aux droits et libertés d’autrui.
Droit de rectification : La Personne Concernée a la possibilité d’obtenir du Responsable de traitement, dans les meilleurs délais, la rectification des Données Personnelles la concernant qui sont inexactes. Elle a aussi la possibilité d’obtenir que les Données Personnelles incomplètes soient complétées, y compris en fournissant une déclaration complémentaire.
Droit à l’effacement : La Personne concernée a la possibilité d’obtenir de 1C2F l’effacement, dans les meilleurs délais, de Données Personnelles la concernant lorsque l’un des motifs suivants s’applique :
1. Les Données Personnelles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière par 1C2F ;
2. La Personne Concernée a retiré son consentement pour le traitement de ces Données Personnelles et il n’existe pas d’autre fondement juridique au traitement ;
3. La Personne Concernée exerce son droit d’opposition dans les conditions rappelées ci-après et il n’existe pas de motif légitime impérieux pour le traitement ;
4. Les Données Personnelles ont fait l’objet d’un traitement illicite ;
5. Les Données Personnelles doivent être effacées pour respecter une obligation légale ;
6. Les Données Personnelles ont été collectées auprès d’un enfant.
Droit à la limitation : La Personne Concernée a la possibilité d’obtenir de 1C2F la limitation du traitement de ses Données Personnelles lorsque l’un des motifs suivants s’applique :
1. 1C2F vérifie l’exactitude des Données Personnelles suite à la contestation par la Personne Concernée de l’exactitude des Données Personnelles ;
2. Le traitement est illicite et la Personne Concernée s’oppose à l’effacement des Données Personnelles et exige à la place la limitation de leur utilisation ;
3. 1C2F n’a plus besoin des Données Personnelles aux fins du traitement, mais celles-ci sont encore nécessaires à la Personne Concernée pour la constatation, l’exercice ou la défense de droits en justice ;
4. La Personne concernée s’est opposée au traitement dans les conditions rappelées ci-après et 1C2F vérifie de savoir si les motifs légitimes poursuivis prévalent sur les motifs allégués.
Droit à la portabilité des Données : La Personne concernée a la possibilité de recevoir de 1C2F les Données Personnelles la concernant, dans un format structuré, couramment utilisé et lisible par machine lorsque le traitement des Données Personnelles est fondé sur le consentement, ou sur un contrat et le traitement est effectué à l’aide de procédés automatisés. La Personne concernée exerce son droit à la portabilité, il a le droit d’obtenir que les Données Personnelles soient transmises directement par 1C2F à un autre Responsable de Traitement qu’il désignera lorsque cela est techniquement possible. Le droit à la portabilité des Données Personnelles de la Personne Concernée ne doit pas porter atteinte aux droits et libertés d’autrui.
Droit d’opposition : La Personne Concernée peut s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des Données Personnelles la concernant fondé sur l’intérêt légitime de 1C2F. Ce dernier ne traitera alors plus les Données Personnelles, à moins qu’il ne démontre qu’il existe des motifs impérieux et légitimes pour le traitement qui prévalent sur les intérêts et les droits et libertés de la Personne Concernée, ou pourra les conserver pour la constatation, l’exercice ou la défense de droits en justice.
Directives post-mortem : La Personne Concernée a la possibilité de communiquer à 1C2F des directives relatives à la conservation, à l’effacement et à la communisation de ses Données Personnelles après son décès, lesquelles directives peuvent être enregistrées également auprès « d’un tiers de confiance numérique certifié ». Ces directives, ou sorte de « testament numérique », peuvent désigner une personne chargée de leur exécution ; à défaut, les héritiers de la Personne Concernée seront désignés. En l’absence de toute directive, les héritiers de la Personne Concernée peuvent s’adresser à 1C2F afin de/d’ :
1. accéder aux traitements de Données Personnelles permettant « l’organisation et le règlement de la succession du défunt » ;
2. recevoir communication des « biens numériques » ou des « données s’apparentant à des souvenirs de famille, transmissibles aux héritiers » ;
3. faire procéder à la clôture du compte de la Personne Concernée sur l’Application et s’opposer à la poursuite du traitement de ses Données Personnelles.

En tout état de cause, la Personne Concernée a la possibilité d’indiquer à 1C2F à tout moment, qu’elle ne souhaite pas, en cas de décès, que ses Données Personnelles soient communiquées à un tiers.

8. Exercice des Spécifiques des Personnes concernées

Les Droits peuvent être exercés, à tout moment, auprès de 1C2F :

Par courrier électronique à l’adresse suivante : contact@city-drop.com en précisant l’objet de la demande ;
Par courrier postal en précisant en objet de la demande à l’adresse suivante :

City-Drop, 5 rue du mont Valérien, 92150 Suresnes, France.

Aux fins de faire valoir ses droits suivant les conditions visées ci-dessus et dans l’hypothèse où 1C2F aurait des doutes sur l’auteur de la demande, 1C2F pourra demander à celui-ci de justifier de son identité en mentionnant ses nom, prénom, adresse de courrier électronique et d’accompagner sa demande d’une copie d’une pièce d’identité en cours de validité.
Une réponse sera adressée à la Personne Concernée dans un délai d’un (1) mois maximum suivant la date de réception de la demande.
Au besoin ce délai pourra être prolongé de deux (2) mois par 1C2F qui en informera la Personne Concernée et ce, compte tenu de la complexité et/ou du nombre de demandes.
En cas de demande de la Personne Concernée de suppression de ses Données Personnelles et/ou en cas d’exercice de son droit à solliciter l’effacement de ses Données Personnelles, 1C2F pourra toutefois les conserver sous forme d’Archivage Intermédiaire, et ce pour la durée nécessaire à satisfaire à ses obligations légales, ou à des fins probatoires pendant le délai de prescription applicable.
La Personne Concernée peut également porter réclamation devant l’autorité de contrôle compétente (la CNIL).

Dernière mise à jour : 12 février 2023