Politique de confidentialité

Version en vigueur au 14 mai 2026

1. Qui sommes-nous ?

AutoEcole360 est une plateforme SaaS de gestion d'auto-écoles. Dans ce cadre, nous traitons des données personnelles de trois catégories de personnes : les gérants/moniteurs (clients directs), les élèves (utilisateurs finaux de nos clients) et les visiteurs du site vitrine.

Pour les données des élèves, AutoEcole360 agit en qualité de sous-traitant au sens de l'article 28 du RGPD — l'auto-école cliente est le responsable de traitement.

2. Quelles données collectons-nous ?

2.1 Données des gérants et moniteurs

• Identité : nom, prénom, adresse email
• Identifiants de connexion : email + mot de passe chiffré (bcrypt)
• Numéro BEPECASER (moniteurs)
• Données de facturation et d'abonnement
• Journaux de connexion et d'activité (logs)

2.2 Données des élèves (traitées pour le compte des auto-écoles)

• Identité : nom, prénom, date de naissance, coordonnées
• Progression pédagogique : heures de conduite, résultats QCM, commentaires moniteur
• Planning de leçons
• Documents officiels : livret d'apprentissage, CERFA pré-rempli
• Données de facturation : montants, statuts de paiement
• Messages échangés avec l'école

2.3 Données techniques

• Adresses IP (journaux d'accès Caddy, conservation 7 jours)
• Tokens d'authentification JWT (session, expiration 8h)

3. Pourquoi collectons-nous ces données ?

4. Combien de temps conservons-nous les données ?

À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible. Les données de facturation liées à un élève supprimé sont conservées avec l'élève anonymisé (conformément à l'obligation comptable de 10 ans).

5. Qui a accès à vos données ?

5.1 Accès internes

• Superadmin AutoEcole360 : accès technique global pour maintenance et support
• Gérant de l'auto-école : accès aux données de ses élèves uniquement (isolation tenant)
• Moniteurs : accès limité aux élèves qui leur sont assignés

5.2 Sous-traitants techniques

• OVH SAS — hébergement infrastructure (France)
• Stripe Inc. — traitement paiements CB (UE/USA — clauses contractuelles types)
• CinetPay / FedaPay — paiements Mobile Money Afrique de l'Ouest (si applicable)

Aucune donnée n'est vendue, louée ou cédée à des tiers à des fins commerciales.

6. Transferts hors UE

Les données sont hébergées en France (OVH). Le seul transfert potentiel hors UE concerne Stripe Inc. (USA), encadré par les Clauses Contractuelles Types (CCT) de la Commission européenne, conformément à l'article 46 du RGPD.

Pour les clients Afrique de l'Ouest : les données restent hébergées en France (UE). Les prestataires de paiement locaux (CinetPay, FedaPay) ne reçoivent que les informations strictement nécessaires à la transaction.

7. Sécurité des données

AutoEcole360 met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement HTTPS/TLS sur toutes les communications (Let's Encrypt via Caddy)
• Mots de passe hachés avec bcrypt (facteur de coût 12)
• Authentification par token JWT signé (expiration 8h)
• Isolation stricte des données par tenant (aucun accès croisé possible)
• Sauvegardes chiffrées quotidiennes de la base de données
• Accès base de données limité au réseau interne Docker (port non exposé)
• Pare-feu VPS (UFW) — seuls les ports 80, 443 et SSH sont ouverts

En cas de violation de données, vous serez notifié dans les 72 heures conformément à l'article 33 du RGPD.

8. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès (art. 15) — obtenir une copie de vos données
• Droit de rectification (art. 16) — corriger des données inexactes
• Droit à l'effacement (art. 17) — "droit à l'oubli" (sous réserve des obligations légales)
• Droit à la portabilité (art. 20) — recevoir vos données dans un format structuré
• Droit d'opposition (art. 21) — s'opposer à certains traitements
• Droit à la limitation (art. 18) — limiter le traitement de vos données

9. Cookies

AutoEcole360 n'utilise aucun cookie publicitaire ou de tracking. Le service utilise uniquement :

• Cookie de session JWT (strictement nécessaire) : maintient votre connexion pendant 8 heures. Supprimé à la déconnexion.

Ces cookies étant strictement nécessaires au fonctionnement du service, ils ne requièrent pas de consentement préalable conformément aux lignes directrices de la CNIL (délibération n°2020-091).

10. Données des mineurs

AutoEcole360 peut traiter des données de personnes mineures (élèves en formation au permis de conduire accompagné dès 15 ans). Dans ce cadre :

• La collecte est effectuée par l'auto-école (responsable de traitement), qui est tenue de recueillir le consentement parental si nécessaire
• AutoEcole360, en qualité de sous-traitant, traite ces données sur instruction de l'auto-école uniquement
• Aucune donnée de mineur n'est utilisée à des fins de profilage ou de marketing

11. Modifications de cette politique

Cette politique peut être mise à jour pour refléter l'évolution du service ou des obligations légales. En cas de modification substantielle, les utilisateurs seront informés par email avec un préavis de 30 jours. La date de mise à jour est indiquée en haut de ce document.

12. Contact