Politique de confidentialité

Cette politique explique quelles données personnelles Garapp collecte, pourquoi, et quels sont vos droits, conformément au Règlement général sur la protection des données (RGPD).

Responsable du traitement

Le responsable du traitement est Arthur Pattee, entrepreneur individuel (SIRET 840 614 721 00016), 13 rue des Clos Saint Marcel, 92330 Sceaux, joignable à contact@garapp.me.

Données que nous collectons

• Compte : adresse e-mail et mot de passe (stocké de façon chiffrée, jamais en clair).
• Contenus que vous saisissez : véhicules, entretiens, pièces, plans de maintenance, photos et documents que vous ajoutez.
• Données techniques : données strictement nécessaires au fonctionnement (cookies de session) et, le cas échéant, jeton de notification push si vous l'activez.
• Statistiques d'usage (avec votre consentement) : si vous l'acceptez, des évènements d'utilisation anonymisés (pages vues, actions comme l'ajout d'un véhicule ou d'un entretien) pour comprendre comment l'application est utilisée et l'améliorer. Aucune donnée personnelle identifiante (e-mail, plaque, contenu de vos fiches) n'est transmise à cet outil ; nous n'utilisons qu'un identifiant technique. Rien n'est collecté tant que vous n'avez pas donné votre accord, et vous pouvez le retirer à tout moment depuis Mon compte.

Finalités et base légale

• Fournir le service (carnet, inventaire, rappels) — exécution du contrat.
• Vous envoyer des rappels et notifications que vous avez activés — votre consentement.
• Gérer un éventuel abonnement payant — exécution du contrat.
• Mesurer l'usage de l'application pour l'améliorer (statistiques anonymisées) — votre consentement.
• Permettre à un garage professionnel que vous avez explicitement autorisé de vous adresser des propositions d'entretien et de certifier les interventions réalisées — votre consentement.

Partage avec un garage professionnel

Un garage n'est pas un sous-traitant : lorsqu'il accède à des données, il le fait pour son propre compte, en tant que responsable de traitement distinct. Ce partage n'a jamais lieu par défaut. Il résulte d'un acte volontaire de votre part — la remise d'un code d'appairage, ou l'acceptation d'une invitation — et porte sur un véhicule précis.

Le garage autorisé voit alors, pour ce véhicule uniquement :

• la marque, le modèle, l'année et l'immatriculation ;
• le kilométrage courant ;
• votre nom d'affichage ;
• les propositions qu'il vous a lui-même adressées, et vos réponses.

Ne lui sont jamais transmis : votre carnet d'entretien, vos notes, vos photos et documents, votre inventaire de pièces, vos autres véhicules, ni votre adresse e-mail. Dans le cas d'une invitation, le garage connaît déjà cette adresse puisque c'est lui qui l'a saisie — Garapp ne la lui communique pas.

Vous pouvez révoquer cet accès à tout moment depuis votre compte. La révocation vaut pour l'avenir : les interventions déjà certifiées restent dans votre carnet et restent vérifiables, car elles attestent de travaux réels auxquels vous aviez consenti proposition par proposition.

Partage avec un proche

Vous pouvez ouvrir l'accès à l'un de vos véhicules à une autre personne. Comme pour un garage, cette personne n'est pas un sous-traitant : elle consulte ces données pour son propre compte, en tant que responsable de traitement distinct. Ce partage n'a jamais lieu par défaut ; il résulte d'une invitation que vous envoyez et qu'elle accepte. La base légale en est votre consentement, que vous pouvez retirer à tout moment.

La personne invitée voit alors, pour ce véhicule uniquement :

• la fiche complète — marque, modèle, année, immatriculation, numéro de série, kilométrage et vos notes ;
• l'intégralité du carnet d'entretien et du plan d'entretien, y compris les photos et les documents qui y sont rattachés, factures comprises ;
• votre nom d'affichage, en tant que propriétaire du véhicule.

Ne lui sont jamais transmis : vos autres véhicules, votre inventaire de pièces, votre liste de courses, ni les informations de votre compte. L'accès est en lecture seule : elle ne peut rien modifier.

Réciproquement, vous voyez le nom d'affichage de la personne invitée, ainsi que l'adresse e-mail à laquelle vous avez envoyé l'invitation. Cette adresse est conservée tant que l'invitation ou le partage existe, afin de garder trace de qui a eu accès à quoi ; elle disparaît avec le véhicule ou avec le compte concerné.

Vous pouvez retirer cet accès à tout moment, et la personne invitée peut le quitter d'elle-même. La révocation prend effet immédiatement sur le service en ligne. Sur l'application mobile, les données déjà téléchargées sur son appareil sont effacées à la synchronisation suivante, ce qui suppose qu'elle retrouve une connexion. Vos documents et factures cessent d'être accessibles dès la révocation : ils ne sont servis qu'après vérification des droits. Deux limites méritent en revanche d'être connues avant de partager : les photos sont servies par une adresse directe, difficile à deviner mais non authentifiée, de sorte qu'une personne qui aurait conservé une de ces adresses peut continuer à ouvrir l'image correspondante après la révocation ; et rien n'empêche techniquement quelqu'un de copier, pendant la durée du partage, ce qu'il a pu consulter.

Sous-traitants

Pour faire fonctionner le service, nous faisons appel à des prestataires qui peuvent traiter des données pour notre compte :

• Supabase — base de données, authentification, stockage des fichiers et envoi des e-mails transactionnels (ex. réinitialisation de mot de passe).
• Resend — acheminement des e-mails transactionnels (confirmation d'inscription, réinitialisation de mot de passe, propositions d'entretien).
• Vercel — hébergement de l'application.
• RevenueCat — gestion des abonnements premium (si vous souscrivez).
• PostHog — mesure d'audience et statistiques d'usage anonymisées, uniquement si vous y consentez. Les données sont hébergées dans l'Union européenne.
• Notifications push — si vous les activez, elles sont gérées en propre (clés VAPID) ; leur remise transite par le service de notification de votre navigateur ou système d'exploitation (Google, Apple ou Mozilla selon l'appareil).

Durée de conservation

Vos données sont conservées tant que votre compte est actif. À la suppression de votre compte, elles sont effacées sous 30 jours (le temps que nos sauvegardes soient renouvelées). Les pièces liées à un éventuel paiement sont conservées le temps imposé par la loi (jusqu'à 10 ans pour les obligations comptables). Un compte resté inactif pendant 3 ans pourra être supprimé après information préalable par e-mail.

Le journal des certifications fait exception : les traces horodatées attestant qu'un garage a émis une certification (identifiants techniques, date, empreinte) sont conservées même après la suppression de l'intervention ou du compte. Sans cela, une certification pourrait être effacée par la partie qu'elle engage, ce qui lui retirerait toute valeur de preuve. Ce journal ne contient ni contenu d'intervention, ni donnée d'identification directe.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition. Pour les exercer, écrivez à contact@garapp.me. Vous pouvez aussi introduire une réclamation auprès de la CNIL (cnil.fr).

Suppression de votre compte. Vous n'avez pas besoin de nous écrire : la suppression se fait directement depuis l'app, dans Compte → Supprimer mon compte. Elle est immédiate et définitive — véhicules, carnet d'entretien, plans d'entretien, inventaire de pièces, photos et documents sont effacés, et les accès accordés à un garage sont révoqués. Nous ne conservons pas de copie. Seul le journal d'audit des certifications émises est conservé, sans votre identifiant : il ne contient qu'une empreinte cryptographique permettant à un tiers de vérifier une intervention certifiée. Un abonnement souscrit via l'App Store ou Google Play doit être annulé séparément dans les réglages de la boutique concernée.

Cookies et mesure d'audience

Garapp utilise des cookies strictement nécessaires à son fonctionnement (maintien de votre session, mode démo) : ils ne servent pas à de la publicité et ne nécessitent pas de consentement.

Pour les statistiques d'usage (PostHog), un bandeau vous demande votre accord à la première visite. Tant que vous n'avez pas accepté, aucune donnée de mesure d'audience n'est collectée et aucun cookie de suivi n'est déposé. Vous pouvez modifier ou retirer ce choix à tout moment depuis la page Mon compte.

Contact

Pour toute question sur vos données : contact@garapp.me.