Politique de confidentialité

1. Responsable du traitement

• Responsable : Jorge Donet Alberola
• NIF (DNI) : 20025823E
• Adresse : Avda. de la Valldigna, 9, 46750 Simat de la Valldigna, Valencia (España)
• E-mail : kidstoride@gmail.com
• Contact confidentialité : privacidad@kidstoride.com

2. Données que nous traitons

• Données d'identification : nom et prénom, pièce d'identité le cas échéant.
• Données de contact : adresse e-mail, numéro de téléphone.
• Données des enfants : nom, prénom et date de naissance, fournis par le parent ou le tuteur légal.
• Données de paiement : traitées entièrement par Stripe Payments Europe Ltd. Nous ne stockons jamais les numéros de carte.
• Données d'utilisation de la plateforme : trajets publiés, réservations, évaluations.
• Données de localisation en temps réel lors d'un trajet actif, avec votre consentement explicite. Stockées dans Redis avec un TTL maximum d'1 heure et jamais persistées dans des bases de données relationnelles.

3. Finalités et bases juridiques

• Exécution du contrat : fourniture du service de la plateforme, inscription, gestion des trajets, facturation et communications opérationnelles.
• Respect des obligations légales : facturation, fiscalité, réponse aux demandes administratives ou judiciaires.
• Intérêt légitime : prévention de la fraude, sécurité de la plateforme et amélioration du service.
• Consentement : communications marketing, localisation en temps réel, cookies analytiques et marketing.

4. Conservation des données

Nous conservons les données pendant la durée de la relation contractuelle et, une fois celle-ci terminée, pendant les délais légalement requis pour répondre aux responsabilités éventuelles (généralement jusqu'à six ans à des fins fiscales).

Les positions GPS ne sont conservées que pendant le trajet actif et sont automatiquement supprimées après 1 heure.

5. Destinataires et sous-traitants

Nous ne transférons pas vos données à des tiers, sauf obligation légale. Pour fournir le service, nous faisons appel aux sous-traitants suivants :

• Stripe Payments Europe Ltd. (passerelle de paiement, Merchant of Record).
• Cloudflare Inc. — R2 (stockage de fichiers : avatars, documents et images téléchargés par les utilisateurs).
• Fly.io Inc. (hébergement de l'API et services backend).
• Vercel Inc. (hébergement et CDN de l'application web).
• Upstash Inc. (Redis géré pour les données éphémères de session et GPS, et file d'attente de tâches asynchrones QStash).
• Resend Inc. (envoi d'e-mails transactionnels).
• MapTiler AG (tuiles cartographiques, géocodage et itinéraires — UE).
• Google LLC — Firebase Cloud Messaging (notifications push), Google Analytics (analytique web) et Google OAuth (authentification sociale).
• Apple Inc. (authentification sociale — Sign in with Apple).
• Mistral AI S.A.S. (fonctionnalités d'intelligence artificielle — France, UE).
• PostHog Inc. (analytique produit, serveur dans l'UE).
• LiveKit Inc. (communication vocale et vidéo en temps réel).

6. Transferts internationaux

Certains sous-traitants peuvent traiter des données en dehors de l'Espace économique européen. Dans ce cas, les transferts sont protégés par des clauses contractuelles types approuvées par la Commission européenne ou d'autres garanties reconnues par le RGPD.

7. Vos droits

Vous pouvez exercer vos droits d'accès, de rectification, d'effacement, d'opposition, de limitation du traitement, de portabilité et de retrait du consentement en écrivant à kidstoride@gmail.com ou à l'adresse postale ci-dessus, en joignant une copie de votre pièce d'identité.

Si vous estimez que le traitement n'est pas conforme à la réglementation, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), www.cnil.fr.

Conformément à l'article 21 du RGPD (droit d'opposition), vous avez le droit de vous opposer à tout moment au traitement de vos données à caractère personnel lorsque celui-ci est fondé sur l'intérêt légitime. Contactez-nous à l'adresse ci-dessus pour exercer ce droit.

8. Données des mineurs

Les données des enfants de moins de 14 ans sont fournies exclusivement par leur parent ou tuteur légal, qui assume la responsabilité de leur exactitude et de la légitimité de leur communication. La plateforme ne permet pas l'auto-inscription des utilisateurs de moins de 14 ans.

Les données des enfants comprennent la taille (`heightCm`) et le poids (`weightKg`), utilisés exclusivement pour déterminer le système de retenue homologué requis pour la sécurité routière de l'enfant lors des trajets. Ces données sont traitées sur la base du consentement du tuteur légal (art. 6.1.a RGPD) et, compte tenu de leur lien potentiel avec la santé, également avec consentement explicite au titre de l'art. 9.2.a RGPD. Elles ne sont utilisées à aucune autre fin et ne sont pas partagées avec des tiers.

10. Décisions automatisées et profilage du risque de fraude

La plateforme utilise un système automatisé de notation du risque (`riskScore`) pour prévenir la fraude et protéger la sécurité des utilisateurs. Ce système analyse les comportements sur la plateforme (annulations, litiges, activité anormale) et peut placer un compte en statut `creditBlocked`, empêchant de nouvelles réservations.

Cette décision a des effets significatifs sur l'utilisateur et est soumise à l'art. 22 du RGPD. Vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, d'obtenir une intervention humaine, d'exprimer votre point de vue et de contester la décision. Pour exercer ce droit, contactez-nous à privacidad@kidstoride.com en indiquant comme objet « Contester une décision automatisée ».

9. Sécurité

Nous appliquons les mesures techniques et organisationnelles nécessaires pour garantir la confidentialité, l'intégrité et la disponibilité des données : chiffrement en transit (TLS 1.2+), chiffrement au repos, contrôles d'accès, authentification forte basée sur JWT avec jetons de renouvellement, journalisation des activités et révisions régulières.