Politique de confidentialité

Chez Coliflix, la protection de vos données personnelles est notre priorité. Cette politique de confidentialité décrit quelles données nous collectons, pourquoi, avec qui nous les partageons, combien de temps nous les conservons et comment exercer vos droits lorsque vous utilisez le site www.coliflix.com et l'application web app.coliflix.com.

Responsable du traitement : Frederic Zougbede, entrepreneur individuel (EI), exploitant la plateforme Coliflix (RCS Pontoise 130 669 708). Contact : contact@coliflix.com.

1. Informations que nous collectons

1.1 Informations que vous nous fournissez

• Informations de compte : nom, prénom, adresse e-mail, numéro de téléphone (vérifié par SMS si vous le choisissez), photo de profil le cas échéant. Si vous vous connectez avec Google ou Apple, nous recevons les informations de base de ce compte (nom, e-mail).
• Vérification d'identité : nom, prénom, date de naissance, numéro du document, photos de votre pièce d'identité (recto/verso) et une courte vidéo selfie. Voir la section 2 sur le traitement biométrique.
• Informations de voyage : itinéraire (villes/pays), dates et horaires, kilos disponibles, prix au kilo, justificatif de voyage (billet, PDF ou photo).
• Informations de colis : description, poids, valeur déclarée, photo du colis, adresses et points de rendez-vous placés sur la carte.
• Informations sur le destinataire : nom et numéro de téléphone du destinataire, fournis par l'expéditeur (voir la section 1.4).
• Paiement : les données de carte bancaire sont saisies et conservées par notre prestataire Stripe ; Coliflix ne stocke jamais votre numéro de carte. Nous conservons uniquement le statut des paiements, remboursements, cautions et virements. Les voyageurs configurent leur compte de versement directement auprès de Stripe.
• IBAN : demandé uniquement lorsqu'une indemnisation vous est due à la suite d'un litige, pour effectuer le virement.
• Communications et contenus : messages échangés avec d'autres utilisateurs dans l'application, avis laissés après une livraison, signalements, échanges avec le support.
• Assistant voyage : les questions que vous posez à l'assistant et ses réponses (recherches de vols, estimations de revenus), conservées dans votre historique de conversations. N'y indiquez pas d'informations sensibles (mot de passe, carte bancaire, document d'identité).
• Comparateur de vols : vos recherches (villes, dates, nombre de passagers) et vos clics vers nos partenaires de réservation, enregistrés avec un identifiant de suivi pour le calcul de nos commissions d'affiliation.

1.2 Informations collectées lors des étapes d'une livraison (preuves)

Pour sécuriser les remises de colis et pouvoir arbitrer les litiges, nous enregistrons, au moment du retrait, de la livraison, des pointages de présence (« Je suis au point de rendez-vous ») et de l'ouverture d'un litige :

• Position GPS de l'appareil et sa précision, et la distance au point de rendez-vous ;
• Horodatage serveur de chaque action ;
• Photos prises dans l'application (colis au retrait, preuves de litige) et leurs métadonnées (date et position de prise de vue), analysées automatiquement pour détecter les incohérences et la fraude (par exemple une photo ancienne ou une position simulée) ;
• Une empreinte (hash) de l'adresse IP et l'identifiant du navigateur (user-agent) lors des pointages de présence.

La position n'est collectée qu'à ces moments précis, à votre initiative : il n'y a pas de suivi continu de votre position.

1.3 Informations collectées automatiquement

• Données techniques et de sécurité : type de navigateur et d'appareil, signaux anti-robot produits par Google reCAPTCHA Enterprise et Firebase App Check (pour vérifier que les requêtes viennent bien de l'application et d'un humain), journaux d'erreurs techniques.

1.4 Informations sur les destinataires

Le destinataire d'un colis n'a pas besoin de compte Coliflix. Son nom et son numéro de téléphone nous sont communiqués par l'expéditeur, qui s'engage à l'en informer. Le destinataire reçoit de l'expéditeur (par SMS ou WhatsApp) un lien sécurisé lui permettant de consulter le rendez-vous de livraison, de confirmer sa présence au point de rendez-vous, d'afficher le code de livraison et de signaler une non-livraison. Lorsqu'il utilise ce lien, les preuves décrites en 1.2 (position GPS, horodatage, empreinte IP, user-agent) peuvent être enregistrées. Ce lien renvoie à la présente politique, qui informe le destinataire du traitement de ses données.

2. Vérification d'identité et données biométriques

Pour réserver l'envoi d'un colis, publier un trajet ou accepter des colis, vous devez vérifier votre identité. Vous transmettez une photo de votre pièce d'identité (recto/verso) et une courte vidéo selfie. Notre service de vérification compare automatiquement votre visage sur la vidéo à la photo du document et contrôle la cohérence du document. Aucune personne ne consulte votre dossier, sauf en cas de signalement ou de litige, où l'équipe Coliflix peut le vérifier et vous demander une nouvelle vérification.

Cette comparaison faciale constitue un traitement de données biométriques. Elle repose sur votre consentement explicite, recueilli au moment où vous envoyez vos documents, et sert uniquement à vérifier votre identité. Elle n'est utilisée ni à des fins de publicité, ni pour vous identifier ailleurs dans le service. Vous pouvez retirer votre consentement à tout moment, mais sans vérification d'identité vous ne pourrez plus réserver, publier de trajet ou transporter de colis.

Votre justificatif de voyage est également contrôlé automatiquement (nom, lieux, dates) avant que votre trajet soit visible.

Conservation : nous conservons uniquement les documents de votre dernière vérification réussie (photos de la pièce et vidéo), afin de pouvoir traiter un éventuel signalement ou litige. Ils sont supprimés automatiquement à la date d'expiration de votre pièce d'identité (ou au bout de 5 ans si cette date n'a pas pu être lue). Un mois avant, nous vous prévenons pour que vous mettiez à jour votre vérification. Les documents d'une tentative précédente sont supprimés dès qu'une nouvelle vérification aboutit, et tous vos documents sont supprimés si vous supprimez votre compte.

3. Finalités et bases légales

• Fournir le service (création du compte, publication de trajets, réservations, rendez-vous, codes d'expédition et de livraison, lien destinataire, messagerie, avis, notifications dans l'application et e-mails de service) : exécution du contrat (conditions d'utilisation).
• Traiter les paiements, cautions des voyageurs, versements et indemnisations : exécution du contrat.
• Vérifier votre identité par comparaison faciale : votre consentement explicite (art. 9.2.a RGPD) ; vérification du téléphone et du justificatif de voyage : exécution du contrat.
• Prévenir la fraude et assurer la sécurité (preuves GPS et horodatées, analyse des métadonnées des photos, détection de position simulée, protection anti-robot, modération, suspension de comptes) : intérêt légitime de Coliflix et de ses utilisateurs à sécuriser les échanges.
• Gérer les litiges et les réclamations : exécution du contrat et intérêt légitime (constatation et défense de droits).
• Alertes de trajets que vous demandez (« préviens-moi quand un trajet est publié ») : exécution du contrat / votre demande.
• Respecter nos obligations légales (comptabilité, obligations fiscales, réponses aux autorités) : obligation légale.

4. Partage de vos informations

4.1 Autres utilisateurs

• Profil public : nom, photo, note moyenne, avis, nombre de livraisons, statut de vérification.
• Informations de transaction (rendez-vous, points de rendez-vous, informations du colis, messages) : uniquement avec les parties concernées par la livraison. Le destinataire voit, via son lien sécurisé, les informations du rendez-vous de livraison.

4.2 Prestataires (sous-traitants)

Nous faisons appel aux prestataires suivants, qui traitent les données pour notre compte :

• Google Cloud / Firebase (Google Ireland Ltd / Google LLC) : authentification, base de données Cloud Firestore (région europe-west1, Belgique), stockage des fichiers, fonctions serveur (région us-central1, États-Unis), protection anti-robot reCAPTCHA Enterprise et App Check, suivi des erreurs techniques.
• Stripe (Stripe Payments Europe Ltd) : paiements par carte, remboursements, empreintes bancaires des cautions des voyageurs, versements aux voyageurs (Stripe Connect).
• Notre service de vérification d'identité et de justificatifs de voyage, hébergé par Railway (Railway Corp., États-Unis) : traite les photos de pièce d'identité, la vidéo selfie et les billets pour renvoyer un résultat de vérification.
• Cloudflare (Cloudflare, Inc.) : hébergement et diffusion (CDN) du site et de l'application web.
• OpenStreetMap (fonds de carte) et Photon par komoot (recherche d'adresses) : lorsque vous utilisez une carte ou recherchez une adresse, votre navigateur interroge ces services (adresse IP, zone affichée, texte recherché).
• OpenAI (OpenAI, L.L.C., États-Unis) : génère les réponses de l'assistant voyage à partir de vos messages et de l'historique de la conversation. Vos documents d'identité, paiements et coordonnées ne lui sont jamais transmis.
• Travelpayouts / Aviasales : fournit les prix des vols du comparateur. Si vous cliquez sur une offre, vous êtes redirigé vers le site du partenaire, qui applique sa propre politique de confidentialité et ses cookies.
• LWS (hébergement de la messagerie coliflix.com) et notre prestataire d'envoi d'e-mails (SMTP) : envoi des e-mails de service et réponses au support.

4.3 Autorités légales

Nous pouvons divulguer vos informations si la loi l'exige ou pour protéger nos droits, notre sécurité ou celle d'autrui.

5. Transferts hors de l'Union européenne

Notre base de données principale est située en Belgique. Certaines données sont toutefois traitées aux États-Unis : par les fonctions serveur de Google Cloud (us-central1), par notre service de vérification hébergé chez Railway, par OpenAI pour l'assistant voyage, par Cloudflare, et le cas échéant par les autres prestataires listés ci-dessus.

Ces transferts sont encadrés par des garanties appropriées : la certification du prestataire au EU-US Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023) et/ou des clauses contractuelles types adoptées par la Commission européenne. Vous pouvez obtenir des informations sur ces garanties en nous écrivant.

6. Sécurité de vos données

Nous mettons en œuvre des mesures de sécurité pour protéger vos données :

• Chiffrement des données en transit (HTTPS) et chiffrement au repos assuré par nos hébergeurs
• Règles d'accès restreignant chaque donnée aux seules personnes concernées
• Vérification de l'application et protection anti-robot (Firebase App Check, reCAPTCHA Enterprise)
• Accès restreint aux données personnelles au sein de l'équipe
• Paiements traités par Stripe, certifié PCI DSS ; aucune donnée de carte stockée par Coliflix

7. Conservation des données

Nous conservons vos données personnelles aussi longtemps que nécessaire pour fournir nos services, respecter nos obligations légales, résoudre les litiges potentiels et appliquer nos accords. Après suppression de votre compte, nous conservons certaines données pendant 5 ans pour des raisons légales et de sécurité, conformément aux réglementations financières.

8. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : demander la suppression de vos données (vous pouvez aussi supprimer votre compte depuis l'application lorsqu'aucun colis ni paiement n'est en cours)
• Droit à la limitation : restreindre le traitement de vos données
• Droit à la portabilité : recevoir vos données dans un format structuré
• Droit d'opposition : vous opposer au traitement de vos données fondé sur notre intérêt légitime
• Droit de retrait du consentement : retirer votre consentement à tout moment (notamment pour la vérification biométrique), sans remettre en cause les traitements déjà effectués
• Directives post-mortem : définir des directives sur le sort de vos données après votre décès

Pour exercer ces droits, écrivez-nous à contact@coliflix.com en précisant l'objet : « Données personnelles ». Nous pourrons vous demander de justifier de votre identité.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés, www.cnil.fr).

9. Cookies et stockage local

Le site www.coliflix.com n'utilise aucun cookie de mesure d'audience, de publicité ou de suivi.

L'application web app.coliflix.com utilise le stockage local de votre navigateur (localStorage / IndexedDB) pour maintenir votre session de connexion et mémoriser vos préférences (par exemple la langue), ainsi qu'un jeton anti-robot (Google reCAPTCHA Enterprise / Firebase App Check) nécessaire à la sécurité du service. Ces éléments sont strictement nécessaires au fonctionnement du service et ne nécessitent pas votre consentement.

10. Protection des mineurs

Nos services sont destinés aux personnes âgées de 18 ans et plus. Nous ne collectons pas sciemment d'informations personnelles auprès de mineurs. Si nous apprenons qu'un mineur nous a fourni des données personnelles, nous les supprimerons dans les meilleurs délais.

11. Modifications de cette politique

Nous pouvons mettre à jour cette politique de confidentialité. Nous vous informerons de tout changement important par une notification dans l'application ou par e-mail. Nous vous encourageons à consulter régulièrement cette page.