Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données sur carfalke.de, dans l’application CarFalke et lors de l’utilisation de la recherche marché CarFalke, au sens du règlement général sur la protection des données (RGPD), est :

CarFalke GmbH, Mies-van-der-Rohe-Straße 8, 80807 München, Deutschland, e-mail : info@carfalke.de

Pour toute question relative à la protection des données et à l’exercice de vos droits, vous pouvez nous contacter à l’adresse datenschutz@carfalke.de.

2. Délégué à la protection des données

En vertu de l’art. 37 du RGPD et du § 38 BDSG (loi fédérale allemande sur la protection des données), nous ne sommes actuellement pas tenus de désigner un délégué à la protection des données. Vos demandes relatives à la protection des données sont traitées par notre équipe chargée de la protection des données à l’adresse datenschutz@carfalke.de.

3. Aperçu : quelles personnes sont concernées

CarFalke est une recherche marché destinée aux professionnels de l’automobile : nous lisons les annonces de véhicules accessibles au public sur des portails tiers (mobile.de, AutoScout24, Kleinanzeigen), les mettons en forme et informons nos clients des nouveaux résultats. Dans ce cadre, nous traitons des données à caractère personnel de trois groupes de personnes :

• les visiteurs et visiteuses de notre site web (sections 4, 13 à 15),
• les interlocuteurs et collaborateurs de nos clients – de la demande d’accès à la facture, en passant par le compte utilisateur (sections 5 à 12),
• les vendeurs d’annonces de véhicules sur les portails, dont nous reprenons les informations à partir de l’annonce publique (section 7).

Nous ne traitons des données à caractère personnel que dans la mesure où cela est nécessaire à l’exploitation du service, à l’exécution de nos contrats, à la sécurité de la plateforme ou au respect d’obligations légales, ou si vous y avez consenti. Nous ne vendons aucune donnée à caractère personnel, n’utilisons aucun traceur publicitaire de tiers et ne créons aucun profil publicitaire.

4. Hébergement, journaux du serveur et sauvegardes

Le site web, la base de données, les documents téléversés et les services d’arrière-plan (crawler, notifications) sont exploités sur des serveurs de Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, dans des centres de données situés en Allemagne. Des copies de sauvegarde chiffrées sont conservées chez Hetzner en Allemagne et écrasées au plus tard après six mois. Hetzner traite les données exclusivement pour notre compte sur la base d’un contrat de sous-traitance (art. 28 du RGPD).

Lors de la consultation du site web ou de l’interface de l’application, nous traitons automatiquement les données techniquement nécessaires, notamment :

• l’adresse IP
• la date et l’heure de la requête
• la page ou le fichier consulté et le code de statut HTTP
• le type de navigateur, le système d’exploitation et l’URL de provenance (dans la mesure où ils sont transmis)

Nous traitons ces données afin de fournir le service, d’en garantir la stabilité et la sécurité, de repousser les attaques et de limiter les abus (par exemple les requêtes massives automatisées). La base juridique est l’art. 6, par. 1, point f) du RGPD ; notre intérêt légitime réside dans l’exploitation sûre et sans erreur du service. Les journaux du serveur sont supprimés au plus tard après 30 jours, sauf s’ils sont nécessaires plus longtemps, au cas par cas, pour élucider un incident de sécurité.

5. Demande d’accès et vérification du professionnel

CarFalke est réservé aux professionnels de l’automobile. Dans le cadre de la demande d’accès, nous traitons les informations relatives à votre entreprise (raison sociale, forme juridique, adresse, numéro d’identification à la TVA, adresse e-mail et numéro de téléphone professionnels, et à titre facultatif site web et informations d’immatriculation au registre du commerce) et à la personne qui fait la demande (prénom et nom, adresse e-mail, mot de passe sous forme de hachage cryptographique, et à titre facultatif la fonction dans l’entreprise), ainsi que votre déclaration selon laquelle vous faites le commerce de véhicules à titre professionnel.

Avant l’activation, nous vérifions qu’il s’agit bien d’un professionnel, notamment à l’aide du registre du commerce, du système VIES de l’UE relatif au numéro d’identification à la TVA et de votre site web. Le cas échéant, nous pouvons demander des justificatifs (par exemple déclaration d’activité commerciale ou extrait du registre du commerce). Nous conservons les justificatifs téléversés sous forme chiffrée et non publique ; seule notre équipe peut les consulter. La décision d’activation est prise par un être humain.

Les bases juridiques sont l’art. 6, par. 1, point b) du RGPD (préparation et exécution du contrat) et l’art. 6, par. 1, point f) du RGPD (protection du service contre les abus, en particulier des coordonnées des vendeurs). Nous conservons les données d’une entreprise activée pendant la durée du contrat ; nous supprimons les justificatifs au plus tard trois ans après la fin du contrat et conservons les documents de facturation pendant dix ans conformément au § 147 AO (Code fiscal allemand) et au § 257 HGB (Code de commerce allemand). Nous supprimons les données des demandes refusées ou non finalisées dès qu’elles ne sont plus nécessaires, au plus tard à l’expiration du délai de prescription ordinaire de trois ans.

6. Compte utilisateur et équipe

Pour utiliser le service, vous avez besoin d’un compte utilisateur. Nous traitons à cet effet votre nom, votre adresse e-mail, votre mot de passe (exclusivement sous forme de hachage cryptographique) ou votre clé d’accès (passkey), et à titre facultatif votre numéro de téléphone, votre langue, vos réglages de notification ainsi que l’heure de vos connexions.

Si vous vous connectez via Google ou Apple, nous recevons du fournisseur concerné votre nom, votre adresse e-mail et un identifiant ; nous n’avons pas connaissance de votre mot de passe auprès de ce fournisseur. Le traitement des données par le fournisseur est régi par sa propre politique de confidentialité.

Équipes : un professionnel peut inviter des collaborateurs ou leur créer un compte. Nous traitons à cet effet le nom, l’adresse e-mail et le rôle de la personne invitée tels que les indique le professionnel, et lui envoyons un e-mail d’invitation ou d’accès. Au sein d’une équipe, le nom et le rôle des membres ainsi que leurs activités dans la recherche marché (section 8) sont visibles pour les autres membres ; le professionnel gère lui-même son équipe.

La base juridique est l’art. 6, par. 1, point b) du RGPD (contrat d’utilisation) et, pour les comptes créés sur invitation de votre employeur, l’art. 6, par. 1, point f) du RGPD (exécution du contrat conclu avec votre entreprise). Nous conservons les données du compte jusqu’à sa suppression – par vous-même sous Réglages, par votre entreprise dans la gestion de l’équipe ou à la fin du contrat. Sous Réglages, vous pouvez en outre télécharger une copie de vos données.

7. La recherche marché : annonces de portails tiers

Le cœur du service est constitué d’annonces de véhicules que des vendeurs ont publiées publiquement sur mobile.de, AutoScout24 ou Kleinanzeigen. Notre crawler consulte régulièrement ces pages accessibles au public – sans connexion aux portails – et enregistre à partir de l’annonce : les données du véhicule (par exemple marque, modèle, première immatriculation, kilométrage, prix, équipements, état), les photos, la localisation (ville et code postal), le lien vers l’annonce originale et l’évolution du prix. Concernant le vendeur, nous enregistrons les informations que l’annonce affiche elle-même : s’il s’agit d’un professionnel ou d’un particulier, le nom affiché (pour les particuliers, généralement le prénom uniquement), la note du vendeur sur le portail et – si elle est publiée dans l’annonce – le numéro de téléphone.

La finalité est de permettre à nos clients, des professionnels de l’automobile vérifiés, de trouver des véhicules qu’ils souhaitent acheter pour leur activité et de leur faciliter la prise de contact avec le vendeur – soit exactement la finalité pour laquelle le vendeur a publié l’annonce et ses coordonnées. La base juridique est l’art. 6, par. 1, point f) du RGPD. Notre intérêt légitime et celui de nos clients consistent à observer le marché automobile rapidement et sur l’ensemble des portails et à acheter des véhicules ; ils convergent avec l’intérêt des vendeurs à vendre leur véhicule. Pour protéger les vendeurs, les règles suivantes s’appliquent : seuls les collaborateurs connectés de professionnels activés voient les noms et numéros de téléphone, jamais les visiteurs du site web ni les moteurs de recherche ; les données ne sont ni transmises à des tiers ni utilisées à des fins publicitaires ; nos clients sont contractuellement tenus d’utiliser les coordonnées exclusivement pour une demande concernant le véhicule proposé.

À partir des annonces, nous calculons des indicateurs statistiques – valeur de marché, évaluation de prix, potentiel d’achat, évolution du marché d’un modèle. Ceux-ci se rapportent au véhicule et non à la personne ; aucun profilage des vendeurs n’a lieu.

Pour la consultation des pages des portails, nous faisons appel au service ScrapingBee de ScrapingBee SAS, Paris (France), en qualité de sous-traitant (art. 28 du RGPD) ; il consulte les pages pour notre compte.

Durée de conservation : nous conservons les données des véhicules, les prix et l’historique des prix pour les statistiques de marché, y compris après la fin d’une annonce. Nous supprimons automatiquement le nom et le numéro de téléphone du vendeur 90 jours après que l’annonce n’est plus accessible sur le portail (vendue ou retirée).

Information au titre de l’art. 14 du RGPD : comme nous ne connaissons pas les vendeurs et qu’informer individuellement chaque vendeur exigerait des efforts disproportionnés (art. 14, par. 5, point b) du RGPD), nous fournissons ici une information publique. La source des données est l’annonce correspondante sur le portail, vers laquelle renvoie un lien. En tant que vendeur d’une annonce, vous pouvez vous opposer à tout moment au traitement (section 18) – écrivez pour cela à datenschutz@carfalke.de en indiquant le lien vers l’annonce ; nous retirerons alors vos coordonnées du service.

8. Recherches enregistrées, notifications, liste de suivi et activité de l’équipe

Pour l’utilisation de la recherche marché, nous enregistrons les critères de vos recherches enregistrées, les résultats correspondants, votre liste de suivi avec statut, notes, personne responsable et calculs, ainsi que les activités au sein de l’équipe (par exemple qui a passé un véhicule au statut « Appelé » ou modifié une recherche). Ces données sont visibles pour les membres de votre équipe, afin qu’elle puisse travailler ensemble, et pour notre équipe, dans la mesure où cela est nécessaire au support ou à la facturation. Si vous utilisez des fonctions qui consultent de manière ciblée des pages de portails (par exemple « Charger les détails » ou la comparaison avec le portail), nous enregistrons qui les a déclenchées et quand, afin de gérer le quota journalier.

Notifications : selon vos réglages, nous vous informons des nouveaux résultats, des variations de prix et des rappels par e-mail, par Web Push dans le navigateur et par notification push dans l’application CarFalke, ainsi qu’au moyen d’un rapport hebdomadaire. Pour le Web Push, nous enregistrons l’adresse push générée par le navigateur et les clés correspondantes ; pour l’application, un jeton d’appareil ainsi que la plateforme et la version de l’application. Les notifications push de l’application sont transmises via le service push d’Expo (650 Industries, Inc., États-Unis) à Apple (APNs) ou à Google (Firebase Cloud Messaging) ; seuls le titre et le texte de la notification ainsi que le jeton sont transmis, aucune autre donnée de votre compte. Vous pouvez à tout moment désactiver les notifications sous Notifications et retirer les autorisations push dans le navigateur ou sur l’appareil.

La base juridique est l’art. 6, par. 1, point b) du RGPD. Nous conservons les données pendant la durée du contrat conclu avec votre entreprise ; les recherches supprimées et les adresses push retirées sont effacées immédiatement. Remarque concernant les notes : veuillez n’y saisir que des informations factuelles, nécessaires à l’achat du véhicule.

9. Application CarFalke

L’application CarFalke pour iOS et Android utilise les mêmes comptes et données que le site web. Sur l’appareil, elle enregistre votre connexion, votre langue et vos réglages. Elle ne traite aucune autre donnée de l’appareil ; en particulier, elle n’accède ni aux contacts, ni à la localisation, ni aux photos. Si, depuis l’application, vous ouvrez une annonce originale ou appelez un numéro de téléphone, l’application du portail ou l’application Téléphone de votre appareil s’ouvre ; le fournisseur concerné est responsable du traitement qui y est effectué. Les boutiques d’applications (Apple App Store, Google Play) sont régies par leurs propres politiques de confidentialité ; Apple et Google ne nous communiquent aucune donnée à caractère personnel vous concernant.

10. Contrat, factures et paiement

Pour l’exécution du contrat conclu avec votre entreprise, nous traitons les données contractuelles (formule, durée, nombre d’utilisateurs, portails), l’adresse de facturation et les factures. Nous envoyons les factures par e-mail ; aucun paiement n’est effectué via le site web. La base juridique est l’art. 6, par. 1, points b) et c) du RGPD (obligations fiscales). Nous conservons les documents de facturation et comptables pendant dix ans conformément au § 147 AO et au § 257 HGB.

11. E-mails et communications

Nous vous envoyons les e-mails nécessaires au service : pour confirmer votre adresse e-mail, réinitialiser votre mot de passe, vous informer de la décision concernant votre demande d’accès, vous notifier des résultats (section 8), avec les factures et en cas de modifications importantes du service ou de la présente politique. Nous journalisons l’envoi et son aboutissement (destinataire, objet, horodatage, statut) afin de pouvoir retracer les problèmes de distribution.

L’envoi s’effectue via Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande) en qualité de sous-traitant. Les bases juridiques sont l’art. 6, par. 1, point b) du RGPD et, pour les avis de sécurité, l’art. 6, par. 1, point f) du RGPD.

Nous n’envoyons d’e-mails promotionnels – par exemple des nouveautés concernant le produit – qu’avec votre consentement (art. 6, par. 1, point a) du RGPD) ou à des clients existants pour nos propres prestations similaires conformément au § 7 Abs. 3 UWG (loi allemande contre la concurrence déloyale) ; chacun de ces e-mails contient un lien de désinscription. Pour ces envois, nous pouvons faire appel au service Brevo (Sendinblue SAS, Paris, France) en qualité de sous-traitant.

12. Formulaire de contact et support

Lorsque vous nous écrivez via le formulaire de contact ou par e-mail, nous traitons votre nom, votre adresse e-mail, le sujet choisi, vos indications concernant l’entreprise ou le dossier ainsi que le contenu de votre message afin de répondre à votre demande. Si vous êtes connecté, nous rattachons la demande à votre compte. La base juridique est l’art. 6, par. 1, point b) du RGPD (demandes précontractuelles ou contractuelles) ou l’art. 6, par. 1, point f) du RGPD (notre intérêt à répondre aux demandes). Nous supprimons la demande dès qu’elle a été entièrement traitée et qu’aucune obligation de conservation ne s’applique ; nous conservons les courriers commerciaux pendant six ans conformément au § 257 HGB.

Pour protéger le formulaire contre les requêtes automatisées, nous utilisons Cloudflare Turnstile (section 14).

13. Cookies et stockage local

Notre politique relative aux cookies décrit les cookies et technologies de stockage que nous utilisons, leur durée de conservation et la manière de modifier votre choix. Les stockages nécessaires (connexion, langue, votre choix en matière de cookies, thème, réglages du cockpit en direct) s’effectuent sans consentement sur la base du § 25 Abs. 2 Nr. 2 TDDDG (loi allemande sur la protection des données dans les télécommunications et les services numériques) et de l’art. 6, par. 1, point b) ou f) du RGPD. Nous n’utilisons Google Analytics qu’avec votre consentement.

14. Mesure d’audience (Google Analytics), protection contre les bots, aucun service publicitaire

Google Analytics 4 : avec votre consentement (§ 25 Abs. 1 TDDDG, art. 6, par. 1, point a) du RGPD), nous utilisons Google Analytics 4 de Google Ireland Limited afin d’analyser statistiquement l’utilisation de nos pages publiques (pages consultées, durée de consultation, provenance approximative, type d’appareil). Les fonctionnalités publicitaires, Google Signals et la personnalisation de la publicité sont désactivés ; Google Analytics 4 ne conserve pas les adresses IP. Sans consentement, le script n’est pas chargé et aucun cookie n’est déposé. Les données peuvent être transmises à Google LLC aux États-Unis ; Google est certifiée au titre du EU-US Data Privacy Framework et les clauses contractuelles types s’appliquent en complément. Vous pouvez retirer votre consentement à tout moment via « Paramètres des cookies » en bas de page.

Cloudflare Turnstile : lors de la connexion, de la demande d’accès, de la réinitialisation du mot de passe et dans le formulaire de contact, Cloudflare Turnstile (Cloudflare, Inc., États-Unis) vérifie en arrière-plan si la requête provient d’un être humain. Votre adresse IP et des caractéristiques techniques du navigateur sont alors traitées ; Turnstile ne dépose aucun cookie. La base juridique est l’art. 6, par. 1, point f) du RGPD (protection contre les abus automatisés) ; le transfert vers les États-Unis repose sur le EU-US Data Privacy Framework et les clauses contractuelles types.

Nous n’utilisons aucun réseau publicitaire, aucun reciblage et aucun plug-in de réseaux sociaux.

15. Destinataires

Au sein de CarFalke GmbH, seuls les collaborateurs qui en ont besoin pour leur mission (support, vérification des professionnels, exploitation, comptabilité) ont accès aux données à caractère personnel. Nous faisons en outre appel aux sous-traitants suivants, contractuellement liés conformément à l’art. 28 du RGPD :

• Hetzner Online GmbH, Gunzenhausen (Allemagne) : hébergement, base de données, stockage de documents, sauvegardes
• ScrapingBee SAS, Paris (France) : consultation des pages publiques des portails pour le crawler
• Google Ireland Limited, Dublin (Irlande) : envoi d’e-mails (Google Workspace) et – uniquement avec consentement – Google Analytics
• Cloudflare, Inc. (États-Unis) : protection contre les bots Turnstile
• 650 Industries, Inc. (Expo, États-Unis) ainsi qu’Apple Inc. et Google LLC : distribution des notifications push vers l’application
• Sendinblue SAS (Brevo, Paris, France) : envois promotionnels, dans la mesure où nous en effectuons

Au-delà, nous ne transmettons des données à des tiers que si nous y sommes légalement tenus (par exemple envers des autorités), pour faire valoir nos droits ou avec votre consentement. Au sein d’une entreprise cliente, les données d’équipe sont visibles pour les membres de l’équipe, comme décrit aux sections 6 et 8.

16. Durée de conservation

Sauf indication contraire dans les différentes sections, les règles suivantes s’appliquent :

• Journaux du serveur : 30 jours
• Données de compte et d’équipe : jusqu’à la suppression du compte ou jusqu’à la fin du contrat
• Recherches enregistrées, liste de suivi, activités, adresses push : pendant la durée du contrat
• Nom et numéro de téléphone d’un vendeur : 90 jours après la fin de son annonce sur le portail
• Justificatifs de la vérification des professionnels : jusqu’à trois ans après la fin du contrat
• Documents de facturation et comptables : dix ans (§ 147 AO, § 257 HGB) ; courriers commerciaux : six ans
• Copies de sauvegarde : six mois au maximum

À l’expiration de ces délais, nous supprimons ou anonymisons les données, sauf si une procédure en cours exige une conservation plus longue.

17. Transferts vers des pays tiers

Nos données sont stockées en Allemagne ou dans l’Union européenne. Un transfert vers les États-Unis n’a lieu que dans les cas mentionnés (Google Analytics avec votre consentement, Cloudflare Turnstile, notifications push vers l’application). Il repose sur la décision d’adéquation de la Commission européenne relative au EU-US Data Privacy Framework, dans la mesure où le destinataire est certifié, et, en complément, sur les clauses contractuelles types de la Commission européenne (art. 46, par. 2, point c) du RGPD).

18. Vos droits

Vous disposez à notre égard des droits suivants concernant vos données à caractère personnel :

• droit d’accès (art. 15 du RGPD) – en tant qu’utilisateur ou utilisatrice, vous pouvez à tout moment télécharger une copie de vos données via Réglages
• droit de rectification (art. 16 du RGPD)
• droit à l’effacement (art. 17 du RGPD) – vous pouvez supprimer vous-même votre compte sous Réglages
• droit à la limitation du traitement (art. 18 du RGPD)
• droit à la portabilité des données (art. 20 du RGPD)
• droit de retirer un consentement donné, avec effet pour l’avenir (art. 7, par. 3 du RGPD)

Droit d’opposition (art. 21 du RGPD) : lorsque nous traitons des données sur la base de l’art. 6, par. 1, point f) du RGPD, vous pouvez à tout moment vous y opposer pour des raisons tenant à votre situation particulière ; nous ne traitons alors plus les données, à moins de pouvoir démontrer des motifs impérieux et légitimes qui prévalent sur vos intérêts. Cela vaut en particulier pour les vendeurs d’annonces (section 7). Vous pouvez à tout moment vous opposer à la prospection directe, sans avoir à motiver votre opposition.

Pour exercer vos droits, il suffit d’envoyer un e-mail à datenschutz@carfalke.de. Vous avez en outre le droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données, en particulier dans l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation présumée. L’autorité de contrôle compétente à notre égard est : Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

19. Caractère obligatoire de la fourniture des données

Pour une demande d’accès et un compte utilisateur, les informations signalées comme obligatoires sont nécessaires ; à défaut, nous ne pouvons pas vérifier votre entreprise ni configurer d’accès. Toutes les autres informations sont facultatives.

20. Décisions automatisées

Aucune décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé (art. 22 du RGPD) n’est prise. L’activation d’un professionnel est décidée par un être humain ; les évaluations de prix et valeurs de marché sont des estimations relatives à des véhicules, et non des décisions concernant des personnes.

21. Sécurité des données

La transmission entre votre appareil et nos serveurs est chiffrée par TLS. Nous stockons les mots de passe exclusivement sous forme de hachage et les justificatifs téléversés sous forme chiffrée. L’accès aux données à caractère personnel est limité aux collaborateurs qui en ont besoin ; les accès administratifs sont journalisés. Nous adaptons en permanence nos mesures techniques et organisationnelles à l’état de la technique.

22. Modifications

Nous adaptons la présente politique de confidentialité lorsque le service ou la situation juridique évolue. La version en vigueur est disponible sur carfalke.de ; la date de la dernière modification figure en haut de cette page. Nous informons les utilisateurs et utilisatrices des modifications importantes par e-mail.