Politique de confidentialité.

1. Qui traite vos données ?

MH-CORP désigne Haik Khatchatrian, entrepreneur individuel, SIREN 891 080 863, situé 253 Avenue de la Libération, 54000 Nancy, qui édite et exploite Carakal.

Le responsable de traitement dépend du contexte dans lequel les données sont utilisées.

• Le garage est responsable de traitement des données de ses clients, prospects, collaborateurs, véhicules, dossiers, documents et contenus de vitrine. Il détermine pourquoi ces données sont collectées et utilisées. MH-CORP agit alors comme sous-traitant, uniquement sur les instructions documentées du garage.
• MH-CORP est responsable de traitement pour la gestion de ses propres prospects et demandes de démonstration, des comptes et habilitations Carakal, de la sécurité du service, de la prévention des abus, de la gestion comptable des rémunérations d’apport d’affaires versées par des partenaires, des signalements et du respect de ses obligations légales.
• Les partenaires qui étudient ou fournissent une garantie, une assurance, un financement ou un autre service traitent les données reçues sous leur propre responsabilité lorsque celles-ci sont nécessaires à leurs propres décisions et obligations réglementaires.

[email protected]

2. Personnes concernées

• Dirigeants, salariés, collaborateurs et prestataires des garages utilisant Carakal.
• Prospects, clients, vendeurs, acheteurs, conducteurs, garants ou autres personnes figurant dans un dossier géré par un garage.
• Visiteurs de carakal.fr et des vitrines publiées par les garages.
• Personnes demandant une démonstration, exerçant un droit ou signalant un contenu.
• Contacts professionnels des partenaires et prestataires de Carakal.

3. Données traitées

Les catégories effectivement traitées dépendent des fonctionnalités utilisées. Carakal ne demande pas à un garage de collecter des informations qui ne sont pas nécessaires à son activité ou à la prestation sollicitée.

Les champs signalés comme obligatoires sont nécessaires pour créer un compte, réserver une démonstration, sécuriser un accès ou exécuter la fonctionnalité demandée. Leur absence empêche uniquement l’opération concernée. Les autres champs sont facultatifs ; les conséquences particulières d’un refus sont indiquées dans le formulaire correspondant.

• Identité et contact : civilité, nom, prénom, date et lieu de naissance, adresse, e-mail, téléphone et entreprise.
• Compte professionnel : garage, fonction, rôle, habilitations, préférences, historique de connexion et actions effectuées.
• Données commerciales : prospects, échanges, rendez-vous, essais, reprises, devis, factures, règlements et historique de la relation.
• Données relatives aux véhicules : immatriculation, VIN, carte grise, caractéristiques, kilométrage, photographies, état, entretien et historique du stock.
• Documents d’identité, justificatifs professionnels, Kbis, permis, signatures et pièces nécessaires aux démarches demandées.
• Données financières communiquées pour un dossier : revenus, charges, situation professionnelle, relevés, avis d’imposition, RIB, IBAN et autres justificatifs.
• Informations nécessaires à une demande d’assurance, de garantie ou de financement, avant transmission au partenaire choisi.
• Données d’automatisation CRM envoyées à une URL de webhook configurée par le garage : selon l’événement, identité ou nom du client, véhicule et immatriculation, référence et montant d’un document, rendez-vous et statuts associés.
• Contenus de vitrine et d’annonce : photographies, description, prix, caractéristiques et coordonnées professionnelles du garage.
• Données techniques et de sécurité : adresse IP, date et heure, navigateur, appareil, identifiants techniques, journaux d’événements et éléments nécessaires à la détection d’un incident.
• Signalements : identité et contact du déclarant lorsqu’ils sont fournis, annonce concernée, motif, explications, pièces et suites données.

4. Origine des données

• Informations saisies directement par la personne concernée, notamment lors d’une demande de démonstration ou d’un dépôt de document.
• Informations enregistrées par un garage dans le cadre de sa relation avec un prospect, un client, un vendeur ou un collaborateur.
• Informations fournies ou retournées par un partenaire lorsque la fonctionnalité correspondante est activée.
• Informations techniques générées lors de l’utilisation du site ou du service.
• Données publiques ou provenant de référentiels autorisés, uniquement lorsqu’elles sont nécessaires à une fonctionnalité demandée.

5. Finalités et bases légales de MH-CORP

• Répondre à une demande et organiser une démonstration : mesures précontractuelles demandées par la personne.
• Créer et administrer les comptes professionnels, fournir le service et assurer le support : exécution des conditions d’utilisation ou intérêt légitime à fournir le service aux collaborateurs autorisés du garage.
• Gérer les habilitations, sécuriser la plateforme, journaliser les actions, prévenir la fraude et traiter les incidents : intérêt légitime de MH-CORP et des garages à protéger le service et les données.
• Gérer les signalements de contenus et répondre aux autorités compétentes : obligation légale et intérêt légitime à préserver un service licite.
• Conserver les documents imposés par les règles comptables, fiscales ou sectorielles applicables à MH-CORP : obligation légale.
• Adresser des informations commerciales uniquement aux utilisateurs professionnels qui l’ont expressément accepté dans les paramètres du compte : consentement, désactivé par défaut, documenté et retirable à tout moment.
• Établir, exercer ou défendre un droit en justice : intérêt légitime à conserver les seuls éléments nécessaires à la preuve.

6. Traitements réalisés pour le compte des garages

Pour les données métier dont le garage est responsable de traitement, MH-CORP agit conformément aux instructions du garage et à l’accord relatif au traitement des données. Le garage doit informer les personnes concernées, choisir une base légale, limiter la collecte, définir les habilitations et répondre aux demandes portant sur ces données.

Lorsqu’une personne exerce auprès de MH-CORP un droit portant sur un dossier géré par un garage, MH-CORP transmet la demande au garage concerné et l’assiste dans sa réponse. MH-CORP ne modifie ni ne supprime ces données de sa propre initiative, sauf obligation légale, urgence de sécurité ou instruction documentée du garage.

7. Destinataires et partenaires

Les données ne sont accessibles dans l’application qu’aux personnes qui en ont besoin au regard de leurs fonctions et de leurs habilitations. Le fait que l’infrastructure permette techniquement une opération de support ne constitue pas une autorisation générale de consultation. Les événements prévus par l’application sont journalisés, mais les consultations techniques directes de l’infrastructure ne font pas encore toutes l’objet d’une trace dédiée ; un accès exceptionnel doit néanmoins être justifié et limité.

Avant une transmission à un partenaire indépendant, l’interface doit présenter son entité juridique exacte, la finalité et sa notice, puis conserver la preuve appropriée de la demande ou de l’accord de la personne. Les écrans actuels ne présentent pas encore systématiquement ces éléments et certains partenaires restent désignés par une marque générique ; les flux concernés doivent rester bloqués ou être régularisés avant utilisation réelle.

• Le garage responsable du dossier et ses utilisateurs habilités.
• Les personnes habilitées de MH-CORP intervenant pour l’administration, la sécurité ou le support, dans la stricte mesure nécessaire.
• Hetzner pour l’hébergement actuel, OVHcloud pour la messagerie actuelle et l’hébergement futur, Cloudflare pour la protection et le stockage R2, ainsi que les autres prestataires techniques effectivement autorisés.
• UBIFLOW SAS, lorsqu’un garage active la diffusion d’annonces, dans le cadre défini par son contrat de diffusion.
• Les portails d’annonces sélectionnés par le garage et desservis par son intégration UBIFLOW. Le code reconnaît notamment Leboncoin, La Centrale, AutoScout24 et Facebook Marketplace ; la liste réellement disponible dépend du contrat et de la configuration UBIFLOW du garage.
• SuperPDP, dont le rôle peut différer selon qu’il fournit la transmission technique des factures ou satisfait à ses propres obligations de plateforme.
• Les entités actuellement configurées dans le code pour les dossiers partenaires : LABEL GARANTIE SAS pour la garantie, Arik GOGIANI, entrepreneur individuel et agent général Allianz, pour l’assurance, et PremiDirect SAS, utilisant la marque Ymanci Regroupement de crédits, pour le financement. Leur identité, leur mandat et le produit concerné restent à confirmer contre les contrats signés avant transmission réelle. Ces organismes déterminent leurs propres traitements et remettent leur propre information aux personnes concernées.
• Le destinataire d’un webhook CRM configuré par le garage. MH-CORP exécute alors l’instruction technique du garage ; ce dernier doit identifier le destinataire, vérifier la base légale et l’encadrement de la transmission, et informer les personnes concernées.
• Google Maps Platform / Places et, dans l’espace professionnel, les services cartographiques et référentiels explicitement décrits dans la liste des sous-traitants et destinataires.
• Les services externes ouverts uniquement sur clic depuis la carte ou un outil Carakal, notamment Pappers, Leboncoin, Google Maps et ANTAI. Ces sites reçoivent les données de navigation et les termes placés dans le lien seulement lorsque l’utilisateur décide de les ouvrir.
• Les autorités administratives, judiciaires ou organismes légalement habilités, sur demande régulière ou lorsqu’une obligation l’impose.

8. Transferts en dehors de l’Espace économique européen

Carakal privilégie les régions d’hébergement européennes lorsque le service le permet. Certains prestataires techniques peuvent néanmoins traiter des données depuis un pays situé hors de l’Espace économique européen ou faire intervenir des sous-traitants dans ces pays.

Le statut contractuel, la localisation connue et les garanties restant à obtenir sont précisés dans la liste des sous-traitants. Le stockage R2 utilise actuellement la juridiction européenne, sans que cela exclue les traitements internationaux propres au réseau Cloudflare. Les fonctions Cerebras et Bria sont bloquées côté serveur tant que leur DPA et le mécanisme de transfert applicable ne sont pas validés. Les autres transferts éventuels dépendent du contrat effectivement souscrit avec chaque prestataire et doivent être régularisés avant d’étendre les données qui lui sont confiées.

9. Intelligence artificielle

Les fonctions d’intelligence artificielle servent notamment à assister la lecture de documents, la rédaction, l’estimation, le diagnostic ou la création d’images. Leur périmètre autorisé est limité aux données nécessaires à la demande. Cerebras indique publiquement ne pas conserver les entrées et sorties de son API et ne pas les utiliser pour entraîner ses modèles. En l’absence de DPA et de mécanisme de transfert validés, Cerebras n’est toutefois pas autorisé par Carakal à recevoir des données personnelles.

Ces fonctions peuvent produire un résultat inexact, incomplet ou inadapté. Elles ne prennent aucune décision autonome d’acceptation, de refus ou de tarification concernant un financement, une assurance ou une garantie. L’utilisateur doit contrôler le résultat avant de l’utiliser. Les images créées ou modifiées artificiellement doivent être présentées comme telles lorsqu’un risque de confusion existe.

10. Absence de décision exclusivement automatisée

MH-CORP ne prend pas de décision produisant un effet juridique ou affectant significativement une personne sur le seul fondement d’un traitement automatisé. Les décisions relatives à une vente, un financement, une assurance ou une garantie relèvent du garage ou du partenaire compétent.

11. Conservation

Les demandes de démonstration deviennent éligibles à la suppression vingt-quatre heures après le rendez-vous terminé, annulé ou non honoré, puis sont effacées lors du cycle de purge suivant. Une indisponibilité du traitement automatique peut retarder ce cycle et doit alors donner lieu à une purge corrective. Les autres durées et règles d’archivage sont détaillées dans la politique de conservation.

12. Sécurité et confidentialité

Les mesures actuellement appliquées comprennent le contrôle des habilitations applicatives, le cloisonnement logique par garage, le chiffrement TLS des échanges, la protection des mots de passe et des jetons publics signés, ainsi que la pseudonymisation des empreintes anti-abus des signalements. La journalisation porte sur les événements prévus par le service, mais ne constitue pas un enregistrement exhaustif de toute consultation technique. Les opérations d’administration restent réservées aux personnes disposant d’un accès autorisé.

Les documents sont chiffrés lors de leur transport et bénéficient du chiffrement fourni par le prestataire de stockage au repos. Ils ne sont pas chiffrés de bout en bout avec une clé détenue exclusivement par le garage : une personne disposant d’un accès d’administration à l’infrastructure conserve donc une possibilité technique d’accès, même si cet accès est interdit hors motif autorisé. Les sauvegardes actuelles ne disposent pas d’un chiffrement applicatif propre à Carakal ; leur accès est restreint au niveau du système d’exploitation et leur rotation est programmée sur 30 jours. Le choix de la région, le chiffrement au repos et la gestion des clés devront être vérifiés sur le contrat OVHcloud effectivement commandé avant la migration.

13. Vos droits

Selon le traitement et sa base légale, vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation de leur traitement, leur portabilité ou vous opposer au traitement. Vous pouvez retirer à tout moment un consentement, sans remettre en cause les traitements réalisés auparavant.

Précisez dans votre demande votre identité, le droit exercé et, si possible, le garage ou le dossier concerné. Une preuve d’identité n’est demandée qu’en cas de doute raisonnable et seules les informations strictement nécessaires sont alors collectées. Lorsque le garage est responsable du traitement, MH-CORP lui transmet la demande afin qu’il y réponde.

MH-CORP répond dans le délai prévu par le RGPD. En cas de difficulté persistante, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.

[email protected]

14. Cookies et services externes

Les traceurs strictement nécessaires peuvent être utilisés sans consentement afin d’assurer la connexion, la sécurité et les préférences indispensables. Carakal n’utilise actuellement aucun traceur publicitaire, de profilage ou de mesure d’audience soumis au consentement. Les stockages locaux et les connexions aux services cartographiques sont décrits dans la politique relative aux cookies.

15. Mise à jour de cette politique

Cette politique peut être modifiée afin de refléter l’évolution du service, des prestataires ou des règles applicables. Lorsqu’une modification importante exige une information préalable, celle-ci doit être envoyée manuellement et sa preuve conservée tant qu’un mécanisme versionné de notification dans l’application ou par e-mail n’est pas développé.