Politique de confidentialité

1. Responsable du traitement

L'entité juridique responsable du traitement des données personnelles liées à cette application et au site carcontrol-obd2.app :

• Cafaro Carmelina — Innovatek
• Contrada Piano del Pero 11, 84046 Ascea (SA), Italia
• P.IVA 06424410659
• privacy@carcontrol-obd2.app

Nous agissons en tant que responsable pour les données d'identité et d'abonnement que nous conservons pour faire fonctionner les fonctions cloud. Les données que vous créez dans l'app (véhicules, trajets, pleins) restent sur votre appareil sous votre contrôle exclusif : pour ces données, nous ne sommes ni responsable ni sous-traitant.

2. Quand cette politique s'applique

Cette politique s'applique à :

• Le site carcontrol-obd2.app
• L'application Android Car Control - OBD2 disponible sur Google Play
• Les services cloud (compte, sauvegarde, validation d'abonnement) lorsque vous choisissez de les utiliser

3. Données traitées sur votre appareil

Par défaut, ces informations sont traitées entièrement sur votre appareil et ne quittent pas le téléphone, sauf si vous activez la sauvegarde cloud (section 5) :

• Profil véhicule que vous créez (marque, modèle, année, plaque optionnelle)
• Lectures OBD-II en direct pendant la connexion (régime, vitesse, température, etc.) — uniquement en mémoire
• Trajets enregistrés (coordonnées GPS, durée, carburant, vitesse moyenne) — sauvegardés localement
• Pleins et entrées d'entretien que vous saisissez — sauvegardés localement
• Position approximative, uniquement quand vous ouvrez l'écran prix carburant, pour trouver les stations à proximité
• Liste des appareils Bluetooth et état d'appairage, uniquement quand l'app est ouverte

4. Ce que nous NE collectons PAS par défaut

Si vous ne vous connectez pas avec un compte et n'activez pas la sauvegarde cloud, l'app ne communique avec aucun de nos serveurs : nous ne collectons, ne transmettons ni ne stockons sur nos serveurs votre nom, votre historique de localisation, les données de votre véhicule, vos trajets, vos pleins, vos contacts ou votre adresse IP. Nous n'utilisons ni Crashlytics ni télémétrie dans l'app. Les seules connexions réseau vont vers les sources publiques de prix carburant et les tuiles cartographiques (section 6).

5. Compte, sauvegarde cloud et abonnement (optionnels)

Ces fonctions sont désactivées tant que vous ne les activez pas. Lorsque vous les utilisez, nous traitons sur nos serveurs (Microsoft Azure, UE — section 6) uniquement les données suivantes, aux fins indiquées :

• Connexion avec Google — Lors de la connexion, nous recevons de Google votre adresse e-mail (vérifiée), le nom du compte, votre langue et un identifiant Google opaque (subject ID) pour relier votre compte aux connexions ultérieures. Nous ne recevons pas votre mot de passe Google, ni votre photo de profil ni vos contacts. Base juridique : exécution du contrat.
• Sauvegarde cloud chiffrée — La sauvegarde du véhicule (la base de données, qui peut contenir des plaques, documents et reçus que vous saisissez) est chiffrée sur votre appareil avant l'envoi ; nous ne conservons que le blob chiffré, sa taille et la version de l'app. La clé de chiffrement ne quitte jamais le téléphone : nous ne pouvons pas lire le contenu de vos sauvegardes. Base juridique : exécution du contrat.
• Abonnement Pro — Les abonnements sont gérés par Google Play Billing. Nous recevons de Google l'état de l'abonnement (actif, expiré, en attente, remboursé) pour débloquer les fonctions Pro. Nous ne voyons pas les détails de votre carte, gérés entièrement par Google. Base juridique : exécution du contrat.
• Données opérationnelles — Pour la sécurité des sessions, nous conservons les refresh tokens sous forme de hash SHA-256 avec date d'émission/expiration et un descripteur d'appareil (modèle, version de l'OS) — base juridique : intérêt légitime. Lorsque vous acceptez cette politique ou les conditions, nous enregistrons le type de consentement, la version, l'horodatage et une forme hashée de votre adresse IP, pour démontrer le recueil du consentement au titre de l'art. 7 RGPD — base juridique : obligation légale.

Vous pouvez utiliser l'app intégralement sans jamais activer aucune de ces fonctions.

6. Services tiers et sous-traitants

L'application se connecte aux sources publiques de prix carburant et de cartes suivantes uniquement quand nécessaire, sans envoyer vos données personnelles :

• MIMIT (Ministère des Entreprises et du Made in Italy) — prix carburant italiens
• Roulez-Eco (data.economie.gouv.fr) — prix carburant français
• Geoportal Gasolineras (sedeaplicaciones.minetur.gob.es) — prix carburant espagnols
• data.public.lu — prix carburant Luxembourg
• CMA (UK Competition and Markets Authority retailer feeds) — prix UK
• Banque Centrale Européenne — taux de change quotidiens pour la conversion de devises
• OpenStreetMap (osmdroid) — tuiles cartographiques pour les itinéraires et la carte des stations

Pour les fonctions cloud optionnelles, nous faisons appel aux sous-traitants suivants, chacun lié par un accord de traitement des données :

• Microsoft Ireland Operations Ltd. (Azure) — hébergement du backend, de la base de données, du stockage des sauvegardes chiffrées et du key vault. Localisation : UE (Europe de l'Ouest).
• Google LLC / Google Ireland Ltd. — connexion avec Google et Play Billing. Localisation : UE + États-Unis (avec Clauses Contractuelles Types).

7. Transferts internationaux

Le service cloud principal (compte, sauvegarde, validation d'abonnement) est hébergé entièrement dans l'Union européenne. Certains services Google peuvent transférer des données vers les États-Unis : dans ce cas, les transferts reposent sur les Clauses Contractuelles Types de la Commission européenne. Vous pouvez en demander une copie à l'e-mail ci-dessous.

8. Conservation des données

• Données locales : restent sur votre appareil jusqu'à ce que vous les supprimiez ou désinstalliez l'app.
• Données du compte : tant que votre compte existe. À la suppression, les données identifiantes sont retirées sous 30 jours, sauf les entrées exigées par la loi.
• Sauvegarde cloud : jusqu'à son remplacement ou la suppression du compte.
• Refresh tokens : jusqu'à expiration, plus une courte période de tolérance pour les audits de sécurité.
• Journaux de consentement : pendant la durée nécessaire au respect des obligations légales.

9. Sécurité

Nous adoptons des mesures techniques et organisationnelles adaptées au risque :

• TLS 1.2+ pour toutes les données en transit
• Chiffrement au repos sur Azure Storage
• Chiffrement côté client des sauvegardes : la clé ne quitte jamais votre appareil
• Secrets gérés dans Azure Key Vault avec accès basé sur les rôles
• Aucun mot de passe : authentification déléguée à Google
• Refresh tokens hashés (SHA-256), jamais stockés en clair

10. Autorisations demandées

• Bluetooth (scan et connexion) : pour appairer l'adaptateur OBD-II et détecter l'autoradio
• Localisation (précise) : pour enregistrer les trajets via GPS et trouver les stations à proximité. Requis par Android pour tout scan Bluetooth
• Notifications : pour vous informer sur l'état du trajet, le carburant bas, les échéances
• Service au premier plan : pour maintenir la connexion OBD et le suivi GPS actifs quand l'app est en arrière-plan pendant un trajet
• Vibration : retour haptique sur les alertes
• Internet : pour télécharger les prix carburant et les taux BCE et, si vous activez les fonctions cloud, pour synchroniser compte et sauvegarde

11. Sauvegarde, export et suppression

Depuis les Réglages vous pouvez exporter une sauvegarde complète sous forme de fichier ZIP et la restaurer sur un nouvel appareil. Si vous avez un compte, vous pouvez aussi, depuis l'app, exporter toutes les données que nous conservons sur le serveur (art. 15 RGPD) et supprimer définitivement votre compte et votre sauvegarde cloud (art. 17). Pour les données locales uniquement : désinstallez l'app ou utilisez Réglages → Stockage.

12. Vos droits

Au titre du RGPD, vous pouvez accéder à vos données (art. 15), les rectifier (art. 16), les effacer et fermer votre compte (art. 17), limiter le traitement ou vous y opposer (art. 18 et 21), les exporter dans un format lisible par machine (art. 20) et retirer votre consentement à tout moment (art. 7.3). Pour les données locales, vous exercez ces droits vous-même via l'export et la désinstallation ; pour les données du compte, via les fonctions d'export et de suppression de l'app ou en nous écrivant. Vous avez en outre le droit d'introduire une réclamation auprès d'une autorité de contrôle — en Italie, le Garante per la protezione dei dati personali.

13. Mineurs

L'app n'est pas destinée aux mineurs de moins de 16 ans et nous ne collectons pas sciemment leurs données. Si vous pensez qu'un mineur nous a fourni des données personnelles, contactez-nous et nous les supprimerons.

14. Modifications de la politique

Si nous mettons à jour cette politique, nous publierons une nouvelle version sur cette page avec une date de mise à jour récente. Les changements importants seront mis en évidence dans l'app ou par e-mail.

15. Contact

Pour toute question liée à la confidentialité ou pour exercer vos droits, écrivez à : privacy@carcontrol-obd2.app