Politique de confidentialité

1. Éditeur et rôles dans les traitements

Le service BookingRoad (app.bookingroad.com) est édité par :

COMEXPERTISE SARL, au capital de 40 800 euros
10 rue de Penthièvre, 75008 Paris, France
SIREN 534 934 542 — SIRET 534 934 542 00034
RCS Paris 534 934 542 — TVA FR39 534 934 542
Téléphone : +33 1 84 16 05 03
Contact : contact@bookingroad.com

Directeur de la publication : M. David DIVERRES-REBILLARD.
Hébergement : Google Cloud France SARL, 8 rue de Londres, 75009 Paris, France, RCS Paris 881 721 583. Serveurs situés en France.
Google Cloud France SARL ne publie pas de numéro de téléphone : l'hébergeur se contacte par courrier à l'adresse ci-dessus ou par le formulaire de contact de Google Cloud.

COMEXPERTISE et l'organisateur professionnel identifié sur la page de votre événement sont responsables conjoints, au sens de l'article 26 du RGPD, des données du parcours de réservation sur BookingRoad : collecte, attribution et gestion des créneaux, confirmations, modifications, annulations, e-mails et rappels activés, planning, notes et messages, préparation, signature et conservation du contrat d'essai, puis archivage.

COMEXPERTISE fixe les champs et durées, assure l'information pour les deux parties, exploite et sécurise la plateforme, encadre ses prestataires et traite les demandes relevant de ses systèmes. L'organisateur fournit ses informations, gère ses offres, ses équipes et les décisions concernant les participants. Les parties coopèrent pour les droits, la sécurité et les incidents. Cette répartition ne limite pas vos droits à l'égard de chacune d'elles.

COMEXPERTISE est seule responsable de ses traitements distincts : relation commerciale avec les organisateurs, authentification, sécurité propre du service, journaux correspondants, statistiques propres et audience consentie. L'organisateur est seul responsable de l'essai et de ses usages autonomes des données hors plateforme.

Contact données personnelles commun : dpo@bookingroad.com. Vous pouvez aussi exercer vos droits auprès de l'organisateur ; ses coordonnées figurent sur la page de l'événement.

2. Le service BookingRoad

BookingRoad permet à des concessionnaires, importateurs, marques et agences d'événements de proposer des essais de véhicules, notamment automobiles et motos, réservables en ligne. L'organisateur professionnel de chaque essai et ses coordonnées figurent sur la page de l'événement. Il fournit l'essai et son contrat d'essai ; COMEXPERTISE fournit le service technique de réservation.

3. Données des personnes qui réservent un véhicule

Données collectées

• Identité : civilité, prénom, nom, date de naissance.
• Coordonnées : adresse e-mail, numéro de téléphone, adresse postale et coordonnées géographiques (latitude et longitude) de cette adresse, issues de la saisie assistée.
• Permis de conduire : numéro, date d'obtention et pays de délivrance.
• Véhicule actuel (facultatif) : marque et modèle.
• Réservation : véhicule et créneau choisis, dates d'inscription, de confirmation, d'annulation ou de modification, date de signature du contrat d'essai.
• Acceptation des CGU de BookingRoad : la version des conditions générales d'utilisation de la plateforme que vous avez acceptée est enregistrée avec votre réservation pour en garder la preuve.
• Notes internes de l'organisateur, lorsqu'elles sont renseignées : observations sur le suivi de la réservation, notamment un commentaire d'absence au rendez-vous, avec leur auteur et leur date. Elles sont consultables par les équipes autorisées de l'événement et restent concernées par votre droit d'accès (section 10).
• Messages de l'organisateur, lorsqu'ils sont renseignés : texte accompagnant un déplacement ou une annulation de réservation, envoyé par e-mail et conservé dans l'historique avec l'action, son auteur et sa date.
• Données techniques : adresse IP, journaux techniques du serveur et signaux de sécurité traités par Cloudflare Turnstile (voir les sections 5 et 8) ; et, seulement si vous l'acceptez, des données de mesure d'audience (voir la section 8).

Finalités et bases légales

Statistiques internes : elles sont calculées à partir des réservations et ne contiennent que des résultats agrégés, par exemple des répartitions en pourcentage par tranche d'âge, ville, civilité ou marque du véhicule réservé, avec un calcul en personnes distinctes. Elles sont destinées à COMEXPERTISE et, pour son événement, à l'organisateur, dans son espace dédié. L'affichage applique un seuil minimal sur chaque population, y compris la catégorie « Autres », et une suppression complémentaire de résultats pour éviter de déduire les petits effectifs, sans filtre libre ni croisement. Tant que leur anonymisation n'est pas démontrée, ces résultats sont traités comme des données potentiellement personnelles. Les données utilisées et les résultats suivent la durée de conservation des réservations (section 7) ; les résultats sont conservés au plus trois ans après la date du créneau réservé, puis ils sont supprimés ou recalculés sans les données arrivées à échéance. Vous pouvez vous opposer à ce traitement en nous écrivant à l'adresse indiquée en section 1.

Les données servent aux finalités décrites ci-dessus : réservation, préparation de l'essai, sécurité, preuve et statistiques. Elles ne sont ni vendues ni louées. BookingRoad ne recueille aucun accord de prospection commerciale ; une réservation n'en vaut pas un. L'organisateur ne peut vous adresser des offres commerciales qu'avec votre accord exprès, recueilli par lui séparément et retirable à tout moment ; il est seul responsable de cette prospection. Google Maps assiste la saisie d'adresse selon les informations de la section 5.

4. Données des organisateurs

Les membres des équipes organisatrices se connectent à l'espace organisateur par un lien de connexion à usage unique envoyé à leur adresse e-mail, ou par un fournisseur d'identité (aujourd'hui leur compte Google). Le fournisseur d'identité ne transmet que l'adresse e-mail et l'indication qu'elle est vérifiée ; aucune autre donnée du compte n'est consultée.

• L'adresse sert uniquement à vous authentifier et à vérifier que vous êtes autorisé(e) à consulter ou à gérer des réservations (liste d'adresses tenue par l'éditeur).
• Les actions et consultations des organisateurs sont journalisées avec leur adresse, pour la traçabilité.
• La session de connexion prend fin au plus tard à la fin de la journée.
• Les données reçues de Google lors de la connexion ne servent qu'à l'authentification : elles ne sont ni vendues, ni utilisées à des fins publicitaires, ni partagées en dehors des prestataires techniques de la section 5, conformément à la politique de Google relative aux données des utilisateurs des services d'API, y compris ses exigences d'utilisation limitée.

COMEXPERTISE est responsable du traitement d'authentification et des journaux de sécurité correspondants. Base légale : intérêt légitime à sécuriser les accès au service (article 6.1.f du RGPD). Le suivi des réservations et des actions réalisées dans le parcours commun relève de la répartition de la section 1.

5. Destinataires et prestataires

Pour le parcours commun, les données sont accessibles à COMEXPERTISE et à l'organisateur professionnel concerné, avec leurs seules équipes habilitées et selon leurs besoins. L'organisateur est identifié sur la page de l'événement ; les conditions de sa prospection sont précisées en section 3.

Les prestataires interviennent par catégories : hébergement et outils de gestion, authentification, envoi et suivi des e-mails, saisie d'adresse, sécurité et mesure d'audience consentie. Le tableau présente leurs services et données. Tous n'agissent pas exclusivement comme sous-traitants : les rôles propres de Google Maps et de Cloudflare Turnstile sont précisés ci-dessous.

Google Maps : Google traite les données de cette fonction en qualité de responsable distinct, selon les conditions de protection des données entre responsables de Google Maps Platform. Les traitements de Google sont décrits dans sa politique de confidentialité. Voir les conditions Maps pour l'EEE et les conditions mondiales, selon le contrat applicable.

Cloudflare Turnstile : selon son addendum de confidentialité Turnstile, Cloudflare agit comme sous-traitant pour protéger les sites de ses clients et comme responsable de traitement pour améliorer ses capacités de détection des robots. Pour cette amélioration, Cloudflare invoque son intérêt légitime. Pour la protection des formulaires, BookingRoad poursuit la finalité de sécurité indiquée à la section 3.

6. Transferts hors de l'Union européenne

Les serveurs de l'application et la base sont situés en France. Certains prestataires sont établis hors de l'Union européenne, ou peuvent y traiter des données. La seule localisation de l'application à Paris ne garantit pas l'absence de transferts. Les destinataires concernés, leur pays et la garantie applicable sont les suivants :

• Google (Google Cloud, Google Workspace, connexion Google, Google Maps Platform, Google Analytics 4) : Google LLC, États-Unis. Google LLC est certifiée au cadre de protection des données UE–États-Unis (Data Privacy Framework), objet d'une décision d'adéquation de la Commission européenne du 10 juillet 2023 ; Google recourt en outre aux clauses contractuelles types de la Commission. Ces garanties sont décrites sur la page « Cadres juridiques pour les transferts de données » de Google.
• Amazon Web Services (e-mails, SES et SNS) : Amazon Web Services, Inc., États-Unis, avec un envoi depuis des serveurs situés en France. L'accord de traitement des données d'AWS, intégré à ses conditions de service, comprend les clauses contractuelles types de la Commission européenne ; il est consultable sur le site d'AWS (centre RGPD d'AWS).
• Cloudflare (Turnstile) : Cloudflare, Inc., États-Unis. Cloudflare est certifiée au cadre de protection des données UE–États-Unis et recourt aux clauses contractuelles types en garantie complémentaire (page RGPD de Cloudflare).

Pour obtenir une copie des garanties, utilisez les liens ci-dessus ou écrivez-nous à l'adresse indiquée en section 1.

7. Durées de conservation

• Réservations et historique, y compris notes, messages et documents d'essai : utilisation pour le suivi demandé, puis conservation des éléments nécessaires à la preuve et aux litiges, en archive à accès restreint, jusqu'à trois ans après la date du créneau réservé. La fin du contrat avec l'organisateur entraîne la fermeture de l'accès opérationnel et, sur demande, un export gratuit dans le mois après vérification de ses habilitations ; elle ne remet pas le délai à zéro. Les données sont supprimées à l'échéance. Toute conservation distincte imposée par la loi ou justifiée par un litige identifié est limitée, documentée et soumise à des accès restreints.
• Sauvegardes : conservées au plus 37 jours, à l'écart des usages courants ; une restauration ne fait pas réapparaître les données supprimées depuis.
• Journaux techniques, dont le journal des actions et consultations : 1 an, durée nécessaire à la sécurité, au diagnostic du service et à la traçabilité des actions (articles 5.1.e et 32 du RGPD), dans la fourchette recommandée par la CNIL pour la journalisation.
• Session de connexion des organisateurs : jusqu'à la fin de la journée au plus.
• Votre choix sur les cookies : 6 mois, que vous ayez accepté ou refusé, puis la question vous est reposée.
• Cookies de Google Analytics (si vous les avez acceptés) : 13 mois au plus, sans prolongation à chaque visite.
• Données de mesure d'audience (si vous les avez acceptées) : conservées 14 mois dans Google Analytics, puis supprimées.

8. Cookies et mesure d'audience

• Cookies techniques : nécessaires au fonctionnement du service (session des organisateurs, message affiché après l'envoi du formulaire, et le cookie br_consent qui garde votre choix sur les cookies). Ils ne nécessitent pas de consentement.
• Protection contre les robots : Cloudflare Turnstile protège les formulaires contre les abus automatisés. Il analyse des signaux du navigateur et de la connexion, décrits en section 5.
• Saisie d'adresse : Google Maps est utilisé pour proposer des adresses au cours de la saisie (voir la section 5). Ce service est distinct de Google Analytics.
• Mesure d'audience, seulement avec votre accord : les pages publiques de réservation mesurent leur fréquentation avec Google Analytics 4. Aucune donnée de mesure d'audience n'est envoyée à Google Analytics tant que vous n'avez pas accepté. Finalité de Google Analytics : connaître la fréquentation des pages pour améliorer le service. Responsable : COMEXPERTISE ; destinataire : Google, voir sections 5 et 6. Données : pages consultées, appareil et navigateur, pays, durée de visite et adresse IP traitée lors des échanges. Cookies : _ga et _ga_…, treize mois au plus ; données d'audience : quatorze mois. Google Signals, les partages optionnels de données et les fonctions publicitaires sont désactivés. Les statistiques internes issues des réservations sont distinctes et décrites en section 3.
• Aucune mesure sur une page personnelle : une page dont l'adresse contient un code personnel (lien de confirmation, lien de gestion d'une réservation, QR code sur place) n'est jamais mesurée, même si vous avez accepté.
• Votre choix : une bannière vous propose « Tout accepter », « Tout refuser » ou « Personnaliser », avec la même facilité. Votre choix est gardé 6 mois, puis la question vous est reposée. Refuser ne change rien à votre réservation. Vous pouvez le modifier ou retirer votre accord à tout moment avec le lien « Gérer les cookies », en bas des pages de réservation : la mesure s'arrête aussitôt et les cookies de Google Analytics sont effacés.
• Réseaux sociaux : le service n'intègre plus de module de réseau social. Un simple lien mène à la page Facebook de BookingRoad ; Facebook ne reçoit rien de votre visite tant que vous ne cliquez pas dessus.

9. Sécurité

Des mesures techniques et organisationnelles protègent les données : les échanges sont chiffrés (HTTPS) et l'accès aux réservations est réservé aux personnes autorisées par l'éditeur.

10. Vos droits

Selon les conditions prévues par le RGPD, vous disposez des droits d'accès, rectification, effacement, limitation, opposition et portabilité, ainsi que du retrait du consentement lorsque le traitement repose sur celui-ci. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.

Contact données personnelles commun : dpo@bookingroad.com, en indiquant l'organisateur et la réservation. Vous pouvez aussi saisir directement l'organisateur, sans être tenu de passer par ce contact. Votre identité fait l'objet d'une vérification proportionnée ; des justificatifs complémentaires ne sont demandés qu'en cas de doute raisonnable. La réponse est fournie dans le mois de la réception de la demande. Si une prolongation légalement justifiée est nécessaire, vous en êtes informé dans ce premier mois. Les données sont fournies par les outils internes ; lorsque le droit à la portabilité s'applique, l'export est structuré, en CSV ou JSON. La modification ou l'annulation du rendez-vous est disponible depuis le lien personnel dans les conditions et délais indiqués, ou auprès de l'organisateur.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

11. Modifications

Cette politique peut évoluer, notamment avec les fonctions du service. La date de dernière mise à jour figure en haut de la page.