Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est l’éditeur du site, dont l’identité complète figure dans les mentions légales :

Éditeur : Loccor — indépendant complémentaire, Liège (Belgique)

Numéro d’entreprise (BCE) : 0771.759.318 — TVA BE 0771.759.318

Contact pour vos données : contact@loccor.com

L’éditeur étant établi dans l’Union européenne, le règlement (UE) 2016/679 (RGPD) et la loi belge du 30 juillet 2018 s’appliquent à l’ensemble des traitements décrits ici, quels que soient le pays de résidence du visiteur et le lieu de la location. Aucun délégué à la protection des données n’a été désigné : les conditions qui l’imposent ne sont pas réunies. Vos demandes sont donc à adresser à l’adresse ci-dessus ou via le formulaire de contact.

2. Données traitées

Compte : nom, adresse email, numéro de téléphone, rôle (client, agence, collaborateur), photo de profil si vous en déposez une, identifiant technique Google ou Apple si vous utilisez ce mode de connexion. Le mot de passe n’est jamais conservé en clair, seulement son empreinte cryptographique.
Réservation : dates, ville, véhicule et options retenus, montants, ainsi que l’identité du conducteur (nom, date de naissance, numéro de permis, date et pays de délivrance) et, le cas échéant, celle du second conducteur.
Paiement : les données de votre carte bancaire ne transitent pas par nos serveurs et n’y sont jamais enregistrées; elles sont saisies directement chez le prestataire de paiement. Nous conservons le montant, la date, le moyen de paiement et la référence de la transaction.
Agences partenaires : pièces d’identité et documents professionnels du responsable (carte d’identité, registre de commerce), coordonnées professionnelles, photographies des véhicules proposés.
Données techniques : adresse IP, type de navigateur, pages consultées, historique des connexions au compte.
Échanges : messages adressés via la messagerie du site, le formulaire de contact ou WhatsApp.

3. Finalités et bases légales

Chaque traitement repose sur une base légale précise :

Créer et gérer votre compte, traiter vos réservations, vous mettre en relation avec l’agence — exécution du contrat (art. 6.1.b RGPD). Sans ces données, la réservation ne peut pas aboutir.
Encaisser les paiements, établir les factures et tenir la comptabilité — obligation légale (art. 6.1.c) et exécution du contrat.
Vérifier qu’une agence candidate existe et a le droit d’exercer — exécution du contrat conclu avec elle et intérêt légitime : ne référencer que des professionnels réels.
Assurer la sécurité du service, prévenir et détecter la fraude et les abus (journaux de connexion, limitation du nombre de requêtes, filtrage des messages) — intérêt légitime (art. 6.1.f).
Vous envoyer les messages liés à votre réservation (confirmation, annulation, rappels, réinitialisation du mot de passe) — exécution du contrat.
Mesurer l’audience du site au moyen de Google Analytics 4 — consentement (art. 6.1.a), recueilli par le bandeau cookies et révocable à tout moment.
Vous adresser des messages commerciaux ou des invitations — consentement (art. 6.1.a), retirable par le lien de désabonnement de chaque envoi.

Lorsque le traitement repose sur notre intérêt légitime, vous pouvez vous y opposer (section 7).

4. Destinataires

Vos données ne sont ni vendues, ni louées, ni cédées à des fins publicitaires. Elles sont transmises aux seuls destinataires suivants, chacun pour un rôle déterminé :

Stripe — prestataire de paiement par carte : encaissement de l’acompte et des paiements en ligne, remboursements, prévention de la fraude aux moyens de paiement.
PayPal — moyen de paiement alternatif, lorsque vous le choisissez.
Google — mesure d’audience (Google Analytics 4), uniquement après votre consentement.
Google et Apple — fournisseurs d’identité : si vous choisissez « Continuer avec Google » ou « Continuer avec Apple », ils nous transmettent votre adresse email et un identifiant de compte. Le script de connexion Google est chargé depuis les serveurs de Google sur les pages de connexion et d’inscription : votre adresse IP leur est donc connue dès l’ouverture de ces deux pages, même si vous n’utilisez pas ce mode de connexion. Aucune autre donnée ne leur est transmise tant que vous ne cliquez pas sur le bouton.
Esri — fonds de carte : lorsque vous affichez la carte des villes sur la page de recherche, les images de la carte sont téléchargées depuis les serveurs d’Esri (arcgisonline.com), qui connaît alors votre adresse IP et la zone que vous consultez. La carte ne se charge qu’après votre réponse au bandeau cookies; avant cela, la liste des villes s’affiche à sa place, sans aucune requête extérieure. Aucun cookie n’est déposé par ce service.
Hostinger — hébergement du site public et acheminement de nos emails (serveur d’envoi).
IONOS — hébergement du serveur applicatif et de la base de données, en Allemagne.
Le service de notification de votre navigateur (Google, Mozilla ou Apple, selon le navigateur) — acheminement des notifications push, si vous les avez activées. Le contenu du message leur est transmis chiffré.
Meta (WhatsApp Business) — acheminement des messages échangés avec notre service client sur WhatsApp, si vous choisissez ce canal.
L’agence partenaire retenue — vos coordonnées et l’identité du conducteur lui sont transmises à la confirmation de la réservation, pour la remise du véhicule. Réciproquement, l’identité de l’agence ne vous est communiquée qu’à ce moment-là.
Les autorités compétentes — sur réquisition légale.

5. Transferts hors de l’Union européenne

Vers le Maroc : les agences partenaires y sont établies. La confirmation d’une réservation leur transmet vos coordonnées et l’identité du conducteur. Le Maroc ne bénéficie pas d’une décision d’adéquation de la Commission européenne; ce transfert est nécessaire à l’exécution du contrat que vous concluez (art. 49.1.b RGPD).
Vers les États-Unis : certains prestataires cités à la section 4 (paiement, mesure d’audience, fournisseurs d’identité, service de notification) sont des sociétés américaines ou appartiennent à des groupes américains. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y est certifié, par le cadre de protection des données UE — États-Unis.

6. Durées de conservation

Compte : conservé tant qu’il existe. Un compte dont l’adresse email n’a jamais été confirmée peut être supprimé automatiquement : une relance est envoyée au bout de 48 heures, la suppression intervient 24 heures plus tard.
Réservations, paiements et factures : conservés pour les besoins comptables et fiscaux, y compris après la suppression de votre compte, sous forme anonymisée. La durée exacte reste à définir.
Pièces d’identité et documents professionnels des agences : effacés automatiquement 90 jours après la décision d’acceptation ou de refus du dossier. Seule la trace de la vérification est conservée — sa date, jamais le document.
Mesure d’audience interne : aucune adresse IP n’est enregistrée; les lignes pseudonymes sont supprimées au bout de 90 jours, seuls les totaux agrégés subsistent.
Historique des connexions au compte (date, adresse IP) : durée à définir.
Google Analytics : durée fixée dans la configuration du service, à définir. Le cookie posé par ce service expire au plus tard deux ans après votre dernière visite.

7. Vos droits

Vous disposez, sur vos données personnelles, des droits suivants :

Accès : savoir si nous traitons vos données et en obtenir une copie.
Rectification : corriger une donnée inexacte ou incomplète.
Effacement : obtenir la suppression de vos données, sauf lorsqu’une obligation légale impose de les conserver.
Limitation : demander le gel d’un traitement, notamment le temps qu’une contestation soit examinée.
Portabilité : recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine, ou en demander la transmission directe à un autre responsable.
Opposition : vous opposer à un traitement fondé sur notre intérêt légitime, et sans avoir à vous justifier lorsqu’il s’agit de prospection.
Retrait du consentement : à tout moment, pour la mesure d’audience comme pour les messages commerciaux. Le retrait ne remet pas en cause ce qui a été fait avant.

Comment les exercer. Écrivez à contact@loccor.com ou utilisez le formulaire de contact; nous répondons dans un délai d’un mois. Deux droits s’exercent directement depuis le site, sans nous écrire :

Effacement : depuis « Mon profil », section « Supprimer mon compte ». Vos données personnelles sont effacées et le compte est immédiatement rendu inutilisable; vos réservations passées subsistent sous forme anonyme pour la comptabilité. Une réservation confirmée en cours bloque l’opération : l’agence doit pouvoir vous joindre jusqu’à la restitution du véhicule. Terminez-la ou annulez-la, puis recommencez. Ce bouton n’existe que sur les comptes clients; les agences et les collaborateurs exercent ce droit par l’adresse ci-dessus.
Retrait du consentement aux cookies : par le bouton « Gérer les cookies » au bas de cette page.

8. Réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l’autorité de contrôle du pays d’établissement de l’éditeur :

Autorité de protection des données (Belgique)

Rue de la Presse 35, 1000 Bruxelles

contact@apd-gba.be — www.autoriteprotectiondonnees.be

Vous pouvez également saisir l’autorité de protection des données de votre pays de résidence.

9. Décision automatisée

Aucune décision produisant des effets juridiques à votre égard, ou vous affectant de manière significative, n’est prise sur le seul fondement d’un traitement automatisé. Des contrôles automatiques peuvent signaler un message ou une réservation; la décision qui suit revient toujours à une personne. Nous ne pratiquons pas de profilage publicitaire.

10. Cookies et traceurs

Le site dépose des cookies strictement nécessaires à son fonctionnement : le cookie de session qui vous maintient connecté, et la mémorisation de votre langue. Ils ne requièrent pas votre accord et ne servent à aucune mesure.

La mesure d’audience (Google Analytics 4) n’est déposée qu’après votre acceptation du bandeau. Tant que vous n’avez pas accepté, le script de Google n’est pas chargé : refuser n’empêche donc pas seulement la lecture des cookies, cela empêche le dépôt lui-même. Aucun cookie publicitaire n’est utilisé.

Votre choix est modifiable à tout moment par le bouton au bas de cette page.

11. Sécurité

Les échanges avec le site sont chiffrés (HTTPS). Les mots de passe sont conservés sous forme d’empreinte bcrypt, jamais en clair. Le jeton de session est déposé dans un cookie inaccessible aux scripts, et la double authentification est disponible sur les comptes qui l’activent. L’accès aux données est restreint aux personnes qui en ont besoin. Aucune mesure ne garantit un risque nul : si une violation de données était susceptible d’engendrer un risque élevé pour vos droits, vous en seriez informé conformément à l’article 34 du RGPD.

12. Modification de la présente politique

Cette politique peut être modifiée pour refléter une évolution du service ou de la réglementation. La date de dernière mise à jour figure en haut de la page; en cas de changement substantiel, les titulaires d’un compte en sont informés par email.