Notice de confidentialité

1. Qui nous sommes

Le responsable du traitement est la personne physique ou morale qui publie CarLazer à l'adresse https://carlazer.com (l'« Exploitant », « nous »). Écrivez à [email protected] pour toute demande relative à la vie privée. Si une dénomination, un numéro d'entreprise, un numéro de TVA ou un siège social est ensuite publié sur la Plateforme, cette identification complète la présente notice sans réduire vos droits.

2. Champ d'application

La présente couvre les données que nous traitons en tant que responsable. Elle ne couvre pas le vendeur qui reçoit votre message ou appel : ce vendeur est un responsable indépendant des données que vous choisissez de lui transmettre. Les sites tiers liés depuis une annonce (Car-Pass, cartes, site d'un concessionnaire) ont leurs propres notices.

3. Données que nous collectons

• Données de compte : e-mail, empreinte du mot de passe, nom le cas échéant, langue et appartenances à des organisations.
• Données de profil et de concessionnaire : téléphone, ville, pays, adresse postale, numéro de TVA, horaires, texte de vitrine, logo et image de couverture.
• Données d'annonce : caractéristiques du véhicule, prix, description, images, historique et documents optionnels, et un VIN ou numéro de châssis optionnel conservé uniquement pour vérification.
• Données d'usage : favoris, critères de recherche dans l'URL, paramètres du calculateur placés dans l'URL, et compteurs de vues.
• Communications : messages envoyés via la Plateforme, e-mails d'invitation, et e-mails de support que vous nous adressez.
• Données techniques : adresse IP, user-agent, journaux de sécurité, et cookies décrits ci-dessous.

4. Finalités et bases juridiques

• Contrat (art. 6, § 1, b) RGPD) : création et sécurisation du compte, publication et hébergement des annonces, affichage des vitrines, envoi des e-mails de vérification et de réinitialisation, et fourniture des outils que vous demandez.
• Intérêt légitime (art. 6, § 1, f) : prévention de la fraude et des abus, non-affichage public du VIN, mesure des vues, amélioration de la pertinence et de la sécurité, défense de droits, et exploitation d'une place de marché multilingue.
• Obligation légale (art. 6, § 1, c) : répondre aux réquisitions légales, conserver factures et données d'identité lorsque le droit fiscal ou comptable l'exige, et conserver les signalements DSA.
• Consentement (art. 6, § 1, a), lorsque requis : communications optionnelles ou cookies non essentiels, si nous les introduisons. Vous pouvez retirer votre consentement sans affecter les traitements antérieurs licites.

5. VIN et identifiants du véhicule

Un VIN ou numéro de châssis n'est collecté que si le vendeur le fournit, pour vérification, prévention de la fraude et support. Il n'est jamais affiché sur les pages publiques. Nous le traitons comme un identifiant à haut risque : l'accès est restreint, et nous pouvons le refuser ou le retirer des champs publics. N'inscrivez pas un VIN dans une description ou une image publique.

6. Messages et contact vendeur

Si vous appelez un vendeur, l'appel transite par le réseau téléphonique, pas par nos serveurs. Si vous envoyez un message via la Plateforme, nous traitons le contenu pour l'acheminer et détecter les abus. N'incluez pas de numéro de carte ni de données sensibles inutiles. Le vendeur devient responsable indépendant de ce que vous lui envoyez.

7. Cookies et technologies similaires

Nous utilisons des cookies strictement nécessaires au fonctionnement de la Plateforme :

• Cookies d'authentification et de session émis par notre système de connexion, pour vous maintenir connecté et contrôler les accès.
• Un cookie de langue nommé CARLAZER_LOCALE, pour mémoriser l'anglais, le français ou le néerlandais.
• Cloudflare Turnstile uniquement sur le formulaire de réinitialisation du mot de passe, pour distinguer les humains des robots. L'inscription et la connexion ne sont actuellement pas protégées par Turnstile.

Nous n'utilisons actuellement pas de cookies publicitaires. Si nous ajoutons plus tard des cookies d'analyse ou marketing non essentiels, nous demanderons le consentement lorsque la loi l'exige. Vous pouvez supprimer les cookies dans votre navigateur ; les cookies essentiels devront alors éventuellement être reposés pour que la Plateforme fonctionne.

8. Destinataires et sous-traitants

Nous ne partageons les données que dans la mesure nécessaire :

• Les autres utilisateurs, lorsque vous publiez une annonce ou une vitrine (jamais le VIN).
• Sous-traitants d'infrastructure : l'hébergeur de la base de données, Cloudflare (CDN, sécurité et stockage d'objets via R2), et Amazon Web Services pour les e-mails transactionnels (SES, actuellement en région UE Ouest).
• Un fournisseur de modèle de langue, uniquement pour générer les traductions de descriptions. Nous envoyons le texte et la langue source, pas votre mot de passe ni un VIN, sauf si vous l'avez inséré dans la description contrairement aux règles.
• Un prestataire de paiement (Stripe), si et lorsque la facturation est activée pour une fonctionnalité payante que vous acceptez.
• Conseils professionnels, autorités et juridictions lorsque la loi l'impose ou l'autorise.

9. Transferts internationaux

Certains sous-traitants (en particulier Cloudflare et le fournisseur d'IA) peuvent traiter des données aux États-Unis ou dans d'autres pays hors EEE. Le cas échéant, nous nous fondons sur une décision d'adéquation s'il en existe une, ou sur des clauses contractuelles types et des mesures supplémentaires. Vous pouvez nous demander plus de détails à l'adresse de contact.

10. Durées de conservation

• Données de compte et de profil : pendant la vie du compte, puis une courte période de clôture, sauf conservation légale plus longue.
• Annonces publiées et vitrines : tant qu'elles sont publiées, puis autant que nécessaire pour les caches, litiges et prévention de la fraude.
• VIN : pas plus longtemps que nécessaire à la vérification ou à la fraude, et pas après la clôture de l'annonce et des litiges liés, sauf obligation légale.
• Factures et instantanés d'identité de facturation : en général sept à dix ans lorsque le droit comptable ou fiscal s'applique.
• Journaux de sécurité : une période limitée, en semaines ou mois, sauf besoin lié à un incident.

11. Vos droits

Vous pouvez demander l'accès, la rectification, l'effacement, la limitation, la portabilité, et vous opposer aux traitements fondés sur l'intérêt légitime. Adressez une demande à [email protected] depuis l'e-mail de votre compte si possible. Nous pouvons vérifier votre identité. Nous répondrons dans le mois, prorogeable comme le RGPD le permet.

L'effacement n'est pas absolu. Nous pouvons conserver des données nécessaires aux actions en justice, factures, prévention de la fraude, archives DSA, ou une autre exception de l'article 17 RGPD. Tant qu'un flux d'auto-suppression complet n'existe pas, les demandes de clôture passent par l'e-mail de contact.

12. Décisions automatisées

Nous ne prenons pas de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant, hors filtres de sécurité et d'abus (par exemple bloquer une réinitialisation qui échoue au test anti-bots, ou refuser une annonce contraire aux règles). Ces filtres sont nécessaires au service et à notre intérêt légitime à l'intégrité de la Plateforme.

13. Mineurs

La Plateforme s'adresse aux personnes de 18 ans ou plus. Nous ne collectons pas sciemment de données d'enfants. Si vous pensez qu'un enfant a créé un compte, contactez-nous et nous le supprimerons.

14. Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées au risque, notamment le hachage des mots de passe, le contrôle d'accès, HTTPS, et la séparation des champs publics d'annonce et du VIN. Aucun mode de transmission ou de stockage n'est parfaitement sûr. Vous devez aussi protéger votre mot de passe et vos appareils.

15. Réclamations et autorité belge

Vous pouvez d'abord nous écrire à [email protected]. Vous avez aussi le droit d'introduire une réclamation auprès de l'Autorité de protection des données, rue de la Presse 35, 1000 Bruxelles, Belgique (https://www.autoriteprotectiondonnees.be). Si vous résidez dans un autre pays de l'EEE, vous pouvez saisir votre autorité nationale.

16. Modifications et contact

Nous pouvons mettre à jour la présente notice. La nouvelle version s'applique dès sa publication sur la Plateforme. Pour un changement substantiel, nous nous efforcerons d'informer les titulaires de compte. Contact : [email protected].