Politique de confidentialité

1. Qui est responsable

Tomobil a deux rôles :

• responsable du traitement pour les données des agences clientes (propriétaires, utilisateurs, facturation) et des visiteurs du site ;
• sous-traitant pour les données que chaque agence enregistre sur ses propres clients (les locataires). Pour ces données, le responsable est l'agence, et c'est à elle que les locataires s'adressent en premier.

Pour toute question : support@tomobil.net.

2. Données traitées

Agences et utilisateurs : nom, email, téléphone, informations de l'agence, mot de passe (jamais en clair), journal d'activité avec adresse IP et appareil.

Locataires, pour le compte de l'agence : identité et coordonnées, numéros de CIN, de passeport et de permis, copies de ces pièces, signature, contrats, paiements, photos d'état des lieux, messages envoyés, et positions GPS de la voiture pendant la location.

Les numéros de pièces d'identité sont chiffrés. Seules les personnes que l'agence autorise peuvent les afficher en entier.

Visiteurs du site : pages vues et site d'origine, comptés sans cookie. L'adresse IP n'est pas gardée.

3. Pourquoi

• Fournir le service : réservations, contrats, flotte, caisse, GPS (exécution du contrat avec l'agence).
• Facturer les agences et respecter nos obligations comptables et fiscales (obligation légale).
• Protéger le service et les comptes : sécurité, lutte contre la fraude, journal d'activité (intérêt légitime).
• Envoyer les messages liés à la location (confirmation, rappel, reçu) par WhatsApp, SMS ou email.
• Les messages commerciaux ne partent qu'avec l'accord de la personne, et elle peut le retirer à tout moment.

4. Qui les reçoit

Les données d'une agence ne sont visibles que par elle et par l'équipe Tomobil quand l'assistance le demande. Chaque accès de l'assistance est inscrit dans le journal que l'agence peut consulter.

Nos sous-traitants :

• Supabase : base de données et fichiers, hébergés à Francfort (Allemagne) ;
• Vercel : hébergement de l'application, calcul en Europe (Francfort) ;
• Hetzner : serveur GPS, en Allemagne ;
• Upstash : limites anti-abus, région Europe ;
• Resend : envoi des emails (États-Unis) ;
• Anthropic : lecture de la photo du permis de conduire, si l'agence utilise le scan du permis (États-Unis ; la photo n'est pas conservée) ;
• Meta (WhatsApp Cloud API) : envoi des messages WhatsApp ;
• KarteSIM : SMS vers les boîtiers GPS et alertes au personnel (Maroc).

Les autorités peuvent recevoir des données sur demande légale.

5. Transferts hors du Maroc

Les données sont hébergées en Allemagne, pays reconnu par la CNDP comme offrant une protection suffisante (délibération 236-2015).

Les seuls prestataires basés aux États-Unis servent à envoyer des emails et des messages WhatsApp. Ils ne reçoivent que ce qui est nécessaire à l'envoi, jamais un numéro de pièce d'identité. Ces transferts sont déclarés à la CNDP.

6. Durée de conservation

• Contrats, factures et paiements : 10 ans (obligations comptables).
• Copies des pièces d'identité et des permis : 12 mois après le dernier contrat clôturé, sauf litige ou impayé en cours.
• Photos d'état des lieux et signatures : 3 ans.
• Positions GPS détaillées : 90 jours, puis tracé résumé 12 mois au plus.
• Inscriptions en liste noire : 3 ans, ou jusqu'à leur retrait.
• Journal d'activité : 5 ans.
• Comptes des utilisateurs partis : désactivés au départ, anonymisés après 1 an.
• Statistiques de visite du site : sans donnée personnelle.

7. Sécurité

• Connexions chiffrées (HTTPS) et données chiffrées sur les serveurs.
• Numéros de pièces d'identité chiffrés séparément.
• Chaque agence est isolée des autres à trois niveaux, jusque dans la base de données.
• Accès par rôle : chaque utilisateur ne voit que ce que son rôle permet.
• Journal de toutes les modifications, visible par l'agence.
• Sauvegardes quotidiennes de la base de données.

8. Vos droits

La loi 09-08 vous donne un droit d'accès, de rectification et d'opposition pour motif légitime (articles 7, 8 et 9).

Si vous êtes client d'une agence, adressez-vous d'abord à elle : elle est responsable de vos données. Si vous nous écrivez, nous transmettons votre demande à l'agence et l'aidons à y répondre.

Pour les données dont Tomobil est responsable, écrivez à support@tomobil.net. Nous répondons dans un délai d'un mois au plus.

Vous pouvez aussi saisir la CNDP (www.cndp.ma).

9. Cookies

Tomobil n'utilise que les cookies nécessaires : la session de connexion, l'agence choisie et la langue. Aucun cookie publicitaire ni outil de suivi tiers. Les visites du site sont comptées sans cookie, et le signal « Do Not Track » est respecté.

10. Déclaration à la CNDP

Tomobil déclare ses propres traitements auprès de la CNDP. Le numéro de récépissé sera indiqué ici dès sa réception.

Chaque agence fait aussi ses propres formalités pour les données de ses clients. Tomobil lui fournit un dossier prêt à remplir.

11. Modifications

Nous mettons à jour cette politique quand le service ou la loi change. La date en haut de page indique la dernière version. Pour un changement important, les agences sont prévenues par email ou dans l'application.