Politique de confidentialité

1. Responsable du traitement

Le responsable au sens de l'article 4, point 7, du RGPD est Naviro logistik UG (haftungsbeschränkt), Gebhard-Fugel-Straße 11, 88213 Ravensburg, Deutschland, représenté par Thierry Roland Fouda Souga. La marque du site est Naviro. Registre : [HRB]. N° de TVA : [USt-IdNr]. Capital : 300 €.

Contact données personnelles : [E-Mail], [Telefon]. Aucun délégué à la protection des données n'est désigné. Il le sera ici si la loi l'exige.

Le siège de la société est à Ravensburg (Allemagne). L'immatriculation au registre du commerce est en cours. La version allemande de cette politique fait foi.

2. Formulaires du site

Le formulaire de devis traite le type de prestation, l'origine, la destination, la distance, la date de chargement souhaitée, la marchandise, le poids, les palettes, l'indication ADR, la société, le nom, l'e-mail, le téléphone et le message libre. Une référence, une fourchette de prix non contractuelle et une estimation de CO2e sont calculées et enregistrées avec le statut du dossier. Finalité : mesures précontractuelles et, après acceptation, exécution du contrat de commission de transport (art. 6, § 1, b, RGPD). Les champs marqués sont nécessaires pour traiter la demande. Rien n'oblige à utiliser le formulaire.

Le formulaire transporteur traite la société, le pays, le n° de TVA, la licence, l'assureur, la police, le montant couvert, l'échéance, la flotte, les véhicules, les axes, le nom, l'e-mail, le téléphone, le site, et la case confirmant l'exactitude des informations et l'acceptation du contrôle des documents. Finalité : étudier un partenariat et, le cas échéant, conclure un ordre de transport (art. 6, § 1, b). Le contrôle anti-fraude repose sur l'art. 6, § 1, f : éviter de confier une marchandise ou un paiement à une société fictive.

Le suivi exige un lien personnel (code aléatoire). Seule une empreinte est enregistrée. La référence commerciale seule n'affiche rien. L'assistant répond par des règles. Le texte saisi dans l'assistant n'est pas enregistré. Le modèle de langage est éteint par défaut. S'il est allumé plus tard, le message (1 000 caractères au plus) part vers l'adresse HTTPS configurée.

Un champ invisible écarte les envois automatiques. S'il est rempli, la demande est rejetée. Aucun profil n'est constitué.

3. CRM et données internes

L'espace admin contient des contacts de prospection : société, catégorie, secteur, pays, ville, site, e-mail, téléphone, personne, fonction, lien enregistré, source, notes, prochaine action, score calculé par règles, mots-clés, domaine et langue. L'import n'est licite que si une base existe déjà (demande propre, coordonnées professionnelles publiques, ou fichier dont la base est documentée). Base du fichier : intérêt légitime à démarcher des professionnels du fret (art. 6, § 1, f). Opposition : art. 21.

Le score ne sert qu'à classer le travail interne. Il ne produit pas d'effet juridique pour la personne et n'est pas une décision automatisée au sens de l'art. 22.

L'admin conserve aussi les envois, les offres des transporteurs, les PDF (preuve de livraison, factures), les factures, une file d'e-mails et des notes internes. Il n'y a pas de compte client public. Aucun e-mail ne part tant qu'un administrateur n'active pas l'envoi. Les bourses Timocom et Trans.eu ne publient rien, même avec une clé : le connecteur est un bouchon et reste éteint.

4. Hébergement Vercel

Le site et les fonctions serveur sont hébergés chez Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA (https://vercel.com). Vercel traite les données de connexion nécessaires (adresse IP, horodatage, adresse demandée, user-agent) pour faire fonctionner et protéger le service (art. 6, § 1, f, et art. 6, § 1, b lorsque la demande est traitée). Un contrat de sous-traitance doit être en place (https://vercel.com/legal/dpa). La liste des sous-traitants ultérieurs est publiée sur https://security.vercel.com. Selon le DPA de Vercel, l'infrastructure repose sur Amazon Web Services, Microsoft Azure et Google Cloud Platform.

5. Base de données

Les données de l'application sont dans PostgreSQL. Le prestataire concret reste à inscrire : [Datenbankanbieter]. Selon le déploiement, ce peut être le Postgres fourni avec Vercel, Neon ou Supabase. Avant la mise en production, le prestataire, la région et le contrat de sous-traitance doivent être fixés. L'objectif est une région dans l'UE ou l'EEE lorsque le prestataire le permet. La connexion directe ne sert qu'aux migrations de schéma.

6. Fichiers (Vercel Blob)

Les PDF (factures, relances, preuves de livraison, factures transporteurs) sont déposés dans Vercel Blob, en accès privé, chez Vercel Inc., lorsque le jeton de stockage est configuré. Sans ce jeton, les mêmes octets restent dans PostgreSQL. Rien n'est écrit sur le disque du serveur. Blob sert au stockage de fichiers, pas de second fichier clients.

7. Cookies et session

Deux cookies strictement nécessaires seulement : la langue « lang » et, uniquement après connexion à l'admin, la session « nav_admin ». Pas de cookie de mesure d'audience ni de publicité, et pas de bandeau de consentement, parce que ces deux cookies n'exigent pas de consentement (§ 25, al. 2, n° 2, TDDDG). Durées et détail : page /cookies.

8. Autres destinataires

Si un administrateur lance le contrôle anti-fraude, le n° de TVA est envoyé au service VIES de la Commission européenne (ec.europa.eu). Le service renvoie le statut et, si le numéro est valide, le nom et l'adresse qui y sont enregistrés. Le domaine de l'e-mail fait l'objet d'une requête DNS (MX). La candidature n'est pas publiée.

La veille des appels d'offres interroge api.ted.europa.eu. Les données des formulaires du site n'y sont pas envoyées.

Si l'envoi d'e-mails est activé plus tard, le prestataire alors configuré (Resend ou un serveur SMTP) reçoit destinataire, objet et texte. Si l'assistant IA est activé, le fournisseur du modèle reçoit le texte. Les deux modules sont éteints par défaut. Aucune transmission aux bourses de fret.

9. Transfert hors UE

Vercel Inc. est établi aux États-Unis. Lorsque des données de connexion ou, via Blob, des fichiers y sont traités, ou chez une infrastructure située aux États-Unis, le transfert repose sur le contrat de sous-traitance et les clauses contractuelles types qui y figurent. La certification éventuelle au Data Privacy Framework UE–États-Unis doit être vérifiée au registre au moment de la mise en production. Elle n'est pas affirmée ici. Le même contrôle vaut pour [Datenbankanbieter] dès qu'il est choisi.

10. Durées de conservation

Demandes de devis sans contrat : trois ans après le dernier contact, puis effacement, sauf obligation légale. Candidatures transporteurs refusées : six mois après le refus ; jusqu'à trois ans si un doute de fraude est documenté. Contacts CRM sans contrat : trois ans après la dernière action, ou plus tôt en cas d'opposition.

Contrats, factures, pièces comptables et preuves de livraison qui les justifient : pendant le délai légal. En Allemagne, en règle actuelle, huit ans pour les pièces comptables (§ 147 AO) et six ans pour la correspondance commerciale (§ 257 HGB). Les actions CMR se prescrivent en un an, trois ans en cas de dol ou de faute équivalente (art. 32 CMR).

Aucune purge automatique n'est encore en place. Jusque-là, un administrateur efface à la main selon ces délais. Les échecs de connexion admin gardent une adresse IP au plus 15 minutes dans la mémoire du processus, pas dans la base.

11. Droits et réclamation

La personne concernée dispose des droits d'accès (art. 15), de rectification (art. 16), d'effacement (art. 17), de limitation (art. 18), de portabilité (art. 20) et d'opposition aux traitements fondés sur l'art. 6, § 1, f (art. 21). Un consentement peut être retiré pour l'avenir. Écrire à [E-Mail].

Réclamation auprès d'une autorité (art. 77) : pour le siège de Ravensburg, le délégué à la protection des données du Bade-Wurtemberg (LfDI Baden-Württemberg). La personne peut aussi saisir l'autorité de son lieu de résidence.

Version : 31 octobre 2026.