Politique de confidentialité

Le responsable du traitement des données personnelles est :

Sudo Software

Forme juridique : SAS

Capital social : 1 000 euros

Siège social : 15 RUE DES HALLES, 75001 PARIS, FRANCE

Immatriculation : RCS Paris, SIREN 902 520 188

N° TVA intracommunautaire : FR61902520188

Adresse email de contact : support--[@]--drivecost.monster (affichage anti-spam : veuillez remplacer --[@]-- par un @)

Le responsable du traitement détermine les finalités et les moyens des traitements réalisés dans le cadre du service DriveCost Monster.

Pour toute question relative à la protection des données personnelles, l’utilisateur peut contacter l’éditeur à l’adresse suivante : support--[@]--drivecost.monster (affichage anti-spam : veuillez remplacer --[@]-- par un @).

DriveCost Monster n’a pas désigné de délégué à la protection des données, ou DPO, à ce jour. Pour toute demande relative aux données personnelles, l’utilisateur peut contacter l’éditeur à l’adresse indiquée ci-dessus.

DriveCost Monster est un service permettant aux utilisateurs de préparer, générer, organiser et exporter des rapports de frais kilométriques à partir d’informations renseignées par l’utilisateur et, le cas échéant, de données issues de services connectés, tels qu’un calendrier numérique.

Le service peut notamment permettre :

• la création d’un compte utilisateur ;
• la connexion à un ou plusieurs calendriers ;
• l’analyse de rendez-vous professionnels ;
• l’identification ou la saisie d’adresses de départ et d’arrivée ;
• le calcul de distances de trajet ;
• la génération de rapports de frais kilométriques ;
• l’export ou le téléchargement de documents ;
• la gestion des années d’accès achetées ;
• l’envoi d’emails liés au fonctionnement du service.

DriveCost Monster ne se substitue pas à un expert-comptable, un conseiller fiscal, un avocat ou une administration. L’utilisateur reste responsable de la vérification des informations figurant dans ses rapports.

Selon l’utilisation faite du service, DriveCost Monster peut collecter les catégories de données suivantes.

Ces données peuvent comprendre :

• nom et prénom ;
• adresse email ;
• identifiant utilisateur ;
• date de création du compte ;
• statut du compte ;
• préférences de langue, de pays ou de devise ;
• historique de connexion et informations de sécurité.

Ces données peuvent comprendre :

• offre en cours ;
• type d’offre (gratuite ou payante) ;
• années d’accès achetées ;
• dates de début et de fin des périodes d’accès ;
• historique des paiements ;
• factures ;
• codes promotionnels utilisés ;
• données nécessaires à la gestion des litiges, impayés ou remboursements.

Les paiements peuvent être traités par un prestataire de paiement externe, par exemple Stripe. DriveCost Monster ne conserve pas les numéros complets de carte bancaire. Les données de paiement sont traitées directement par le prestataire de paiement conformément à ses propres règles de sécurité et de confidentialité.

Ces données peuvent comprendre :

• type de véhicule ;
• puissance fiscale ou équivalent local ;
• motorisation, par exemple thermique, électrique, hybride ou hybride rechargeable ;
• pays applicable au calcul ;
• barème ou méthode de calcul utilisée ;
• paramètres personnalisés éventuellement renseignés par l’utilisateur.

Ces données peuvent comprendre :

• dates des déplacements ;
• adresses ou lieux de départ et d’arrivée ;
• distances calculées ou saisies ;
• montant estimé ou calculé des frais kilométriques ;

Si l’utilisateur connecte un calendrier, DriveCost Monster accède uniquement aux données de calendrier suivantes :

• titre ou intitulé des événements ;
• date et heure des événements ;
• lieu ou adresse des événements ;
• identifiant technique de l’événement ;
• lien vers l’événement d’origine dans le calendrier.

Lorsque l’utilisateur connecte un agenda au format iCal (Apple iCloud, Yahoo, Outlook.com ou tout agenda publié), DriveCost Monster conserve en outre, sous forme chiffrée, le lien d’abonnement qu’il a lui-même fourni, ainsi que la date du dernier relevé de ce lien et, le cas échéant, un code d’erreur technique.

L’identifiant technique de l’événement permet également d’éviter de retraiter un événement déjà analysé (prévention des doublons). Le détail de l’utilisation, du partage et de la divulgation des données issues de Google Calendar figure à la section « 7. Connexion aux calendriers, autorisations et données issues de Google Calendar, de Microsoft Outlook et des agendas iCal ».

DriveCost Monster a pour objectif d’utiliser les données de calendrier uniquement pour identifier les rendez-vous susceptibles de correspondre à des déplacements professionnels et pour aider l’utilisateur à préparer ses rapports de frais kilométriques.

L’utilisateur peut être invité à vérifier, corriger, supprimer ou valider les événements détectés avant leur intégration dans un rapport.

Documents de tournée déposés par l’utilisateur. Lorsque l’utilisateur choisit de déposer un document de tournée (feuille de route, planning de visites, photo ou tableur de rendez-vous) afin d’en extraire ses déplacements, DriveCost Monster ne conserve pas le document lui-même. Les données conservées sont :

• pour chaque arrêt lu dans le document : la date, l’heure, l’adresse et, lorsqu’il figure sur le document, le nom du lieu (établissement, résidence, bâtiment), accompagnés d’un indice de fiabilité de la lecture ;
• la date portée par le document, lorsqu’elle y figure ;
• le nom du fichier déposé, son format, sa taille et une empreinte technique du fichier (calcul à sens unique servant uniquement à reconnaître un dépôt en double sans nouvelle analyse) ;
• la date du dépôt, le nombre d’arrêts lus et les compteurs techniques de l’analyse (modèle utilisé, volume traité).

Aucun nom de personne, aucune information médicale, de facturation ou de paiement n’est extrait du document. Le détail de cette fonctionnalité, du prestataire utilisé et des garanties applicables figure à la section « 18. Import de documents de tournée et recours à un service d’intelligence artificielle ».

Ces données peuvent comprendre :

• adresse IP ;
• type d’appareil ;
• système d’exploitation ;
• navigateur ;
• identifiants techniques ;
• journaux de connexion ;
• pages consultées ;
• actions réalisées dans l’application ;
• erreurs techniques ;
• données de performance et de sécurité.

Ces données peuvent comprendre :

• messages envoyés au support ;
• demandes d’assistance ;
• réponses apportées ;
• préférences de communication ;
• consentements ou oppositions aux emails marketing.

Lorsque l’utilisateur s’inscrit à une newsletter, télécharge un contenu, crée un compte ou accepte de recevoir des communications, DriveCost Monster peut traiter certaines données à des fins de prospection commerciale, notamment :

• adresse email ;
• nom et prénom ;
• statut prospect ou client ;
• pays ;
• langue ;
• historique d’ouverture ou de clics dans les emails, lorsque ces données sont collectées ;
• segments marketing liés à l’usage du service.

L’utilisateur peut se désinscrire des communications commerciales à tout moment, notamment via le lien de désinscription présent dans les emails concernés.

Journal d’utilisation, facultatif. Si — et seulement si — l’utilisateur a activé l’option correspondante depuis la page « Mon compte », DriveCost Monster enregistre certaines des actions qu’il réalise dans l’application. Ces données peuvent comprendre :

• la nature de l’action réalisée, choisie dans une liste fermée ;
• la date et l’heure de l’action ;
• l’identifiant interne du compte ;
• les identifiants internes d’objets déjà enregistrés dans le compte, par exemple un trajet ou un véhicule ;
• des compteurs, par exemple le nombre de trajets détectés lors d’une analyse d’agenda ;
• le nom des champs modifiés, à l’exclusion de leur valeur.

Cette collecte est désactivée par défaut et n’a lieu qu’après consentement explicite. Elle ne contient aucun contenu privé des rendez-vous ni aucune autre donnée personnelle. Elle est décrite en détail à la section « Journal d’utilisation facultatif pendant la phase bêta ».

Statistiques d’usage anonymes. Indépendamment de ce journal, le service enregistre, pour tous les utilisateurs, des événements d’utilisation anonymes (nature de l’action, écran concerné, résultat, compteurs, horodatage arrondi à la minute) qui ne comportent aucun identifiant de compte ni aucune autre donnée permettant de relier un événement à une personne. Ne permettant d’identifier personne, ils ne constituent pas des données personnelles ; ils sont néanmoins décrits, par transparence, à la section « Statistiques d’usage anonymes ».

DriveCost Monster n’a pas vocation à collecter des données sensibles au sens de la réglementation, telles que les données relatives à la santé, aux opinions politiques, aux convictions religieuses, à l’appartenance syndicale, à l’origine raciale ou ethnique, ou à la vie sexuelle.

Toutefois, certaines données peuvent apparaître indirectement dans les titres, descriptions ou lieux d’événements de calendrier, si l’utilisateur choisit de connecter un calendrier contenant ce type d’informations.

L’utilisateur est invité à ne pas connecter de calendrier contenant des informations sensibles non nécessaires à l’utilisation du service, ou à supprimer/corriger les événements concernés avant validation.

DriveCost Monster se réserve la possibilité de supprimer toute donnée manifestement sensible ou non nécessaire au fonctionnement du service.

Il en va de même des documents de tournée que l’utilisateur choisit de déposer : ils peuvent concerner des tiers, par exemple les personnes visitées au cours d’une tournée professionnelle. L’utilisateur est invité à ne déposer que des documents ne comportant ni nom de personne ni information médicale, tels qu’une feuille de route limitée aux heures et aux adresses des visites. Les consignes données au service d’analyse lui interdisent en tout état de cause d’extraire un nom ou une information médicale, de facturation ou de paiement, et le format de réponse imposé ne comporte aucun champ susceptible de les recevoir.

Les données personnelles sont traitées pour les finalités suivantes.

Les données sont utilisées pour :

• créer un compte ;
• permettre la connexion au service ;
• sécuriser l’accès au compte ;
• gérer les préférences utilisateur ;
• prévenir les accès frauduleux.

Les données sont utilisées pour :

• analyser les rendez-vous et trajets potentiels ;
• calculer les distances ;
• appliquer les barèmes ou règles de calcul pertinentes ;
• générer les rapports de frais kilométriques ;
• permettre la correction, la validation et l’export des données ;
• conserver l’historique utile au fonctionnement du compte.

Les données sont utilisées pour permettre la connexion aux services de calendrier externes pris en charge, à savoir Google Calendar et Microsoft Outlook.

L’accès à ces services nécessite l’autorisation préalable de l’utilisateur. L’utilisateur peut retirer cette autorisation selon les modalités prévues par le service tiers ou par DriveCost Monster lorsque cette option est disponible.

DriveCost Monster utilise Google Maps Platform, via l’API Google Distance Matrix, afin de calculer la distance et la durée de conduite entre l’adresse de départ et l’adresse d’arrivée d’un trajet.

Les seules données transmises à ce service sont les adresses de départ et d’arrivée nécessaires au calcul. Le titre, la date, l’heure et l’identifiant des événements de calendrier ne sont pas transmis à ce service.

Lorsque l’utilisateur dépose un document de tournée, ce document est transmis à OpenAI, prestataire d’analyse automatisée de documents agissant en qualité de sous-traitant, dans le seul but d’en extraire la liste des arrêts (date, heure, adresse, nom du lieu) et de proposer à l’utilisateur les trajets correspondants. Ce traitement, décrit à la section « 18. Import de documents de tournée et recours à un service d’intelligence artificielle », est nécessaire à l’exécution du service demandé par l’utilisateur (article 6.1.b du Règlement général sur la protection des données) ; il n’a lieu qu’à son initiative, document par document.

Les données sont utilisées pour :

• gérer l’accès à l’offre gratuite ;
• ouvrir ou retirer l’accès à une année achetée ;
• traiter les paiements ;
• émettre les factures ;
• gérer les remboursements, impayés et réclamations ;
• appliquer les offres promotionnelles éventuelles.

Les données sont utilisées pour :

• répondre aux demandes des utilisateurs ;
• envoyer des emails de service ;
• informer l’utilisateur des évolutions importantes du service ;
• gérer les incidents techniques ;
• améliorer l’accompagnement utilisateur.

Les données peuvent être utilisées pour :

• comprendre l’utilisation générale du service ;
• détecter les erreurs ;
• améliorer l’ergonomie ;
• mesurer les performances ;
• prioriser les développements ;
• réaliser des statistiques agrégées.

Dans la mesure du possible, ces analyses sont réalisées à partir de données agrégées ou pseudonymisées.

Les erreurs techniques rencontrées par le service sont transmises à un prestataire de suivi des erreurs, afin de les détecter et de les corriger rapidement. Ce traitement repose sur l’intérêt légitime de l’éditeur à assurer le bon fonctionnement et la sécurité du service (article 6.1.f du Règlement général sur la protection des données). Il est décrit à la section « Suivi des erreurs techniques ».

Lorsque l’utilisateur y a expressément consenti, et uniquement dans ce cas, DriveCost Monster enregistre en outre certaines de ses actions dans un journal d’utilisation, afin de comprendre l’usage réel du service, de repérer les blocages rencontrés et de décider des améliorations à apporter au produit pendant sa phase bêta. La base légale de ce traitement est le consentement, au sens de l’article 6.1.a du Règlement général sur la protection des données. Ce journal est décrit à la section « Journal d’utilisation facultatif pendant la phase bêta ».

Les statistiques d’usage anonymes décrites à la section « Statistiques d’usage anonymes » poursuivent la même finalité d’amélioration du service, mais sans aucun identifiant : elles ne portent sur aucune donnée personnelle et ne nécessitent, pour cette raison, aucun consentement.

Dans le même but, DriveCost Monster établit des statistiques agrégées sur les comptes, à partir de données qu’il détient déjà pour faire fonctionner le service : il compte, par exemple, combien de comptes inscrits un mois donné ont validé un premier trajet dans la semaine qui a suivi. Ce traitement repose sur l’intérêt légitime de l’éditeur à mesurer et à améliorer son service (article 6.1.f du Règlement général sur la protection des données). Il ne collecte aucune donnée nouvelle, n’en produit que des comptages dépourvus de tout identifiant et ne donne lieu à aucune décision concernant un utilisateur. Il est décrit à la section « Statistiques d’usage anonymes ».

Les données peuvent être utilisées pour :

• détecter les comportements frauduleux ;
• prévenir les abus ;
• protéger l’intégrité du service ;
• conserver des preuves en cas de litige ;
• répondre aux obligations légales, comptables ou fiscales ;
• répondre à une demande d’une autorité compétente.

Les données peuvent être utilisées pour :

• envoyer des informations relatives à DriveCost Monster ;
• proposer des offres commerciales ;
• envoyer des conseils d’utilisation ;
• présenter de nouvelles fonctionnalités ;
• relancer un utilisateur, par exemple à l’issue d’une année d’accès.

L’utilisateur peut s’opposer à ces communications à tout moment.

Certaines données sont nécessaires pour créer un compte, accéder au service, calculer les frais kilométriques, générer les rapports, gérer les années d’accès achetées ou respecter les obligations légales de l’éditeur.

Lorsque ces données sont obligatoires, leur absence peut empêcher l’accès à tout ou partie du service.

Les autres données sont facultatives. L’utilisateur peut choisir de ne pas les fournir, mais certaines fonctionnalités peuvent alors être limitées ou indisponibles.

La connexion d’un calendrier est facultative. Toutefois, sans connexion à un calendrier, l’utilisateur devra saisir manuellement les déplacements nécessaires à la génération de ses rapports.

Le journal d’utilisation proposé pendant la phase bêta est entièrement facultatif et désactivé par défaut. Ne pas l’activer, ou retirer ensuite l’autorisation accordée, n’a aucune conséquence : ni sur l’accès au service, ni sur les fonctionnalités disponibles, ni sur le prix des années d’accès.

Lorsque l’utilisateur choisit de connecter un calendrier, il autorise DriveCost Monster à accéder aux données nécessaires pour identifier les rendez-vous susceptibles de générer un déplacement professionnel.

L’accès au calendrier est utilisé uniquement dans le cadre du service demandé par l’utilisateur.

DriveCost Monster ne revend pas les données de calendrier et ne les utilise pas pour afficher de la publicité comportementale.

Selon le fournisseur de calendrier utilisé, l’utilisateur peut retirer l’accès accordé à DriveCost Monster :

• depuis les paramètres de son compte DriveCost Monster, lorsque cette fonctionnalité est disponible ;
• depuis les paramètres du service tiers concerné ;
• en contactant le support de DriveCost Monster.

Lorsque l’accès au calendrier est retiré, DriveCost Monster ne pourra plus synchroniser les événements futurs. Les données déjà intégrées dans les rapports ou dans l’historique du compte peuvent toutefois être conservées pendant la durée nécessaire aux finalités prévues par la présente politique.

Cette section précise, de manière spécifique, la façon dont DriveCost Monster utilise, partage et divulgue les données issues de Google Calendar lorsque l’utilisateur choisit de connecter son compte Google.

Catégories de données Google Calendar consultées

Lorsque l’utilisateur connecte Google Calendar, DriveCost Monster consulte uniquement les données suivantes des événements de son agenda principal :

• le titre ou l’intitulé de l’événement ;
• la date et l’heure de début et de fin de l’événement ;
• le lieu ou l’adresse indiqué dans l’événement ;
• l’identifiant technique de l’événement, utilisé pour relier le trajet à sa source et éviter de retraiter un événement déjà analysé (prévention des doublons) ;
• le lien vers l’événement d’origine dans Google Calendar, afin que l’utilisateur puisse retrouver l’événement source.

DriveCost Monster ne lit pas la description détaillée des événements, ni la liste des participants, ni les pièces jointes.

Finalité unique

Ces données sont utilisées dans un seul but : identifier les rendez-vous susceptibles de générer un déplacement professionnel, proposer les trajets correspondants, calculer les distances associées et permettre à l’utilisateur de préparer ou de valider ses rapports de frais kilométriques. Elles ne sont utilisées à aucune autre fin.

Les trajets proposés à partir de Google Calendar sont fournis à titre de suggestion. L’utilisateur doit vérifier, corriger, valider ou refuser chaque trajet proposé avant son intégration dans un rapport de frais kilométriques.

Destinataires des données Google Calendar

Les données issues de Google Calendar sont traitées par DriveCost Monster sur son infrastructure d’hébergement, décrite à la section « 9. Transferts de données hors Union européenne », uniquement afin de fournir cette fonctionnalité. Elles sont enregistrées dans la base de données du service sous la forme de trajets comportant la date, l’intitulé, les adresses de départ et d’arrivée, la distance et l’identifiant de l’événement source. Elles peuvent également apparaître de manière temporaire dans les journaux techniques hébergés sur cette même infrastructure, utilisés uniquement pour faire fonctionner, diagnostiquer et sécuriser le service.

Lorsque cela est nécessaire au calcul d’un itinéraire ou d’une distance, seules les adresses de départ et d’arrivée nécessaires au calcul sont transmises à Google Maps Platform, via l’API Google Distance Matrix. Le titre, la date, l’heure et l’identifiant de l’événement ne sont pas transmis à ce service.

Services qui ne reçoivent pas les données Google Calendar

Les données issues de Google Calendar ne sont transmises à aucun des services suivants :

• le prestataire de paiement (Stripe) ;
• les prestataires d’emailing ;
• les outils de mesure d’audience ou d’analytics ;
• les partenaires commerciaux, les annonceurs et les régies publicitaires ;
• les outils ou services d’intelligence artificielle.

DriveCost Monster ne vend pas, ne loue pas, ne diffuse pas publiquement et n’utilise pas les données issues de Google Calendar à des fins de publicité, de marketing, de profilage, de revente, d’enrichissement de données ou d’entraînement de modèles d’intelligence artificielle.

Accès humain

Aucun membre de DriveCost Monster ne consulte les données issues de Google Calendar, sauf lorsque cela est strictement nécessaire pour répondre à une demande d’assistance initiée par l’utilisateur, pour assurer la sécurité du service, pour prévenir une fraude ou pour respecter une obligation légale. Dans ces cas, l’accès est limité aux seules personnes habilitées et aux seules données strictement nécessaires.

Retrait de l’accès

L’utilisateur peut retirer à tout moment l’accès accordé à DriveCost Monster, soit depuis les paramètres de sécurité de son compte Google, soit depuis les paramètres de son compte DriveCost Monster lorsque cette option est disponible. Après le retrait de l’accès, DriveCost Monster ne réalise plus aucune synchronisation future des événements Google Calendar.

Conformité aux Règles relatives aux données utilisateur des API Google

L’utilisation et le transfert par DriveCost Monster des informations reçues des API Google respectent les Règles relatives aux données utilisateur des services Google API (Google API Services User Data Policy), y compris les exigences d’utilisation limitée (Limited Use).

Données issues de Microsoft Outlook

Lorsque l’utilisateur connecte un calendrier Microsoft Outlook (Microsoft 365), DriveCost Monster accède, via l’API Microsoft Graph, aux mêmes catégories de données que pour Google Calendar, dans le seul but décrit ci-dessus :

• le titre ou l’intitulé de l’événement ;
• la date et l’heure de début et de fin de l’événement ;
• le lieu ou l’adresse indiqué dans l’événement ;
• l’identifiant technique de l’événement, utilisé pour relier le trajet à sa source et éviter de retraiter un événement déjà analysé (prévention des doublons) ;
• le lien vers l’événement d’origine dans Microsoft Outlook, afin que l’utilisateur puisse retrouver l’événement source.

DriveCost Monster ne lit pas la description détaillée des événements, ni la liste des participants, ni les pièces jointes.

Les données issues de Microsoft Outlook sont traitées, partagées et divulguées exactement comme les données issues de Google Calendar : elles sont traitées par DriveCost Monster sur son infrastructure d’hébergement (voir la section « 9. Transferts de données hors Union européenne »), et seules les adresses de départ et d’arrivée nécessaires à un calcul de distance sont transmises à Google Maps Platform, via l’API Google Distance Matrix. Le titre, la date, l’heure et l’identifiant de l’événement ne sont pas transmis à ce service. L’accès humain à ces données est limité dans les mêmes conditions que celles décrites ci-dessus pour Google Calendar (assistance à la demande de l’utilisateur, sécurité du service, prévention de la fraude ou obligation légale).

Les données issues de Microsoft Outlook ne sont transmises ni au prestataire de paiement (Stripe), ni aux prestataires d’emailing, ni aux outils de mesure d’audience ou d’analytics, ni aux partenaires commerciaux, annonceurs ou régies publicitaires, ni à un outil ou service d’intelligence artificielle. DriveCost Monster ne vend pas, ne loue pas, ne diffuse pas publiquement et n’utilise pas ces données à des fins de publicité, de marketing, de profilage, de revente, d’enrichissement de données ou d’entraînement de modèles d’intelligence artificielle.

L’utilisateur peut retirer à tout moment l’accès accordé à DriveCost Monster, soit depuis les paramètres de sécurité de son compte Microsoft, soit depuis les paramètres de son compte DriveCost Monster lorsque cette option est disponible. Après le retrait de l’accès, DriveCost Monster met fin à la session Microsoft associée, supprime les jetons d’accès conservés et ne réalise plus aucune synchronisation future des événements Microsoft Outlook.

Les informations reçues de l’API Microsoft Graph sont utilisées uniquement pour fournir cette fonctionnalité, conformément aux conditions applicables aux API Microsoft.

Agendas au format iCal (Apple iCloud, Yahoo, Outlook.com et tout agenda publié)

L’utilisateur peut également connecter un agenda en fournissant lui-même le lien d’abonnement au format iCalendar (adresse commençant par « webcal:// » ou « https:// ») que son fournisseur d’agenda met à sa disposition, par exemple Apple iCloud, Yahoo ou Outlook.com. Dans ce cas, aucune autorisation n’est demandée au fournisseur : le lien lui-même donne accès, en lecture seule, au contenu de l’agenda. L’utilisateur est invité à le traiter comme une information confidentielle ; il peut à tout moment le désactiver ou le régénérer depuis son fournisseur.

Ce lien est enregistré de manière chiffrée dans la base de données du service. Il n’est jamais affiché en clair après son enregistrement, ni communiqué à un tiers, ni consigné dans les journaux techniques. Lors de la connexion, puis à chaque analyse demandée par l’utilisateur ou déclenchée à l’ouverture de l’application, les serveurs de DriveCost Monster lisent le flux publié à cette adresse et n’en retiennent que les catégories de données décrites ci-dessus pour Google Calendar (intitulé, dates et heures, lieu, identifiant technique de l’événement). Le flux lui-même n’est pas conservé. DriveCost Monster n’écrit jamais dans l’agenda : la lecture est strictement unidirectionnelle.

Les données issues d’un agenda iCal sont traitées, partagées et divulguées exactement comme les données issues de Google Calendar et de Microsoft Outlook, et bénéficient des mêmes limitations d’accès humain. Le service conserve en outre la date du dernier relevé du flux et, le cas échéant, un code d’erreur technique (par exemple « lien injoignable »), afin d’indiquer à l’utilisateur que le lien doit être vérifié ; le contenu de la réponse d’erreur du fournisseur n’est pas conservé.

L’utilisateur peut déconnecter cet agenda à tout moment depuis les paramètres de son compte DriveCost Monster : le lien d’abonnement est alors supprimé immédiatement et plus aucune lecture du flux n’est effectuée. Le lien est également supprimé lors de la suppression du compte. Les trajets déjà créés à partir de cet agenda restent soumis aux durées de conservation décrites à la section « 10. Durées de conservation des données ».

L’import de documents de tournée, décrit à la section « 18. Import de documents de tournée et recours à un service d’intelligence artificielle », est une fonctionnalité distincte des calendriers connectés : seuls les documents que l’utilisateur dépose lui-même à cette fin sont transmis au prestataire d’analyse de documents. Les données issues de Google Calendar, de Microsoft Outlook et des agendas iCal ne lui sont jamais transmises.

Les données issues de Google Calendar sont accessibles uniquement à DriveCost Monster et aux prestataires explicitement identifiés dans la section « 7. Connexion aux calendriers, autorisations et données issues de Google Calendar, de Microsoft Outlook et des agendas iCal », dans la stricte mesure nécessaire à la fourniture du service. Les catégories générales de prestataires listées ci-dessous ne signifient pas que chacun d’eux reçoit des données issues de Google Calendar.

Les données personnelles peuvent être accessibles, dans la limite de leurs attributions, aux personnes et prestataires suivants :

• l’éditeur de DriveCost Monster ;
• les personnes chargées du support client ;
• les personnes chargées de la maintenance technique ;
• les prestataires d’hébergement ;
• les prestataires de paiement ;
• les prestataires d’emailing ;
• les prestataires de calcul d’itinéraires, de cartographie ou de géocodage ;
• le prestataire d’analyse automatisée de documents (service d’intelligence artificielle), uniquement pour les documents de tournée que l’utilisateur dépose lui-même ;
• Google, au titre de Google Analytics, pour la mesure d’audience et l’analyse des parcours d’utilisation du site et de l’application, uniquement après acceptation des cookies correspondants (section « Cookies et autres traceurs ») ;
• les prestataires de sécurité, de journalisation ou de monitoring, dont Sentry pour le suivi des erreurs techniques (section « Suivi des erreurs techniques ») ;
• les conseils externes de l’éditeur, par exemple expert-comptable, avocat ou commissaire aux comptes, lorsque nécessaire ;
• les autorités administratives ou judiciaires, uniquement lorsque la loi l’exige ou l’autorise.

Les prestataires agissent, selon les cas, en qualité de sous-traitants, de responsables de traitement distincts ou de responsables conjoints. DriveCost Monster veille à sélectionner des prestataires présentant des garanties suffisantes en matière de protection des données personnelles.

Les statistiques d’usage anonymes et les statistiques agrégées sur les comptes décrites à la section « Statistiques d’usage anonymes » ne comportent aucune donnée personnelle. Les événements d’utilisation eux-mêmes ne sont transmis à aucun prestataire autre que l’hébergeur du service. Seules des statistiques agrégées, jamais un événement isolé, sont en outre transmises au prestataire de service d’intelligence artificielle mentionné ci-dessus, OpenAI, pour en tirer des rapports d’amélioration du produit. Seul l’éditeur consulte ces statistiques et ces rapports.

Les données principales de DriveCost Monster sont hébergées sur une infrastructure Google Cloud située dans un datacenter à Bruxelles, en Belgique, au sein de l’Union européenne. Les statistiques d’usage anonymes décrites à la section « Statistiques d’usage anonymes » y sont enregistrées également, puis conservées dans un entrepôt d’analyse hébergé sur la même infrastructure Google Cloud en Belgique ; les événements d’utilisation eux-mêmes ne quittent pas cette infrastructure.

Toutefois, certains prestataires utilisés par DriveCost Monster, notamment pour le paiement, l’emailing, la mesure d’audience (Google Analytics, sur le site comme dans l’application), la cartographie ou les calendriers connectés, peuvent être amenés à traiter certaines données hors de l’Union européenne, notamment lorsqu’ils sont établis aux États-Unis ou utilisent une infrastructure internationale.

Dans ce cas, DriveCost Monster veille à ce que les transferts soient encadrés par des garanties appropriées, telles que :

• une décision d’adéquation de la Commission européenne ;
• des clauses contractuelles types ;
• des mesures complémentaires de sécurité ;
• tout autre mécanisme reconnu par la réglementation applicable.

Le prestataire d’analyse des documents de tournée, OpenAI, est une société établie aux États-Unis. DriveCost Monster utilise pour ce traitement un projet configuré pour la résidence des données en Europe et le point d’accès européen de ce service : les documents déposés sont traités sur une infrastructure située dans l’Union européenne, et l’option de non-conservation des réponses est activée à chaque requête. Ce traitement est encadré par l’accord de traitement des données conclu avec ce prestataire, qui intègre les clauses contractuelles types de la Commission européenne pour tout accès aux données depuis un pays tiers. Le même projet est utilisé, dans les mêmes conditions, pour l’analyse des statistiques agrégées décrite à la section « Statistiques d’usage anonymes », qui ne comportent aucune donnée personnelle.

Le prestataire de suivi des erreurs techniques, Sentry (Functional Software, Inc.), est une société établie aux États-Unis. DriveCost Monster utilise un compte configuré pour la résidence des données dans l’Union européenne : les erreurs transmises sont stockées sur une infrastructure située à Francfort, en Allemagne. Tout accès à ces données depuis un pays tiers est encadré par l’accord de traitement des données conclu avec ce prestataire, qui intègre les clauses contractuelles types de la Commission européenne.

L’utilisateur peut contacter DriveCost Monster pour obtenir des informations complémentaires sur les garanties applicables aux transferts de données le concernant.

DriveCost Monster ne conserve les données personnelles que le temps nécessaire aux finalités pour lesquelles elles sont traitées. Les indications ci-dessous décrivent le traitement réellement appliqué par le service.

Pendant la vie du compte. Les données du compte, les véhicules, les adresses, les trajets, les versements et les rapports sont conservés tant que le compte existe. L’utilisateur peut les corriger ou les supprimer à tout moment depuis le service, et supprimer lui-même son compte depuis la page « Mon compte ».

Ce qui est effacé à la suppression du compte. La suppression est traitée immédiatement. Sont effacés sans délai :

• l’adresse email, remplacée par un identifiant technique non délivrable ;
• le prénom, le nom, le nom affiché et la photo de profil ;
• les jetons d’accès aux agendas connectés et, le cas échéant, le lien d’abonnement iCal, l’autorisation d’accès étant en outre révoquée auprès de Google et de Microsoft ;
• les identifiants client et de paiement du prestataire de paiement conservés par DriveCost Monster ;
• l’intégralité des trajets, véhicules, adresses, versements, demandes d’assistance et entrées du journal d’utilisation bêta ;
• les fiches d’import de documents de tournée, y compris les arrêts extraits qui n’auraient pas encore été importés ;
• le contact correspondant dans l’outil d’emailing, qui est supprimé.

Ce qui subsiste après la suppression, et pourquoi. La suppression laisse subsister une fiche technique vidée de tout élément identifiant, ainsi que l’identité d’authentification qui lui correspond. C’est cette fiche qui empêche un compte supprimé de se réinscrire aussitôt pour bénéficier d’une nouvelle offre gratuite. Elle comprend :

• une empreinte à sens unique de l’adresse email effacée : un calcul irréversible, protégé par une clé secrète conservée en dehors de la base de données. Ce n’est pas l’adresse, et l’adresse ne peut pas en être retrouvée. Cette empreinte sert uniquement à reconnaître une personne qui se reconnecte, afin de lui restituer son compte au lieu d’en créer un nouveau ;
• l’identité d’authentification (compte Firebase Authentication associé à la connexion Google, à la connexion Microsoft ou à l’adresse email et au mot de passe) et son identifiant technique, qui remplissent la même fonction : les supprimer redonnerait un identifiant neuf dès la première reconnexion ;
• l’historique des périodes d’accès — dates de début et de fin, offre gratuite ou année achetée — sans lien vers le prestataire de paiement, afin qu’une réinscription ne redémarre pas une offre gratuite neuve ;
• le pays et la langue du compte, les préférences d’affichage et de notification, ainsi que des horodatages d’activité (dernière connexion, premier et dernier export, première et dernière analyse d’agenda, première et dernière validation de trajet) : une fois les éléments identifiants effacés, ils n’identifient plus personne et ne servent qu’à des statistiques d’usage.

Ces éléments sont conservés sans limite de durée. DriveCost Monster préfère l’annoncer plutôt qu’afficher une durée qui ne serait pas appliquée : une empreinte qui expirerait rendrait le dispositif inopérant, puisqu’il suffirait d’attendre pour repartir sur une nouvelle offre gratuite. Cette conservation repose sur l’intérêt légitime de l’éditeur à prévenir l’abus de son offre gratuite. Si la personne se reconnecte, l’empreinte est effacée et la fiche redevient un compte actif ordinaire.

Factures et documents comptables. Les factures, paiements et remboursements sont établis et conservés par le prestataire de paiement, pour la durée qu’imposent ses propres obligations légales et comptables. La suppression du compte n’efface pas ces documents, qui répondent à une obligation légale de conservation ; elle efface la copie des identifiants qui les reliaient au compte chez DriveCost Monster.

Documents de tournée. Le fichier déposé n’est jamais conservé : il est traité en mémoire le temps de l’analyse, puis disparaît avec elle. Les arrêts extraits sont conservés le temps que l’utilisateur les relise, jusqu’à ce qu’il les importe ou abandonne l’import, et au plus trente jours après le dépôt : passé ce délai, une extraction non importée est supprimée automatiquement, de même que le résultat d’une analyse ayant échoué ou d’un import abandonné. Dès l’import, les arrêts sont effacés de la fiche d’import et deviennent des trajets, soumis aux règles de conservation des trajets décrites ci-dessus. La fiche d’import elle-même (nom du fichier, empreinte technique, format, taille, date du dépôt, nombre d’arrêts et compteurs techniques de l’analyse) est conservée tant que le compte existe, afin de faire fonctionner le plafond mensuel de dépôt et d’éviter d’analyser deux fois le même document ; elle est effacée avec le compte.

Journaux techniques et de sécurité. Les journaux produits par le service et par son hébergeur sont conservés pendant une durée limitée, fixée par la configuration de l’hébergement, aux seules fins de diagnostic, de sécurité et de prévention de la fraude. Les erreurs techniques transmises au prestataire de suivi des erreurs, décrites à la section « Suivi des erreurs techniques », sont conservées par celui-ci quatre-vingt-dix jours au plus, puis supprimées automatiquement.

Journal d’utilisation bêta. Lorsque l’utilisateur a activé ce journal facultatif, chaque entrée est conservée douze mois à compter de son enregistrement, puis supprimée automatiquement. Le retrait de l’autorisation arrête immédiatement l’enregistrement de nouvelles entrées, mais n’efface pas celles déjà enregistrées ; celles-ci sont effacées à l’issue de ce délai, lors de la suppression du compte si elle intervient plus tôt, ou sur demande d’effacement adressée à l’éditeur. Ce journal est décrit en détail à la section « Journal d’utilisation facultatif pendant la phase bêta ».

Statistiques d’usage anonymes. Les événements d’utilisation anonymes décrits à la section « Statistiques d’usage anonymes » sont conservés quatre-vingt-dix jours dans la base de données du service, et treize mois au plus, à compter de leur enregistrement, dans l’entrepôt d’analyse, puis supprimés automatiquement. Les statistiques agrégées calculées à partir de ces événements et des comptes, qui ne se rapportent à aucune personne, sont conservées sans limite de durée. N’étant rattachés à aucun compte, ni ces événements ni ces statistiques ne sont concernés par la suppression du compte, qui n’a rien à y effacer.

Journal des actions d’administration. Les actions réalisées par l’éditeur sur un compte (suspension, réactivation, suppression, bannissement, gestes commerciaux, modification du réglage du journal d’utilisation bêta) sont enregistrées dans un journal inaltérable, conservé sans limite de durée à des fins de traçabilité et de preuve. Ce journal ne contient pas l’adresse email du compte concerné, mais son identifiant interne.

Comptes bannis. Lorsqu’un compte est banni pour abus ou manquement aux Conditions Générales d’Utilisation, l’adresse email correspondante — ou, si le compte a déjà été supprimé, sa seule empreinte — est inscrite dans une liste d’exclusion conservée sans limite de durée, afin que l’identité bannie ne puisse pas se réinscrire. La levée du bannissement supprime cette inscription.

Les modalités d’exercice du droit d’effacement sont précisées à la section « Droits des utilisateurs ».

DriveCost Monster met en œuvre des mesures techniques et organisationnelles destinées à protéger les données personnelles contre la perte, l’accès non autorisé, la divulgation, l’altération ou la destruction.

Ces mesures peuvent notamment comprendre :

• chiffrement des communications ;
• contrôle des accès ;
• authentification sécurisée ;
• limitation des droits aux seules personnes habilitées ;
• journalisation des accès et actions sensibles ;
• sauvegardes ;
• surveillance des incidents techniques ;
• mises à jour de sécurité ;
• clauses contractuelles avec les prestataires ;
• procédures internes de gestion des incidents.

Malgré ces mesures, aucun système informatique ne peut garantir une sécurité absolue. L’utilisateur est également responsable de la confidentialité de ses identifiants et de la sécurité de son propre appareil.

En cas de violation de données personnelles susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, DriveCost Monster prendra les mesures nécessaires pour limiter les conséquences de l’incident.

Lorsque la réglementation l’exige, DriveCost Monster notifiera la violation à l’autorité de contrôle compétente et, si nécessaire, aux utilisateurs concernés.

Conformément à la réglementation applicable, l’utilisateur dispose des droits suivants sur ses données personnelles :

• droit d’accès ;
• droit de rectification ;
• droit d’effacement ;
• droit d’opposition ;
• droit à la limitation du traitement ;
• droit à la portabilité des données ;
• droit de retirer son consentement à tout moment, lorsque le traitement repose sur le consentement ;
• droit de définir des directives relatives au sort de ses données après son décès, lorsque ce droit est applicable.

Pour exercer ses droits, l’utilisateur peut contacter DriveCost Monster à l’adresse suivante : support--[@]--drivecost.monster (affichage anti-spam : veuillez remplacer --[@]-- par un @).

L’utilisateur peut également accéder à certaines fonctionnalités de gestion de ses données directement depuis la page « Mon compte », notamment la procédure de suppression de compte et de données, ainsi que la procédure d’export des données lorsque celle-ci est disponible.

La demande doit préciser le droit exercé et permettre d’identifier l’utilisateur concerné. En cas de doute raisonnable sur l’identité du demandeur, DriveCost Monster pourra demander des informations complémentaires strictement nécessaires à la vérification de son identité.

DriveCost Monster répondra dans les délais prévus par la réglementation applicable.

Si l’utilisateur estime que ses droits ne sont pas respectés ou que le traitement de ses données personnelles n’est pas conforme à la réglementation, il peut adresser une réclamation à l’autorité de contrôle compétente.

En France, l’autorité compétente est la :

CNIL – Commission Nationale de l’Informatique et des Libertés

Site internet : www.cnil.fr

L’utilisateur est toutefois invité à contacter préalablement DriveCost Monster afin de permettre une résolution amiable de sa demande.

DriveCost Monster peut utiliser des cookies ou technologies similaires sur son site et son application.

Ces traceurs peuvent avoir différentes finalités :

• assurer le fonctionnement technique du service ;
• maintenir la session utilisateur ;
• mémoriser les préférences ;
• sécuriser le service ;
• mesurer l’audience ;
• analyser les performances ;
• améliorer l’expérience utilisateur ;
• réaliser des campagnes marketing, uniquement si l’utilisateur y a consenti lorsque ce consentement est requis.

Les cookies strictement nécessaires au fonctionnement du service peuvent être déposés sans consentement préalable.

Les cookies non essentiels, notamment certains cookies de mesure d’audience, publicitaires ou de suivi marketing, ne sont déposés qu’avec le consentement de l’utilisateur lorsque la réglementation l’exige.

Google Analytics, sur le site et dans l’application. DriveCost Monster utilise Google Analytics pour mesurer l’audience de son site et de son application, et pour analyser les parcours et comportements d’utilisation : pages consultées et, dans l’application, actions réalisées (par exemple la validation d’un trajet ou le lancement d’une analyse d’agenda), sous forme d’événements décrits par leur seule nature et par des compteurs, sans donnée personnelle et sans identifiant de compte. Google Analytics n’est activé que si l’utilisateur accepte les cookies correspondants au moyen de la bannière de consentement affichée lors de sa visite ; tant qu’il n’a pas accepté, aucun traceur de mesure d’audience n’est déposé et aucune donnée n’est transmise à Google. Sur le site, le refus n’est pas mémorisé par un cookie : la question peut y être posée à nouveau lors d’une visite ultérieure. Dans l’application, le refus est mémorisé dans les conditions décrites ci-dessous.

Sur le site comme dans l’application, cette bannière n’est affichée que sur la version de production du service : les environnements de test et de développement ne chargent aucun outil de mesure d’audience et ne déposent aucun cookie de consentement.

Mémorisation et retrait du consentement. Le choix de l’utilisateur est enregistré dans un cookie nommé « drivecost_consent », valable un an et déposé pour l’ensemble du domaine drivecost.monster. Ce cookie enregistre l’acceptation donnée sur le site ou dans l’application, ainsi que le refus exprimé depuis l’application. Parce qu’il est déposé pour tout le domaine, le choix enregistré vaut pour le site comme pour l’application : une acceptation donnée sur le site vaut pour l’application, et un refus enregistré depuis l’application vaut aussi pour le site. L’utilisateur peut changer d’avis à tout moment, dans un sens comme dans l’autre :

• depuis l’application, par le lien « Gérer les cookies » de la page « Mon compte », qui rouvre la bannière : refuser arrête Google Analytics, supprime les cookies « _ga » déposés par Google et enregistre ce refus pour un an ; accepter le réactive. Dans les deux cas, le choix vaut pour le site comme pour l’application ;
• depuis le site, qui ne dispose pas d’un tel module, en supprimant les cookies du domaine drivecost.monster depuis les paramètres de son navigateur, ce qui efface le choix enregistré et met fin à la mesure d’audience jusqu’à une nouvelle acceptation ;
• à tout moment, en configurant son navigateur, ou une extension de celui-ci, pour bloquer les outils de mesure d’audience.

Les statistiques d’usage anonymes décrites à la section « Statistiques d’usage anonymes » ne reposent sur aucun cookie et ne dépendent pas de ce consentement.

Une politique cookies distincte pourra préciser la liste des traceurs utilisés, leurs finalités, leurs durées de conservation et les moyens de s’y opposer.

DriveCost Monster peut envoyer deux types d’emails.

Ces emails sont nécessaires au fonctionnement du service. Ils peuvent concerner :

• la création du compte ;
• la connexion ;
• la récupération de mot de passe ;
• la validation d’une action ;
• l’achat d’une année d’accès ;
• la facturation ;
• les alertes de sécurité ;
• les notifications importantes liées au service.

L’utilisateur ne peut pas s’opposer à la réception des emails strictement nécessaires au fonctionnement du service, sauf à ne plus utiliser le service.

Ces emails peuvent concerner :

• des conseils d’utilisation ;
• des offres promotionnelles ;
• des nouveautés ;
• des relances commerciales ;
• des contenus pédagogiques.

L’utilisateur peut se désinscrire à tout moment via le lien de désinscription présent dans les emails ou en contactant DriveCost Monster.

DriveCost Monster peut utiliser des traitements automatisés pour analyser les données de calendrier, lire les documents de tournée déposés par l’utilisateur et en extraire des arrêts, identifier des trajets probables, calculer des distances ou générer des rapports.

Ces traitements ont pour objectif d’assister l’utilisateur dans la préparation de ses frais kilométriques.

Sauf indication contraire, DriveCost Monster ne prend pas de décision automatisée produisant des effets juridiques à l’égard de l’utilisateur ou l’affectant de manière significative sans intervention humaine.

Les rapports d’amélioration du produit établis par un service d’intelligence artificielle à partir de statistiques agrégées, décrits à la section « Statistiques d’usage anonymes », ne portent sur aucun utilisateur en particulier et ne donnent lieu à aucune décision le concernant.

L’utilisateur reste libre de vérifier, corriger, exclure ou valider les arrêts extraits d’un document, les trajets et les rapports générés.

DriveCost Monster permet à l’utilisateur de déposer un document de tournée — une feuille de route ou un planning de visites exporté depuis son logiciel de planification, une photo d’un tel document ou un tableur de rendez-vous — afin d’en extraire la liste ordonnée des arrêts et de lui proposer les trajets correspondants. Cette fonctionnalité repose sur un service externe d’intelligence artificielle. La présente section décrit, de manière spécifique, ce qui est transmis, à qui, ce que DriveCost Monster conserve et pour combien de temps.

Ce qui est envoyé

Lorsque l’utilisateur dépose un document, celui-ci est transmis tel quel au prestataire d’analyse, le temps d’une seule analyse : un fichier PDF ou une image (JPEG, PNG, WebP) est transmis dans son intégralité ; un tableur (XLSX, CSV) est transmis sous forme de texte, ligne par ligne. Le nom du fichier n’est pas transmis : un nom neutre lui est substitué. Le prestataire lit l’ensemble du document ; les consignes qui lui sont données lui imposent de n’en restituer que les arrêts — date, heure, adresse et nom du lieu — et lui interdisent de restituer un nom de personne, des initiales, un numéro de téléphone, une adresse email, une date de naissance, un numéro de sécurité sociale, une information médicale ou de soins, ou une information de facturation ou de paiement. Le format de réponse imposé ne comporte aucun champ susceptible de recevoir de telles informations.

Chaque document est analysé une seule fois : un document déposé de nouveau à l’identique, alors que sa première analyse a abouti, est reconnu grâce à son empreinte technique et n’est pas retransmis au prestataire.

À qui

Le prestataire est OpenAI, qui agit en qualité de sous-traitant de DriveCost Monster, sur instruction et pour le seul compte de celui-ci. DriveCost Monster utilise un projet configuré pour la résidence des données en Europe et le point d’accès européen du service : le traitement des documents s’effectue sur une infrastructure située dans l’Union européenne. Les documents et les données qui en sont extraites ne sont pas utilisés par ce prestataire pour entraîner ou améliorer ses modèles. DriveCost Monster demande à chaque requête que la réponse générée ne soit pas conservée par le prestataire ; les données transmises peuvent néanmoins être conservées temporairement par celui-ci, pour une durée maximale de trente jours, aux seules fins de détection des abus, sauf accord de non-conservation des données (« Zero Data Retention ») conclu avec ce prestataire. Les garanties encadrant ce traitement sont précisées à la section « 9. Transferts de données hors Union européenne ».

Ce que DriveCost Monster conserve

DriveCost Monster ne conserve jamais le document déposé : il est traité en mémoire le temps de l’analyse et n’est enregistré ni sur un disque, ni dans une base de données, ni dans un espace de stockage. DriveCost Monster conserve uniquement le résultat de l’analyse, c’est-à-dire, pour chaque arrêt, la date, l’heure, l’adresse et, lorsqu’il figure sur le document, le nom du lieu, ainsi qu’un indice de fiabilité de la lecture ; s’y ajoutent la date portée par le document, le nom du fichier, son format, sa taille, une empreinte technique du fichier, la date du dépôt, le nombre d’arrêts lus et les compteurs techniques de l’analyse. Aucun nom de personne et aucune information médicale ne sont conservés.

Durée

Les arrêts extraits sont conservés le temps de la relecture par l’utilisateur, jusqu’à l’import ou l’abandon, et au plus trente jours après le dépôt ; une extraction non importée est supprimée automatiquement à l’issue de ce délai. Dès l’import, les arrêts sont effacés de la fiche d’import et deviennent des trajets du compte, soumis aux règles de conservation des trajets décrites à la section « 10. Durées de conservation des données ». La fiche d’import est conservée tant que le compte existe et effacée avec lui.

Finalité et base légale

Ce traitement a pour seule finalité de proposer à l’utilisateur, à partir du document qu’il a déposé, les trajets d’une tournée à vérifier, corriger et valider : les arrêts extraits sont fournis à titre de suggestion, et l’utilisateur relit et valide chaque arrêt avant l’import, puis chaque trajet avant son intégration dans un rapport. Il n’a lieu qu’à l’initiative de l’utilisateur, document par document. Sa base légale est l’exécution du service demandé par l’utilisateur (article 6.1.b du Règlement général sur la protection des données). DriveCost Monster n’utilise ce prestataire pour aucun autre traitement de données personnelles, et ne lui transmet ni les données de compte, ni les données de calendrier, ni les trajets, véhicules ou adresses de l’utilisateur. Le seul autre usage qu’il en fait porte sur des statistiques agrégées, dépourvues de toute donnée personnelle, décrites à la section « Statistiques d’usage anonymes ».

Données de tiers et responsabilité de l’utilisateur

Un document de tournée peut contenir des données relatives à des tiers, par exemple les adresses des personnes visitées par un professionnel de santé au cours de sa tournée. L’utilisateur ne dépose que des documents qu’il est en droit de traiter, et le traitement de ces données de tiers relève de sa responsabilité professionnelle, y compris l’information des personnes concernées lorsqu’elle est requise. Il est invité à ne déposer que des documents ne comportant ni nom de personne ni information médicale, tels qu’une feuille de route limitée aux heures et aux adresses des visites ; lorsque son logiciel de planification le permet, il privilégie un export limité à ces seules informations.

Accès humain

Aucun membre de DriveCost Monster ne consulte le contenu des documents déposés, qui ne sont pas conservés. Les arrêts extraits ne sont consultés que dans les conditions décrites pour les données de calendrier à la section « 7. Connexion aux calendriers, autorisations et données issues de Google Calendar, de Microsoft Outlook et des agendas iCal » (assistance à la demande de l’utilisateur, sécurité du service, prévention de la fraude ou obligation légale). Les journaux techniques de cette fonctionnalité ne contiennent ni le document, ni les adresses extraites, ni le nom du fichier.

En dehors de cette fonctionnalité

En dehors de l’import de documents de tournée, DriveCost Monster n’utilise aucun service externe d’intelligence artificielle pour traiter les données personnelles des utilisateurs. Il fait en revanche analyser par le même prestataire, dans les mêmes conditions, des statistiques agrégées qui ne comportent aucune donnée personnelle, décrites à la section « Statistiques d’usage anonymes ». Les traitements automatisés classiques décrits à la section « 17. Prise de décision automatisée » (analyse des données de calendrier, identification des trajets probables, calcul des distances, génération des rapports) sont réalisés par DriveCost Monster sur sa propre infrastructure. Les données personnelles de l’utilisateur ne sont pas revendues et ne sont pas utilisées pour entraîner des modèles d’intelligence artificielle, ni par DriveCost Monster, ni par ses prestataires. En particulier, les données issues des calendriers connectés (Google Calendar et Microsoft Outlook) ne sont en aucun cas transmises à un service d’intelligence artificielle. Si DriveCost Monster devait recourir à un autre service d’intelligence artificielle impliquant des données personnelles, ou étendre le recours à celui-ci, la présente politique serait mise à jour avant la mise en service, afin d’informer les utilisateurs des traitements concernés, des prestataires utilisés et des garanties applicables.

DriveCost Monster est principalement destiné à un usage individuel.

Chaque compte correspond à un utilisateur identifié. Sauf accord écrit contraire de l’éditeur, un compte ne peut pas être partagé entre plusieurs personnes ni utilisé pour gérer les frais kilométriques de plusieurs utilisateurs distincts.

Si DriveCost Monster propose ultérieurement des offres destinées aux entreprises, associations ou organisations souhaitant mettre le service à disposition de plusieurs salariés, collaborateurs ou membres, des conditions particulières pourront préciser les rôles respectifs de l’organisation et de DriveCost Monster en matière de protection des données.

Selon le cas, l’organisation cliente pourrait être responsable de traitement pour les données de ses salariés, et DriveCost Monster pourrait agir en qualité de sous-traitant. Ces modalités devront être précisées dans un accord spécifique de traitement des données.

DriveCost Monster n’est pas destiné aux mineurs.

L’utilisateur déclare disposer de la capacité juridique nécessaire pour créer un compte et acheter une année d’accès.

Si DriveCost Monster apprend qu’un compte a été créé par un mineur sans autorisation valable, l’éditeur pourra supprimer ou suspendre le compte concerné.

Le site ou l’application DriveCost Monster peut contenir des liens vers des sites ou services tiers.

DriveCost Monster n’est pas responsable de l’pratiques de confidentialité de ces sites ou services tiers. L’utilisateur est invité à consulter leurs propres politiques de confidentialité.

Pendant la phase bêta du service, DriveCost Monster propose à l’utilisateur d’enregistrer certaines des actions qu’il réalise dans l’application, dans un journal d’utilisation. Ce traitement est entièrement facultatif et désactivé par défaut sur tous les comptes, existants comme nouveaux : aucune action n’est enregistrée tant que l’utilisateur n’a pas activé lui-même l’option correspondante depuis la page « Mon compte ».

Base légale. Ce traitement repose exclusivement sur le consentement de l’utilisateur, au sens de l’article 6.1.a du Règlement général sur la protection des données. En l’absence de consentement, aucune donnée n’est enregistrée dans ce journal.

Finalité. Le journal d’utilisation sert uniquement à comprendre comment le service est réellement utilisé, à repérer les étapes où les utilisateurs rencontrent des difficultés et à décider des améliorations à apporter au produit. Il n’est utilisé ni à des fins publicitaires, ni de prospection commerciale, ni de profilage, ni de revente ou de mise à disposition à des tiers, ni pour entraîner des modèles d’intelligence artificielle.

Ce qui est enregistré. Chaque entrée du journal comporte uniquement :

• l’identifiant interne du compte concerné ;
• la nature de l’action réalisée, choisie dans une liste fermée d’actions prévues par le service ;
• la date et l’heure de l’action ;
• un contexte minimal, limité aux identifiants internes d’objets déjà enregistrés dans le compte (par exemple l’identifiant d’un trajet ou d’un véhicule), à des compteurs (par exemple le nombre de trajets détectés lors d’une analyse d’agenda), à des valeurs issues de listes fermées ou à des indicateurs de type oui/non (par exemple le fournisseur d’agenda concerné, le statut d’un trajet, le format d’un export ou le fait qu’un export masquait les montants) et, lorsqu’une fiche est modifiée, au seul nom des champs modifiés.

Les actions susceptibles d’être enregistrées relèvent des catégories suivantes : création, modification, suppression et changement de statut d’un trajet ; analyse d’un agenda, connexion et déconnexion d’un agenda ; création, modification, suppression d’un véhicule et changement de véhicule par défaut ; génération d’un export ; modification du profil ou des préférences ; activation et retrait de l’autorisation elle-même ; ouverture d’un paiement, activation et retrait d’une année d’accès ; envoi d’une demande d’assistance.

Ce qui n’est pas enregistré. Le journal ne contient aucun contenu privé des rendez-vous : ni le titre ou l’intitulé, ni la description, ni le lieu, ni la liste des participants d’un événement d’agenda n’y figurent. Plus largement, le contexte des entrées ne contient aucune donnée personnelle : ni adresse email, ni adresse postale, ni nom, ni immatriculation, ni texte libre saisi par l’utilisateur, ni la valeur des champs modifiés.

Où ces données sont conservées. Le journal d’utilisation est enregistré dans la base de données du service, sur l’infrastructure d’hébergement décrite à la section « Transferts de données hors Union européenne ». Il n’est transmis ni au prestataire de paiement, ni aux prestataires d’emailing, ni aux outils de mesure d’audience ou d’analytics, ni à un partenaire commercial, annonceur ou régie publicitaire, ni à un outil ou service d’intelligence artificielle. Il n’entre pas non plus dans le calcul des statistiques agrégées décrites à la section « Statistiques d’usage anonymes ».

Retrait de l’autorisation. L’utilisateur peut retirer son autorisation à tout moment, depuis la même page « Mon compte », sans avoir à se justifier. À compter du retrait, aucune nouvelle action n’est enregistrée. Le retrait lui-même est enregistré comme dernière entrée du journal, afin que la date à laquelle l’enregistrement s’est arrêté reste vérifiable.

Sort des entrées déjà enregistrées. Le retrait de l’autorisation arrête l’enregistrement, mais n’efface pas les entrées déjà enregistrées. Chaque entrée est conservée douze mois à compter de son enregistrement, puis supprimée automatiquement ; elle est effacée plus tôt si le compte est supprimé, en même temps que les trajets, véhicules, adresses, versements et demandes d’assistance. L’utilisateur qui souhaite obtenir l’effacement de ces entrées sans attendre la suppression de son compte peut en faire la demande, au titre de son droit d’effacement, à l’adresse de contact indiquée à la section « Droits des utilisateurs ».

Modification du réglage par le support. À la demande de l’utilisateur, ou pour interrompre immédiatement un enregistrement, le support de DriveCost Monster peut activer ou désactiver ce réglage depuis son outil d’administration. Chaque modification effectuée par le support est enregistrée dans le journal des actions d’administration mentionné à la section « Durées de conservation des données », avec l’identité de la personne qui l’a effectuée, l’ancien et le nouveau réglage, la date et, le cas échéant, le motif indiqué par le support. Ce motif n’est jamais ajouté au journal d’utilisation de l’utilisateur.

Ce journal est propre à la phase bêta du service. Si DriveCost Monster décidait de le maintenir au-delà de cette phase, d’en étendre le contenu ou d’en modifier la durée de conservation, la présente politique serait mise à jour et l’utilisateur en serait informé.

Pour comprendre comment le service est réellement utilisé et décider des améliorations à y apporter, DriveCost Monster enregistre, sur ses propres serveurs, des événements d’utilisation anonymes à l’occasion de certaines actions réalisées dans l’application : par exemple la création, la validation ou la suppression d’un trajet, le lancement d’une analyse d’agenda, la connexion ou la déconnexion d’un agenda, la génération d’un export, le dépôt d’une feuille de route, l’ouverture d’un paiement ou la fin de la prise en main.

Ce qui est enregistré. Chaque événement comporte uniquement :

• la nature de l’action, choisie dans une liste fermée d’actions prévues par le service, le domaine fonctionnel concerné et l’écran de l’application sur lequel elle a lieu, désigné par son nom et jamais par son adresse ;
• le résultat de l’action (réussite, échec, abandon), sa durée et, en cas d’échec, un code d’erreur technique choisi dans une liste fermée ;
• la date et l’heure de l’action, arrondies à la minute, afin de limiter tout recoupement avec d’autres journaux ;
• un contexte minimal, limité à des compteurs (par exemple le nombre de trajets détectés lors d’une analyse d’agenda) et à des valeurs issues de listes fermées (par exemple le fournisseur d’agenda concerné ou le format d’un export) ;
• la version de l’application, l’environnement (test ou production) et le composant à l’origine de l’événement (application ou serveur) ;
• un indicateur oui/non signalant que l’action provient d’un compte interne de l’éditeur (compte de test ou d’administration), afin d’exclure ces actions des statistiques : il est déterminé par le serveur au moment de l’enregistrement et n’est accompagné d’aucun identifiant ;
• un identifiant aléatoire propre à l’événement, qui sert uniquement à ne pas le compter deux fois ;
• le cas échéant, une clé de session aléatoire, générée par le navigateur et conservée uniquement dans la mémoire de session de l’onglet ouvert : elle est renouvelée à chaque nouvelle session, n’est jamais dérivée d’un identifiant du compte, n’est jamais enregistrée avec celui-ci et n’est rapprochée ni de l’adresse IP ni d’un autre journal. Elle sert uniquement à reconstituer l’enchaînement des actions d’une même session, sans permettre de la rattacher à une personne.

Ce qui n’est pas enregistré. Ces événements ne comportent aucun identifiant de compte ni d’utilisateur, aucune adresse email, aucune adresse IP, aucune signature du navigateur, aucune adresse postale, aucun contenu de rendez-vous ni aucun identifiant d’un objet du compte (trajet, véhicule, adresse). Aucun rapprochement n’est possible avec le compte de l’utilisateur, avec le journal d’utilisation décrit à la section précédente ni avec les journaux techniques du service.

Nature de ces données. Ne permettant d’identifier personne, ni directement ni indirectement, ces événements ne constituent pas des données à caractère personnel. Leur enregistrement ne dépend donc d’aucun consentement, est effectué pour tous les utilisateurs, offre gratuite comme licence annuelle, et ne peut pas être désactivé depuis le compte. Il ne sert ni à des fins publicitaires, ni à la prospection commerciale, ni au profilage, ni à l’entraînement de modèles d’intelligence artificielle. Les événements eux-mêmes ne sont transmis à aucun prestataire autre que l’hébergeur du service.

Conservation. Chaque événement est conservé quatre-vingt-dix jours dans la base de données du service. Une copie quotidienne en est versée dans un entrepôt d’analyse, hébergé sur la même infrastructure Google Cloud en Belgique, où chaque événement est conservé treize mois au plus à compter de son enregistrement, puis supprimé automatiquement. Les statistiques agrégées calculées à partir de ces événements et des comptes (par exemple un nombre d’actions par jour ou un nombre de comptes par mois d’inscription) sont conservées sans limite de durée, afin de suivre l’évolution du service dans le temps ; elles ne se rapportent à aucune personne. La suppression du compte n’a aucun effet sur ces événements et statistiques, qui ne lui sont pas rattachés.

Statistiques agrégées sur les comptes. Les événements ne comportant aucun identifiant, ils ne permettent pas de savoir, par exemple, combien de nouveaux utilisateurs reviennent un mois plus tard. Pour le mesurer, DriveCost Monster calcule chaque jour, sur ses propres serveurs, des comptages par mois d’inscription à partir de données que le service détient déjà sur les comptes : date d’inscription, mode de connexion, avancement de la prise en main, dates du premier trajet validé et de la dernière connexion, offre gratuite ou licence annuelle, fournisseur d’agenda connecté et pays. Aucune donnée nouvelle n’est collectée pour cela, et le journal d’utilisation facultatif n’y entre pas. Seuls des comptages sortent de ce calcul — par exemple le nombre de comptes ayant validé un premier trajet dans la semaine suivant leur inscription — sans aucun identifiant ; tout groupe de moins de cinq comptes est fusionné avec un autre ou supprimé, afin qu’aucun résultat ne puisse se rapporter à une personne. Les comptes internes de l’éditeur en sont exclus. Ce traitement repose sur l’intérêt légitime de l’éditeur à mesurer et à améliorer son service (article 6.1.f du Règlement général sur la protection des données) ; il ne donne lieu à aucune décision concernant un utilisateur, et l’utilisateur peut s’y opposer dans les conditions prévues à la section « Droits des utilisateurs ».

Analyse par un service d’intelligence artificielle. Pour produire des rapports d’amélioration du produit, DriveCost Monster fait analyser par un modèle d’intelligence artificielle d’OpenAI des statistiques agrégées calculées à partir de ces événements et des comptes : des comptages, des taux, des durées médianes ou des enchaînements d’actions observés dans plusieurs sessions. Aucun événement isolé, aucun identifiant, aucune donnée personnelle, aucun contenu de rendez-vous, aucune adresse et aucune entrée du journal d’utilisation facultatif ne sont transmis ; tout résultat portant sur moins de cinq comptes ou sessions est masqué avant l’envoi. Le traitement s’effectue au moyen du projet décrit à la section « 18. Import de documents de tournée et recours à un service d’intelligence artificielle », configuré pour la résidence des données en Europe et le point d’accès européen du service. Les statistiques transmises, qui ne comportent aucune donnée personnelle, ne sont pas utilisées par ce prestataire pour entraîner ou améliorer ses modèles. DriveCost Monster demande à chaque requête que la réponse générée ne soit pas conservée par le prestataire ; les données transmises peuvent néanmoins être conservées temporairement par celui-ci, pour une durée maximale de trente jours, aux seules fins de détection des abus, sauf accord de non-conservation des données (« Zero Data Retention ») conclu avec ce prestataire. Les rapports obtenus sont internes : seul l’éditeur les consulte, depuis son outil d’administration. Ils ne portent sur aucun utilisateur en particulier et ne donnent lieu à aucune décision le concernant.

Ce que ce traitement n’est pas. Il est distinct du journal d’utilisation facultatif décrit à la section « Journal d’utilisation facultatif pendant la phase bêta », qui est, lui, rattaché à l’identifiant du compte, n’est alimenté qu’avec le consentement de l’utilisateur et sert au support. Il est également distinct de Google Analytics, décrit à la section « Cookies et autres traceurs », qui repose sur des cookies déposés avec le consentement de l’utilisateur et transmet des données à Google.

Pour détecter et corriger rapidement les dysfonctionnements, DriveCost Monster transmet les erreurs techniques rencontrées par son serveur et par son application à un prestataire de suivi des erreurs, Sentry (Functional Software, Inc.), qui agit en qualité de sous-traitant. Seules les erreurs sont transmises : côté serveur, uniquement les erreurs internes et les arrêts inattendus du service. Aucun parcours, aucune mesure de performance et aucun enregistrement de session ne sont envoyés.

Ce qui est transmis. Pour chaque erreur, uniquement :

• la nature de l’erreur, son message technique et la trace d’exécution du programme au moment où elle s’est produite ;
• le cas échéant, le code de réponse et le code d’erreur technique du service ;
• la méthode de la requête et le chemin de l’adresse appelée ou de la page affichée, sans les paramètres qui peuvent la compléter ;
• l’environnement (test ou production) et la version du service ;
• lorsque l’utilisateur est connecté, l’identifiant technique de son compte, à l’exclusion de toute autre donnée le concernant.

Ce qui n’est jamais transmis. Le contenu des requêtes et des réponses, les en-têtes, les cookies, les paramètres d’adresse, les adresses email, les noms, les adresses postales, les immatriculations, les jetons d’accès, l’adresse IP, ainsi que l’historique de navigation ou des actions ayant précédé l’erreur.

Localisation et durée. Les erreurs sont stockées dans la région Union européenne du prestataire, à Francfort (Allemagne), et conservées quatre-vingt-dix jours au plus, puis supprimées automatiquement. Le prestataire étant établi aux États-Unis, les garanties applicables sont précisées à la section « 9. Transferts de données hors Union européenne ».

Base légale. Ce traitement repose sur l’intérêt légitime de l’éditeur à assurer le bon fonctionnement et la sécurité du service (article 6.1.f du Règlement général sur la protection des données). Il ne sert qu’au diagnostic : ni à des fins publicitaires, ni à la prospection commerciale, ni au profilage, ni à l’entraînement de modèles d’intelligence artificielle. La suppression du compte n’efface pas les erreurs déjà transmises, qui ne comportent que l’identifiant technique du compte et disparaissent à l’issue de leur durée de conservation.

Le site de DriveCost Monster met à disposition des calculateurs gratuits, par exemple le simulateur d’indemnités kilométriques, le comparateur « voiture de société ou véhicule personnel » et le comparateur « acheter ou louer ». Ces calculateurs fonctionnent sans compte et sans adresse email : les résultats s’affichent immédiatement à l’écran et y restent affichés quoi qu’il arrive.

Ce qui est collecté. Rien n’est collecté tant que l’utilisateur ne demande pas à recevoir le rapport PDF de sa simulation. S’il le demande, sont enregistrés :

• l’adresse email indiquée ;
• la langue d’affichage, qui détermine la langue du rapport ;
• le calculateur utilisé, les paramètres saisis et les résultats affichés ;
• la date et l’heure de la demande ;
• la version du texte de consentement affiché sous le bouton d’envoi.

Finalités. Ces données servent à envoyer le rapport PDF demandé, puis à adresser des informations sur le produit : nouveautés, conseils d’utilisation et offres commerciales. Elles ne sont ni revendues, ni mises à disposition d’annonceurs ou de régies publicitaires, ni utilisées pour entraîner des modèles d’intelligence artificielle.

Base légale. Le consentement de l’utilisateur, au sens de l’article 6.1.a du Règlement général sur la protection des données. Ce consentement est donné par la demande de rapport elle-même : le texte affiché sous le bouton d’envoi indique explicitement que l’adresse email sera conservée pour envoyer ce rapport et donner des nouvelles du produit. La version de ce texte est enregistrée avec la demande, afin que le contenu exact de ce qui a été accepté reste vérifiable.

Destinataires. Ces données sont accessibles à l’éditeur de DriveCost Monster et à son prestataire d’emailing, qui envoie le rapport et les emails d’information, dans les conditions décrites à la section « Destinataires des données ».

Durée de conservation. Les données de prospection sont conservées jusqu’au retrait du consentement et, en tout état de cause, au maximum trois ans à compter du dernier contact émanant de la personne concernée, conformément à la recommandation de la CNIL en matière de prospection commerciale. Elles sont ensuite supprimées.

Désinscription. Chaque email d’information comporte un lien de désinscription en un clic. L’utilisateur peut également demander la suppression de son adresse à l’adresse indiquée à la section « Contact ». Le retrait du consentement met fin à l’envoi des emails d’information ; il ne remet pas en cause les rapports déjà envoyés.

Une demande de rapport ne crée pas de compte utilisateur et n’ouvre aucun accès au service. L’utilisateur qui crée ensuite un compte relève des autres sections de la présente politique.

DriveCost Monster peut modifier la présente politique de confidentialité afin de tenir compte :

• des évolutions du service ;
• des changements techniques ;
• des nouveaux prestataires utilisés ;
• des évolutions légales ou réglementaires ;
• des recommandations des autorités compétentes.

En cas de modification importante, l’utilisateur pourra être informé par tout moyen approprié, par exemple par email, notification dans l’application ou affichage sur le site.

La version applicable est celle disponible sur le site ou dans l’application à la date de consultation.

Pour toute question relative à la présente politique ou à la protection des données personnelles, l’utilisateur peut contacter DriveCost Monster :

Email : support--[@]--drivecost.monster (affichage anti-spam : veuillez remplacer --[@]-- par un @)

Adresse postale : Sudo Software 15 RUE DES HALLES, 75001 PARIS, FRANCE