INFORMATIONS & TRANSPARENCE

Politique de confidentialité

Comprendre les données utilisées par le site, le CRM et son intégration Google personnelle.

Dernière mise à jour : 29 octobre 2026

1. Responsable et périmètre

Cette politique couvre le mini-site public yottacarconnect.com et décrit séparément les traitements du CRM accessible sur app.yottacarconnect.com. Le site public ne donne aucun accès aux fiches, aux rendez-vous ou aux comptes du CRM.

L’éditeur est YOTTA GROUP LLP, société enregistrée au Royaume-Uni sous le numéro OC457383, dont le siège est situé 71-75 Shelton Street, Covent Garden, Londres, WC2H 9JQ. Pour contacter l’éditeur et exercer vos droits : contact@yottacar-connect.com.

Lorsqu’une entreprise utilise le CRM pour ses propres prospects, son rôle de responsable de traitement et le rôle de l’opérateur du CRM doivent être précisés dans les documents contractuels applicables. L’autorisation d’accès Google ne remplace pas l’information des prospects ni la détermination d’une base légale pour leurs données.

2. Données du site public

Cette version statique ne comporte aucun formulaire, outil de mesure d’audience, publicité, police distante ou traceur applicatif. Elle ne dépose pas de cookie applicatif. L’hébergeur peut traiter des données techniques de connexion, notamment l’adresse IP et les informations de requête, pour délivrer et sécuriser le site. Les éventuels cookies et journaux de l’hébergement devront être vérifiés lors de la recette de publication.

3. Données du CRM

Selon les fonctionnalités utilisées, le CRM traite les coordonnées professionnelles des utilisateurs, leurs rôles et affectations, ainsi que les données des prospects et véhicules, les statuts, attributions, commentaires, rappels, rendez-vous et mandats. Ces informations servent au suivi de la prospection automobile et à l’organisation du travail autorisé.

4. Données et actions Google

État actuel : intégration testée sur des agendas fictifs, non activée en production. Son activation future nécessite l’autorisation du propriétaire et une association explicite des agendas. Elle est réservée à l’organisation personnelle historique ; les organisations SaaS ne disposent pas de ce parcours.

• Identité : l’identifiant Google du compte et son adresse e-mail vérifiée permettent d’afficher le compte connecté et d’éviter sa substitution lors d’une reconnexion.
• Liste des agendas : les noms, identifiants et niveaux de droits des agendas accessibles servent à choisir les agendas à associer. L’affichage d’un agenda n’entraîne pas son association.
• Calendar : les événements des agendas associés sont lus pour calculer les disponibilités et repérer les conflits. Cela comprend leurs identifiants, horaires, état occupé ou transparent, récurrences et intitulés, notamment pour identifier les événements « INDISPONIBLE ». Les réservations confirmées peuvent créer, modifier ou supprimer les événements liés au CRM.
• Contenu des rendez-vous : les événements créés peuvent contenir le nom du prospect, son téléphone, le véhicule, l’agence et le responsable du suivi. Les identifiants de liaison et versions techniques servent à reprendre les opérations sans doublon et à détecter les modifications externes.
• Drive et Sheets : un dossier « YottaCar Connect » et un fichier « Suivi des rendez-vous — YottaCar Connect » sont créés puis réutilisés. L’accès Drive est limité aux fichiers utilisés avec cette application, sans accès général au contenu de Drive.

Le suivi Sheets contient : agence, télépro responsable actuel, nom du prospect, statut, téléphone, véhicule, heure et date du rendez-vous, date de première prise de rendez-vous et lien vers la fiche CRM. Les onglets sont organisés par mois, avec une seule ligne suivie par dossier. Sheets est un outil de suivi : aucune modification de statut n’est importée depuis ses cellules.

Les personnes ayant déjà accès aux agendas ou au fichier Google peuvent voir les informations qui y sont écrites selon les partages Google applicables. Le CRM ne crée pas automatiquement de partage public.

5. Usage limité des données Google

Les données obtenues via les API Google sont utilisées pour les fonctions visibles de disponibilité, de rendez-vous, de synchronisation et de sécurité. Elles ne sont ni vendues, ni utilisées pour le ciblage publicitaire, ni utilisées pour entraîner un modèle général d’intelligence artificielle. Leur utilisation et leur transfert respectent les règles relatives aux données utilisateur des services API Google, y compris les exigences « Limited Use ».

L’accès humain aux données Google est limité aux usages autorisés par leur utilisateur et aux nécessités de sécurité, de diagnostic autorisé ou d’obligation légale. Les données ne sont pas transférées aux autres organisations clientes.

6. Autorisations et sécurité

Le CRM ne demande pas le mot de passe Google. L’autorisation est délivrée par Google via OAuth. Les jetons sont chiffrés avant enregistrement. Les accès au CRM sont contrôlés par rôle, agence et organisation. Les échanges utilisent HTTPS en production. Ces mesures réduisent les risques sans constituer une garantie d’absence de tout incident.

Une erreur temporaire ne doit pas invalider artificiellement une connexion valide. Une autorisation manquante empêche la validation d’une nouvelle connexion. Les conflits externes sont signalés sans changer automatiquement le statut commercial.

7. Destinataires et transferts

Les destinataires sont les utilisateurs autorisés, l’opérateur pour les besoins autorisés du service, ainsi que les prestataires techniques concernés. Le mini-site est hébergé chez OVHcloud ; le CRM utilise l’infrastructure netcup et des sauvegardes Backblaze B2. Google reçoit les données écrites dans Calendar et Sheets et traite les échanges d’autorisation.

À confirmer : entités contractuelles, régions de stockage et de sauvegarde, liste complète des sous-traitants, éventuels accès depuis des pays tiers et garanties applicables aux transferts. Aucune localisation exclusivement européenne n’est promise par cette version.

8. Bases légales et conservation

L’autorisation OAuth est une permission technique distincte des bases légales applicables aux données des utilisateurs et des prospects.

À finaliser avant publication : les bases légales par finalité et la répartition des responsabilités entre l’opérateur et les entreprises utilisatrices.

Durées de référence retenues

Les durées ci-dessous constituent les références retenues par l’éditeur pour préparer sa politique de conservation. Elles ne sont pas présentées comme déjà appliquées techniquement. Cette préparation du mini-site ne modifie aucune donnée ni aucun mécanisme du CRM et ne valide pas l’existence d’un effacement automatique selon ces délais.

Fiches prospects et annonces actives

Pendant le traitement du dossier. Une limite d’inactivité reste à définir pour éviter qu’un dossier ne demeure actif sans échéance.

Rendez-vous terminés, annulés ou véhicules vendus

Référence retenue : 6 mois après clôture. La définition de la clôture et l’articulation avec un dossier encore actif restent à préciser.

Rappels et prospects sans suite

Référence retenue : 3 mois après la dernière activité. Les activités qui font repartir ce délai doivent être définies.

Journaux techniques

Référence retenue : 30 jours. Les catégories de journaux concernées et leur rétention effective chez chaque prestataire restent à vérifier.

Sauvegardes

Référence retenue : 30 jours. La rotation effective, le sort des copies anciennes et le traitement d’une restauration doivent être vérifiés avant d’annoncer ce délai comme opérationnel.

Statistiques historiques

Une conservation sous forme anonymisée est envisagée, si une anonymisation effective peut être réalisée et vérifiée. Aucune anonymisation automatique n’est annoncée. Des données seulement pseudonymisées restent à traiter dans la politique de conservation des données personnelles.

Points restant à préciser

• La limite d’inactivité des dossiers actifs, le sens de « dernière activité » et la date de clôture, notamment après rebooking ou réouverture.
• La règle à appliquer lorsqu’un même dossier contient un rendez-vous clôturé, un rappel ou un mandat encore actif : ces références ne déclenchent pas la suppression globale d’un dossier.
• Le périmètre des commentaires, attributions, mandats, traces d’audit et liaisons Google, ainsi que les éventuelles obligations de conservation spécifiques.
• Les modalités d’effacement ou d’anonymisation dans le CRM, les agendas et le fichier Google Sheets, et l’articulation avec les sauvegardes et les copies détenues par d’autres utilisateurs.

Les jetons Google sont conservés tant que la connexion est nécessaire et autorisée. L’action de déconnexion du CRM efface les jetons enregistrés pour la connexion active, sans supprimer automatiquement les rendez-vous, les historiques ni les fichiers Google. La référence de 30 jours pour les sauvegardes ne constitue pas une preuve d’effacement déjà appliqué à leurs anciennes copies de jetons.

9. Déconnexion, révocation et droits

La connexion peut être interrompue depuis l’administration du CRM. L’autorisation Google peut être révoquée depuis les paramètres de sécurité du compte Google. La déconnexion dans le CRM n’effectue pas, à elle seule, une révocation dans le compte Google et n’efface pas les copies déjà présentes dans Calendar ou Sheets.

Selon la réglementation applicable, vous pouvez demander l’accès, la rectification, l’effacement ou la limitation de vos données, vous opposer à certains traitements, demander leur portabilité lorsqu’elle s’applique et introduire une réclamation auprès de l’autorité de contrôle compétente, notamment la CNIL pour les personnes concernées en France. Ces droits ne signifient pas qu’une suppression automatique de toutes les données est disponible dans l’interface.

Adresse de contact : contact@yottacar-connect.com. Précisez votre relation avec le service et la nature de votre demande. Une vérification d’identité proportionnée peut être nécessaire. Les demandes concernant les fichiers d’une entreprise cliente sont orientées vers le responsable de traitement concerné.

10. Évolution de la politique

La date de la version publiée sera indiquée sur cette page. Toute évolution substantielle de l’usage des données Google devra être portée à la connaissance des utilisateurs ; une nouvelle autorisation sera demandée lorsque nécessaire.