Politique de confidentialité

1. Qui sommes-nous

Baktam est un service logiciel en ligne (cloud) destiné aux ateliers de réparation automobile, exploité par Fatih Bilgiç (« Baktam », « nous »). Pour toute question relative à la protection des données, vous pouvez nous écrire à [email protected].

2. Notre rôle : responsable de traitement et sous-traitant

Lorsque Baktam est responsable de traitement

Nous déterminons comment et pourquoi les données personnelles sont traitées pour nos propres besoins : comptes utilisateurs, abonnements et facturation, demandes d’assistance, messages envoyés via notre formulaire de contact, visites du site et sécurité du service.

Lorsque Baktam est sous-traitant

Chaque garage (notre client, « l’entreprise ») décide des données qu’il enregistre sur ses propres clients, véhicules et employés. Pour ces données, l’entreprise est responsable de traitement et Baktam les traite pour son compte, uniquement pour fournir le service (sous-traitant au sens de l’article 28 du RGPD). Si vous êtes client d’un garage et souhaitez exercer vos droits, adressez-vous d’abord à ce garage ; nous l’aiderons à vous répondre. Accord de sous-traitance pour les entreprises clientes : [à confirmer].

3. Données traitées

• Données de compte : nom, numéro de téléphone, adresse e-mail, langue préférée et mot de passe, conservé uniquement sous forme de hachage irréversible.
• Données d’entreprise et de facturation : nom de l’entreprise, adresse, pays, devise, numéro de TVA ou d’identification (par exemple SIREN, numéro d’entreprise ou IDE), formule souscrite et historique des paiements.
• Données enregistrées par l’entreprise dans Baktam : nom, numéro de téléphone, adresse e-mail et numéro fiscal des clients ; véhicules (immatriculation, numéro de châssis/VIN, marque, modèle, kilométrage) ; ordres de réparation, ventes, paiements, rappels, notes, photos et signatures.
• Pages publiques : lorsqu’un client utilise une page de prise de rendez-vous, nous recevons le nom, le numéro de téléphone, l’immatriculation et la remarque qu’il saisit ; lorsqu’il répond à un lien d’approbation de devis, nous enregistrons sa décision, son nom et sa signature.
• Données techniques : adresse IP, informations sur le navigateur ou l’appareil et historique des connexions, utilisées pour sécuriser les comptes, limiter les abus et corriger les erreurs. Les applications mobiles conservent un jeton de notification push si vous autorisez les notifications.

4. Finalités et bases légales

Pour les données dont nous sommes responsables, nous nous appuyons sur les bases légales suivantes du Règlement général sur la protection des données (RGPD) et, pour la Suisse, de la loi fédérale sur la protection des données (nLPD) :

• Exécution du contrat : création et gestion de votre compte, fourniture du service et de l’assistance, facturation.
• Obligation légale : conservation des factures et des pièces comptables pendant les durées imposées par la loi.
• Intérêt légitime : sécurisation du service, prévention de la fraude et des abus, correction des erreurs, en tenant compte de vos droits.
• Consentement : e-mails de prospection et mesure d’audience facultative. Vous pouvez retirer votre consentement à tout moment.

Nous n’utilisons pas les données personnelles pour des décisions automatisées produisant des effets juridiques ou vous affectant de manière significative.

5. Lieu de stockage des données

Le service cloud Baktam est hébergé dans l’Union européenne, dans des centres de données situés en Allemagne. Des sauvegardes quotidiennes sont conservées pendant une durée limitée pour permettre la restauration. Les clients Enterprise peuvent à la place installer Baktam sur leur propre serveur ; les données restent alors sur ce serveur et l’entreprise est responsable de son hébergement, de ses sauvegardes et de sa sécurité.

Certains prestataires que l’entreprise choisit de connecter (par exemple des fournisseurs de SMS ou de WhatsApp) peuvent traiter des données hors de l’Union européenne. Lorsque des données sont transférées hors de l’Espace économique européen ou de la Suisse, nous nous appuyons sur des garanties appropriées, telles que des décisions d’adéquation ou des clauses contractuelles types [à confirmer].

6. Prestataires (sous-traitants ultérieurs)

Nous ne partageons des données personnelles que dans la mesure où chaque prestataire en a besoin pour sa mission :

• Hébergement : fournisseur d’infrastructure disposant de centres de données en Allemagne.
• Envoi d’e-mails : un service d’envoi pour les e-mails liés au compte, comme la réinitialisation du mot de passe et les récapitulatifs quotidiens.
• Messagerie choisie par l’entreprise : SMS via Twilio, ou WhatsApp Business (Cloud API) de Meta, avec le compte et le contrat propres de l’entreprise auprès de ce fournisseur.
• Notifications push des applications mobiles : le service push d’Expo, qui transmet les notifications via Apple et Google.
• Mesure d’audience du site : Microsoft Clarity, uniquement sur le site public et uniquement avec votre consentement (voir section 7).
• Suivi des erreurs : Sentry, uniquement s’il est activé. Il est configuré pour ne pas envoyer de données personnelles par défaut ; les numéros de téléphone et les adresses e-mail sont masqués, et les cookies, en-têtes d’autorisation et corps de requête sont supprimés.

La liste précise des prestataires est disponible sur demande. Nous pouvons communiquer des données lorsque la loi l’exige ou sur décision valable d’un tribunal ou d’une autorité.

7. Cookies et technologies similaires

Cookies nécessaires

Ils sont indispensables au fonctionnement du service et ne nécessitent pas de consentement : un cookie de session qui vous garde connecté, un cookie qui mémorise votre langue, et baktam_consent, qui conserve votre choix en matière de cookies pendant 6 mois. Le panneau web enregistre aussi quelques préférences d’affichage (comme les favoris) dans le stockage local de votre navigateur.

Cookies de mesure d’audience (uniquement avec votre consentement)

Sur notre site public (baktam.com, y compris les pages en français et dans les autres langues), nous utilisons Microsoft Clarity pour comprendre comment les visiteurs utilisent le site et l’améliorer. Clarity n’est chargé qu’après que vous avez choisi « Accepter la mesure d’audience » dans le bandeau cookies ; tant que vous n’avez pas fait de choix, ou si vous refusez, aucune donnée n’est envoyée à Clarity. Notre base légale est votre consentement (article 6, paragraphe 1, point a du RGPD et règles applicables aux cookies, notamment l’article 82 de la loi Informatique et Libertés en France ; nLPD en Suisse).

• Données collectées : clics, défilement, mouvements de la souris, pages consultées, durée de la session, informations sur l’appareil et le navigateur, localisation approximative. Le texte que vous saisissez dans les champs de formulaire est masqué et n’est jamais enregistré.
• Cookies : _clck (1 an) et _clsk (1 jour), déposés par Clarity. Nous refusons le stockage publicitaire ; nous n’utilisons pas ces données à des fins publicitaires.
• Qui les traite : Microsoft Corporation, en tant que prestataire ; les données peuvent être stockées hors de votre pays, notamment aux États-Unis.
• Où Clarity n’est jamais chargé : le panneau web Baktam, les pages de connexion, les liens d’approbation, de justificatif et de rendez-vous que les garages envoient à leurs clients, et les pages d’impression.

Vous pouvez retirer votre consentement à tout moment : ouvrez « Paramètres des cookies » en bas de page et choisissez « Refuser ». Clarity est alors arrêté, ses cookies sont supprimés et il n’est plus chargé lors de vos visites suivantes. Le retrait du consentement ne remet pas en cause les traitements effectués auparavant.

Nous n’utilisons ni cookies publicitaires ni cookies de suivi entre sites.

8. Durées de conservation

• Données de compte et d’entreprise : pendant toute la durée de l’abonnement.
• Après résiliation : les données restent disponibles à l’export pendant 60 jours, puis sont supprimées, sauf si l’entreprise demande une suppression plus rapide [à confirmer].
• Sauvegardes : écrasées par rotation après une durée limitée [durée de conservation à confirmer].
• Factures et pièces de facturation : pendant la durée imposée par le droit fiscal et comptable.

Les données qu’une entreprise enregistre sur ses propres clients sont conservées selon les instructions de cette entreprise et supprimées lorsqu’elle les efface ou ferme son compte.

9. Sécurité des données

• Toutes les connexions sont chiffrées (HTTPS/TLS).
• Les mots de passe et les clés API ne sont conservés que sous forme de hachage irréversible.
• Les liens d’approbation de devis et de justificatif utilisent des jetons aléatoires, conservés uniquement sous forme de hachage. Les pages publiques (approbations, justificatifs, rendez-vous et historique de véhicule partagé) sont soumises à une limitation du nombre de requêtes et affichent les données personnelles de façon masquée.
• Les identifiants des fournisseurs de SMS, de WhatsApp et de facture électronique sont chiffrés (AES-256-GCM) dans la base de données et ne sont plus jamais affichés dans l’interface ni renvoyés par l’API.
• Les données de chaque entreprise sont isolées de celles des autres entreprises, et des droits par rôle limitent ce que chaque utilisateur peut voir : par exemple, les techniciens ne voient ni les prix ni les coûts.
• Les actions importantes sont consignées dans un journal d’activité, et les données sont sauvegardées chaque jour.

En cas de violation de données personnelles vous concernant, nous en informons l’entreprise concernée et, lorsque la loi l’exige, l’autorité compétente dans les meilleurs délais.

10. Vos droits

En vertu du RGPD, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation et d’opposition au traitement, d’un droit à la portabilité de vos données et du droit de retirer votre consentement. En France, vous pouvez également définir des directives relatives au sort de vos données après votre décès. Des droits comparables existent en Suisse au titre de la loi fédérale sur la protection des données (nLPD).

Pour exercer vos droits, écrivez à [email protected]. Nous répondons dans un délai d’un mois, ou dans le délai prévu par la loi qui vous est applicable. Vous avez aussi le droit d’introduire une réclamation auprès de l’autorité de contrôle compétente : en France, la Commission nationale de l’informatique et des libertés (CNIL) ; en Belgique, l’Autorité de protection des données (APD) ; en Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT).

11. Enfants

Baktam est un service destiné aux entreprises et ne s’adresse pas aux enfants.

12. Modifications de cette politique

Nous pouvons mettre à jour cette politique de temps à autre. Nous annoncerons les modifications importantes par e-mail aux titulaires de compte avant leur entrée en vigueur.

13. Contact

Questions sur cette politique ou sur vos données : [email protected].