Politique de confidentialité

Responsable du traitement

Matthieu Audisio, éditeur du site. Pour toute question sur vos données : [email protected]

Données collectées

• Adresse e-mail, pseudo

  À l'inscription

  Identifier votre compte, vous connecter et, si nécessaire, vous écrire au sujet du service (changement des conditions, fin du service, suspension de votre compte). Aucun envoi commercial.

• Mot de passe

  À l'inscription

  Stocké uniquement sous forme d'empreinte (bcrypt), jamais en clair.

• Vélos, pièces, n° de série, prix, notes, réglages, historique d'entretien

  Quand vous les saisissez

  Le service lui-même : suivi de l'usure et de l'entretien.

• Photos de vos vélos

  Si vous en envoyez

  Affichage sur vos fiches ; les métadonnées (dont la position GPS) sont supprimées à l'envoi.

• Date d'acceptation des conditions d'utilisation

  À l'inscription, puis à chaque nouvelle version acceptée

  Garder la preuve de votre acceptation.

• Date de dernière connexion

  À chaque connexion

  Administration du service (suivi de son utilisation).

• Signalements de bug (message, page concernée, langue de la page)

  Si vous en envoyez

  Corriger le site.

• Données Strava

  Si vous connectez Strava

  Mettre à jour automatiquement le kilométrage de vos vélos. Avec votre autorisation, Mon Garage Vélo lit votre profil Strava (dont la liste de vos vélos) et toutes vos activités, y compris privées et celles de vos autres vélos. Il n'enregistre que votre identifiant et votre nom d'athlète, les jetons d'accès, l'identifiant du vélo Strava lié et, pour les seules sorties faites avec ce vélo, leur identifiant, leur date, leur distance, leur durée et leur dénivelé (ni titre, ni tracé, ni position). Le reste est ignoré dès sa réception ; la liste de vos vélos Strava est gardée au plus 45 minutes en mémoire, sans être enregistrée, et effacée dès la déconnexion de Strava ou la suppression du compte ; l'identifiant d'une activité que vous supprimez sur Strava est gardé au plus 1 h 15 en mémoire, pour qu'une synchronisation en cours ne la réimporte pas.

• Ville ou position de recherche (annuaire des réparateurs)

  Quand vous cherchez un réparateur, avec ou sans compte

  Afficher les ateliers proches. La ville ou le code postal saisi est transmis au géocodeur de l'IGN, puis gardé au plus 24 h 15 en mémoire du serveur avec sa réponse, sans lien avec un compte, pour ne pas redemander la même ville. La position « Près de moi » est arrondie à environ 1 km par votre navigateur ; comme la ville, elle figure dans l'adresse de la page, donc dans l'historique de votre navigateur, mais n'est jamais enregistrée par le serveur. La dernière ville trouvée est gardée dans votre navigateur seulement.

• Demandes de référencement d'un atelier (e-mail, informations de l'atelier, message, langue de la page)

  Si vous en envoyez une (formulaire « Référencer mon atelier »)

  L'e-mail et le message servent à traiter la demande et à vous répondre ; la demande est supprimée 12 mois après son traitement. Si une demande d'ajout ou de correction est acceptée, les informations de l'atelier (nom, adresse, téléphone, site, horaires, Bonus Réparation) sont publiées dans l'annuaire public jusqu'à une demande de retrait ; le SIRET n'est pas affiché.

• Adresse IP (connexion, inscription, changement d'e-mail du compte, demandes de référencement, recherches dans l'annuaire) et e-mail saisi lors des tentatives de connexion

  À chaque tentative de connexion, à chaque création de compte (ou tentative avec un e-mail déjà inscrit), à chaque changement d'e-mail de votre compte (ou tentative vers un e-mail déjà inscrit), à chaque demande de référencement et à chaque ville cherchée dans l'annuaire des réparateurs

  Sécurité : limiter les tentatives, les créations de compte, les changements d'e-mail, les envois et les recherches répétés. Gardés en mémoire au plus 2 heures, jamais enregistrés en base ni dans un fichier.

• Journaux techniques

  En continu

  Diagnostiquer les erreurs du serveur. Ils peuvent contenir l'identifiant interne de votre compte, jamais votre mot de passe ni votre adresse IP.

Seuls l'adresse e-mail, le pseudo, le mot de passe et l'acceptation des conditions d'utilisation sont obligatoires : sans eux, le compte ne peut pas être créé. Tout le reste (vélos, photos, connexion Strava…) est facultatif.

Aucune donnée n'est utilisée à des fins publicitaires, ni vendue, ni cédée.

Mon Garage Vélo ne prend aucune décision automatisée vous concernant et ne fait aucun profilage : les jauges d'usure sont de simples calculs à partir de vos saisies.

Bases légales

• Exécution du service (art. 6.1.b du RGPD) : compte, messages au sujet du service, vélos, entretien, photos, recherche dans l'annuaire des réparateurs depuis votre compte, et les sorties Strava une fois importées dans l'historique de vos vélos.
• Consentement (art. 6.1.a) : connexion à Strava et import des sorties. Vous pouvez le retirer à tout moment avec « Déconnecter » dans les Paramètres, ou depuis votre compte Strava (voir « Durées de conservation »).
• Intérêt légitime (art. 6.1.f) : sécurité du site (limitation des tentatives, journaux techniques), signalements de bug, date de dernière connexion, preuve de l'acceptation des conditions d'utilisation, annuaire des réparateurs (réutilisation et publication des données publiques de l'ADEME, traitement des demandes de référencement, recherche par un visiteur sans compte).

Durées de conservation

• Compte et données associées (dont les dates de dernière connexion et d'acceptation des conditions) : tant que le compte existe. La suppression du compte (Paramètres → Mon compte → « Supprimer mon compte ») efface immédiatement le compte, les vélos, pièces, historique, sorties, réglages, photos et la connexion Strava (Mon Garage Vélo demande à Strava de révoquer son accès).
• Sauvegardes : une copie de la base de données (pas des photos) est faite à chaque mise à jour du site ; chaque copie est supprimée automatiquement au bout de 30 jours au plus. Des données supprimées peuvent donc subsister jusqu'à 30 jours dans ces copies, qui ne sont pas accessibles en ligne.
• Signalements de bug : conservés après la suppression du compte, sans lien avec celui-ci, et supprimés automatiquement 12 mois après leur envoi.
• Annuaire des réparateurs : une fiche issue de l'ADEME est conservée tant qu'elle figure dans ses données, et au plus 6 mois après en avoir disparu ; une fiche ajoutée sur demande est conservée jusqu'à une demande de retrait. Après un retrait, seul l'identifiant ADEME de la fiche est gardé, pour qu'elle ne réapparaisse pas. Les demandes de référencement sont supprimées 12 mois après leur traitement.
• Données Strava : les sorties importées sont conservées tant que Strava est connecté. Une activité supprimée sur Strava est retirée de Mon Garage Vélo (et, si le vélo est encore lié à Strava, de son kilométrage) dès que Strava le signale, en général dans les minutes qui suivent. « Déconnecter » (Paramètres) efface immédiatement la connexion (identifiant et nom d'athlète, jetons) et toutes les sorties importées, et Mon Garage Vélo demande à Strava de révoquer son accès. Le même effacement a lieu si vous retirez l'accès depuis votre compte Strava ou supprimez ce compte, dès que Strava le signale, et en principe au plus tard dans les 36 heures (vérification des accès toutes les 12 heures), et pour l'ancien compte si vous connectez un autre compte Strava. Dans ces cas, le kilométrage et les heures de vos vélos sont conservés, comme une valeur saisie à la main, donc l'usure de vos pièces aussi, et la page Paramètres confirme la date de l'effacement.
• Adresse IP et e-mail des tentatives de connexion (et IP des inscriptions, des changements d'e-mail, des demandes de référencement et des recherches dans l'annuaire) : 2 heures au plus, en mémoire uniquement.
• Journaux techniques : limités en taille (les plus anciens sont effacés au-delà de quelques dizaines de Mo) ; ceux de l'application sont en outre supprimés à chaque mise à jour du site. Ils ne sont pas accessibles en ligne.

Destinataires et sous-traitants

• Cloudflare, Inc. (États-Unis) : relais HTTPS, protection du site et mesure d'audience (voir « Cookies et stockage local »). Transfert encadré par le cadre de protection des données UE–États-Unis et des clauses contractuelles types.
• Strava, Inc. (États-Unis) : uniquement si vous connectez votre compte Strava, selon ses propres conditions.
• IGN (Géoplateforme, service public français) : la ville ou le code postal saisi dans l'annuaire, et l'adresse d'un atelier lors de la vérification d'une demande ou de la correction d'une fiche par l'éditeur, pour le géocodage.
• API Recherche d'entreprises (État) : uniquement le SIRET d'une demande de référencement, au moment de sa vérification.
• Aucun autre destinataire, et aucun autre utilisateur ne voit vos données. Dans l'interface d'administration, l'éditeur voit la liste des comptes (e-mail, pseudo, rôle, dates d'inscription et de dernière connexion) et les signalements de bug avec l'e-mail de leur auteur, ainsi que les demandes de référencement. Comme il héberge lui-même le site, il a aussi un accès technique à la base de données, aux photos et aux sauvegardes ; il ne les consulte que pour la maintenance du service ou à votre demande.

Annuaire des réparateurs

L'annuaire, public (accessible sans compte et référencé par les moteurs de recherche), reprend les données publiques « Que faire de mes objets & déchets » de l'ADEME (Licence Ouverte 2.0) : nom, adresse, téléphone, site, horaires et SIRET des ateliers de réparation de vélos (le SIRET n'est pas affiché). Pour un réparateur en nom propre, ce sont des données personnelles, réutilisées et publiées, comme sur la carte publique de l'ADEME, sur la base de l'intérêt légitime (aider les cyclistes à faire réparer leur vélo). Les fiches étant importées en nombre, chaque réparateur n'est pas informé individuellement (art. 14.5.b du RGPD) : cette page en tient lieu.

Un réparateur peut à tout moment accéder aux données de sa fiche en écrivant à [email protected], et les faire rectifier ou s'opposer à la présence de sa fiche avec le formulaire Référencer mon atelier ou à la même adresse. Une fiche retirée n'est plus affichée et ne revient pas aux mises à jour suivantes : seul son identifiant ADEME est conservé, pour la reconnaître (une fiche ajoutée sur demande est, elle, entièrement supprimée).

Cookies et stockage local

• Cookies strictement nécessaires (exemptés de consentement) : session de connexion, protection contre les requêtes forgées et retour après connexion, cookies temporaires de connexion à Strava (dont la langue de la page, pour y revenir après l'autorisation).
• Cookie de préférence d'affichage (exempté de consentement) : blocs repliés ou dépliés sur la fiche d'un vélo, conservé un an sur l'appareil utilisé.
• Cookie de choix de la langue (mgv-lang, exempté de consentement) : la langue choisie pour le site, déposé seulement quand vous choisissez une langue, conservé un an dans le navigateur utilisé.
• Stockage local du navigateur : mémorisation de la fermeture du bandeau « installer l'application », dernière ville cherchée dans l'annuaire des réparateurs.
• Mesure d'audience sans cookie (Cloudflare Web Analytics, exemptée de consentement) : nombre de visites et de pages vues, page précédente, pays, type d'appareil et de navigateur, temps de chargement. Aucun cookie, aucun stockage dans votre navigateur, aucune adresse IP conservée, aucun suivi d'une visite à l'autre ni d'un site à l'autre : les statistiques ne servent qu'à savoir quelles pages sont consultées.

Aucun autre traceur, aucun cookie publicitaire.

Vos droits

Vous pouvez à tout moment :

• accéder à vos données et les rectifier (Paramètres → Mon compte, fiches de vos vélos) ;
• les effacer en supprimant votre compte ;
• retirer votre consentement à la connexion Strava ;
• demander la portabilité de vos données ou la limitation d'un traitement, en écrivant à [email protected] (réponse sous un mois) ;
• définir des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés), à la même adresse ;
• introduire une réclamation auprès de la CNIL (www.cnil.fr) ou de l'autorité de protection des données de votre pays de résidence (au Royaume-Uni : ICO, ico.org.uk).

Sécurité

Connexions chiffrées (HTTPS, TLS 1.2 minimum), mots de passe stockés sous forme d'empreinte, limitation des tentatives de connexion, sessions de 30 jours maximum, déconnexion de tous les appareils à la demande ou au changement de mot de passe, sauvegardes à accès restreint.