Politique de confidentialité

La présente politique décrit comment Routier collecte, utilise, conserve et protège les données à caractère personnel des personnes physiques dans le cadre de l'utilisation du logiciel SaaS de gestion de transport Routier.

Elle est rédigée en application du Règlement (UE) 2016/679 (« RGPD »), de la loi n° 78-17 du 6 janvier 1978 (« Loi Informatique et Libertés »), de la directive 2002/58/CE (« ePrivacy ») et de la loi n° 2004-575 du 21 juin 2004 (« LCEN »).

1. Identité du responsable de traitement

• Nom commercial : Routier
• Exploitant : Benjamin Letessier, entrepreneur individuel
• Forme juridique : Entrepreneur individuel (micro-entreprise)
• Capital social : sans objet (entrepreneur individuel)
• Siège social : 9 rue des Colonnes, 75002 Paris, France
• SIREN : 978 145 829 — SIRET (siège) : 978 145 829 00013
• RCS : non inscrit (activité non commerciale, immatriculation au RNE)
• N° TVA intracommunautaire : FR95978145829
• Représentant légal : Benjamin Letessier, agissant en nom propre
• Email de contact : contact@routier-tms.fr

Architecture des responsabilités : pour les comptes utilisateurs back-office, Routier agit en qualité de responsable de traitement. Pour les données métier (chauffeurs, clients finaux, ordres de transport, CMR, factures), Routier intervient en qualité de sous-traitant au sens de l'article 28 RGPD, le tenant exploitant étant alors responsable de traitement vis-à-vis de ses propres données.

2. Point de contact protection des données

Compte tenu de la taille de l'activité (entrepreneur individuel), la désignation d'un Délégué à la protection des données n'est pas obligatoire au sens de l'article 37 du RGPD. Benjamin Letessier assure ce rôle de point de contact.

Pour toute question relative à la protection de vos données ou à l'exercice de vos droits :

• Email : dpo@routier-tms.fr
• Voie postale : Benjamin Letessier, 9 rue des Colonnes, 75002 Paris

3. Données traitées, finalités, bases légales et durées de conservation

Cette section détaille les traitements par catégorie de personne concernée.

3.1 Chauffeurs (salariés et indépendants des tenants exploitants)

• Données collectées : nom, prénom, email, téléphone, numéro de permis de conduire, date d'expiration, numéro de carte conducteur, date d'expiration, identifiant d'authentification, token de notification push, position GPS en mission (latitude, longitude, vitesse, timestamp), historique d'activité.
• Finalités : recensement obligatoire des chauffeurs (R. 3312-58 Code des transports), suivi de la validité des permis et cartes conducteur, exécution des missions de transport, suivi GPS pour information du tenant et du client final, envoi de notifications mission.
• Bases légales : exécution du contrat de travail (art. 6.1.b RGPD) ; obligation légale (art. 6.1.c — Code des transports, règlement UE 165/2014) ; intérêt légitime de l'exploitant pour le suivi GPS (art. 6.1.f).
• Durée de conservation : données d'identité et identifiants professionnels : durée du contrat + 5 ans ; positions GPS détaillées : 12 mois (purge mensuelle automatique) ; push tokens : durée de vie du device, invalidation à la déconnexion.
• Destinataires : exploitants du tenant employeur, contrôles administratifs sur réquisition.

Déverrouillage par Face ID / empreinte digitale : l'application mobile chauffeur peut proposer un déverrouillage de session par authentification biométrique. Cette reconnaissance est effectuée localement par le système d'exploitation du terminal (Secure Enclave iOS / Android Keystore) : l'application Routier ne reçoit qu'une réponse de succès ou d'échec et ne collecte, ne transmet ni ne stocke aucune donnée biométrique (empreinte, visage, gabarit). Une alternative non biométrique (identifiants de connexion) reste toujours disponible sans contrainte additionnelle. Conformément à la position de la CNIL sur la biométrie à disposition des particuliers, ce traitement local ne relève pas des obligations RGPD applicables à Routier.

3.2 Contacts opérationnels (expéditeurs, destinataires, contacts sur site)

• Données collectées : nom, téléphone, adresse postale du point d'enlèvement/livraison, coordonnées GPS d'arrivée, instructions opérationnelles, image de la signature manuscrite tracée à l'écran lors de la livraison.
• Finalités : planification et exécution des missions de transport, preuve de livraison (POD), génération des lettres de voiture CMR.
• Bases légales : exécution du contrat de transport entre le tenant et son client (art. 6.1.b) ; obligation légale (Code de commerce, Convention CMR de Genève 1956).
• Durée de conservation : photos POD : 3 ans ; preuves de livraison signées, CMR et factures : 10 ans (cf. §7).
• Destinataires : tenant exploitant, chauffeur en mission, parties signataires du CMR, destinataire de la livraison.

3.3 Contacts clients (interlocuteurs B2B chez les clients du tenant)

• Données collectées : nom, prénom, fonction, email, téléphone fixe, téléphone mobile, statut principal/actif.
• Finalités : fichier des contacts opérationnels pour facturation, relances et communication contractuelle.
• Bases légales : intérêt légitime du tenant (relation B2B — art. 6.1.f) ; obligation légale pour les éléments fiscaux.
• Durée de conservation : durée de la relation commerciale + 3 ans ; 10 ans pour les données fiscales (Code de commerce art. L. 123-22).
• Destinataires : tenant, équipe facturation interne.

3.4 Utilisateurs du portail client

• Données collectées : identifiant d'authentification, email, prénom, nom, téléphone, préférences de notification (opt-in), dernière connexion.
• Finalités : permettre aux clients d'un tenant de consulter leurs expéditions, signer les CMR, déposer des demandes de transport, recevoir les notifications de changement de statut.
• Bases légales : exécution du contrat de transport ; consentement explicite pour les notifications opt-in (art. 6.1.a).
• Durée de conservation : durée de la relation tenant ↔ client + 30 jours ; logs de connexion : 12 mois.
• Destinataires : tenant exploitant, application Routier.

3.5 Utilisateurs back-office (exploitants)

• Données collectées : identifiant d'authentification, email, téléphone, prénom, nom, dernière connexion, rôle.
• Finalités : authentifier et autoriser les utilisateurs à accéder au back-office Routier, journalisation sécurité.
• Bases légales : exécution du contrat (art. 6.1.b) entre Routier et le tenant exploitant abonné.
• Durée de conservation : durée du contrat + 30 jours ; logs de connexion : 12 mois.
• Destinataires : Routier, administrateurs du tenant.

3.6 Représentants de sous-traitants (autres transporteurs affrétés)

• Données collectées : identité du contact, téléphone, email, adresse de l'entreprise, SIRET, numéro TVA, et si chauffeur indépendant : prénom, nom, numéro de permis, dates d'expiration assurance/licence transport.
• Finalités : affrètement de transports auprès d'autres transporteurs, vérification des obligations légales.
• Bases légales : exécution du contrat ; obligation légale.
• Durée de conservation : durée de la relation commerciale + 3 ans.
• Destinataires : tenant, équipe affrètement.

4. Sous-traitants et destinataires

Routier fait appel aux sous-traitants ci-dessous, encadrés par un Data Processing Agreement (DPA) au sens de l'article 28 RGPD.

4.1 Transferts hors Union européenne — garanties

Pour chaque transfert vers les États-Unis (Crashlytics, FCM, APNs, Stripe) :

• Data Privacy Framework UE — États-Unis (décision d'adéquation Commission européenne du 10 juillet 2023). Google, Apple et Stripe sont certifiés sur la liste officielle dataprivacyframework.gov.
• Clauses contractuelles types (décision d'exécution UE 2021/914) en complément, conformément aux recommandations CEPD post-Schrems II.

L'éditeur Routier vérifie annuellement le maintien des certifications DPF.

5. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants : droit d'accès (art. 15), droit de rectification (art. 16), droit à l'effacement (art. 17, sous réserve des exceptions légales — cf. §7), droit à la limitation du traitement (art. 18), droit à la portabilité (art. 20), droit d'opposition (art. 21), droit de retrait du consentement (art. 7-3), et directives post-mortem (art. 85 LIL).

5.1 Modalités d'exercice

Pour exercer vos droits, adressez votre demande à :

• Email : dpo@routier-tms.fr
• Voie postale : à l'attention de Benjamin Letessier, 9 rue des Colonnes, 75002 Paris.

Joignez à votre demande tout élément permettant de vérifier votre identité (sans excès). Une réponse vous sera apportée dans un délai d'un mois, prorogeable de deux mois en cas de complexité (art. 12-3 RGPD).

Sujets professionnels rattachés à un tenant : si vous êtes chauffeur, contact client, contact opérationnel ou utilisateur portail rattaché à une entreprise cliente de Routier (le tenant), nous vous invitons à exercer vos droits directement auprès de cette entreprise, responsable du traitement de vos données métier. Routier l'assistera techniquement (art. 28-3-e RGPD).

6. Réclamation auprès de la CNIL

Sans préjudice de tout autre recours, vous avez le droit d'introduire une réclamation auprès de la CNIL : 3 place de Fontenoy — TSA 80715, 75334 PARIS CEDEX 07 — tél. 01 53 73 22 22 — formulaire en ligne : cnil.fr/fr/plaintes.

7. Exception légale à l'effacement — conservation 10 ans

Le droit à l'effacement (art. 17 RGPD) ne s'applique pas lorsque le traitement est nécessaire au respect d'une obligation légale ou à la constatation, à l'exercice ou à la défense d'un droit en justice (art. 17-3-b et 17-3-e RGPD).

Sont donc conservées 10 ans à compter de leur émission, même en cas de demande d'effacement :

• les lettres de voiture CMR (Convention CMR de Genève 1956, art. L. 133-6 Code de commerce) ;
• les preuves de livraison (POD) et signatures associées ;
• les factures émises et reçues (art. L. 123-22 Code de commerce ; art. L. 102 B Livre des procédures fiscales).

Au terme de cette période, les données concernées sont purgées automatiquement.

8. Sécurité des données

Routier met en œuvre les mesures techniques et organisationnelles appropriées, conformément à l'article 32 RGPD :

• Chiffrement en transit : TLS 1.2+ sur l'ensemble des échanges.
• Chiffrement au repos des fichiers : SSE-S3 (AES-256) sur l'Object Storage OVHcloud ; aucune URL S3 directe n'est exposée — tous les téléchargements passent par un proxy authentifié avec contrôle d'isolation tenant.
• Isolation multi-tenant : cloisonnement applicatif strict.
• Authentification forte : OAuth/OIDC, support MFA, cookies HttpOnly/Secure/SameSite, protection antiforgery.
• Hébergement souverain : toutes les données métier sont hébergées en France par OVHcloud.
• Gestion des incidents : notification CNIL sous 72 heures (art. 33 RGPD) en cas de violation susceptible d'engendrer un risque.

9. Cookies et traceurs

Le site Routier utilise uniquement des cookies strictement nécessaires au fonctionnement (authentification, sécurité antiforgery, identification du tenant, mémorisation du choix d'acquittement du bandeau cookies). Aucun cookie analytique ou publicitaire n'est déposé. Cf. politique cookies dédiée.

10. Modification de la présente politique

La présente politique peut être amenée à évoluer. Toute modification substantielle sera portée à la connaissance des personnes concernées via une bannière à la connexion suivante, un email transactionnel pour les modifications majeures, et la mise à jour de la date « dernière mise à jour » en tête du présent document. La version courante est toujours accessible à l'URL /privacy.