Accord de traitement des données

Portée du traitement

Kai traite les données personnelles uniquement dans le but de fournir la plateforme de gestion d'actifs partagés telle que décrite dans les conditions d'utilisation. Le traitement comprend le stockage, la récupération, l'affichage et la suppression des données selon les instructions du responsable du traitement, dans le cadre de l'utilisation normale de la plateforme.

Listes d’attente des opérateurs

La liste d’attente d’un opérateur appartient à cet opérateur. Kai ne l’utilise que pour faire fonctionner la page d’inscription, la recherche de copropriétaires et les e-mails de cet opérateur. Kai ne propose jamais aux personnes inscrites les actifs d’un autre opérateur (bateaux, avions, maisons ou voitures) ni ses propres offres, et ne les ajoute jamais à ses propres listes de diffusion. L’opérateur peut exporter la liste complète à tout moment.

Actifs gérés par un opérateur

Lorsqu’un actif (un bateau, un avion, une maison ou une voiture) fait partie de la flotte d’un opérateur, le bureau de l’opérateur voit, pour cet actif uniquement : ses réservations et qui les a faites, l’entretien à prévoir, les noms et dates d’expiration de ses documents, ainsi que le total des paiements en retard de ses propriétaires et le nombre de propriétaires concernés, jamais leur identité. Le bureau ne voit ni les messages, ni les dépenses, ni les fichiers des documents de l’actif. Cela cesse lorsque l’actif quitte la flotte ou que le forfait de l’opérateur prend fin.

Catégories de données traitées

Les catégories suivantes de données personnelles sont traitées :

• Données d'identité : nom, adresse e-mail, photo de profil
• Données de contact : numéro de téléphone, adresse de facturation
• Données financières : IBAN, informations de facturation, registres de factures
• Données d'utilisation : réservations, journaux d'utilisation, registres de dépenses, journaux de maintenance
• Données de communication : messages, tickets de support
• Données techniques : adresse IP, type de navigateur, registres de consentement
• Données de listes d’attente (recherche de copropriétaires, pour les opérateurs) : nom, e-mail, téléphone, langues, mois préférés, parts souhaitées, date de disponibilité, nombre de personnes, permis bateau, notes, réponses aux questions d’inscription de l’opérateur et preuves de consentement

Mesures de sécurité

Kai met en œuvre les mesures techniques et organisationnelles suivantes pour protéger les données personnelles :

• Chiffrement en transit (TLS 1.3) et au repos (AES-256)
• Sécurité au niveau des lignes pour l'isolation des données entre groupes
• Contrôle d'accès basé sur les rôles avec principe du moindre privilège
• Sauvegardes quotidiennes automatisées avec restauration à un instant donné
• Audits de sécurité réguliers et tests de pénétration
• Aucune donnée personnelle identifiable transmise à l'outil de surveillance des erreurs

Sous-traitants

Kai fait appel aux sous-traitants suivants. Le responsable du traitement sera informé de toute modification de cette liste :

• Supabase (AWS Francfort, UE) — Base de données et authentification
• Stripe (UE/États-Unis, CCT) — Traitement des paiements
• Resend (États-Unis, CCT) — Envoi d’e-mails
• Sentry (UE) — Surveillance des erreurs (sans données personnelles)
• Vercel (UE) — Hébergement de l'application
• Google Analytics & Ads (États-Unis, DPF) — Mesure d’audience et publicité (soumis au consentement)
• Firebase / Google Cloud (UE) — Stockage de fichiers
• Cloudinary (États-Unis, CCT) — Optimisation d’images

Notification des violations de données

En cas de violation de données personnelles, Kai informera le responsable du traitement dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance. La notification précisera la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ou envisagées pour y remédier.

Droits des personnes concernées

Kai aide le responsable du traitement à répondre aux demandes des personnes concernées, notamment :

• Droit d'accès — les utilisateurs peuvent consulter toutes leurs données sur la plateforme
• Droit de rectification — les utilisateurs peuvent mettre à jour leur profil et leurs données
• Droit à l'effacement — la suppression du compte supprime toutes les données personnelles
• Droit à la portabilité des données — les utilisateurs peuvent exporter toutes leurs données en JSON
• Droit de retirer le consentement — les préférences de cookies peuvent être modifiées à tout moment

Restitution et suppression des données

À la fin de l'accord, Kai supprimera toutes les données personnelles traitées pour le compte du responsable du traitement dans un délai de 30 jours, sauf si leur conservation est exigée par la loi applicable. Le responsable du traitement peut exporter ses données à tout moment avant la résiliation grâce aux fonctions d'exportation intégrées à la plateforme.

Contact

Pour toute question concernant ce DPA ou pour demander une copie signée, contactez-nous à [email protected]