Politique de confidentialité

• Titulaire : BBRAVE SENTINEL, S.L. (société unipersonnelle)
• NIF : B88862735
• Siège social : Calle Río Danubio, 2, portal 3, 2.º D, 28913 Leganés (Madrid), Espagne
• Immatriculation : Registre du commerce de Madrid, feuille M-891920, 1re inscription, folio électronique
• E-mail : soporte@destolen.com

Pour toute question relative à la protection des données, écrivez à soporte@destolen.com avec l'objet « Protección de datos » (protection des données).

• Données : adresse e-mail et mot de passe (géré par Firebase Authentication ; nous ne le voyons pas) et, si vous les ajoutez, nom et ville. Nous enregistrons la date et la version de la politique de confidentialité acceptée et si vous souhaitez recevoir des communications commerciales.
• Finalité : créer et gérer votre compte, vous identifier et vous envoyer les e-mails du service (vérification, alertes, modifications de vos vélos et recherches).
• Base légale : l'exécution du contrat (art. 6.1.b RGPD). Les communications commerciales uniquement avec votre consentement (art. 6.1.a RGPD), que vous pouvez retirer à tout moment depuis l'e-mail lui-même ou en nous écrivant.
• Pays : celui de votre compte, de chaque vélo et du vol (par défaut, celui de votre navigateur ; vous pouvez le modifier). Il nous sert à savoir si nous cherchons dans les annonces de ce pays et si la Recherche et la Protection peuvent y être souscrites. Base légale : l'exécution du contrat (art. 6.1.b RGPD).
• Liste d'attente par pays : si vous essayez de souscrire dans un pays où nous ne cherchons pas encore et nous demandez de vous prévenir (ou si vous essayez avec le pays du vol), nous enregistrons votre utilisateur, votre e-mail, le pays, la langue et la date pour vous écrire dès que nous commencerons ; nous comptons aussi, sans données personnelles, combien de personnes attendent dans chaque pays pour décider où ouvrir. Base légale : votre demande (art. 6.1.b RGPD) et notre intérêt légitime à décider où étendre le service (art. 6.1.f RGPD). Vous pouvez nous demander de vous retirer à soporte@destolen.com.

• Données : marque, modèle, type, couleur, taille, année, valeur approximative et date d'achat ; numéros de série du cadre, du moteur et de la batterie ; photos ; le certificat avec le N° destolen du vélo.
• Données facultatives : type d'antivol et de traceur, assurance, lieu de stationnement, usage principal, zone habituelle, composants, autocollants et personnalisations.
• Finalité : tenir l'enregistrement de votre vélo, émettre son certificat, permettre à un acheteur de vérifier s'il est signalé volé et le reconnaître en cas de vol. Nous vérifions automatiquement par intelligence artificielle (OpenAI) que les photos montrent un vélo ou un numéro de série. Si vous avez une Recherche active, nous recherchons aussi sur le web jusqu'à 3 photos de votre vélo avec Google Cloud Vision, pour trouver les pages où elles apparaissent (vous les verrez dans « Annonces similaires »).
• Base légale : l'exécution du contrat (art. 6.1.b RGPD).

Utilisation des données facultatives pour des statistiques et des services à des tiers. Uniquement si vous l'acceptez dans une case distincte, jamais pré-cochée (texte en vigueur : version « datos-bici-2026-10-14 »), nous utilisons les données de votre vélo, sans données personnelles et de façon agrégée, pour des statistiques de vols et des services à des tiers (assureurs, magasins). La base légale est votre consentement (art. 6.1.a RGPD). Nous enregistrons la date et la version du texte lorsque vous le donnez et lorsque vous le retirez. Vous pouvez le retirer à tout moment dans Paramètres → Utilisation des données de vos vélos ; cela n'affecte ni votre enregistrement ni la recherche de votre vélo.

Trottinettes électriques. Si vous enregistrez une trottinette, nous traitons les mêmes données (sans type de vélo ni taille) et, en plus, son numéro d’immatriculation de la DGT et le fait qu’elle porte ou non l’étiquette d’identification, pour les mêmes finalités et sur les mêmes bases légales. Nous ne consultons pas le registre de la DGT : c’est vous qui saisissez le numéro.

• Données : celles du vélo et ses photos, la date et le lieu du vol, la description et, si vous le donnez, le numéro de la plainte. Si le vélo avait un AirTag ou un autre traceur, vous pouvez ajouter le lien temporaire de partage de sa position.
• Finalité : pendant la Recherche, rechercher les annonces d'occasion correspondant à votre vélo, vous montrer dans « Mon vol » celles qui ressemblent à votre vélo avec un pourcentage de ressemblance, vous écrire pour les plus ressemblantes et enregistrer le résultat (par exemple, si vous le récupérez).
• Page publique de la déclaration : pour que vous puissiez la partager, elle affiche la marque, le modèle, la couleur, le type, la photo principale, le numéro de série masqué, la ville, le pays et la date du vol. Elle n'affiche jamais vos coordonnées. Elle est visible tant que la déclaration est active ou marquée comme récupérée.
• Signalements : chacun peut signaler avoir vu votre vélo. Nous vous transmettons le signalement par e-mail sans révéler votre adresse.
• Lien du traceur : seuls vous et l'équipe destolen le voyez ; il n'est jamais publié. Nous l'utilisons uniquement pour vous aider à localiser le vélo. Ces liens expirent au bout de 7 jours selon le fournisseur (Apple ou Google).
• Alerte à partager (facultative) : si vous la créez dans « Mon vol », nous publions sur une page visible par toute personne ayant le lien (destolen.com/fr/alerte/…) et dans une image pour les réseaux sociaux : la photo principale de votre vélo (une copie sans les données internes du fichier, comme la localisation GPS), la marque, le modèle, la couleur, la zone que vous indiquez (quartier ou commune) et le jour du vol. Jamais votre nom, votre e-mail, votre téléphone, le numéro de série, l’adresse exacte ni la plainte. La page n’est pas indexée par les moteurs de recherche. Nous comptons les visites et les partages sans enregistrer de données sur les visiteurs. Toute personne qui la voit peut vous prévenir avec « Vous l’avez vu ? » par le même système que « J’ai trouvé un vélo » : personne ne voit les coordonnées de l’autre, sauf si l’un décide de les partager. Base légale : votre consentement (art. 6.1.a RGPD), que vous retirez en désactivant l’alerte ; elle se désactive toute seule quand vous récupérez le vélo ou quand la Recherche se termine. Ce que d’autres personnes ont partagé sur les réseaux sociaux échappe à notre contrôle.
• Base légale : l'exécution du contrat (art. 6.1.b RGPD).

Trottinettes électriques. Si vous déclarez le vol d’une trottinette, nous traitons les mêmes données et, en plus, son numéro d’immatriculation de la DGT, que le vérificateur et l’API utilisent pour indiquer qu’elle est déclarée volée, sans communiquer vos données. La Recherche d’une trottinette ne comprend pas encore la surveillance des annonces (section 11).

• Données : la formule (mensuelle ou annuelle), son statut, le nombre de vélos couverts et les dates de l'abonnement.
• Finalité : fournir la Protection : surveiller les annonces d'occasion pour vos vélos couverts et activer gratuitement la Recherche si vous déclarez le vol de l'un d'eux.
• Base légale : l'exécution du contrat (art. 6.1.b RGPD).

• Données : les paiements s'effectuent sur la page de paiement de Stripe. Nous ne voyons ni ne conservons votre numéro de carte ; nous conservons les identifiants de client, de paiement et d'abonnement, le montant, la date, le statut et votre e-mail.
• Finalité : encaisser, facturer, gérer votre abonnement (modifications et résiliation depuis le portail Stripe) et prévenir la fraude.
• Base légale : l'exécution du contrat (art. 6.1.b RGPD) et le respect d'obligations légales fiscales et commerciales (art. 6.1.c RGPD).

Stripe traite les données de paiement pour notre compte et, pour ses propres obligations (prévention de la fraude, réglementation des paiements), en tant que responsable indépendant, selon sa politique de confidentialité. Un compte est nécessaire pour souscrire : il n'y a pas de paiement sans compte.

Adresse de facturation : au paiement, Stripe vous demande votre adresse de facturation. Nous l'utilisons pour appliquer la TVA de votre pays et pour ne pas vendre depuis le Royaume-Uni ; nous enregistrons le pays. Base légale : l'exécution du contrat et les obligations fiscales (art. 6.1.b et 6.1.c RGPD).

• Données : le numéro de série ou le N° destolen consulté et, lorsque vous consultez un vélo enregistré, votre adresse IP et les données de votre navigateur (user agent). Nous utilisons aussi l'IP, ou votre compte si vous êtes connecté, pour limiter le nombre de consultations.
• Réponse : elle indique seulement si le vélo est enregistré, sa marque, son modèle et sa photo principale (sauf si le propriétaire l'a rendu privé) et s'il est signalé volé, avec la source du signalement. Elle ne donne jamais les données du propriétaire, le numéro de série complet ni le certificat.
• Finalité : répondre à votre consultation, éviter les abus et les consultations massives et protéger le service.
• Base légale : notre intérêt légitime à proposer la vérification et à éviter les abus (art. 6.1.f RGPD).

Le vérificateur et l’API cherchent aussi le numéro d’immatriculation de la DGT des trottinettes enregistrées ou déclarées sur destolen, avec les mêmes règles : ils indiquent seulement si elle est enregistrée ou déclarée volée et le type de véhicule, jamais les données du propriétaire.

• Données du formulaire : nom, entreprise, e-mail, type d'entreprise, ce que vous souhaitez vérifier, le message, le motif (documentation ou accès au pilote), la langue et une empreinte chiffrée (hash) de l'IP, jamais l'IP en clair.
• Finalité : examiner votre demande et, si nous l'acceptons, vous envoyer la documentation technique ; répondre à la demande d'accès au pilote et vous contacter à ce sujet. L'empreinte de l'IP limite le nombre de demandes.
• Base légale : des mesures précontractuelles à votre demande (art. 6.1.b RGPD) et notre intérêt légitime à éviter les abus (art. 6.1.f RGPD).
• Utilisation de l'API : nous conservons la clé utilisée et le nombre d'appels par mois. Pour le score des annonces, nous ne conservons ni l'annonce ni les données du vendeur envoyées par l'entreprise.

Un magasin ou un atelier disposant d'une clé d'API peut enregistrer le vélo qu'il vous vend ou répare.

• Données envoyées par le magasin : votre e-mail, les données et le numéro de série du vélo, jusqu'à trois liens vers des photos et sa référence interne.
• Ce que nous faisons : nous vous envoyons un e-mail avec un lien personnel, à usage unique, qui expire au bout de 30 jours. Le vélo n'est ajouté à votre garage que si vous l'acceptez avec ce même e-mail. Sinon, le lien expire et le vélo n'est pas enregistré à votre nom. Nous ne conservons qu'une empreinte chiffrée (hash) du lien.
• Finalité : vous faciliter l'enregistrement proposé par le magasin et mesurer combien d'enregistrements arrivent par ce canal.
• Base légale : notre intérêt légitime et celui du magasin à vous proposer l'enregistrement (art. 6.1.f RGPD) ; si vous acceptez, l'exécution du contrat (art. 6.1.b RGPD). Le magasin doit vous informer qu'il communique vos données à destolen.

Si vous ne souhaitez pas recevoir ces invitations, écrivez à soporte@destolen.com.

• Messages au propriétaire d'un vélo : chacun peut écrire au propriétaire d'un vélo enregistré via destolen. Nous conservons le message, l'e-mail et l'IP de l'expéditeur et le transmettons au propriétaire sans révéler l'adresse de celui-ci. Base légale : l'intérêt légitime de l'expéditeur et du propriétaire à communiquer sans révéler leurs données, et le nôtre à éviter les abus (art. 6.1.f RGPD).
• Signalements de vélos trouvés : si vous nous signalez avoir trouvé un vélo, nous conservons ce que vous nous indiquez (numéro de série ou N° destolen, marque, modèle, couleur, lieu, date, description et photos), votre compte utilisateur et, si vous les indiquez, vos nom, e-mail et téléphone. S'il correspond à un vélo enregistré ou à une déclaration de vol avec Recherche, nous prévenons le propriétaire uniquement avec la marque, le modèle, la zone approximative et la date, jamais avec vos données ni votre description. Le propriétaire peut vous écrire via destolen : nous transmettons son message à l'e-mail de votre compte et vous décidez de répondre ou non et de partager ou non vos coordonnées. Aucun de vous ne voit l'e-mail de l'autre, sauf s'il choisit de le partager. Base légale : l'intérêt légitime de la personne qui trouve le vélo et du propriétaire à le restituer sans révéler leurs données, et le nôtre à éviter les abus (art. 6.1.f RGPD).
• Transferts de vélo : si vous transférez un vélo, vous nous donnez l'e-mail du destinataire. Nous lui envoyons un lien pour l'accepter, qui expire au bout de 7 jours. Base légale : l'exécution du contrat avec la personne qui transfère (art. 6.1.b RGPD) et, pour le destinataire, notre intérêt légitime à finaliser le transfert demandé (art. 6.1.f RGPD).

Pour rechercher des vélos volés, un de nos serveurs dans l'Union européenne (Hetzner, à Helsinki, Finlande) collecte régulièrement des annonces de vélos sur des portails et sites d'annonces d'occasion accessibles au public.

• Données des annonces : titre, description, prix, photos (ou leurs liens), la date, le lien et la localisation de l'annonce arrondie à environ 11 km. Nous ne conservons ni le nom, ni le pseudonyme, ni l'identifiant du vendeur sur le portail : nous les remplaçons par un code pseudonyme (une empreinte calculée avec une clé secrète que nous sommes seuls à détenir). Il s'agit d'une pseudonymisation, et non d'une anonymisation : avec cette clé et l'identifiant du portail, le code peut être relié au compte du vendeur, et l'annonce elle-même reste publique sur le portail. C'est pourquoi nous continuons à traiter ces données comme des données personnelles, avec les mêmes garanties. Durées de conservation à la section 15.
• Finalité : vérifier si un vélo en vente correspond à un vélo déclaré volé. Nous comparons les données de l'annonce (marque, modèle, couleur, numéro de série s'il apparaît…) et les photos, ces dernières avec un modèle d'intelligence artificielle d'OpenAI.
• Annonces similaires : nous calculons un pourcentage de ressemblance entre chaque annonce et le vélo (données et, si possible, photos) et montrons au propriétaire du vélo, dans son compte, les annonces qui ressemblent à son vélo : titre, photo, prix, portail, zone approximative, date et lien vers l'annonce publique, jamais de données sur le vendeur. Nous lui écrivons pour les plus ressemblantes. Elles sont le résultat d'une comparaison automatique et c'est le propriétaire qui décide. Nous ne contactons pas les vendeurs, ne publions pas leurs données et ne prenons aucune décision à leur sujet : la correspondance est un indice que le propriétaire peut apporter à la police.
• Recherche proactive de vélos déclarés volés : en plus des vélos déclarés sur destolen, nous cherchons dans ces annonces des vélos qui figurent comme volés dans des sources publiques (Bike Index, la liste des vélos volés des Mossos d'Esquadra et des sites publics de vélos volés). La comparaison est automatique : si le numéro de série d'une annonce correspond à celui d'un vélo qui figure comme volé dans ces sources (une ressemblance, pas une preuve), nous pouvons prévenir la personne qui recherche ce vélo (par l'intermédiaire de la source elle-même), la police ou le portail de l'annonce, uniquement avec le lien de l'annonce et la référence publique du vol et jamais avec des données personnelles du vendeur, que nous ne contactons pas.
• Signaux de vente : pour détecter des schémas de revente, l'équipe analyse les annonces des 90 derniers jours de chaque compte vendeur, identifié uniquement par un code pseudonyme. C'est un outil interne : il n'est montré à personne en dehors de l'équipe et ne décide rien à lui seul.
• Base légale : l'intérêt légitime (art. 6.1.f RGPD) des victimes de vol à récupérer leurs vélos et le nôtre à fournir le service, ainsi que l'intérêt général à entraver la vente de biens volés. Nous estimons que cet intérêt prévaut car nous ne traitons que des données que le vendeur a déjà rendues publiques, le strict nécessaire, sans les publier ni les communiquer, sauf au propriétaire du vélo (les annonces qui ressemblent à son vélo) et, lorsque la loi l'exige, aux autorités.
• D'où viennent les données : des portails et sites d'annonces d'occasion qui figurent dans cette liste, que nous tenons à jour.
• Vos droits en tant que vendeur : vous pouvez vous opposer à ce traitement ou exercer vos autres droits en écrivant à soporte@destolen.com avec le lien de l'annonce. Comme nous ne contactons pas les vendeurs, nous les informons par la présente politique.

Pour l’instant, nous ne surveillons que les annonces de vélos : nous ne surveillons pas les annonces de trottinettes et ne comparons pas leurs photos avec des annonces.

À partir des déclarations, des enregistrements de vélos et de sources publiques (comme les listes des Mossos d'Esquadra et de Bike Index), nous élaborons des statistiques sur les vols de vélos : marques et modèles les plus volés, zones, types de vélos, antivols et données similaires. Nous en publions certaines, comme Les vélos les plus volés et la carte des vols, et ne publions aucun chiffre portant sur moins de 10 cas, afin qu'aucun cas particulier ne puisse être reconnu.

Ces statistiques sont une part importante de notre activité : nous pouvons les partager ou les commercialiser auprès de tiers, comme des assureurs, des magasins, des fabricants ou des administrations, toujours agrégées et anonymisées, sans identifier ni permettre d'identifier quiconque. Nous ne vendons pas de données personnelles.

• Base légale : pour élaborer des statistiques anonymisées avec les données nécessaires au service, notre intérêt légitime (art. 6.1.f RGPD), finalité compatible avec celle de la collecte (art. 6.4 RGPD). Les données facultatives de votre vélo ne sont utilisées que si vous l'avez accepté (section 3).
• Les statistiques anonymisées ne sont plus des données personnelles.
• Statistiques anonymes lors de la suppression : lorsqu'une donnée arrive au terme de sa durée de conservation (section 15), nous la comptons parfois avant de la supprimer, sans rien qui permette d'identifier quiconque : les déclarations impayées ou écartées (marque, modèle, type, couleur, province et mois), les vélos des comptes supprimés pour inactivité (marque, modèle, type et province) et les vérifications de numéros de série (marque, province si elle est connue, jour et résultat). Nous ne publions pas non plus de chiffre issu de ces décomptes portant sur moins de 10 cas.

• Assistance : si vous nous écrivez, nous utilisons vos données pour vous répondre. Base légale : l'exécution du contrat ou, si vous n'êtes pas utilisateur, notre intérêt légitime à vous répondre (art. 6.1.b et 6.1.f RGPD).
• Sécurité : nous enregistrons des données techniques (IP, dates, erreurs et actions d'administration) pour protéger le service, limiter les abus et résoudre les incidents. Base légale : notre intérêt légitime (art. 6.1.f RGPD).
• Statistiques d'utilisation du site : nous comptons les visites des pages publiques et certaines étapes du service (vérifications de vélos et leur résultat, déclarations de vol commencées et payées, vélos enregistrés, formules souscrites, demandes d'entreprises et changements de langue) avec Umami, hébergé par BBRAVE SENTINEL, S.L. sur son serveur dans l'Union européenne (Hetzner, à Helsinki, Finlande). Ni cookies ni identifiants persistants. Nous ne conservons pas votre IP : elle est utilisée sur le moment pour déduire le pays, la région et la ville et pour calculer un code de visite chiffré qui change chaque jour, puis elle est supprimée. Nous n'envoyons jamais votre e-mail, votre compte, des numéros de série ni des identifiants de vélos ou de déclarations. Sont conservés la page, le domaine de provenance, le type de navigateur, de système et d'appareil, la taille de l'écran, la langue et cette localisation approximative. Si votre navigateur demande « Ne pas suivre », rien n'est envoyé. Base légale : notre intérêt légitime à savoir comment le site est utilisé pour l'améliorer (art. 6.1.f RGPD) ; vous pouvez vous y opposer en activant « Ne pas suivre ». Plus d'informations dans la Politique de cookies.

Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative. Le pourcentage de ressemblance (calculé à l'aide de l'intelligence artificielle) ne sert qu'à ordonner les annonces que nous montrons au propriétaire du vélo : il ne décide rien sur personne. C'est le propriétaire qui décide si une annonce est son vélo et, le cas échéant, s'adresse à la police ; nous ne contactons pas le vendeur et ne prenons aucune mesure à son égard. Le score de risque des annonces proposé par l'API pour les entreprises est indicatif : c'est une aide à la décision de l'entreprise, non un verdict.

• Compte : tant que vous l'avez. Si vous demandez sa suppression, nous effaçons les données, sauf celles que nous devons conserver bloquées pour respecter des obligations légales. Si vous ne l'utilisez pas pendant 3 ans, nous vous prévenons par e-mail et, si vous ne vous connectez pas dans les 30 jours suivants, nous le supprimons avec vos vélos enregistrés, leurs photos et leurs certificats. Auparavant, nous comptons vos vélos de façon anonyme (marque, modèle, type et province). Si l'un d'eux est déclaré volé, il continue d'apparaître comme volé dans le vérificateur, sans aucune donnée vous concernant.
• Vélos enregistrés, photos et certificat : tant qu'ils sont dans votre garage ou jusqu'à ce que vous les supprimiez ou supprimiez votre compte.
• Recherche : dure 30 jours à partir de son activation (30 de plus si la garantie s'applique). Le lien du traceur est supprimé à la fin de la Recherche. Les correspondances écartées par l'équipe ou marquées « ce n'était pas mon vélo » sont supprimées 90 jours après la fin de la Recherche. Le reste (la déclaration, les correspondances et leur résultat) est anonymisé 2 ans après la fin : nous retirons votre utilisateur, votre e-mail, les photos et la localisation précise ; il ne reste que la marque, le modèle, la province, les dates et le résultat.
• Correspondances notifiées sans réponse : 14 jours après l'alerte, elles sont marquées « sans réponse » (non supprimées) ; vous pouvez répondre plus tard.
• Annonces similaires : celles que vous ne marquez pas, ou que vous masquez, sont supprimées 180 jours après leur détection ; celles que vous enregistrez ou marquez « C'est mon vélo » ou récupéré, 1 an après votre marquage, et d'ici là nous conservons aussi l'annonce surveillée.
• Déclarations impayées ou écartées : elles vous sont affichées dans « Mon vol » pendant 30 jours et vous pouvez les écarter. 90 jours après leur création ou leur mise à l'écart, nous les supprimons avec leurs photos ; il ne reste qu'un décompte anonyme (marque, modèle, type, couleur, province et mois). Le vélo de votre garage n'est pas touché.
• Enregistrements par les magasins (pré-enregistrements) : le lien expire au bout de 30 jours. Si vous ne l'acceptez pas, 30 jours après son expiration (ou son annulation), nous supprimons votre e-mail, les photos, la référence du magasin et les numéros de série ; il ne reste que le magasin, la marque, le mois et le statut.
• Transferts en attente : supprimés au bout de 7 jours s'ils ne sont pas acceptés.
• Messages anonymes : ceux qui ont été lus sont supprimés au bout de 90 jours ; ceux qui ne l'ont pas été, au bout de 12 mois.
• Signalements « J'ai trouvé un vélo » : le signalement (ce que vous nous dites, vos coordonnées et les photos) est conservé tant qu'il est ouvert ; s'il ne correspond à aucun vélo, il est clôturé au bout de 180 jours. Nous le supprimons avec ses photos 180 jours après sa clôture (propriétaire prévenu, signalement écarté ou expiré) et, dans tous les cas, 360 jours après son envoi. Les messages entre le propriétaire et la personne qui a trouvé le vélo sont supprimés dans les mêmes délais, à compter du dernier message.
• Alertes à partager : lorsqu’une alerte est désactivée (par vous, quand vous récupérez le vélo ou quand la Recherche se termine), la page n’affiche plus les données du vélo et nous supprimons immédiatement la photo publiée ; 30 jours plus tard, nous supprimons le reste (l’alerte, votre consentement et les compteurs). Si vous supprimez votre compte, elles sont supprimées immédiatement.
• Demandes à l'assistance (formulaire d'aide et de contact) : votre nom, votre e-mail et votre message sont supprimés 12 mois après la dernière réponse ou modification.
• Messages de magasins et d'ateliers au sujet de votre vélo (API) : le message, votre réponse et l'e-mail du magasin sont supprimés 180 jours après le dernier message ou la dernière réponse.
• Codes d'invitation : si vous utilisez un code de votre club ou de votre groupe, nous conservons le code utilisé, la date et votre e-mail. L'e-mail est conservé tant que votre compte existe ; si vous le supprimez (ou si nous le supprimons pour inactivité), nous retirons votre e-mail et votre utilisateur de l'utilisation du code et il ne reste que la date et le code. 12 mois après l'expiration du code, nous supprimons les e-mails de toutes ses utilisations.
• Brouillons dans votre navigateur : ce que vous laissez inachevé lors d'une déclaration ou d'une souscription est supprimé automatiquement au bout de 7 jours.
• Annonces surveillées et données des vendeurs : les annonces sans correspondance sont supprimées 60 jours après la dernière fois que nous les avons vues publiées ; celles de vélos haut de gamme (prix de l'annonce, ou prix habituel de ce modèle sur le marché, de 2 000 € ou plus), 120 jours après, pour pouvoir repérer les vélos chers que l'on garde quelque temps avant de les remettre en vente plus tard ou sur un autre portail. Celles qui ont une correspondance confirmée sont conservées pendant la durée de la Recherche et 1 an de plus ; ensuite, nous supprimons le lien, le prix et les photos de l'annonce et il ne reste que le résultat et ses dates. Celles qui ont une correspondance en attente d'examen sont conservées pendant la durée de la Recherche (et au moins pendant le délai normal de 60 ou 120 jours) ; les correspondances en attente sont supprimées à la fin de la Recherche. Si la correspondance est écartée, l'annonce suit le délai normal. Si un juge, la police ou une réclamation l'exige, nous conservons une annonce bloquée aussi longtemps que nécessaire.
• Découvertes de la recherche proactive (vélos déclarés volés dans des sources publiques qui apparaissent dans une annonce, section 11) : tant qu'une découverte est en attente d'examen, ou confirmée et pas encore signalée, nous la conservons avec son annonce (aujourd'hui sans durée maximale). Si l'équipe l'écarte, nous supprimons la découverte 90 jours après l'examen et l'annonce suit son délai normal. Si nous prévenons quelqu'un, nous conservons l'annonce 1 an à compter du signalement et la découverte (avec le lien de l'annonce) 2 ans ; ensuite, nous l'anonymisons : nous retirons l'annonce et la référence du vol, et il ne reste que la source, le portail, le type de correspondance, les dates et le résultat.
• Vérificateur de numéros de série : l'adresse IP et les données du navigateur sont supprimées au bout de 90 jours. Auparavant, nous comptons chaque jour les vérifications de façon anonyme (marque, province si elle est connue, jour et résultat).
• Demandes d'entreprises (formulaire de l'API) : celles qui sont refusées ou restées sans réponse sont supprimées 12 mois après le dernier contact ou changement de statut.
• Utilisation de l'API : le journal de chaque appel, 13 mois ; le décompte mensuel par clé, 6 ans.
• Données techniques et de sécurité : journaux d'audit, 90 jours ; événements de sécurité, 12 mois ; limites d'envoi d'e-mails, 7 jours.
• Paiements et factures : 6 ans (documents commerciaux ; les documents fiscaux se prescrivent par quatre ans). Stripe conserve les données de paiement selon sa propre politique.
• Consentements : la date et la version du texte, tant que votre compte existe et 3 ans de plus.
• Statistiques anonymisées : sans limite, car ce ne sont pas des données personnelles. Nous ne publions aucun chiffre portant sur moins de 10 cas.
• Liste d'attente par pays : jusqu'à ce que nous vous annoncions que nous cherchons dans votre pays, jusqu'à ce que vous nous demandiez de vous retirer ou jusqu'à la suppression de votre compte.
• Ventes vers d'autres pays de l'UE : si nous appliquons le guichet unique de TVA, les données de ces ventes (pays, date, montant et TVA) sont conservées 10 ans, comme l'exige la réglementation européenne.

Nous ne vendons pas de données personnelles. Nous faisons appel à ces prestataires (sous-traitants), sous contrat et uniquement pour fournir le service :

• Google (Firebase et Google Cloud) : comptes (Firebase Authentication), base de données du site, photos et fichiers, hébergement web et fonctions serveur, exécutées dans la région europe-west1 (Belgique). Firebase Authentication est un service mondial de Google et peut traiter des données hors de l'Espace économique européen, aux États-Unis.
• Google Cloud Vision : recherche sur le web, depuis son point d'accès dans l'Union européenne, jusqu'à 3 photos de votre vélo lorsque vous avez une Recherche active, pour trouver les pages où elles apparaissent. Il ne reçoit que les photos du vélo, jamais vos données.
• Hetzner Online : serveur à Helsinki (Finlande) hébergeant la base de données des vélos et des annonces, la surveillance des annonces et les statistiques d'utilisation du site (Umami, que nous gérons nous-mêmes).
• Amazon Web Services (Amazon SES) : envoi des e-mails depuis la région Irlande (eu-west-1).
• OpenAI (OpenAI Ireland Ltd., avec un contrat de sous-traitance signé) : analyse et comparaison de photos de vélos et d'annonces. Les données peuvent être traitées aux États-Unis (section 17) et ne servent pas à entraîner ses modèles.
• Stripe (Stripe Payments Europe, Ltd., Irlande) : paiements et abonnements.
• ScraperAPI (États-Unis) : infrastructure de surveillance par laquelle transitent les requêtes vers les portails d'annonces.

Autres destinataires :

• Le propriétaire du vélo (avec Recherche ou Protection) voit le lien et les données publiques des annonces qui ressemblent à son vélo (titre, photo, prix, portail, zone approximative et date), jamais de données sur le vendeur.
• Les acheteurs et les entreprises qui vérifient un numéro de série ne reçoivent que ce qui est décrit aux sections 7 et 8, jamais les données du propriétaire.
• Les autorités, juges et forces de l'ordre, lorsque la loi nous y oblige ou à votre demande.
• Les tiers qui reçoivent des statistiques : uniquement des données agrégées et anonymisées (section 12).

Partage avec des tiers (Paramètres → Confidentialité). Ce sont des options désactivées par défaut, que vous pouvez modifier à tout moment ; nous conservons la date de chaque changement et la version du texte. Aucune ne communique à des tiers votre nom, votre e-mail, votre téléphone ni votre adresse : si quelqu'un veut vous contacter, c'est nous qui vous écrivons. La base légale est votre consentement (art. 6.1.a RGPD).

• Police : lorsque vous marquez une annonce « C'est mon vélo », vous pouvez télécharger dans « Mon vol » ou « Mes véhicules » un rapport pour la police avec la plainte, le numéro de série, les photos du vélo ainsi que le lien, les photos et les données de l'annonce. Vous l'avez toujours, que l'option soit activée ou non. Si vous l'activez, destolen peut transmettre ce rapport à un service de police qui le demande par écrit en citant votre plainte ; sinon, nous ne le transmettons que si une loi ou un juge nous y oblige.
• Magasins et ateliers : si un magasin ou un atelier client de l'API vérifie le numéro de série de votre vélo enregistré et non déclaré volé, nous vous prévenons par e-mail et l'API lui indique, avec une référence, qu'il peut nous demander de vous mettre en contact. Nous ne lui communiquons aucune donnée vous concernant.
• Assureurs : si un assureur client de l'API vérifie le numéro de série de votre vélo enregistré, l'API lui indique depuis quelle date il est enregistré sur destolen, sans aucune donnée vous concernant. Avec cette option activée, vous pouvez aussi inscrire vos vélos au programme d'offres des assureurs : les offres vous parviendront via destolen, jamais directement de l'assureur. Le programme n'a pas encore démarré.

Si votre vélo est déclaré volé, lorsque n'importe quelle entreprise cliente de l'API vérifie son numéro de série, l'API répond qu'il est déclaré volé (section 8) et nous vous prévenons toujours par e-mail, que les options soient activées ou non, car cela fait partie du service (art. 6.1.b RGPD). Pour les vérifications qui déclenchent un avertissement ou qu'un assureur voit, nous conservons le vélo, l'entreprise, la date et si vous avez été prévenu (jamais le numéro vérifié), afin de vous prévenir au plus une fois par jour par vélo et par entreprise et de pouvoir le justifier. Si la police nous le demande par écrit en citant votre plainte, nous pouvons lui indiquer quelle entreprise a vérifié votre vélo volé et quand.

Services externes chargés par le site : les polices de caractères sont téléchargées depuis Google Fonts et les cartes depuis OpenStreetMap. En les chargeant, votre navigateur leur transmet votre adresse IP. Ils ne déposent pas de cookies destolen (plus d'informations dans la Politique de cookies).

Certains prestataires peuvent traiter des données hors de l'Espace économique européen, principalement aux États-Unis :

• Google : Firebase Authentication (service mondial) et Google Fonts, qui reçoit votre adresse IP lorsque votre navigateur télécharge les polices.
• OpenAI : comparaison et analyse des photos de vélos et d'annonces. Nous contractons avec OpenAI Ireland Ltd., qui peut transférer les données à OpenAI OpCo, LLC (États-Unis).
• Stripe : les paiements sont gérés par Stripe Payments Europe, Ltd. (Irlande), qui peut transférer des données de paiement à Stripe, Inc. (États-Unis).
• ScraperAPI : les requêtes vers les portails et les annonces que nous téléchargeons transitent par ce prestataire.

Dans ces cas, le transfert repose sur le cadre de protection des données UE-États-Unis lorsque le prestataire y adhère et, à défaut, sur les clauses contractuelles types approuvées par la Commission européenne, avec les mesures complémentaires appropriées.

Les autres traitements ont lieu dans l'Union européenne : les fonctions serveur de Google Cloud dans la région europe-west1 (Belgique), l'envoi des e-mails avec Amazon SES en Irlande (eu-west-1) et notre serveur Hetzner à Helsinki (Finlande), avec la base de données des annonces, la surveillance et les statistiques d'utilisation. Les tuiles de cartes d'OpenStreetMap sont servies depuis le Royaume-Uni, qui bénéficie d'une décision d'adéquation de la Commission européenne.

Vous pouvez nous demander des informations sur ces garanties à soporte@destolen.com.

Vous pouvez exercer à tout moment vos droits d'accès, de rectification, d'effacement, d'opposition, de limitation du traitement et de portabilité, retirer votre consentement sans affecter les traitements antérieurs et ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé.

Comment : écrivez à soporte@destolen.com avec l'objet « Protección de datos », depuis l'e-mail de votre compte ou en indiquant comment vous identifier. Nous répondrons dans un délai d'un mois, prolongeable de deux mois pour les cas complexes ; nous vous en informerons le cas échéant.

Vous pouvez aussi corriger les données de vos vélos dans « Mes véhicules », retirer le consentement d'utilisation des données dans les Paramètres et vous désabonner des communications commerciales depuis l'e-mail lui-même.

Si vous estimez que nous n'avons pas correctement traité vos données, vous pouvez introduire une réclamation auprès de l'Agence espagnole de protection des données (www.aepd.es) ou de l'autorité de contrôle de votre pays. Nous vous remercions de nous écrire d'abord, au cas où nous pourrions résoudre le problème.

Nous appliquons des mesures techniques et organisationnelles raisonnables : connexions chiffrées (TLS), y compris entre nos serveurs et la base de données ; mots de passe gérés par Firebase Authentication ; liens à usage unique conservés uniquement sous forme d'empreinte chiffrée (hash) ; accès restreint aux données ; numéros de série masqués sur les pages publiques ; et limites d'utilisation contre les abus.

destolen ne s'adresse pas aux moins de 14 ans et nous ne collectons pas sciemment leurs données. Si vous avez moins de 14 ans, vous avez besoin du consentement de vos parents ou tuteurs. Pour souscrire des services payants, vous devez être majeur.

Nous publierons toute nouvelle version sur cette page, avec sa date de mise à jour. Si la modification est importante, nous vous en informerons par e-mail ou dans votre compte.