Cette politique explique quelles données personnelles Torqua traite en tant que responsable du traitement, dans quel but, sur quelle base et pendant combien de temps. Les données qu’un garage conserve sur SES clients (fiches, véhicules, rendez-vous, factures…) sont traitées par Torqua pour le compte de ce garage : le responsable est le garage, et elles sont régies par l’Accord de sous-traitance. Si vous êtes client d’un garage et souhaitez exercer vos droits sur ces données, adressez-vous au garage ; si vous nous écrivez, nous lui transmettrons votre demande.
1. Responsable du traitement
- Titulaire : Roberto Joao Tiron Tiron — NIF 43945647F
- Siège : Calle Luis Alberdi 11 8E, 09007, Burgos, Espana
- E-mail pour la confidentialité : info@torqua.app
- Délégué à la protection des données : il n’y en a pas. Ce n’est pas obligatoire pour Torqua : il ne fait partie d’aucune des entités énumérées à l’article 34 de la loi organique espagnole 3/2018 et ne traite pas à grande échelle de catégories particulières de données (art. 37 RGPD). Toute question est à adresser à l’e-mail de confidentialité.
2. Quelles données nous traitons, pourquoi et sur quelle base
| Qui | Quelles données | Pourquoi | Base légale (RGPD art. 6) |
|---|---|---|---|
| Les personnes qui travaillent dans un garage (gérant, accueil, mécaniciens) | Nom, e-mail, mot de passe (chiffré, jamais en clair), photo si elle est ajoutée, langue, rôle, second facteur s’il est activé | Leur donner accès au panneau et aux fonctions de leur rôle | Exécution du contrat avec le garage (6.1.b) et son intérêt légitime à ce que son équipe puisse travailler (6.1.f) |
| Le garage en tant que client de Torqua | Raison sociale, NIF, adresse, e-mail et données de l’abonnement | Encaisser l’abonnement et émettre les factures | Contrat (6.1.b) et obligation légale (6.1.c) |
| Le garage en tant que client de Torqua | Carte ou autre moyen de paiement | Encaisser | Contrat (6.1.b). Les données de la carte sont reçues directement par Stripe ; Torqua ne les voit pas et ne les conserve pas, seulement la marque, les quatre derniers chiffres et la date d’expiration |
| Les personnes ayant un compte sur le portail (My Torqua) | E-mail, nom, mot de passe (chiffré) ou compte Google/Microsoft, photo de profil si elle est ajoutée, langue | Leur permettre de se connecter et de consulter leur historique avec chaque garage dont elles sont clientes | Contrat (6.1.b) : les conditions acceptées lors de la création du compte |
| Toute personne qui utilise le service | Adresse IP, navigateur, date et heure des connexions et des actions de suppression et d’assistance | Sécurité : détecter les accès indus, prévenir des nouvelles connexions, freiner les abus et reconstituer ce qui s’est passé en cas d’incident | Intérêt légitime à la sécurité du service (6.1.f ; considérant 49) |
| Les personnes qui écrivent à Torqua | Ce qu’elles nous disent et leur e-mail | Répondre | Intérêt légitime (6.1.f) ou, s’il s’agit déjà d’un client, le contrat |
| Les personnes qui utilisent l’Assistant IA du panneau | Ce qu’elles lui demandent et ce qu’il répond | Permettre de le consulter à nouveau et à l’administrateur du garage de voir ce qui a été fait avec | Contrat avec le garage (6.1.b) et intérêt légitime à pouvoir vérifier ce qu’a fait un outil automatique (6.1.f) |
| Les personnes qui répondent STOP à un WhatsApp de Torqua | Leur numéro de mobile et la date de la demande | Ne plus leur envoyer d’avis d’aucun garage, car le numéro d’envoi est le même pour tous | Obligation de respecter leur opposition (6.1.c, art. 21) |
| Les personnes qui acceptent ces conditions ou celles du portail | Quelle version a été acceptée, quand et depuis quelle adresse IP | Pouvoir prouver ce qui a été accepté en cas de désaccord | Obligation de le démontrer (6.1.c, art. 7.1) et intérêt légitime à se défendre (6.1.f) |
Nous ne faisons pas de profilage commercial, nous ne vendons pas de données et il n’y a pas de publicité dans le produit. Il n’y a pas d’outil d’analyse tiers sur le site ni dans le panneau.
Aucune décision produisant des effets juridiques n’est prise de manière automatisée (art. 22 RGPD). L’Assistant IA du panneau se contente de proposer, et une personne du garage confirme. Si un garage active la réponse automatique WhatsApp, ces réponses sont identifiées comme rédigées par une IA (art. 50 du Règlement européen sur l’intelligence artificielle) et ne décident rien vous concernant : pour tout ce qui compte, le garage vous répond en personne.
3. Le compte du portail et les garages
Le compte du portail est unique pour tous les garages, mais chaque garage ne voit que ce que son client a avec lui. Créer le compte ne donne à aucun garage accès à vos données : le lien avec un garage n’est créé que lorsqu’il existe une relation réelle (vous demandez un rendez-vous, ou le garage vous avait déjà comme client avec ce même e-mail). L’historique avec un garage ne se mélange jamais avec celui d’un autre.
Vos avis, garage par garage. Depuis la page de chaque garage dans votre portail, vous pouvez donner ou retirer l’autorisation qu’il vous prévienne par WhatsApp et cesser de recevoir les rappels de contrôle technique (ITV) et d’entretien. Chaque rappel contient en outre un lien pour vous désabonner sans vous connecter. Les avis concernant vos rendez-vous, devis et factures ne peuvent pas être désactivés tant que vous avez quelque chose en cours avec ce garage : ils font partie du service que vous lui avez demandé.
Si vous répondez STOP à un WhatsApp de Torqua, vous cesserez de les recevoir de tous les garages, car le numéro est le même. Pour les recevoir de nouveau, répondez dans cette même conversation.
4. Pendant combien de temps
| Quoi | Combien de temps |
|---|---|
| Comptes du panneau et du portail | Tant qu’ils sont actifs. Lorsqu’ils sont supprimés, ils sont effacés |
| Données d’un garage qui résilie ou est supprimé | 30 jours de délai de grâce pour changer d’avis ; ensuite, elles sont effacées |
| Sauvegardes | 30 jours ; elles sont chiffrées |
| Journaux de connexion, d’accès du support et d’audit | 24 mois |
| Journaux techniques | 12 mois |
| Avis et notifications déjà envoyés | 90 jours |
| Conversations avec l’Assistant IA | 90 jours |
| Numéros ayant demandé STOP sur WhatsApp | Tant qu’ils ne demandent pas à les recevoir de nouveau |
| Liens à usage unique expirés (récupération du mot de passe, invitations, validations) | 30 jours après leur expiration |
| Factures que Torqua émet au garage | 6 ans (Code de commerce espagnol, art. 30), bloquées : utilisées uniquement si le garage ou une autorité les demande |
| Registre des conditions acceptées | Pendant toute la relation et 6 ans de plus, c’est-à-dire le délai possible pour une réclamation |
5. Avec qui elles sont partagées
Uniquement avec les prestataires nécessaires pour fournir le service. Presque tous traitent les données pour le compte de Torqua, avec leur contrat de sous-traitance. Stripe, Google et Microsoft sont responsables de traitement pour leur propre compte pour ce qui les concerne : Stripe, pour l’encaissement et la prévention de la fraude ; Google et Microsoft, pour la connexion avec leur compte, si vous la choisissez.
| Prestataire | Pour quoi | Où |
|---|---|---|
| Supabase | Base de données, connexion et stockage des photos | UE (Allemagne) |
| Render | Serveur de l’application | UE (Francfort) |
| Cloudflare | Hébergement des sites, réseau de diffusion, vérification anti-robots (Turnstile) et sauvegardes chiffrées | Réseau mondial ; les sauvegardes, dans l’UE |
| Stripe | Encaissement de l’abonnement et des recharges du solde | UE (Irlande) / États-Unis |
| Resend | Envoi des e-mails | États-Unis |
| GitHub | Sauvegardes chiffrées | États-Unis |
| Sentry (Functional Software) | Journal des erreurs de l’application, pour les corriger. Il reçoit l’erreur sans les données de la personne : e-mails, immatriculations, téléphones, pièces d’identité et adresses IP sont masqués avant l’envoi | UE (Allemagne) |
| Anthropic | Assistant IA du panneau, brouillons de réponse aux WhatsApp des clients et traduction du site du garage, uniquement si le garage les a activés. Il ne s’entraîne pas sur ces données et les efface sous 30 jours | États-Unis |
| Meta Platforms (WhatsApp) | Avis par WhatsApp aux personnes qui ont donné leur autorisation, et messages que ces personnes écrivent à ce numéro. Il agit en tant que sous-traitant, conserve les messages 30 jours au maximum et ne les utilise pas à des fins publicitaires | UE / États-Unis |
| APIVehículo | Fiche technique du véhicule à partir de l’immatriculation ; il reçoit uniquement l’immatriculation, sans nom ni aucune autre donnée de la personne | Espagne |
| NHTSA (vPIC, administration des États-Unis) | Décoder un numéro de châssis (VIN) hors d’Espagne et du Portugal ; c’est un service public et ouvert qui reçoit uniquement le VIN, sans aucune autre donnée | États-Unis |
| Google, Microsoft | Connexion avec leur compte, uniquement si la personne le choisit | États-Unis |
Lorsqu’un prestataire traite des données hors de l’Espace économique européen, le transfert est encadré par une garantie :
- Cadre de protection des données UE–États-Unis (Décision (UE) 2023/1795) : Cloudflare, Resend, GitHub, Stripe, Google et Microsoft.
- Clauses contractuelles types de la Commission (Décision (UE) 2021/914) : Supabase, Render, Anthropic et Sentry.
- L’avenant de Meta relatif aux transferts depuis la Région européenne, pour WhatsApp.
La base de données et le serveur de l’application se trouvent dans l’Union européenne.
En outre, lorsque la loi l’exige : à l’Agence fiscale espagnole (les factures du garage lui sont transmises via VERI*FACTU, car c’est une obligation du garage, non de Torqua), aux juges et aux autorités.
6. Vos droits
Vous pouvez demander l’accès, la rectification, l’effacement, l’opposition, la limitation du traitement et la portabilité en écrivant à info@torqua.app. Nous répondrons dans le délai d’un mois fixé par le RGPD, prolongeable de deux mois si la demande est complexe, en vous en informant. Si vous n’êtes pas satisfait, vous pouvez introduire une réclamation auprès de l’autorité de votre pays : en Espagne, l’Agencia Española de Protección de Datos (www.aepd.es) ; au Portugal, la Comissão Nacional de Proteção de Dados (www.cnpd.pt).
Une partie peut se faire depuis le produit lui-même : modifier vos données et votre photo, supprimer votre compte du portail depuis le portail, ou télécharger les clients et le stock du garage. Si vous travaillez dans un garage et souhaitez supprimer votre compte du panneau, demandez-le à son administrateur ou écrivez-nous.
Ce qui peut être supprimé et ce qui ne peut pas l’être
Presque tout est réellement supprimé. Ce qui ne l’est pas, et pourquoi :
- Les factures et leurs enregistrements fiscaux : la loi oblige à les conserver (six ans en Espagne, dix au Portugal). Elles restent bloquées et le droit à l’effacement ne s’y applique pas (art. 17.3.b RGPD).
- Ce qui est déjà sorti de Torqua : un e-mail ou un WhatsApp que vous avez déjà reçu, ou un enregistrement déjà transmis à l’Agence fiscale espagnole.
- Ce que Stripe conserve d’un paiement : il est responsable pour son propre compte et a ses propres obligations.
- Votre numéro, si vous avez demandé la désinscription (BAJA) de WhatsApp : c’est la seule chose qui empêche de vous écrire de nouveau. Il est supprimé si vous demandez la réinscription (ALTA).
- Les sauvegardes : elles ne se modifient pas une par une ; ce qui a été supprimé en disparaît à leur expiration, sous 30 jours.
7. Sécurité
Les données circulent chiffrées (TLS) et sont stockées chiffrées au repos. Chaque garage est isolé des autres dans la base de données elle-même, et pas seulement dans l’application. Les mots de passe ne sont pas stockés en clair, l’accès d’administration admet un second facteur et l’accès de l’équipe de support à un garage est journalisé.
8. Modifications
Si cette politique change d’une manière qui vous concerne, nous vous en informerons à l’avance par e-mail ou dans le produit.