Conformité RGPD

Permolib est conçu pour aider les auto-écoles françaises à respecter leurs obligations RGPD lorsqu'elles traitent des données personnelles de prospects et d'élèves. Cette page récapitule notre engagement et les outils que nous mettons à votre disposition.

1. Rôles

Lorsque vous utilisez Permolib pour gérer vos prospects et élèves, vous êtes le responsable du traitement de ces données. Permolib agit en tant que sous-traitant au sens de l'article 28 du RGPD : nous traitons les données pour votre compte, selon vos instructions documentées dans nos conditions d'utilisation.

Pour les données que nous collectons en propre (votre compte, votre facturation Permolib, les visiteurs du site permolib.fr), nous sommes responsables du traitement — voir la politique de confidentialité.

2. Hébergement et localisation des données

• Hébergement principal : OVH, Roubaix (France)
• Sauvegardes : France, chiffrées au repos
• Aucune réplication hors Union européenne sans encadrement contractuel (CCT)

3. Sécurité

• Chiffrement HTTPS / TLS pour tous les échanges
• Chiffrement au repos des bases de données et sauvegardes
• Authentification forte (mot de passe + session signée)
• Journaux d'audit des accès administrateur
• Sauvegardes quotidiennes avec rétention de 30 jours
• Mises à jour de sécurité appliquées sous 7 jours pour les vulnérabilités critiques
• Cloisonnement des données par compte (multi-tenant strict)

4. Sous-traitants ultérieurs

Pour fournir le service, Permolib s'appuie sur les sous-traitants suivants. Tout changement vous sera notifié au moins 30 jours avant prise d'effet, avec possibilité de s'opposer.

• OVH (France) — hébergement et sauvegardes
• Stripe Payments Europe (Irlande) — paiements
• Twilio Ireland (Irlande) — téléphonie et SMS
• Postmark / ActiveCampaign — emails transactionnels et marketing
• Google Workspace (Irlande / États-Unis, CCT) — bureautique interne

5. Durées de conservation

• Données métier (prospects, élèves, leçons) : tant que le compte est actif
• Après résiliation : 30 jours pour export, puis suppression définitive
• Données comptables et factures : 10 ans (obligation légale)
• Logs techniques et de sécurité : 12 mois maximum

6. Droits des personnes concernées

En tant qu'auto-école cliente, vous restez le point de contact des prospects et élèves dont vous traitez les données. Permolib vous fournit les outils pour répondre aux demandes :

• Export CSV complet (droit à la portabilité)
• Suppression d'une fiche en un clic (droit à l'effacement)
• Modification d'une fiche (droit de rectification)
• Historique des consentements (relances SMS/email)

Si une demande nous parvient directement, nous la transférons à votre auto-école sous 72 heures.

7. Notification des violations

En cas de violation de données personnelles susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Permolib vous notifie sans délai injustifié, et au plus tard 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD.

8. Accord de traitement (DPA)

Un accord de traitement de données (Data Processing Agreement) conforme à l'article 28 du RGPD est disponible sur simple demande à [email protected]. Il complète vos conditions d'utilisation et formalise nos engagements en tant que sous-traitant.

9. Registre des traitements

Un registre des traitements interne est tenu et mis à jour conformément à l'article 30 du RGPD. Il peut être communiqué sur demande motivée, notamment dans le cadre d'un audit client ou d'un contrôle CNIL.

10. Contact

Pour toute question relative à la protection des données ou à la conformité RGPD : [email protected].

Vous pouvez également introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris).