Politique de confidentialité

La présente politique explique comment Mondial Piece Auto traite les données personnelles des visiteurs et des clients du site www.mondial-piece-carrosserie.com, de l’espace client et de l’assistant en ligne, y compris lorsque vous vous connectez avec votre compte Google. Elle est établie conformément au règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés ».

Nous contacter au sujet de vos données

Pour toute question sur vos données ou pour exercer vos droits, utilisez le formulaire Exercer vos droits RGPD, écrivez au service client à l’adresse e-mail indiquée ci-dessus, ou adressez un courrier à Mondial Piece Auto, au siège social indiqué ci-dessus.

Les données que nous collectons

Nous collectons les données que vous nous communiquez et celles que produit votre utilisation du site :

• Compte client : civilité, prénom, nom, adresse e-mail, mot de passe (enregistré uniquement sous forme d’empreinte irréversible), numéros de téléphone, date de naissance si vous la renseignez, choix d’inscription à la newsletter ; pour un compte professionnel, raison sociale, numéro SIRET et numéro de TVA intracommunautaire.
• Adresses de livraison et de facturation, et consignes de livraison.
• Commandes : articles, montants, mode de livraison, numéros de suivi des colis, factures et avoirs, demandes de retour ou d’échange avec leur motif, photos de la pièce que vous déposez et, le cas échéant, plaque d’immatriculation du véhicule.
• Paiement : vos coordonnées bancaires sont saisies sur la page de paiement sécurisée de Paybox by Verifone. Nous ne recevons et ne conservons jamais le numéro complet de votre carte ni son cryptogramme : nous recevons seulement le résultat de la transaction (montant, numéros d’autorisation et de transaction, type de carte, informations 3-D Secure).
• Échanges avec nous : messages adressés au service client (e-mail, téléphone, formulaire de l’espace client) et demandes d’exercice de vos droits.
• Assistant en ligne : messages que vous rédigez et état de la conversation (voir « Assistant en ligne »).
• Navigation : adresse IP et informations techniques du navigateur (journaux du serveur, protection contre les robots), identifiant de visiteur qui conserve votre panier, vos véhicules enregistrés et vos pièces favorites, historique des pièces consultées, recherches effectuées sur le site, choix exprimés dans le bandeau cookies et, seulement avec votre accord, mesure d’audience et publicité (voir « Cookies et traceurs »).
• Données reçues de Google, si vous choisissez « S’inscrire avec Google » ou « Continuer avec Google » (voir « Connexion avec Google »).

Les champs obligatoires sont signalés dans chaque formulaire : sans eux, nous ne pouvons pas créer votre compte ni traiter votre commande.

Pourquoi nous utilisons vos données et sur quelle base

Connexion avec Google

Vous pouvez créer votre compte ou vous connecter avec votre compte Google grâce aux boutons « S’inscrire avec Google » et « Continuer avec Google ». Cette section décrit les données que nous recevons alors de Google et l’usage que nous en faisons. Vous pouvez aussi créer un compte avec votre seule adresse e-mail.

Données que nous recevons de Google

• À chaque connexion (autorisations de base « openid », « email » et « profile ») : l’identifiant de votre compte Google, votre adresse e-mail et l’indication qu’elle est vérifiée par Google, votre prénom, votre nom et l’adresse de votre photo de profil.
• Uniquement si nous vous les demandons et que vous les acceptez, une par une, sur l’écran de consentement de Google : votre adresse postale, votre date de naissance, vos numéros de téléphone et votre genre (qui sert à préremplir la civilité), lus en lecture seule par l’API Google People au moment de la connexion. Vous pouvez refuser chacune de ces autorisations : la connexion fonctionne sans elles.

Nous n’accédons à aucune autre donnée de votre compte Google : ni à vos contacts, ni à vos e-mails, ni à vos fichiers, ni à votre agenda.

Utilisation de ces données

Les données reçues de Google servent exclusivement à :

• créer votre compte client ou le retrouver, puis vous connecter. Un compte existant n’est relié à votre compte Google que si Google atteste que votre adresse e-mail est vérifiée ;
• préremplir les informations encore vides de votre compte (prénom, nom, civilité, date de naissance, téléphone) et, si vous n’en avez aucune, une adresse de livraison et de facturation, pour que vous n’ayez rien à ressaisir au moment de commander. Nous ne remplaçons jamais une information que vous avez saisie, et vous pouvez tout modifier dans « Mes informations » et « Mes adresses » ;
• afficher votre photo de profil dans votre espace client : elle est chargée depuis les serveurs de Google, nous n’en gardons pas de copie.

Les données reçues de Google ne sont jamais vendues ni louées. Elles ne servent ni à la publicité, ni au profilage publicitaire, ni à l’entraînement de modèles d’intelligence artificielle. Seules les personnes habilitées de Mondial Piece Auto y accèdent, pour traiter vos commandes et vos demandes, assurer la sécurité du site ou respecter une obligation légale.

Partage

Nous ne transmettons les données issues de Google qu’aux destinataires nécessaires au service que vous nous demandez :

• quand vous passez commande, vos nom, adresse de livraison, téléphone et adresse e-mail sont transmis au transporteur choisi (La Poste – Colissimo ou GEODIS) et à notre prestataire logistique pour préparer et livrer votre colis ; votre adresse e-mail et votre adresse de facturation sont transmises à Paybox by Verifone, qui les exige pour l’authentification 3-D Secure de votre paiement ;
• nos prestataires techniques les traitent pour notre compte, sans pouvoir les utiliser pour eux-mêmes : Infomaniak héberge la base de données, Resend achemine les e-mails que nous vous adressons (confirmation de commande, facture…), Cloudflare protège et achemine le trafic du site, et Laravel Nightwatch peut voir l’identifiant et l’adresse e-mail du client connecté dans les rapports techniques d’erreur et de performance ;
• les autorités administratives ou judiciaires, uniquement sur réquisition légale.

Aucune donnée d’un compte relié à Google n’est transmise à Google Ads ni à aucune autre régie publicitaire, même si vous acceptez les cookies marketing : la mesure des conversions ne reçoit alors que le montant et le contenu de la commande, jamais vos coordonnées.

Stockage et protection

• Les données sont enregistrées dans notre base de données, hébergée par Infomaniak en Suisse. Elles circulent uniquement de façon chiffrée (HTTPS/TLS), entre votre navigateur et le site comme entre le site et Google.
• L’accès est réservé aux collaborateurs habilités de Mondial Piece Auto, chacun limité aux fonctions de son rôle.
• Le jeton d’accès délivré par Google n’est utilisé qu’au moment de la connexion, pour lire les autorisations facultatives que vous avez accordées ; il n’est jamais enregistré. Nous ne demandons pas d’accès hors ligne à votre compte Google : aucun jeton d’actualisation n’est obtenu ni conservé, et nous ne lisons rien chez Google entre deux connexions.

Conservation et suppression

• Les données reçues de Google sont conservées tant que votre compte existe ; une information que vous modifiez remplace celle reçue de Google.
• Vous pouvez demander à tout moment la suppression de votre compte et de vos données par le formulaire Exercer vos droits RGPD (« Droit à l’effacement ») ou en écrivant au service client ; votre espace client, rubrique Vie privée & RGPD, vous permet aussi de télécharger vos données et de suivre vos demandes. Nous y donnons suite dans un délai d’un mois au plus. Seules les données de commande et de facturation que la loi nous impose de garder sont alors archivées, avec un accès restreint, jusqu’à la fin de la durée légale (voir « Durées de conservation »).
• Vous pouvez retirer à tout moment l’accès de Mondial Pièce Carrosserie à votre compte Google depuis la page Applications et services tiers de votre compte Google : nous ne recevons alors plus aucune donnée de Google. Vous pouvez continuer à vous connecter avec votre adresse e-mail en demandant un nouveau mot de passe.

Utilisation limitée

L’utilisation et le transfert à toute autre application, par Mondial Pièce Carrosserie, des informations reçues des API Google respectent les Règles relatives aux données utilisateur des services d’API Google, y compris les exigences d’utilisation limitée.

Assistant en ligne

L’assistant conversationnel du site vous aide à trouver une pièce et à suivre vos commandes, livraisons et retours. Il a une finalité exclusive d’assistance et d’information : il ne réalise aucune action à votre place et ne prend aucune décision automatisée produisant des effets juridiques.

• Données traitées : le contenu des messages que vous rédigez, l’état de la conversation et, uniquement pour un client qui interroge ses propres commandes (connecté, ou après vérification par un code envoyé à son adresse e-mail), la référence, l’état et le suivi de ces commandes. Ne communiquez jamais de mot de passe, de numéro de carte bancaire ni de document d’identité dans la conversation.
• Sous-traitant : les réponses sont générées par Anthropic, PBC (États-Unis), agissant en qualité de sous-traitant. Le transfert est encadré par les clauses contractuelles types de la Commission européenne prévues par son accord de traitement des données. Les conversations ne sont pas utilisées pour entraîner ses modèles.
• Sécurité et conservation : les transcriptions sont chiffrées en base, accessibles uniquement à un personnel restreint disposant d’une habilitation dédiée, et supprimées définitivement au bout de 14 jours. Le contexte actif de conversation expire après 30 minutes d’inactivité.
• Effacement immédiat : le bouton « Effacer cette conversation » du widget supprime immédiatement la conversation active et sa transcription.

Destinataires et sous-traitants

Vos données sont traitées par les services habilités de Mondial Piece Auto (service client, préparation des commandes, comptabilité). Elles ne sont jamais vendues ni louées. Nous faisons appel aux prestataires suivants, qui n’accèdent qu’aux données nécessaires à leur mission :

Pour les comptes professionnels, le numéro SIRET que vous saisissez est recherché dans l’annuaire public des entreprises de l’État (API Recherche d’entreprises) afin de préremplir la raison sociale, et votre numéro de TVA intracommunautaire est contrôlé auprès du service VIES de la Commission européenne. Lorsque vous choisissez un mot de passe, nous vérifions qu’il n’apparaît pas dans une fuite de données connue grâce au service Have I Been Pwned : seuls les cinq premiers caractères de son empreinte sont transmis, jamais le mot de passe.

Vos données peuvent enfin être communiquées aux autorités administratives ou judiciaires sur réquisition légale, et à nos conseils (avocat, expert-comptable) tenus au secret professionnel.

Transferts hors de l’Union européenne

Notre hébergeur, Infomaniak, est établi en Suisse, pays reconnu par la Commission européenne comme assurant un niveau de protection adéquat. Certains prestataires sont établis aux États-Unis (Cloudflare, Resend, Anthropic, Laravel, Google, Microsoft) : ces transferts reposent sur la décision d’adéquation relative au cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le prestataire y a adhéré et, à défaut, sur les clauses contractuelles types adoptées par la Commission européenne, complétées par des mesures de sécurité telles que le chiffrement des données en transit. Vous pouvez obtenir une copie de ces garanties en nous écrivant.

Durées de conservation

Sécurité

• Toutes les pages du site sont servies en HTTPS.
• Les mots de passe sont enregistrés sous forme d’empreinte irréversible, et un mot de passe apparu dans une fuite de données connue est refusé.
• Les formulaires sensibles sont protégés contre les robots (Cloudflare Turnstile) et les tentatives répétées de connexion sont limitées.
• L’espace d’administration est réservé aux collaborateurs habilités, qui s’y connectent avec un identifiant personnel ou une clé d’accès (passkey), et chacun n’accède qu’aux fonctions de son rôle.
• Les transcriptions de l’assistant sont chiffrées en base ; les factures et les photos de retour sont conservées dans des espaces privés du serveur, jamais publiés.
• Vos données de carte bancaire ne transitent jamais par nos serveurs.

Cookies et traceurs

Lors de votre première visite, un bandeau vous permet d’accepter, de refuser ou de choisir catégorie par catégorie les cookies non indispensables ; refuser est aussi simple qu’accepter. Vous pouvez changer d’avis à tout moment avec le bouton « Paramètres cookies » en bas de chaque page.

• Cookies indispensables, déposés sans consentement : session et connexion (dont le cookie « se souvenir de moi », valable 400 jours, déposé si vous cochez la case correspondante ou vous connectez avec Google), protection contre la falsification de requêtes (XSRF-TOKEN), mémorisation de vos choix de cookies (cc_cookie, 6 mois), identifiant de visiteur qui conserve votre panier, vos véhicules et vos favoris (mpa_visitor_id, 1 an), protection anti-robots de Cloudflare (__cf_bm et cf_clearance, 30 minutes).
• Mesure d’audience, avec votre accord : Google Analytics (_ga, 2 ans ; _gid, 24 heures) et PostHog (pages vues, rattachées à un identifiant pseudonyme).
• Marketing, avec votre accord : Google Ads (_gcl_au, 90 jours ; IDE, 13 mois) et Microsoft Advertising, chargés par Google Tag Manager.

Les polices de caractères du site sont chargées depuis les serveurs de Google Fonts et, sur les pages de connexion et d’inscription, de Bunny Fonts, qui reçoivent à cette occasion l’adresse IP de votre appareil, sans déposer de cookie.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, d’opposition (y compris, à tout moment et sans motif, aux rappels de panier et aux suggestions de pièces), de portabilité, du droit de retirer votre consentement à tout moment et du droit de définir des directives relatives au sort de vos données après votre décès. Pour les exercer :

• depuis votre espace client : « Mes informations » et « Mes adresses » pour corriger vos données, « Vie privée & RGPD » pour télécharger une copie de vos données, consulter l’historique de vos choix de cookies et suivre vos demandes ;
• par le formulaire Exercer vos droits RGPD, accessible sans compte : votre demande est confirmée par un lien envoyé à votre adresse e-mail ;
• par e-mail au service client ou par courrier au siège social.

Nous répondons dans un délai d’un mois, qui peut être prolongé de deux mois pour une demande complexe ; nous vous en informons alors. En cas de doute raisonnable sur votre identité, nous pouvons vous demander de la justifier.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

Vous pouvez aussi vous inscrire gratuitement sur la liste d’opposition au démarchage téléphonique Bloctel (bloctel.gouv.fr).

Modifications de cette politique

Cette politique peut évoluer, notamment pour suivre l’évolution du site ou de la réglementation. La date de sa dernière mise à jour figure en haut de la page ; en cas de changement important, nous vous en informons sur le site ou par e-mail.

Summary for Google reviewers: Google user data