Informations légales
Politique de confidentialité
Ce document explique quelles données personnelles sont traitées par Ocular, pour quelles finalités, pendant combien de temps, et comment exercer vos droits. Il est rédigé en application des articles 13 et 14 du règlement général sur la protection des données (RGPD).
Dernière mise à jour : 16 octobre 2026
1. Qui traite vos données, et à quel titre
Ocular est un logiciel de gestion destiné aux loueurs de véhicules. Cette distinction commande tout le reste du document, car nous n'intervenons pas au même titre selon les données concernées :
- Données des agences utilisatrices (création de compte, facturation de l'abonnement, support, navigation sur le site public) : nous en sommes responsable de traitement. C'est nous qui décidons des finalités, et c'est à nous que vous adressez vos demandes.
- Données des locataires et conducteurs saisies dans l'outil par une agence (fiches clients, pièces d'identité, réservations, états des lieux, photographies, signatures) : nous en sommes sous-traitant au sens de l'article 28 du RGPD. L'agence qui vous loue un véhicule est responsable de traitement ; nous n'agissons que sur ses instructions et n'exploitons jamais ces données pour notre propre compte.
Vous êtes locataire et vous voulez exercer un droit (accès, effacement…) sur des données saisies par une agence ? Adressez-vous à cette agence : c'est elle qui décide, nous ne pouvons pas modifier ni supprimer ses données à sa place. Si vous ne parvenez pas à l'identifier, écrivez-nous à hello@ocular.fr et nous vous réorienterons.
Responsable de traitement : Amine El Hankouri, entrepreneur individuel exerçant sous les noms commerciaux Oyma et Ocular, 16 boulevard de la Charité, 14000 Caen, France (SIREN 941 562 845). Contact pour toute question relative aux données personnelles : hello@ocular.fr.
2. Données traitées et bases légales
En tant que responsable de traitement, nous traitons les catégories de données suivantes :
| Données | Finalité | Base légale |
|---|---|---|
| Identité et coordonnées professionnelles (nom, email, agence, rôle) | Création et gestion du compte, authentification par code à usage unique envoyé par email, invitations d'équipe | Exécution du contrat (art. 6.1.b) |
| Données de facturation de l'abonnement | Encaissement, comptabilité, obligations fiscales | Exécution du contrat (art. 6.1.b) et obligation légale (art. 6.1.c) |
| Journaux techniques : adresse IP, agent utilisateur, horodatages | Sécurité du service, limitation du débit des requêtes, détection d'abus, preuve des actes signés | Intérêt légitime (art. 6.1.f) : protéger le service et ses utilisateurs |
| Signaux techniques du navigateur analysés par le captcha (Cloudflare Turnstile) au moment de demander un code de connexion | Distinguer un humain d'un robot, empêcher la création de comptes en masse et l'épuisement des envois d'emails | Intérêt légitime (art. 6.1.f) : sécurité de l'authentification |
| Échanges avec le support | Répondre à vos demandes | Intérêt légitime (art. 6.1.f) |
Nous ne procédons à aucune vente de données, à aucun profilage publicitaire et à aucune décision entièrement automatisée produisant des effets juridiques à votre égard. L'aide à la décision anti-fraude décrite à la section 3 produit des suggestions : la décision revient toujours à un membre de l'agence.
3. Traitements spécifiques du produit
Cinq fonctionnalités méritent une explication détaillée, parce qu'elles touchent à des données sensibles au sens courant du terme. Elles sont mises en œuvre pour le compte de l'agence utilisatrice, qui en reste responsable. Les locataires trouveront une notice qui leur est dédiée sur la page vos données de locataire.
Géolocalisation des états des lieux. Un point GPS unique peut être apposé sur un état des lieux, au moment de la signature, pour renforcer sa valeur probante en cas de litige. Le relevé n'est jamais automatique : il exige un clic explicite, l'information est affichée avant la demande d'autorisation du navigateur, et le refus n'invalide ni l'état des lieux ni le contrat. Les coordonnées sont arrondies, un seul point est relevé, jamais de trajectoire.
Fonctionnement hors connexion. L'application terrain conserve sur l'appareil de l'agent la tournée du jour et les états des lieux en attente d'envoi (photographies, signature manuscrite), afin de permettre le travail en zone blanche. Ces données restent locales à l'appareil, ne sont partagées avec aucun tiers, et sont purgées dès la synchronisation réussie — au plus tard après sept jours pour un brouillon resté orphelin. Aucun état des lieux ne peut être finalisé hors connexion.
Notifications push. Un agent peut s'abonner aux notifications de sa tournée. L'abonnement est facultatif, révocable à tout moment, et le contenu des notifications est volontairement pauvre : il annonce la nature d'un événement, jamais une donnée nominative ou sensible, le détail n'étant consultable qu'après ouverture de l'application.
Analyse par intelligence artificielle. Deux fonctions font appel au modèle Claude d'Anthropic : la comparaison des photographies d'états des lieux pour signaler des dommages apparus pendant la location, et la lecture d'une pièce d'identité pour pré-remplir une fiche client. Dans les deux cas, l'agent conserve la décision : le résultat est proposé, relu et confirmé champ par champ, aucun blocage ni refus de location n'en découle automatiquement. Le résultat de la lecture d'une pièce d'identité n'est pas conservé par Ocular ; il sert à remplir des champs, puis est écarté. Les images transmises ne servent pas à entraîner les modèles d'Anthropic, qui les supprime de ses systèmes dans un délai de trente jours, sauf obligation légale ou détection d'un usage abusif.
Aide à la décision anti-fraude et liste d'exclusion. À chaque réservation, des règles fixes et explicables — sans intelligence artificielle — relèvent des signaux de vigilance (réservation de dernière minute d'un véhicule haut de gamme, absence d'historique, paiements échoués, email jetable, coordonnées incohérentes, pièce non renseignée ou expirée) et suggèrent un montant de caution modulé. L'agence peut aussi inscrire un locataire sur sa propre liste d'exclusion après un manquement constaté. Les décisions sont toujours prises par un membre de l'agence ; la liste n'est jamais partagée entre agences ; les inscriptions expirent automatiquement (cinq ans au plus, durée réglée par l'agence) et sont supprimées douze mois après leur levée. Ce traitement relève de la liste des traitements soumis à analyse d'impact établie par la CNIL : l'agence qui l'utilise réalise cette analyse, sur la base du modèle que nous lui fournissons.
4. Destinataires et sous-traitants
Vos données sont accessibles aux seules personnes habilitées de votre agence, chaque agence étant cloisonnée des autres au niveau de la base de données. Nos engagements de sous-traitant envers les agences sont détaillés dans l'accord de sous-traitance. Nous faisons appel aux sous-traitants suivants, tous liés par un accord de traitement des données :
| Sous-traitant | Rôle | Localisation du traitement |
|---|---|---|
| Supabase Pte. Ltd. | Base de données, authentification, stockage des photographies et documents | Irlande (région eu-west-1) ; société établie à Singapour |
| Vercel Inc. | Hébergement de l'application web | France (région cdg1, Paris) ; société établie aux États-Unis |
| Anthropic PBC | Analyse d'images : comparaison des états des lieux, lecture des pièces d'identité | États-Unis |
| Stripe Payments Europe, Limited (groupe Stripe, Inc.) | Paiements en ligne et empreintes de caution ; les données de carte ne transitent jamais par nos serveurs | Union européenne (Irlande), avec accès du groupe aux États-Unis |
| Resend, Inc. | Acheminement des emails transactionnels (devis, factures, liens de signature) | Union européenne et États-Unis |
| Upstash, Inc. | Limitation du débit des requêtes (compteurs techniques, sans donnée nominative) | Union européenne |
| Cloudflare, Inc. | Captcha Turnstile devant l'envoi du code de connexion : analyse de signaux techniques du navigateur et de l'adresse IP pour écarter les robots, sans cookie publicitaire | Réseau mondial de Cloudflare, dont les États-Unis |
| Apple, Google, Mozilla | Distribution technique des notifications push, chiffrées de bout en bout | Selon le navigateur du destinataire |
En dehors de ces sous-traitants, aucune donnée n'est communiquée à un tiers, sauf réquisition d'une autorité judiciaire ou administrative légalement habilitée.
5. Transferts hors Union européenne
Les données de votre agence — base de données, photographies, documents — sont stockées dans l'Union européenne : en Irlande chez Supabase, en France pour l'exécution de l'application chez Vercel. Trois situations font néanmoins sortir des données de l'Union : l'analyse d'images par Anthropic, opérée aux États-Unis (images supprimées sous trente jours) ; la vérification du captcha de connexion par Cloudflare, sur son réseau mondial ; et les accès d'administration technique des prestataires dont la société mère est établie hors de l'Union (Supabase à Singapour, Vercel, Stripe, Resend et Upstash aux États-Unis).
Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, pour les prestataires américains qui y adhèrent, par la certification au titre du cadre de protection des données UE–États-Unis (Data Privacy Framework), complétées par les mesures techniques décrites à la section Sécurité. Chaque transfert fait l'objet d'une analyse d'impact documentée.
Le détail des garanties applicables et ces analyses peuvent être obtenus sur demande à hello@ocular.fr.
6. Durées de conservation
Nous conservons longuement ce qui sert à établir une preuve en cas de litige locatif, et nous purgeons agressivement tout le reste.
| Donnée | Durée | Motif |
|---|---|---|
| Compte utilisateur et données de l'agence | Durée de l'abonnement. En cas de demande de suppression : destruction définitive 30 jours après la demande (délai d'annulation), fichiers stockés compris | Exécution du contrat, puis effacement (art. 17) |
| Preuves d'état des lieux : photographies, signatures, empreintes SHA-256, géolocalisation, adresse IP et agent utilisateur | Durée du contrat de location, puis 5 ans | Prescription des litiges locatifs |
| Documents comptables (factures, contrats) | 10 ans | Obligation légale de conservation comptable |
| Brouillons d'états des lieux en cache sur l'appareil | Jusqu'à la synchronisation, sinon 7 jours | Minimisation : aucune rétention durable sur l'appareil |
| Abonnement aux notifications push | Tant qu'il est actif ; supprimé au désabonnement ou à l'expiration de l'endpoint | Consentement révocable |
| Résultat de la lecture d'une pièce d'identité | Non conservé | Seuls les champs validés par l'agent sont enregistrés |
| Copie d'une pièce d'identité ou d'un permis, si l'agence choisit d'en conserver une | Durée choisie par l'agence après la dernière location (12 mois par défaut, 6 ans au plus), puis suppression automatique | Preuve en cas de litige ; copie filigranée, en qualité réduite, accessible au seul gérant passé 30 jours sans location |
| Fiche d'un locataire (pour le compte de l'agence) | Pendant la relation, puis anonymisation automatique après une inactivité fixée par l'agence : 3 ans par défaut, 6 ans au plus | Référentiel CNIL « gestion des activités commerciales » |
| Inscriptions sur la liste d'exclusion et signalements (pour le compte de l'agence) | Durée fixée par l'agence, 3 ans par défaut et 5 ans au plus ; suppression 12 mois après la levée | Une exclusion ne peut pas être perpétuelle (art. 5.1.e) |
| Identité du conducteur désigné pour une amende (pour le compte de l'agence) | Jusqu'au règlement de l'amende, puis 3 ans ; la ligne comptable est conservée sans l'identité | Prescription de la peine contraventionnelle (art. 133-4 du Code pénal) |
| Journal d'activité de l'agence (qui a fait quoi, et quand) | 12 mois par défaut, réglable par l'agence entre 6 mois et 3 ans ; supprimé avec le compte | Recommandation CNIL relative à la journalisation (délibération n° 2021-122) |
| Compteurs de limitation du débit, indexés par adresse IP | Quelques minutes : la fenêtre glissante du compteur | Sécurité du service |
7. Sécurité
Les mesures suivantes sont mises en œuvre et vérifiées en continu :
- Cloisonnement des données par agence appliqué au niveau de la base de données (Row Level Security), et non au seul niveau applicatif : une requête ne peut pas déborder sur les données d'une autre agence, même en cas de faille dans l'interface.
- Chiffrement des échanges en transit (TLS) et des données au repos chez l'hébergeur.
- Authentification sans mot de passe par code à usage unique de durée limitée, protégée par un captcha, limitation du débit des requêtes sensibles, politique de sécurité du contenu stricte contre l'injection de scripts.
- Scellement cryptographique (SHA-256) des photographies et signatures d'états des lieux : toute altération ultérieure d'une pièce est détectable.
- Copies de pièces d'identité filigranées au nom de l'agence et à la date de collecte, réduites en qualité et débarrassées de leurs métadonnées (dont la position GPS), pour en empêcher la réutilisation.
- Journalisation des actions sensibles et principe du moindre privilège sur les accès techniques.
8. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Lorsqu'un traitement repose sur votre consentement (géolocalisation d'un état des lieux réalisé par un locataire), vous pouvez le retirer à tout moment, sans que cela remette en cause la licéité du traitement déjà effectué. Pour les membres d'une agence, la géolocalisation des états des lieux qu'ils réalisent et les notifications push reposent sur l'intérêt légitime de l'agence ; elles ne s'activent que par un geste volontaire et se désactivent à tout moment, et vous pouvez vous y opposer.
Deux de ces droits s'exercent directement depuis l'application, sans nous écrire ni attendre, dans l'onglet « Données personnelles » des paramètres de l'agence :
- Accès et portabilité. Le bouton « Exporter mes données » télécharge immédiatement une archive contenant l'intégralité des données de l'agence : une entrée JSON par catégorie (clients, véhicules, devis, contrats, factures, états des lieux…) et tous les fichiers d'origine — photographies, signatures, pièces justificatives et PDF. Ce format est structuré, couramment utilisé et lisible par machine, au sens de l'article 20.
- Effacement. Le bouton « Supprimer le compte » programme la destruction définitive des données de l'agence et de tous ses fichiers. Elle n'est pas immédiate : un délai de trente jours court, pendant lequel la demande reste annulable d'un clic — un compte supprimé par erreur, ou par un tiers ayant pris le contrôle d'un accès, reste récupérable. Passé ce délai, un traitement automatique détruit les données ET les fichiers stockés ; rien n'est conservé, sauf ce que la loi impose de garder (documents comptables), isolé de toute exploitation.
Pour les autres droits (rectification, limitation, opposition, directives post mortem), écrivez à hello@ocular.fr. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes. Une preuve d'identité peut être demandée en cas de doute raisonnable.
Si vous êtes locataire d'une agence utilisatrice, adressez votre demande à cette agence, responsable de traitement (voir section 1). Nous lui fournissons les outils pour y répondre elle-même : elle peut exporter votre dossier complet et effacer vos données identifiantes en un geste, depuis votre fiche client. L'effacement écrase alors votre nom, vos coordonnées, votre permis et vos pièces d'identité, qui sont détruites ; seules subsistent les factures et les contrats que la loi lui impose de conserver dix ans, ainsi que les états des lieux scellés qui font preuve — ils ne sont plus rattachables à une personne identifiable.
Vous pouvez enfin introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr.
10. Modifications
Cette politique peut évoluer, notamment en cas d'ajout d'une fonctionnalité traitant de nouvelles données. La date de dernière mise à jour figure en tête de page, et toute modification substantielle est notifiée aux agences utilisatrices par email avant son entrée en vigueur.