Politique de confidentialité

1. Identité du responsable

GeoReference SARL
2 rue Héraclès, 59650 Villeneuve-d'Ascq, France
RCS Lille Métropole — Représentée par Benoît Martin, gérant
contact@georeference.fr — 03 74 09 77 18

2. Rôle de GeoReference selon le service

La qualification au sens du RGPD varie selon la relation contractuelle :

• Site georeference.fr et Signal GPS (abonnement direct) : GeoReference est responsable de traitement.
• Signal GPS via revendeur : le revendeur est responsable de traitement vis-à-vis de ses clients ; GeoReference est sous-traitant.
• Signal Tasks et Signal Carnet : l'employeur du salarié utilisateur est responsable de traitement ; GeoReference est sous-traitant au sens de l'article 28 du RGPD, encadré par un accord de traitement (DPA).

3. Données collectées sur le site georeference.fr

Via le formulaire de contact : nom, prénom, adresse email, téléphone (facultatif), contenu du message.

Finalité : répondre à votre demande commerciale.
Base légale : consentement (art. 6.1.a RGPD).
Durée : 3 ans à compter de la dernière interaction.

4. Données collectées par Signal GPS

Plateforme de gestion de flotte, accessible via console web (app.signalgps.fr) et application mobile.

• Identification utilisateur : email, nom, prénom, téléphone, raison sociale, mot de passe (haché bcrypt).
• Données véhicules : immatriculations, VIN, marque/modèle, kilométrage, dates de contrôle technique, assurance, motorisation.
• Géolocalisation des véhicules : positions GPS transmises par les traceurs (latitude, longitude, vitesse, cap, date), trajets, vitesses excessives, événements d'éco-conduite, données OBD du véhicule (RPM, niveau de carburant, codes défaut, VIN).
• Données outillage IoT (option) : identifiants de balises Bluetooth (BLE), historique de présence des outils détectés à proximité des véhicules.
• Données métier : missions, formulaires, points d'intérêt, zones (geofences), alertes, journaux d'activité, commandes envoyées aux traceurs.
• Données techniques : adresse IP, agent utilisateur, jetons d'authentification (Sanctum), jetons d'appareil pour notifications push.

Finalités : exécution du service (suivi de flotte, sécurité, maintenance, analyse économique), respect d'obligations légales (chronotachygraphe et durée du travail dans certains secteurs).
Base légale : exécution du contrat (art. 6.1.b) ; intérêt légitime de l'employeur encadré par le Code du travail et la délibération CNIL n°2015-165 (géolocalisation des salariés).

5. Données collectées par Signal Tasks

Application mobile destinée aux chauffeurs et techniciens pour exécuter leurs tournées.

• Identification : email professionnel, nom, prénom, téléphone (renseignés par l'employeur), mot de passe.
• Géolocalisation continue pendant le service (y compris écran verrouillé) — utilisée pour le suivi de tournée et la navigation. Désactivable hors service.
• Médias : photos et signatures collectées pour justifier les missions (preuves de livraison, constats, contrôles).
• Notes audio et scans de codes QR/barres (facultatif).
• Capteurs de mouvement : détection conduite/marche pour l'éco-conduite.
• Réponses aux formulaires configurés par l'employeur.
• Jetons d'authentification et d'appareil pour les notifications push.

Finalités : exécution des missions confiées par l'employeur.
Base légale : exécution du contrat de travail et intérêt légitime de l'employeur.
Responsable de traitement : l'employeur.
GeoReference : sous-traitant (art. 28 RGPD).

6. Données collectées par Signal Carnet

Application mobile destinée aux salariés disposant d'un véhicule à usage mixte (professionnel / personnel), pour la qualification des trajets et le calcul d'indemnités kilométriques.

• Identification : email professionnel, nom, prénom (renseignés par l'employeur), mot de passe ou lien magique.
• Trajets du véhicule remontés par le traceur GPS du véhicule de fonction (date, heure, distance, points de départ/arrivée).
• Qualification des trajets en pro / perso (saisie volontaire par le salarié).
• Congés et indisponibilités (dates, type) — déclarés par le salarié pour qualifier automatiquement les trajets correspondants en perso.
• Jetons d'appareil pour notifications push (rappel quotidien).
• Préférences : langue choisie.

Important : Signal Carnet ne collecte aucune géolocalisation directement depuis le smartphone du salarié. Seuls les trajets déjà enregistrés par le traceur du véhicule sont présentés au salarié pour qualification.

Finalités : aide à la déclaration des indemnités kilométriques et à la séparation pro/perso pour l'avantage en nature.
Base légale : exécution du contrat de travail, intérêt légitime, obligations fiscales et sociales.
Responsable de traitement : l'employeur.
GeoReference : sous-traitant.

7. Destinataires et sous-traitants

Les données sont accessibles aux personnes habilitées de GeoReference. Nous faisons appel aux sous-traitants suivants, tous établis dans l'Union européenne ou couverts par les clauses contractuelles types :

• OVH Cloud (France) — hébergement des serveurs applicatifs et bases de données.
• Google Ireland Ltd — Cloud Messaging (FCM, notifications push Android/iOS) et Google Maps Platform (géocodage d'adresses lors d'imports de missions).
• Apple Distribution International — APNs (notifications push iOS via FCM).
• Constructeurs de traceurs GPS (Teltonika, Concox) — les traceurs envoient leurs données directement à nos serveurs en France, sans transit par les serveurs des constructeurs.

Aucune donnée n'est cédée, louée ou vendue à des tiers à des fins commerciales.

8. Durée de conservation

• Compte utilisateur actif : pendant la durée de l'abonnement.
• Compte inactif : suppression automatique 3 ans après la dernière connexion.
• Positions GPS individuelles : 13 mois (recommandation CNIL pour la géolocalisation de salariés).
• Trajets agrégés et données comptables : 10 ans (obligations légales — art. L123-22 Code de commerce, art. L102 B LPF).
• Photos et formulaires missions : 5 ans après clôture de la mission.
• Journaux de connexion : 12 mois.
• Données de contact (site) : 3 ans.

9. Sécurité

• Chiffrement TLS 1.2+ sur toutes les communications client-serveur.
• Mots de passe hachés avec bcrypt (jamais stockés en clair).
• Authentification à jetons (Sanctum) avec révocation possible.
• Cloisonnement multi-tenant strict : un client ne peut techniquement pas accéder aux données d'un autre client.
• Sauvegardes quotidiennes chiffrées, conservées 30 jours.
• Hébergement souverain en France (OVH Cloud, Roubaix).

10. Transferts hors Union européenne

Les données sont hébergées et traitées en France. Les seuls transferts hors UE possibles concernent les notifications push transitant par les infrastructures Google Cloud Messaging et Apple Push Notification, encadrés par des clauses contractuelles types validées par la Commission européenne.

11. Vos droits

Conformément au RGPD (art. 15 à 22) et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès et de copie de vos données
• Droit de rectification
• Droit à l'effacement (« droit à l'oubli ») — voir notre page Suppression de compte
• Droit à la limitation du traitement
• Droit à la portabilité (export de vos données dans un format structuré)
• Droit d'opposition pour motif légitime
• Droit de définir des directives relatives au sort de vos données après votre décès

Exercice des droits : contact@georeference.fr — la demande doit être envoyée depuis l'adresse email associée au compte ou accompagnée d'une preuve d'identité. Délai de réponse : 1 mois maximum.

Pour Signal Tasks et Signal Carnet : adressez-vous prioritairement à votre employeur, responsable de traitement. GeoReference transmettra la demande si nécessaire.

12. Cookies et traceurs

Le site georeference.fr n'utilise aucun cookie de traçage ni outil d'analyse tiers.
La console app.signalgps.fr utilise un cookie technique de session (indispensable au fonctionnement, exempté de consentement au sens de l'article 82 de la loi Informatique et Libertés) et un cookie de préférence de langue.
Les applications mobiles utilisent le stockage local de l'appareil pour conserver le jeton d'authentification et les préférences utilisateur — aucun identifiant publicitaire n'est lu ou stocké.

13. Mineurs

Nos services sont destinés à un usage professionnel et ne sont pas conçus pour des personnes de moins de 18 ans. Aucune donnée n'est sciemment collectée auprès de mineurs.

14. Réclamation

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr/fr/plaintes.

15. Modification de la politique

La présente politique peut être modifiée pour s'adapter aux évolutions légales ou techniques. La date de dernière mise à jour figure en tête de document. En cas de modification substantielle, les utilisateurs des applications seront notifiés.