Protection des données

Cette page décrit ce que le service enregistre réellement, table par table. Elle n'est pas une formule : elle a été écrite en lisant la base.

Qui est responsable

Sidi Ali Ousseni Toyibina, entrepreneur individuel exerçant sous le nom commercial May'Kilos, immatriculé au R.C.S. de Mamoudzou sous le numéro 891 288 300, établissement 4 rue Mamou Chaka, 97620 Chirongui. Voir les mentions légales.

Ce que nous enregistrons

Ton compte

Prénom, nom, adresse e-mail, mot de passe (jamais en clair : seule une empreinte est conservée). Puis, si tu les fournis : numéro de téléphone, année de naissance, quelques lignes de présentation, langues parlées, photographie de profil.

Ton nom de famille n'est jamais montré aux autres membres, et il ne quitte pas nos serveurs : toi seul peux le lire. Ton numéro de téléphone non plus.

Ton âge, lui, est visible. Il paraît sur ta fiche de voyageur, à côté de ton prénom : c'est un repère pour quelqu'un qui s'apprête à confier un colis à un inconnu. Ta date de naissance exacte, elle, ne sort jamais — seule l'année est enregistrée, et seul l'âge en est déduit.

Un visiteur qui consulte un trajet voit donc ton prénom, ton âge, ta photographie si tu en as mis une, et tes vérifications. Rien d'autre.

Ta pièce d'identité

Si tu demandes la vérification d'identité, la photographie de ta pièce est déposée dans un espace privé : elle n'est accessible ni aux autres membres, ni par une adresse publique. Seule notre équipe la consulte, le temps du contrôle.

Si tu t'inscris à la liste d'attente

Ton adresse e-mail, et le côté que tu as indiqué — voyageur ou expéditeur — si tu l'as précisé. Rien d'autre : ni nom, ni téléphone, ni compte. Cette liste ne sert qu'à t'envoyer un seul message, le jour de l'ouverture. Elle n'est ni revendue, ni partagée, et elle n'est lisible par personne depuis le site. Écris-nous et nous t'en retirons.

Tes trajets et tes envois

Ligne, dates, horaires, numéro de vol, kilos proposés, prix au kilo, ce que tu acceptes de transporter, les points de rendez-vous. Pour un envoi : le poids, la description du colis, les montants, l'état d'avancement, et le code à quatre chiffres qui débloque le paiement.

Tes échanges

Les messages que tu écris à l'autre partie, et les avis que tu déposes. Les messages ne sont lisibles que par les deux personnes concernées — la règle est appliquée par la base, pas seulement par l'écran.

Ce que tu nous écris

Les messages envoyés par le formulaire de contact, et les litiges que tu ouvres. Le formulaire de contact fonctionne sans compte : dans ce cas nous n'avons que l'adresse e-mail que tu y saisis.

Pourquoi, et sur quelle base

Tenir ton compte et te permettre de réserver

Exécution du contrat qui nous lie (art. 6.1.b du RGPD).

Bloquer le paiement puis le libérer

Exécution du contrat.

Vérifier une identité

Notre intérêt légitime à ce que des inconnus puissent se confier un colis sans danger (art. 6.1.f). Tu n'es jamais obligé de la fournir ; sans elle, le badge n'apparaît pas.

Te prévenir sur une ligne que tu suis

Ton consentement, que tu retires en supprimant l'alerte.

Conserver les pièces d'une transaction

Obligation légale de conservation comptable (art. 6.1.c).

Combien de temps

Ton compte

Tant qu'il existe. Après une demande de clôture : trente jours, puis effacement.

Ta pièce d'identité

Effacée dès le contrôle terminé. Seul le résultat — vérifiée ou non — est conservé.

Trajets, envois, messages

Trois ans après le dernier échange, délai de prescription des litiges de consommation.

Pièces comptables

Dix ans, comme la loi l'impose.

Messages au support

Trois ans.

La clôture d'un compte n'efface pas les messages et les avis chez la personne d'en face : ils font partie de son historique autant que du tien, et elle doit pouvoir prouver ce qui s'est passé.

Où sont les données

Ton compte, la base de données et tes fichiers sont dans l'Union européenne — c'est de leur stockage qu'il s'agit ici, pas du pays où chaque prestataire est immatriculé, qui vient plus bas. Le projet est configuré sur la région West EU (Paris), et l'accord de sous-traitance de Supabase prévoit que les données d'une région choisie y sont stockées et principalement traitées. L'infrastructure est fournie par Amazon Web Services.

L'hébergeur — celui qui détient le plus, et de loin — est Supabase Pte. Ltd, société de droit singapourien. Le cadre du transfert est celui des clauses contractuelles types de la Commission européenne : décision d'exécution (UE) 2021/914, module 2, du responsable de traitement vers le sous-traitant. L'acceptation du contrat en vaut signature.

Une précision que nous préférons écrire plutôt que taire : Supabase répartit ses équipes d'assistance sur plusieurs fuseaux horaires, et un ingénieur situé hors de l'Union peut avoir à accéder à l'infrastructure pour la maintenir. Cet accès est limité aux personnes qui en ont besoin, journalisé, et couvert par les mêmes clauses.

Une seconde, du même ordre : Supabase n'est pas le seul prestataire établi hors de l'Union. La liste complète est juste en dessous ; voici où chacun contracte. MapTiler AG est suisse, et la Suisse bénéficie d'une décision d'adéquation de la Commission européenne. Cloudflare est une société américaine ; le transfert est encadré par les clauses contractuelles types de son accord de traitement des données. Stripe contracte depuis l'Irlande, donc depuis l'Union (Stripe Technology Company, Limited). AeroDataBox, enfin, ne reçoit aucune donnée personnelle : la question du transfert ne se pose pas pour lui.

Qui les voit

Personne d'autre que nous, et l'autre partie d'un envoi pour ce qui la concerne. Nous ne vendons aucune donnée et n'en cédons à aucun annonceur.

Cinq prestataires interviennent, et il est plus simple de dire pour chacun ce qu'il voit exactement :

• Supabase — ton compte, la base de données, tes fichiers. C'est celui qui en voit le plus — et celui dont il est question dans toute la section précédente.
• Cloudflare — sert les pages du site. Comme tout hébergeur, il voit l'adresse IP de qui les demande, avant même que tu aies un compte.
• Stripe — les paiements. Ton numéro de carte va chez lui directement, sans passer par nos pages ni nos serveurs. Si tu es voyageur et que tu te fais payer, il détient aussi tes coordonnées bancaires et les pièces que lui impose la réglementation.
• MapTiler — les fonds de carte des points de rendez-vous. Ton navigateur va chercher les images chez lui : il voit donc ton adresse IP et la zone que tu regardes. Jamais ton nom, et jamais l'adresse précise — la carte ne montre qu'un disque.
• AeroDataBox, interrogé via la place de marché RapidAPI — la vérification des vols. Il reçoit le numéro de vol et sa date, rien d'autre : ni ton nom, ni ton compte.

Chacun fait à son tour appel aux siens — Supabase à Amazon Web Services, par exemple ; sa liste à jour est publiée sur son site.

Tes droits

Tu peux demander l'accès à tes données, leur correction, leur effacement, leur portabilité, ou t'opposer à un traitement. Écris-nous par le formulaire de contact ; nous répondons sous un mois. Ton profil se corrige directement depuis ta page profil, et ton compte se ferme depuis Mon compte.

Si notre réponse ne te satisfait pas, tu peux saisir la Commission nationale de l'informatique et des libertés : cnil.fr/fr/plaintes.

Cookies

Ce site ne dépose aucun cookie publicitaire ni aucune mesure d'audience. C'est pourquoi tu n'as pas vu de bandeau de consentement : il n'y a rien à consentir.

Deux stockages locaux seulement, dans ton navigateur : ta session, pour te garder connecté d'une page à l'autre, et ton choix de thème clair ou sombre. Vider les données du site les supprime.