Le responsable du traitement est Purpuly, entreprise en charge de la gestion complète des services Vany. Purpuly est immatriculée au Registre national des entreprises sous le numéro 949 174 437, dont le siège social est situé en France. Pour toute question relative à la protection des données, vous pouvez nous contacter à : dpo@getvany.com (Délégué à la Protection des Données pour Vany).

Les types de données personnelles que nous collectons comprennent :

• Données d'identification : nom, prénom, adresse e-mail, numéro de téléphone
• Données professionnelles : raison sociale, numéro SIRET, statut juridique, adresse de l'entreprise
• Données liées aux véhicules : marque, modèle, immatriculation, carte grise, assurance
• Données de connexion et navigation : adresse IP, type de navigateur, système d'exploitation, pages visitées
• Données de facturation et de paiement : données partielles de carte bancaire via nos prestataires (conformément aux normes PCI-DSS), historique des transactions
• Logs d'activité : horodatages, accès à certaines ressources, erreurs, etc.
• Données de localisation : géolocalisation des trajets (si activée)
• Données de communication : messages échangés via notre support client
• Données de consentement : préférences de communication, consentement aux cookies
• Données de sécurité : informations de sécurité pour la protection des comptes (authentification à deux facteurs, etc.)

Certaines données peuvent être collectées automatiquement par le biais de cookies ou d'outils de mesure d'audience (voir section dédiée).

Les services Vany sont exclusivement réservés aux personnes majeures âgées de 18 ans ou plus. Nous ne collectons pas sciemment de données personnelles concernant des mineurs de moins de 18 ans.

Si vous êtes parent ou tuteur légal et avez connaissance qu'un mineur nous a communiqué des données personnelles sans votre consentement, nous vous invitons à nous contacter immédiatement à l'adresse dpo@getvany.com. Nous procéderons sans délai à la suppression des données concernées.

Nous traitons vos données personnelles pour les finalités suivantes :

• Fournir et gérer nos services, comptes utilisateurs, facturation et support technique
• Vérifier votre identité et celle de votre entreprise, notamment dans le cadre de la régulation VTC
• Optimiser votre expérience utilisateur et analyser l'usage du service
• Assurer la sécurité de nos services, la détection de fraudes ou d'activités non autorisées
• Envoyer des communications liées au service ou, avec votre consentement, des offres commerciales
• Respecter nos obligations légales et réglementaires

Conformément au RGPD, le traitement de vos données repose sur les bases légales suivantes :

• L'exécution d'un contrat (accès à la plateforme, création de compte, gestion des trajets et paiements)
• Le respect d'obligations légales (facturation, vérification des entreprises, conservation des données)
• Votre consentement explicite (notamment pour l'envoi de communications commerciales et l'utilisation de cookies non essentiels)
• L'intérêt légitime de Purpuly (sécurisation du service, amélioration continue)
• La protection de vos intérêts vitaux ou ceux d'une autre personne (en cas d'urgence)
• La mission d'intérêt public (régulation des activités VTC, sécurité routière)

Conformément à l'article 22 du RGPD, vous disposez du droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative.

Vany n'a pas recours à de telles décisions automatisées. Si des algorithmes interviennent dans le fonctionnement de nos services (par exemple pour la mise en relation entre clients et chauffeurs), ces traitements n'ont pas d'impact juridique significatif sur vos droits ou votre situation, et sont toujours supervisés par des opérateurs humains.

Nous ne procédons à aucun profilage à des fins de prise de décision automatisée ayant un effet juridique ou similaire sur les personnes concernées.

Certaines données peuvent être transférées vers des pays situés en dehors de l'Espace économique européen (EEE), notamment vers les États-Unis. Ces transferts sont encadrés par :

• Des clauses contractuelles types approuvées par la Commission européenne
• Ou toute autre garantie appropriée en conformité avec le RGPD

En particulier, nous utilisons les services de Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, États-Unis), dont les serveurs sont susceptibles de traiter certaines données de trafic (adresses IP, en-têtes HTTP) transitant par leur réseau mondial. Ce transfert est encadré par l'addendum de traitement des données de Cloudflare, conforme aux clauses contractuelles types de la Commission européenne.

De même, Stripe, Inc. (San Francisco, États-Unis), notre prestataire de paiement, et Google LLC (Mountain View, États-Unis), notre hébergeur cloud, peuvent être amenés à traiter des données dans des pays tiers dans le cadre de l'exécution de leurs services, sous couvert des mêmes garanties contractuelles.

Notre site peut utiliser des cookies techniques indispensables au fonctionnement, ainsi que des traceurs d'audience (anonymes) ou, avec votre consentement, des cookies tiers pour des fins de personnalisation ou de marketing.

Nous utilisons également Cloudflare Turnstile, un système de protection anti-bot fourni par Cloudflare, Inc., en remplacement des CAPTCHA traditionnels. Ce service collecte et traite certaines informations de votre navigateur et de votre interaction avec la page (empreinte navigateur partielle, comportement de navigation) afin de distinguer les utilisateurs humains des robots automatisés. Ces données sont traitées par Cloudflare conformément à sa politique de confidentialité.

Vous pouvez à tout moment modifier vos préférences via notre bandeau cookies ou votre navigateur.

Purpuly met en œuvre des mesures de sécurité techniques (chiffrement, pare-feux, sauvegardes) et organisationnelles (contrôle d'accès, audits) pour garantir l'intégrité, la confidentialité et la disponibilité de vos données.

Nos infrastructures sont protégées par les services de Cloudflare, Inc., qui assurent notamment :

• La protection contre les attaques par déni de service distribué (DDoS)
• Un pare-feu applicatif (WAF) filtrant les requêtes malveillantes
• Un réseau de diffusion de contenu (CDN) garantissant disponibilité et performance
• La protection anti-bot via Cloudflare Turnstile

Le trafic réseau entre votre navigateur et nos serveurs transite par le réseau Cloudflare, ce qui implique que Cloudflare peut avoir accès aux métadonnées de connexion (adresse IP, en-têtes de requête).

Vos données sont conservées pendant la durée strictement nécessaire aux finalités poursuivies :

• Données de compte utilisateur : tant que le compte est actif
• Données de facturation : 10 ans (obligation légale)
• Données de logs techniques : jusqu'à 12 mois
• Cookies : jusqu'à 13 mois selon leur nature
• Données de localisation des trajets : 6 mois après le dernier trajet
• Données des courses : 10 ans après la dernière course
• Données de communication avec le support : 3 ans après la dernière interaction
• Données de consentement : jusqu'à révocation de votre consentement

Au-delà, elles sont supprimées ou anonymisées de façon irréversible.

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, Purpuly s'engage à notifier la Commission nationale de l'informatique et des libertés (CNIL) dans un délai de 72 heures suivant la prise de connaissance de l'incident, conformément à l'article 33 du RGPD.

Si la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés (par exemple en cas d'accès non autorisé à vos données de paiement, d'identification ou de localisation), vous en serez informé dans les meilleurs délais par les canaux appropriés (e-mail, notification dans l'application), conformément à l'article 34 du RGPD.

Purpuly conserve une documentation interne de toutes les violations constatées, y compris celles ne nécessitant pas de notification, conformément à ses obligations de responsabilité (accountability).

Conformément à la réglementation, vous disposez des droits suivants :

• Droit d'accès, de rectification et d'effacement de vos données
• Droit d'opposition au traitement ou de demander sa limitation
• Droit à la portabilité de vos données
• Droit de retirer votre consentement à tout moment
• Droit d'introduire une réclamation auprès de la CNIL
• Droit de définir des directives relatives au sort de vos données après votre décès

Vous pouvez exercer ces droits à tout moment en contactant notre délégué à la protection des données à : dpo@getvany.com.

Dans le cadre de la fourniture de nos services, nous faisons appel à des sous-traitants et prestataires tiers qui peuvent être amenés à traiter vos données personnelles. Ces prestataires agissent exclusivement sur nos instructions et sont soumis à des obligations contractuelles strictes en matière de protection des données.

Nos prestataires principaux :

• Cloudflare, Inc. (États-Unis) — Sécurité réseau, protection DDoS, pare-feu applicatif (WAF), réseau de diffusion de contenu (CDN) et protection anti-bot (Turnstile). Les données de trafic réseau transitent par les infrastructures Cloudflare.
• Stripe, Inc. (États-Unis) — Traitement sécurisé des paiements par carte bancaire. Les données de carte sont transmises directement à Stripe, certifié PCI-DSS Level 1. Stripe ne partage pas vos données de paiement avec Purpuly.
• Stripe Connect (via Stripe, Inc., États-Unis) — Gestion des versements aux chauffeurs partenaires (paiements, commissions, rapports financiers). Les données des bénéficiaires sont traitées par Stripe dans le cadre de ses services de paiement fractionné.
• Google LLC – Google Cloud Platform (GCP) (États-Unis) — Hébergement des serveurs, bases de données, stockage et infrastructure de calcul. Les données peuvent être hébergées dans des régions européennes selon la configuration choisie.
• Mailjet SAS (France) — Envoi des emails transactionnels (confirmations de courses, notifications de compte, communications liées au service). Mailjet est soumis au droit français et au RGPD.

La liste complète de nos sous-traitants peut être communiquée sur demande adressée à dpo@getvany.com.

Cette Politique de confidentialité peut être mise à jour en fonction des évolutions légales, techniques ou commerciales. La date de dernière mise à jour est toujours indiquée en haut du document. Nous vous informerons en cas de changements substantiels via notre site ou nos canaux habituels.