Politique de Confidentialité (RGPD)

1. Données collectées

Le responsable du traitement est Diaspokilo, SAS à associé unique — 149 avenue du Maine, 75014 Paris — RCS Paris 105 165 054. Nous collectons les données suivantes pour faire fonctionner le service :

• Données d'identité : Nom, prénom, adresse e-mail, numéro de téléphone, photo de profil.
• Données de vérification d'identité (KYC) : La vérification est opérée par notre prestataire Stripe Identity à partir d'une pièce d'identité officielle (CNI, passeport, titre de séjour ou permis de conduire) et d'un selfie avec détection du vivant. Ce selfie constitue une donnée biométrique, traitée par Stripe avec votre consentement explicite recueilli au moment de la vérification ; DiaspoKilo ne reçoit alors de Stripe que le résultat (vérifié / refusé). Par ailleurs, lors de la publication d'un voyage, une copie d'une pièce d'identité officielle est demandée au voyageur et conservée par DiaspoKilo dans un espace de stockage privé et sécurisé (accès restreint, URLs signées), aux fins de vérification manuelle du voyage et de prévention de la fraude.
• Données de vérification d'adresse (AVS) : Adresse postale déclarée, confirmée par la saisie d'un code envoyé par courrier à cette adresse.
• Données professionnelles (Transitaires Pro) : Raison sociale, numéro SIRET ou RCCM, document d'immatriculation (Kbis/RCCM) le cas échéant.
• Données fiscales (Voyageurs percevant des gains) : Pays de résidence fiscale, numéro fiscal (ou, à défaut, lieu de naissance), date de naissance, et numéro de TVA pour les professionnels. Ces données sont collectées et transmises chaque année à l'administration fiscale au titre de la réglementation « DAC7 » (article 1649 ter du CGI).
• Données de transaction : Historique des réservations et voyages, montants, photos et description du contenu des colis, numéro de vol et billet le cas échéant, coordonnées du destinataire (nom, téléphone, ville), informations de paiement — traitées par Stripe (carte bancaire) et par Campay (Mobile Money, y compris le numéro de téléphone Mobile Money), jamais stockées en clair sur nos serveurs.
• Données de communication : Messages échangés via la messagerie intégrée, avis et notes publiés sur les profils.
• Données techniques : Adresse IP, type de navigateur (sécurité et prévention de la fraude), identifiants de notifications push si vous les activez.

2. Utilisation de vos données

Conformément au RGPD, chaque traitement repose sur une base légale précise :

• Mise en relation et exécution du service (compte, réservations, séquestre, livraison, messagerie) — base légale : exécution du contrat (CGU).
• Vérification d'identité (KYC/AVS), sécurité et prévention de la fraude — base légale : intérêt légitime ; le selfie biométrique du KYC repose sur votre consentement explicite.
• Paiements, facturation et rétribution des Voyageurs (Stripe, Stripe Connect, Campay) — bases légales : exécution du contrat et obligations légales comptables.
• Notifications liées à votre compte (e-mail, push) — base légale : exécution du contrat ; les notifications push ne sont activées qu'avec votre consentement, révocable à tout moment dans les réglages de votre appareil.
• Support et traitement des litiges — bases légales : exécution du contrat et intérêt légitime.

3. Sécurité et Conservation

Vos mots de passe et données de paiement ne sont jamais stockés en clair sur nos serveurs. Nous utilisons Supabase et Stripe qui répondent aux plus hautes exigences de sécurité (PCI-DSS).

Conservation : Les données de votre compte sont conservées pendant toute la durée de la relation contractuelle. Après suppression du compte, elles sont supprimées ou anonymisées dans un délai maximum de 3 ans, à l'exception des factures et pièces comptables (conservées 10 ans, obligation légale) et des données strictement nécessaires à la gestion d'un litige en cours. Le selfie biométrique et la vérification d'identité sont gérés par Stripe selon sa propre politique de conservation. La copie de pièce d'identité fournie lors de la publication d'un voyage est conservée par DiaspoKilo dans un stockage privé, pendant la durée de vie du compte, et supprimée lors de sa fermeture.

Destinataires et sous-traitants : Vos données sont traitées par nos prestataires techniques, chacun pour sa seule mission : Supabase (base de données et authentification), Vercel (hébergement, États-Unis), Stripe / Stripe Identity (paiements et vérification d'identité, Irlande/États-Unis), Campay (paiements Mobile Money, Cameroun), Resend (e-mails transactionnels, États-Unis) et Google Firebase (notifications push, États-Unis). Aucune donnée n'est vendue ou louée à des tiers.

Transferts hors Union européenne : Certains de ces prestataires sont situés hors UE. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et/ou le cadre de protection des données UE–États-Unis (Stripe, Vercel, Resend, Google). Le transfert du numéro Mobile Money vers Campay (Cameroun) est, quant à lui, nécessaire à l'exécution du paiement que vous initiez (article 49.1.b du RGPD).

4. Vos droits (RGPD)

Vous disposez à tout moment de droits stricts concernant vos données :

• Droit d'accès et de portabilité : Vous pouvez demander un export de vos données.
• Droit de rectification : Modifier vos données inexactes depuis votre profil.
• Droit à l'effacement (Droit à l'oubli) : Demander la suppression totale de votre compte et de vos informations, directement depuis votre profil ou par e-mail.
• Droit d'opposition : Vous opposer à un traitement fondé sur notre intérêt légitime, ainsi qu'à toute prospection.
• Droit de limitation : Suspendre temporairement le traitement de vos données.
• Retrait du consentement : Retirer à tout moment un consentement donné (notifications push, vérification biométrique), sans effet rétroactif.
• Droit de réclamation : Introduire une réclamation auprès de la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.