1. Responsable de traitement

Le responsable de traitement au sens du règlement (UE) 2016/679 (RGPD) est NOVELLI SAS, société par actions simplifiée immatriculée sous le numéro SIREN 985 066 026, dont le siège social est situé CS 48756, 58 rue de Monceau, 75008 Paris, éditrice du Site (voir les mentions légales). Contact : contact@ginette.app.

2. Données collectées et finalités

Ginette collecte et traite les catégories de données suivantes, strictement nécessaires à l'exécution du mandat de gestion :

3. Mesures de sécurité

Les identifiants d'authentification aux plateformes tierces sont conservés dans une base de données à accès restreint, chiffrés au repos selon l'algorithme AES-256 en mode GCM avec authentification intégrée. Les mots de passe des comptes Ginette sont hachés avec Argon2id. L'ensemble des communications entre le client et le Site est protégé par TLS 1.3. L'accès administratif au serveur est restreint par clé SSH ; aucune interface d'administration publique n'est exposée.

4. Sous-traitants et transferts internationaux

Ginette recourt aux catégories de sous-traitants suivantes pour l'exécution du service, en application de l'article 13.1.e du RGPD qui autorise la présentation par catégories. Chaque sous-traitant est lié par un accord conforme à l'article 28 du RGPD. La liste précise et à jour des sous-traitants ultérieurs est communiquée sur simple demande à dpo@ginette.app, ainsi qu'aux Clients professionnels dans le cadre de leur DPA.

5. Cookies et traceurs

Les pages publiques du Site (accueil, demande d'accès, invitation) ne déposent aucun cookie non-essentiel. Les cookies strictement nécessaires (session d'authentification, préférence de gate) sont exemptés de consentement (art. 82 loi Informatique et Libertés, exception « strictement nécessaire »).

Dans l'espace client authentifié, deux outils peuvent être chargés sous réserve du consentement du client : PostHog (mesure d'audience anonymisée) et Crisp (chat de support). Ces outils font l'objet d'une bannière de consentement au premier accès à l'espace client. Le refus ou le retrait du consentement n'affecte pas la fourniture du service principal.

6. Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD, chaque personne concernée dispose des droits suivants : droit d'accès, droit de rectification, droit à l'effacement, droit à la limitation du traitement, droit à la portabilité, droit d'opposition, droit de retirer son consentement à tout moment lorsqu'il constitue la base légale. Ces droits s'exercent par simple demande à contact@ginette.app, avec justificatif d'identité en cas de doute raisonnable. Ginette répond dans un délai maximum d'un mois.

Toute personne dispose également du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) : 3 place de Fontenoy — TSA 80715, 75334 Paris CEDEX 07 — cnil.fr/fr/plaintes.

7. Conservation et suppression

À la résiliation du contrat, les identifiants Turo et Getaround sont supprimés immédiatement. Les données de compte (identité, coordonnées, historique des réservations) sont conservées pendant les durées indiquées à l'article 2, puis anonymisées ou supprimées. Les données de journalisation technique sont purgées automatiquement à leur échéance.

8. Décisions automatisées (art. 22 RGPD)

Ginette réalise des décisions automatisées d'écriture sur vos calendriers Turo et Getaround (blocage / déblocage d'un créneau suite à une réservation détectée sur l'autre plateforme) et de diagnostic technique via un assistant IA (voir §4 Anthropic).

Ces décisions sont prises en exécution directe du mandat civil que vous nous confiez à la souscription : vous nous demandez expressément de synchroniser vos calendriers, et chaque blocage / déblocage constitue l'action mandatée. À ce titre, ces traitements relèvent de l'exception prévue à l'article 22.2.a du RGPD (décision nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne concernée et le responsable de traitement).

Ginette reconnaît que ces décisions peuvent avoir une incidence économique réelle (un créneau bloqué n'est plus commercialisable pendant la durée du blocage). Cette incidence est acceptée et attendue par vous à titre de contrepartie de la protection contre les doubles réservations. Vous conservez à tout moment la maîtrise complète de vos calendriers et pouvez annuler toute décision automatisée directement depuis Turo, Getaround ou l'interface Ginette.

Conformément à l'article 22.3 RGPD, vous disposez du droit d'obtenir une intervention humaine de la part de Ginette, d'exprimer votre point de vue et de contester toute décision automatisée qui vous concernerait : écrivez à contact@ginette.app avec le sujet « Art. 22 RGPD — intervention humaine » et nous répondrons sous 5 jours ouvrés.

9. Délégué à la protection des données (DPO)

Ginette n'est pas tenue de désigner un DPO au sens de l'article 37 RGPD (traitement pas à grande échelle, pas de suivi systématique). Néanmoins, un point de contact RGPD interne est désigné pour l'exercice de vos droits et toute question sur nos traitements :
dpo@ginette.app (redirigé vers le fondateur, Dorian NOVELLI). Réponse sous 5 jours ouvrés, délai maximal légal 1 mois.

Un registre des activités de traitement tenu par NOVELLI SAS conformément à l'article 30 du RGPD documente l'ensemble des finalités, catégories de personnes, catégories de données, destinataires, transferts hors UE et durées de conservation. Ce registre est mis à la disposition de la Commission nationale de l'informatique et des libertés (CNIL) sur simple demande, conformément à l'article 30.4 RGPD.

10. Modification de la présente politique

Ginette se réserve le droit de modifier la présente politique pour l'adapter aux évolutions légales ou opérationnelles. Toute modification substantielle sera notifiée par email au client au moins 30 jours avant son entrée en vigueur.