1. Préambule et responsable de traitement
XCAR Estimation accorde une importance particulière à la protection des données personnelles de ses utilisateurs. La présente politique décrit comment vos données sont collectées, traitées, conservées et protégées dans le respect du Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et de la loi française Informatique et Libertés modifiée.
Responsable de traitement : XCAR 2.0 (SAS, SIREN 885 097 246), 621 avenue Jean François Champollion, 38530 Pontcharra, France. Contact : notre formulaire de contact.
2. Données personnelles collectées
Nous collectons uniquement les données strictement nécessaires à la fourniture de nos services :
a) Données d'identification
- Nom, prénom
- Adresse email
- Numéro de téléphone
- Code postal et ville
b) Données relatives à votre véhicule
- Marque, modèle, année, version
- Kilométrage
- Carburant, transmission, état général
- Plaque d'immatriculation (uniquement à partir du moment où vous demandez un rachat ou un dépôt-vente)
- Numéro VIN (uniquement lors de la signature d'un mandat ou d'un bon de rachat)
- Photos de votre véhicule (si transmises)
c) Données de navigation
- Adresse IP (conservée 12 mois dans les journaux techniques ; celle enregistrée comme preuve de l'acceptation des conditions est conservée avec cette preuve)
- Type de navigateur, appareil, système d'exploitation
- Pages visitées, durée de visite, source du trafic
- Cookies (voir section dédiée)
d) Données contractuelles (uniquement clients)
- Coordonnées bancaires (RIB pour virement de rachat)
- Pièce d'identité (vérification d'identité obligation légale)
- Carte grise du véhicule
Nous ne collectons aucune donnée sensible au sens du RGPD (origine, religion, santé, opinions politiques, etc.).
3. Finalités et bases légales du traitement
| Finalité | Base légale |
|---|---|
| Estimation de votre véhicule et mise en relation avec une Agence XCAR | Exécution de mesures précontractuelles (art. 6.1.b RGPD) |
| Signature d'un bon de rachat ou d'un mandat de dépôt-vente | Exécution d'un contrat (art. 6.1.b RGPD) |
| Savoir si vous avez bien pu joindre votre agence : nos e-mails de mise en relation comportent des boutons dont nous enregistrons le clic, et nous vous demandons ensuite comment cela s'est passé | Intérêt légitime (art. 6.1.f RGPD) — qualité du service rendu |
| Vérification d'identité, lutte anti-fraude | Obligation légale (art. 6.1.c RGPD) |
| Communication commerciale (relances, newsletter) | Intérêt légitime ou consentement (art. 6.1.f / 6.1.a RGPD) |
| Mesure d'audience anonymisée | Intérêt légitime ou consentement (cookies) |
| Comptabilité, gestion administrative | Obligation légale (Code de commerce) |
| Publication de votre véhicule sur la place de marché et transmission de vos coordonnées au professionnel dont vous acceptez l'offre | Exécution du contrat (art. 6.1.b RGPD) |
| Diffusion optionnelle des annonces XCAR sur BOBOCAR (caractéristiques, mise à prix professionnelle (sans prix de réserve) et photos publiques validées, sans nom ni coordonnées) | Consentement distinct, révocable à tout moment (art. 6.1.a RGPD) |
| Gestion de la commission de la place de marché (empreinte bancaire, confirmation de la vente, contestations) | Exécution du contrat et intérêt légitime (art. 6.1.b et 6.1.f RGPD) |
| Preuve de l'acceptation des conditions (date, version, adresse IP) | Intérêt légitime (art. 6.1.f RGPD) |
| Alerte des professionnels sans compte (e-mail et départements) : envoi des voitures de leur zone, désinscription en un clic | Consentement (art. 6.1.a RGPD), confirmé par e-mail |
| Inscription et vérification des professionnels acheteurs (SIRET, nom, téléphone, e-mail) | Exécution du contrat (art. 6.1.b RGPD) |
4. Destinataires des données
Vos données peuvent être communiquées aux destinataires suivants, exclusivement dans le cadre des finalités décrites ci-dessus :
- Les Agences XCAR partenaires de votre secteur, selon votre code postal et votre demande (rachat ou dépôt-vente) : votre demande est proposée à une agence, puis à une autre si la première ne la traite pas.
- Si vous publiez votre véhicule sur la place de marché : ses caractéristiques, ses photos et votre département sont visibles de l'ensemble des professionnels de l'automobile vérifiés par XCAR, avec une mise à prix inférieure d'environ 20 % à votre prix (le pourcentage exact vous est indiqué avant publication) ; votre prix lui-même ne leur est pas communiqué. Votre nom et vos coordonnées ne sont communiqués qu'au professionnel dont vous acceptez l'offre, une fois qu'il a validé sa carte pour la commission (voir les conditions de la place de marché). L'annonce figure aussi, avec ses photos, sur la vitrine publique XCAR (xcar-estimation.fr), visible par tous : vous pouvez masquer la plaque d'immatriculation (recommandé, non obligatoire), XCAR tente aussi de la flouter automatiquement, sans garantie, et seules des copies sans les métadonnées de vos photos (dont la localisation) sont publiées. Vous pouvez retirer vos photos de la vitrine à tout moment depuis la page de votre annonce ; elles sont effacées quand l'annonce prend fin.
- Si vous êtes un professionnel acheteur : votre raison sociale, votre ville et vos coordonnées sont communiquées au vendeur dont vous avez obtenu l'accord, une fois votre carte validée pour la commission.
- BOBOCAR, uniquement avec votre accord de diffusion distinct : les données publiques du véhicule, les copies publiques de ses photos et la mise à prix professionnelle peuvent être affichés sur bobocar.fr ; votre prix de réserve reste privé. Aucune identité, adresse, téléphone ou e-mail n'est transmis. L'accord peut être retiré depuis votre annonce XCAR.
- Le service comptable et juridique de XCAR Estimation, en cas de litige ou de contrôle.
- Les autorités publiques compétentes (ANTS, Trésor public, autorités judiciaires) sur réquisition légale ou pour l'exécution de nos obligations administratives.
- Nos sous-traitants techniques listés à la section 6.
- WhatsApp (Meta Platforms Ireland), uniquement si vous choisissez ce bouton pour écrire à votre agence depuis notre e-mail : le message que nous vous préparons (votre prénom et votre véhicule) transite alors par WhatsApp. Les boutons « Appeler » et « SMS » n'impliquent aucun tiers.
❌ Nous ne vendons JAMAIS vos données personnelles à des tiers. ❌ Nous ne les utilisons pas à des fins de profilage publicitaire externe.
5. Durée de conservation
| Type de donnée | Durée de conservation |
|---|---|
| Lead non converti (estimation sans suite) | 3 ans à compter du dernier contact |
| Client (rachat ou dépôt-vente effectif) | 5 ans (relation contractuelle) + 10 ans (comptabilité) |
| Données comptables / fiscales | 10 ans (Code de commerce L.123-22) |
| Cookies de mesure d'audience | 13 mois maximum |
| Données de navigation (logs serveur) | 12 mois |
| Annonce de la place de marché et offres reçues | 3 ans à compter de la clôture de l'annonce |
| Preuve d'acceptation des conditions, transactions de la place de marché | 5 ans (prescription) ; factures : 10 ans |
6. Sous-traitants techniques
Pour fournir nos services, nous faisons appel aux prestataires suivants :
- Vercel Inc. (États-Unis, DPA + Clauses Contractuelles Types) — hébergement du site.
- Neon Inc. (société américaine, données hébergées dans l'UE — Francfort ; Clauses Contractuelles Types) — base de données.
- Resend Inc. (société américaine ; Clauses Contractuelles Types) — envoi d'emails transactionnels.
- Stripe Payments Europe Ltd. (Irlande) — paiement par carte de la commission de la place de marché et des abonnements ; XCAR ne voit ni ne conserve les numéros de carte. Stripe agit aussi en responsable de traitement pour ses propres obligations (lutte contre la fraude, obligations bancaires).
- Meta Platforms Ireland Ltd — mesure publicitaire (pixel, Conversions API), uniquement avec votre consentement ; Meta agit en responsable conjoint pour cette collecte. Et WhatsApp, lorsque vous utilisez ce bouton pour contacter votre agence.
- Google Ireland Ltd (UE, DPA) — Search Console et mesure d'audience le cas échéant.
- Caisse d'Épargne (France) — traitement des virements bancaires, en responsable de traitement pour ses propres obligations bancaires.
Chaque sous-traitant est lié par un contrat de sous-traitance conforme à l'article 28 du RGPD. Tout transfert hors UE s'effectue sous Clauses Contractuelles Types validées par la Commission européenne.
7. Vos droits
Conformément au RGPD, vous disposez à tout moment des droits suivants sur vos données personnelles :
- Droit d'accès (art. 15) — obtenir une copie des données vous concernant.
- Droit de rectification (art. 16) — corriger des données inexactes.
- Droit à l'effacement (art. 17) — "droit à l'oubli", sous réserve de nos obligations légales.
- Droit à la limitation (art. 18) — geler le traitement temporairement.
- Droit à la portabilité (art. 20) — récupérer vos données dans un format réutilisable.
- Droit d'opposition (art. 21) — refuser un traitement basé sur l'intérêt légitime.
- Droit de retirer votre consentement à tout moment, sans affecter la légalité des traitements antérieurs.
- Droit de définir des directives post-mortem sur le sort de vos données.
Pour exercer ces droits, écrivez-nous à notre formulaire de contact en précisant votre demande. Nous répondons sous 30 jours maximum. Une copie de votre pièce d'identité peut vous être demandée pour vérification.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris — www.cnil.fr).
8. Cookies
Le site xcar-estimation.fr utilise différents types de cookies :
- Cookies techniques (obligatoires) : session de connexion, panier, préférences linguistiques. Pas de consentement requis.
- Cookies de mesure d'audience : nombre de visiteurs, pages vues. Consentement requis. Durée 13 mois.
- Cookies publicitaires (Meta Pixel) : mesure de conversion publicitaire. Consentement requis. Durée 90 jours.
Vous pouvez modifier ou retirer votre consentement à tout moment via le bandeau cookies. Vous pouvez également désactiver les cookies dans les paramètres de votre navigateur.
9. Sécurité des données
Nous mettons en œuvre toutes les mesures techniques et organisationnelles appropriées pour protéger vos données :
- Chiffrement HTTPS (TLS 1.3) sur toutes les pages du site.
- Hébergement sécurisé (Vercel, Neon) sur des infrastructures certifiées ISO 27001 / SOC 2.
- Mots de passe stockés en hash bcrypt (jamais en clair).
- Accès aux données strictement limité aux personnels autorisés (Agence XCAR concernée, équipe XCAR Estimation).
- Sauvegardes quotidiennes chiffrées.
- Notification d'une violation de données sous 72h à la CNIL si applicable (art. 33 RGPD).
10. Modifications de cette politique
La présente politique peut évoluer. Toute modification substantielle vous sera notifiée par email (si vous avez un compte) ou par bandeau visible sur le site. Nous vous invitons à la consulter régulièrement. La date de dernière mise à jour figure en haut de cette page.
11. Contact RGPD
Pour toute question relative à vos données personnelles ou pour exercer vos droits :
- Via notre formulaire de contact
- Courrier : XCAR 2.0 — RGPD, 621 avenue Jean François Champollion, 38530 Pontcharra, France
Voir aussi nos mentions légales et nos conditions générales de vente.