Politique de confidentialité

Date d'effet : 2026-10-07

Dernière mise à jour : 2026-10-07

Version : 3.3

Responsable du traitement : Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Pays-Bas (KvK 92122167).

Société du groupe : Carsu Italia S.r.l., Via Fabro 8, 10122 Torino, Italie (REA TO-1365449, P.IVA / C.F. 13468500015), filiale détenue à 100 % par Carsu B.V. (voir §1a).

Contact confidentialité : privacy@carsu.com

1. Personnes concernées par la présente politique

Carsu B.V. (« Carsu », « nous ») exploite une plateforme SaaS destinée au marché de l'après-vente automobile. La présente politique explique comment nous traitons les données à caractère personnel, dans le respect du RGPD, du RGPD britannique, de la directive vie privée et communications électroniques et du droit national applicable en matière de protection des données. Elle s'applique :

• aux utilisateurs de la plateforme (propriétaires d'ateliers et leur personnel), qu'ils utilisent la plateforme web ou l'application mobile Carsu ;
• aux clients finaux de ces ateliers dont les données sont traitées via notre plateforme, y compris lorsqu'ils demandent un rendez-vous par l'intermédiaire d'un module de réservation qu'un atelier a intégré à son propre site internet ;
• aux contacts professionnels dont nous conservons les coordonnées pour notre propre communication commerciale, qu'ils se soient inscrits sur notre site internet, qu'ils nous aient communiqué leurs coordonnées lors d'un événement ou dans le cadre d'une relation d'affaires, ou qu'ils figurent sur une liste obtenue licitement auprès d'une autre source ;
• aux visiteurs des sites www.carsu.com et app.carsu.com.

1a. Carsu Italia S.r.l.

Carsu B.V. dispose d'une filiale opérationnelle, Carsu Italia S.r.l. (Turin, Italie), qui emploie et mobilise une partie de nos équipes de développement, de support et de relation client. Carsu Italia traite des données à caractère personnel à deux titres :

• Pour le compte de Carsu B.V. Le personnel et les prestataires de Carsu Italia développent, exploitent et maintiennent la plateforme et peuvent accéder, à cette fin, à des données à caractère personnel détenues par Carsu B.V. À ce titre, Carsu Italia agit en qualité de sous-traitant de Carsu B.V. au titre d'un accord de traitement des données intragroupe (art. 28 RGPD), avec les mêmes obligations de sécurité et de confidentialité que tout autre sous-traitant ultérieur (§7.1). Aucun transfert hors de l'EEE n'est en cause.
• En qualité de partie contractante. Lorsque votre bon de commande, votre confirmation d'abonnement ou votre facture désigne Carsu Italia S.r.l. comme entité contractante (généralement pour les ateliers situés en Italie), Carsu Italia est le responsable du traitement de vos données de compte, de facturation et de paiement en lieu et place de Carsu B.V., et le sous-traitant des données de vos clients finaux au titre de l'accord de traitement des données figurant dans les conditions générales. La présente politique s'applique sans changement, « Carsu » désignant alors Carsu Italia S.r.l. pour ces données. L'autorité de contrôle compétente pour Carsu Italia est l'autorité italienne, le Garante per la protezione dei dati personali (§17).

Carsu B.V. et Carsu Italia S.r.l. partagent la même plateforme, les mêmes sous-traitants ultérieurs et le même contact confidentialité (privacy@carsu.com). Les données ne font l'objet entre elles d'aucun « transfert » modifiant le lieu de stockage ou les personnes pouvant y accéder ; les deux sociétés opèrent sur la même infrastructure située dans l'EEE, sous les mêmes contrôles d'accès. Toute autre filiale, société affiliée ou société du groupe de Carsu B.V. qui traite des données à caractère personnel dans le cadre de nos services adhère à la présente politique.

2. Notre rôle

Lorsque Carsu agit en qualité de sous-traitant, l'atelier demeure responsable de la licéité de son traitement, y compris de l'obtention des consentements requis.

3. Données que nous traitons

Communiquées par vous ou par l'atelier : nom, adresse électronique, téléphone, dénomination sociale, numéro de TVA, adresse de facturation, plaque d'immatriculation, caractéristiques du véhicule, historique d'entretien, rendez-vous, messages, photographies des véhicules et des travaux réalisés, relevés des biens de clients conservés en dépôt (par exemple pneus saisonniers), identifiants de paiement (les données de carte sont transmises directement à Stripe, nous ne les conservons pas).

Provenant des API Google, avec votre consentement OAuth (synchronisation d'agenda facultative) : les événements d'agenda que vous choisissez d'importer depuis votre Google Calendar, y compris l'intitulé de l'événement, les heures de début et de fin, le lieu, la description, les adresses électroniques des participants et les règles de récurrence. Nous accédons à ces données uniquement via l'API de Google, au moyen de la portée calendar.events.readonly. Nous ne recevons jamais votre mot de passe Google et nous n'écrivons jamais d'événements dans votre Google Calendar. Vous pouvez interrompre l'intégration à tout moment (voir §8 et §11).

Provenant de registres publics et de services de vérification : lorsqu'un atelier émet une facture à destination d'un client professionnel établi dans un autre pays de l'Union européenne, nous vérifions le numéro de TVA du client auprès du service européen VIES et conservons la réponse à titre de preuve d'audit. Lorsqu'un dispositif national l'exige, nous pouvons rechercher les caractéristiques d'un véhicule par son numéro d'immatriculation dans un registre officiel des véhicules.

Provenant des contacts professionnels : nom, adresse électronique, société, pays, langue, origine du contact, ainsi que la base juridique et les éléments de preuve sur lesquels repose la conservation de ce contact (voir §6).

Collectées automatiquement : adresse IP, données relatives à l'appareil et au navigateur, pages consultées, utilisation des fonctionnalités, durée de session, cookies (voir §10). Dans l'application mobile : version de l'application, version du système d'exploitation et jeton de notification push de l'appareil (voir §5b). Dans les lettres d'information : le fait qu'un lien contenu dans le message ait été cliqué.

4. Bases juridiques

Nous nous fondons sur le contrat (art. 6, par. 1, point b, RGPD) pour fournir le service, sur l'intérêt légitime (art. 6, par. 1, point f, RGPD) pour la sécurité, la prévention de la fraude, l'amélioration du produit, les communications de service et la communication commerciale auprès des contacts professionnels telle que décrite au §6, sur le consentement (art. 6, par. 1, point a, RGPD) pour la communication commerciale auprès des utilisateurs de la plateforme, les cookies non essentiels et les intégrations tierces facultatives telles que la synchronisation Google Calendar, et sur l'obligation légale (art. 6, par. 1, point c, RGPD) en matière fiscale, comptable, de déclarations fiscales et de demandes des autorités répressives.

5. Utilisation des données

Pour exploiter et améliorer la plateforme ; pour traiter les paiements ; pour envoyer des messages pour le compte des ateliers ; pour émettre des factures et, lorsqu'un atelier est soumis à un dispositif national de facturation électronique ou de déclaration fiscale, pour transmettre les données de facturation à l'administration fiscale compétente pour le compte de l'atelier ; pour synchroniser et afficher vos événements Google Calendar sur la page agenda de Carsu (lorsque vous l'avez autorisé) ; pour fournir une assistance (y compris la traduction assistée par IA via Intercom, qui n'utilise pas vos données pour entraîner ses modèles) ; pour produire des analyses agrégées anonymisées (§7.4) ; pour garantir la sécurité et prévenir la fraude ; pour satisfaire à nos obligations légales ; et, sur les bases décrites au §6, pour notre propre communication commerciale.

Recours à l'IA. Nos fonctionnalités d'IA (traduction Intercom ; Anthropic pour un usage opérationnel sur données dépersonnalisées) ne produisent pas d'effets juridiques ni d'effets similairement significatifs à votre égard et ne constituent pas une décision automatisée au sens de l'art. 22 RGPD. Nous classons notre usage de l'IA comme présentant un risque minimal au sens du règlement européen sur l'intelligence artificielle. Vous pouvez refuser la traduction assistée par IA en écrivant à support@carsu.com. Les données obtenues via les API Google sont exclues de tout traitement d'IA et d'apprentissage automatique (voir §5a).

5a. Politique de Google relative aux données utilisateur des services API : usage limité

L'utilisation par Carsu des informations reçues des API Google, ainsi que leur transfert à toute autre application, sont conformes à la Google API Services User Data Policy, y compris aux exigences d'usage limité (Limited Use). En particulier, nous utilisons les données Google Calendar uniquement pour fournir et améliorer la fonctionnalité de synchronisation d'agenda qui vous est visible dans la plateforme Carsu. Nous ne procédons pas aux opérations suivantes :

• transférer des données utilisateur Google à des tiers, sauf lorsque cela est nécessaire pour fournir ou améliorer des fonctionnalités destinées à l'utilisateur, pour se conformer au droit applicable, ou dans le cadre d'une fusion, d'une acquisition ou d'une cession d'actifs moyennant information préalable de votre part ;
• utiliser des données utilisateur Google à des fins de diffusion publicitaire, y compris de reciblage ou de publicité personnalisée ou fondée sur les centres d'intérêt ;
• vendre des données utilisateur Google à des tiers, à des courtiers en données ou à des revendeurs d'informations ;
• utiliser des données utilisateur Google pour développer, améliorer ou entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique généralisés ou non personnalisés.

L'accès humain aux données utilisateur Google est limité aux cas suivants : (a) lorsque nous avons obtenu votre consentement spécifique pour consulter des messages, fichiers ou événements déterminés ; (b) lorsque cela est nécessaire pour des investigations de sécurité, la prévention des abus ou le respect du droit applicable ; (c) lorsque les données ont été agrégées et anonymisées pour des opérations internes conformément à la présente politique ; ou (d) lorsque cela est nécessaire pour fournir une assistance client à votre demande expresse.

5b. L'application mobile Carsu

Carsu propose une application Android et iOS destinée au personnel des ateliers. Elle vous connecte avec le même compte Carsu que la plateforme web et affiche les mêmes données que celles déjà détenues par votre atelier : interventions, véhicules, clients et messages. Outre ce qui est décrit ailleurs dans la présente politique, l'application peut :

• Utiliser l'appareil photo, uniquement lorsque vous choisissez de photographier un véhicule ou de scanner une plaque d'immatriculation. Les photographies que vous prenez sont rattachées à l'intervention ou au véhicule que vous avez sélectionné et sont conservées avec le reste des données de votre atelier. La lecture de plaque s'exécute sur l'appareil ; l'image de l'appareil photo n'est transmise nulle part.
• Lire une photo que vous sélectionnez dans votre photothèque, uniquement lorsque vous choisissez de la joindre à une intervention. L'application ne parcourt ni ne téléverse votre photothèque.
• Envoyer des notifications push sur votre appareil, par exemple lorsqu'une intervention vous est attribuée ou qu'une intervention en cours requiert votre attention. À cette fin, l'application enregistre un jeton d'appareil auprès d'Apple (APNs) ou de Google (FCM) et nous conservons ce jeton associé à votre compte. Les notifications ne contiennent jamais de plaque d'immatriculation, de nom de client ni de numéro de téléphone. Vous pouvez désactiver les notifications à tout moment dans les réglages de votre appareil, et le jeton est désenregistré lors de votre déconnexion.
• Envoyer des événements d'analyse produit (écrans utilisés, durée des actions) vers nos propres serveurs puis vers Mixpanel dans l'Union européenne, associés à votre identifiant utilisateur Carsu. Ces événements ne comportent jamais de plaques d'immatriculation, de noms, de numéros de téléphone ni de données clients. Vous pouvez les désactiver à tout moment dans Settings → Privacy → Share usage data.

L'application n'accède ni à votre localisation, ni à vos contacts, ni à votre agenda, ni à votre microphone, n'utilise pas d'identifiants publicitaires et ne conserve sur l'appareil que le jeton de connexion, vos réglages et un cache temporaire des données de votre atelier, effacé lors de la déconnexion. Les photos sont réencodées avant téléversement, de sorte que les métadonnées de l'appareil photo, y compris la localisation, sont supprimées.

La connexion à l'application utilise le même fournisseur d'identité que la plateforme web (Clerk, voir §7.1). La connexion via Apple ou Google est proposée par commodité et ne nous communique que le nom et l'adresse électronique que vous autorisez le fournisseur à partager.

6. Communications

Messages de service. Les messages liés au service (alertes de sécurité, facturation, modifications des conditions et notifications relatives à l'activité de votre compte d'atelier) sont envoyés sur le fondement du contrat ou de l'intérêt légitime et ne peuvent faire l'objet d'un refus, à l'exception des notifications push de l'application mobile, qui peuvent être désactivées dans les réglages de votre appareil.

Communication commerciale auprès des utilisateurs de la plateforme. Lors de la création de votre compte Carsu, nous vous demandons si vous souhaitez recevoir des actualités produit, des conseils et des offres relatifs aux services de Carsu. Nous ne les envoyons que si vous avez répondu par l'affirmative (consentement, art. 6, par. 1, point a, RGPD) et nous conservons la trace de la date et des modalités de votre accord. Chacun de ces courriels comporte un lien de désinscription, la désinscription prend effet immédiatement et vous pouvez modifier votre choix à tout moment dans les paramètres de votre compte ou en écrivant à privacy@carsu.com.

Communication commerciale auprès des contacts professionnels. Nous adressons également notre lettre d'information à des contacts professionnels du marché de l'après-vente automobile qui ne sont pas encore utilisateurs de Carsu. Nous conservons chaque contact sur l'une des bases suivantes, enregistrée pour chaque contact avec son origine et sa date : (a) votre consentement, par exemple lors de votre inscription sur notre site internet ou lors d'un événement ; (b) une relation d'affaires existante avec Carsu B.V. ; ou (c) notre intérêt légitime à contacter une entreprise du marché de l'après-vente automobile au sujet d'un service pertinent pour son activité, après mise en balance de cet intérêt avec vos droits et dès lors que le message se rattache clairement à votre fonction professionnelle. Lorsqu'un contact est conservé sur la base (c), nous n'envoyons rien avant qu'un contrôle de conformité n'ait confirmé cette base et, lorsque nous ne pouvons pas confirmer une base, soit nous vous demandons préalablement votre autorisation, soit nous ne vous contactons pas.

Vos choix. Chaque courriel commercial comporte un lien de désinscription. Vous pouvez également vous opposer à toute communication commerciale en écrivant à privacy@carsu.com. Une désinscription ou une opposition est enregistrée sur une liste de suppression et ne peut être remise en cause par un import de liste ultérieur ni par une réinscription de notre part ; vous seul pouvez vous réinscrire. Nous n'envoyons pas de communications commerciales par WhatsApp ou SMS aux utilisateurs de la plateforme ni aux contacts professionnels, sauf si vous avez consenti séparément à ce canal.

Mesure. Nous enregistrons si un courriel commercial a été remis, a échoué ou a donné lieu à une plainte, ainsi que le fait qu'un lien qu'il contient ait été cliqué (nous n'utilisons pas de pixels de suivi d'ouverture), afin de cesser les envois vers des adresses inopérantes et de comprendre quels contenus sont utiles. Nous n'utilisons pas ces informations pour établir des profils individuels.

7. Partage des données

7.1 Sous-traitants ultérieurs

Nous recourons aux sous-traitants ultérieurs suivants, dans le cadre d'accords de traitement des données conformes à l'art. 28 RGPD :

Google LLC est également une source de données en amont (et non un sous-traitant ultérieur) lorsque vous autorisez l'intégration facultative Google Calendar. Les données circulent de Google vers Carsu sur la base de votre consentement OAuth et sont régies par les §3, §5 et §5a de la présente politique. Les données d'agenda ne sont transmises à aucun des sous-traitants ultérieurs énumérés ci-dessus, et le rôle de Google LLC ci-dessus, relatif aux notifications push, ne porte que sur des jetons d'appareil et le contenu des notifications, jamais sur des données d'agenda.

7.2 Modification des sous-traitants ultérieurs

Nous informons les utilisateurs de la plateforme au moins 30 jours avant de recourir à un nouveau sous-traitant ultérieur ou d'en remplacer un. Les droits d'opposition sont énoncés dans l'accord de traitement des données figurant dans nos conditions générales (annexe A, §A5).

7.3 Autres destinataires

Nous pouvons communiquer des données à caractère personnel à des conseils professionnels tenus à une obligation de confidentialité, aux autorités répressives lorsque la loi l'exige, et dans le cadre d'une fusion ou d'une acquisition (moyennant information préalable).

Administrations fiscales et intermédiaires fiscaux. Lorsqu'un atelier est soumis à une obligation nationale de facturation électronique ou de déclaration fiscale (actuellement Verifactu en Espagne, le Sistema di Interscambio en Italie, myDATA et la liste numérique des clients en Grèce, et KSeF en Pologne, au fur et à mesure de leur activation), nous transmettons les données de facture ou de déclaration exigées par la loi, lesquelles peuvent comprendre le nom, l'identifiant fiscal et l'adresse du client de l'atelier ainsi que le numéro d'immatriculation du véhicule, à l'autorité compétente pour le compte de l'atelier, directement ou par l'intermédiaire d'un prestataire de facturation électronique certifié établi dans l'Union européenne ; la liste des intermédiaires auxquels nous recourons actuellement, par pays, est communiquée sur demande à privacy@carsu.com. L'atelier demeure l'émetteur de la facture et le responsable du traitement de ces données. Les numéros de TVA des clients professionnels sont vérifiés auprès du service européen VIES, qui renvoie la dénomination et l'adresse enregistrées auprès de l'État membre.

7.4 Analyses anonymisées

Nous pouvons partager des analyses agrégées et irréversiblement anonymisées avec des partenaires du secteur. Il est contractuellement interdit aux destinataires de tenter une réidentification. Ces données étant hors du champ d'application du RGPD (considérant 26), leur partage ne constitue pas un transfert de données à caractère personnel. Les données obtenues via les API Google sont exclues des analyses anonymisées en application de notre engagement d'usage limité (§5a).

Nous ne vendons pas de données à caractère personnel.

8. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité, d'opposition et de retrait de votre consentement à tout moment, sans que cela porte atteinte à la licéité des traitements antérieurs. Écrivez à privacy@carsu.com pour les exercer. Nous vérifierons votre identité et répondrons dans un délai de 30 jours (prorogeable de deux mois pour les demandes complexes).

Suppression de votre compte. Vous pouvez supprimer vous-même votre compte Carsu depuis Settings → My Account sur la plateforme web, ou Settings → Delete account dans l'application mobile. Nous vous envoyons alors un lien de confirmation à l'adresse électronique de votre compte ; ce lien est valable 24 heures et rien n'est supprimé tant que vous n'avez pas confirmé. Après confirmation, votre compte est désactivé immédiatement, vous êtes déconnecté partout et vous n'apparaissez plus dans votre atelier. Si vous vous reconnectez dans les 30 jours, votre compte est rétabli ; passé ce délai de 30 jours, vos données d'identité sont définitivement supprimées. Les documents que votre atelier doit conserver en vertu de la loi, tels que les factures, les paiements et les écritures d'audit, sont conservés ; votre nom en est retiré une fois la période de 30 jours écoulée. Les propriétaires et administrateurs d'atelier doivent d'abord transférer leur rôle à un autre membre, faute de quoi plus personne ne serait en mesure de gérer la facturation, les membres ou l'abonnement de l'atelier. Les instructions complètes (en anglais) figurent sur www.carsu.com/en/delete-account.

Téléchargement de vos données. Vous pouvez télécharger à tout moment une copie de vos propres données personnelles depuis Settings → My Account → Download my data sur la plateforme web. Le fichier contient votre profil, vos préférences, vos appartenances à des ateliers, vos consentements et les notes que vous avez rédigées. Il ne contient pas les données professionnelles de votre atelier, dont l'atelier est responsable.

Clôture du compte d'un atelier. Lorsqu'un propriétaire d'atelier nous demande expressément de clôturer le compte de l'atelier, nous le clôturons dans un délai de 30 jours et supprimons définitivement les données de l'atelier 30 jours après la clôture, après avoir fourni un export sur demande. Nos propres factures adressées à l'atelier sont conservées pendant la durée légale. La résiliation d'un abonnement ne constitue pas une demande de clôture ; dans ce cas, les durées de conservation du §11 s'appliquent.

Si un atelier traite vos données au moyen de notre plateforme, votre interlocuteur principal est l'atelier (en qualité de responsable du traitement). Nous l'assisterons dans le traitement de votre demande. Lorsqu'un atelier détient encore des biens vous appartenant en dépôt (par exemple des pneus saisonniers) au moment où vous demandez l'effacement, il peut être nécessaire qu'il conserve l'enregistrement minimal reliant les biens entreposés à votre personne jusqu'à leur restitution ou à leur élimination licite ; nous l'aidons à anonymiser tout le reste.

Contacts professionnels. Si nous conservons vos coordonnées à des fins de communication commerciale, vous pouvez à tout moment nous demander sur quelle base nous nous fondons et où nous les avons obtenues, et vous pouvez vous y opposer ; nous cesserons alors nos envois et vous ajouterons à notre liste de suppression.

Intégration Google Calendar : révocation et suppression. Vous pouvez révoquer l'accès de Carsu à votre compte Google à tout moment, soit (a) en interrompant l'intégration depuis les paramètres de votre compte Carsu, soit (b) en retirant l'application Carsu de votre compte Google à l'adresse myaccount.google.com/permissions. La révocation met immédiatement fin à toute synchronisation ultérieure. Les données d'événements d'agenda déjà mises en cache sur nos serveurs sont supprimées dans les 30 jours suivant la déconnexion (voir §11). Pour demander une suppression immédiate, écrivez à privacy@carsu.com.

9. Transferts internationaux

Notre infrastructure principale se situe dans l'EEE. Lorsque des données sont transférées hors de l'EEE ou du Royaume-Uni, nous nous fondons sur les clauses contractuelles types (décision 2021/914) ou sur l'IDTA / addendum britannique, complétés par un chiffrement (TLS 1.2 ou supérieur en transit, AES-256 au repos) et par des analyses d'impact des transferts. Les transferts entre l'Union européenne et le Royaume-Uni reposent sur la décision d'adéquation relative au Royaume-Uni (renouvelée en juillet 2025). Vous pouvez demander une copie des clauses contractuelles types applicables à privacy@carsu.com.

10. Cookies et statistiques

Site internet. Les cookies déposés sur www.carsu.com sont décrits dans notre politique relative aux cookies. Le module de réservation qu'un atelier peut intégrer à son propre site internet ne dépose qu'un cookie de session strictement nécessaire, à l'exclusion de tout cookie de mesure d'audience ou de publicité.

Dans l'application. Lorsque vous êtes connecté à la plateforme Carsu, nous utilisons un cookie de session, un cookie de protection CSRF et un cookie de préférence linguistique (tous strictement nécessaires). Nous utilisons Mixpanel pour l'analyse produit sur la plateforme web et dans l'application mobile, sur le fondement de l'intérêt légitime (art. 6, par. 1, point f, RGPD). Vous pouvez désactiver les statistiques à tout moment dans l'application mobile, sous Settings → Privacy → Share usage data ; sur la plateforme web, ou pour faire supprimer les événements passés, écrivez à privacy@carsu.com et nous cesserons la collecte et supprimerons les enregistrements associés dans un délai de 30 jours.

11. Conservation

À l'issue de ces durées, nous supprimons ou anonymisons irréversiblement les données. Les données issues des API Google sont supprimées et non anonymisées, conformément à notre engagement d'usage limité.

12. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles conformes à l'art. 32 RGPD, notamment le chiffrement en transit et au repos, un contrôle d'accès fondé sur les rôles selon le principe du moindre privilège, l'authentification multifacteur pour tous les accès d'administration et à la plateforme, des évaluations régulières de vulnérabilité, la journalisation des accès et une procédure documentée de réponse aux incidents. Nous travaillons à l'obtention des certifications SOC 2 Type II et ISO 27001. Divulgation responsable des vulnérabilités : security.txt ou security@carsu.com.

Les jetons OAuth permettant l'accès aux API Google sont conservés chiffrés au repos et ne sont accessibles qu'aux composants de la plateforme qui réalisent la synchronisation d'agenda. Les photographies et les documents sont conservés dans un espace de stockage privé et ne sont servis que par des liens signés à durée de vie courte, aux utilisateurs connectés de l'atelier auquel ils se rattachent.

13. Violations de données

Lorsqu'une violation est susceptible d'engendrer un risque pour vos droits, nous en informons l'autorité de contrôle dans un délai de 72 heures (art. 33) et, lorsque le risque est élevé, nous vous en informons directement dans les meilleurs délais (art. 34). Lorsque Carsu agit en qualité de sous-traitant, nous en informons le responsable du traitement (l'atelier) dans les meilleurs délais.

14. Résidents du Royaume-Uni

Les résidents du Royaume-Uni disposent des mêmes droits que ceux décrits au §8. Les transferts entre l'Union européenne et le Royaume-Uni reposent sur la décision d'adéquation de l'Union européenne relative au Royaume-Uni (renouvelée en juillet 2025, valable jusqu'en 2031). En cas de conflit entre le droit britannique de la protection des données et la présente politique pour les résidents du Royaume-Uni, le droit britannique prévaut.

15. Mineurs

Nos services sont destinés aux professionnels (B2B) et ne s'adressent pas aux enfants. Nous ne collectons pas sciemment de données concernant des personnes de moins de 16 ans (ou de moins de 14 ans en Italie, en application du D.Lgs. 101/2018). Si nous découvrons de telles données, nous les supprimons sans délai.

16. Modifications

Nous mettons à jour la présente politique lorsque nos pratiques, nos technologies ou nos obligations légales évoluent. Les modifications substantielles sont notifiées par courriel ou dans la plateforme au moins 30 jours à l'avance.

17. Réclamations

Vous pouvez introduire une réclamation auprès de l'autorité néerlandaise Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), autorité de contrôle chef de file pour Carsu B.V. au titre du guichet unique prévu par le RGPD, auprès de l'autorité italienne Garante per la protezione dei dati personali (garanteprivacy.it) lorsque Carsu Italia S.r.l. est votre partie contractante, ou auprès de l'autorité de protection des données de votre pays de résidence dans l'Union européenne. Nous préférerions que vous nous contactiez d'abord à privacy@carsu.com afin que nous puissions tenter de résoudre directement votre difficulté.

18. Documents liés

La présente politique doit être lue conjointement avec nos conditions générales (y compris l'accord de traitement des données figurant à l'annexe A) et notre politique relative aux cookies.

19. Contact

Confidentialité : privacy@carsu.com

Juridique : legal@carsu.com

Sécurité : security@carsu.com

Général : hello@carsu.com

Courrier : Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Pays-Bas

Italie : Carsu Italia S.r.l., Via Fabro 8, 10122 Torino, Italie ; PEC carsu.italia@pec.it