Politique de confidentialité

Responsable du traitement et contact

Le règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés encadrent l’utilisation des informations qui permettent de vous identifier, directement ou indirectement (nom, adresse e-mail, téléphone, numéro de dossier…). Le responsable de traitement est l’organisme qui décide pourquoi et comment ces données sont utilisées.

Pour le site www.yanabus.fr et les services qu’il propose, le responsable de traitement est :

Pour toute question sur vos données personnelles ou pour exercer vos droits, une adresse dédiée est à votre disposition : dpo@yanabus.fr.

Pourquoi et comment nous traitons vos données

Nous ne collectons que les données nécessaires au service que vous demandez. Le tableau ci-dessous présente, pour chaque formulaire ou fonction du site, la finalité, la base légale, les données concernées, la durée de conservation et les personnes qui y ont accès.

• Formulaire de contact

  Finalité

  Répondre à vos demandes d’information

  Base légale

  Intérêt légitime (répondre aux sollicitations des usagers)

  Données

  Nom, prénom, e-mail, téléphone (facultatif), message

  Conservation

  36 mois après la clôture de la demande ; une demande jamais close est supprimée 36 mois après sa dernière mise à jour

  Destinataires

  Agence commerciale

• Réclamation

  Finalité

  Traiter les réclamations et améliorer le service

  Base légale

  Intérêt légitime et exécution du contrat de transport

  Données

  Identité, coordonnées, qualité d’usager, numéro de carte (pour un problème de validation), ligne, direction, date et heure, récit des faits, pièce jointe facultative

  Conservation

  36 mois après la clôture de la demande ; une demande jamais close est supprimée 36 mois après sa dernière mise à jour

  Destinataires

  Agence commerciale, service exploitation

• Objet perdu

  Finalité

  Rechercher et restituer les objets oubliés

  Base légale

  Intérêt légitime

  Données

  Identité, coordonnées, description de l’objet, ligne, direction, date et heure

  Conservation

  36 mois après la clôture de la demande ; une demande jamais close est supprimée 36 mois après sa dernière mise à jour

  Destinataires

  Agence commerciale

• Pré-demande de carte

  Finalité

  Préparer la création d’une carte de transport nominative

  Base légale

  Mesures précontractuelles prises à votre demande

  Données

  Identité, adresse postale, e-mail, téléphone

  Conservation

  36 mois après la clôture de la demande ; une demande jamais close est supprimée 36 mois après sa dernière mise à jour

  Destinataires

  Agence commerciale

• Avis (enquête de satisfaction)

  Finalité

  Mesurer la satisfaction et améliorer le réseau

  Base légale

  Consentement

  Données

  E-mail, commune, tranche d’âge, fréquence et motifs de déplacement, note, suggestions

  Conservation

  12 mois après la clôture de l’avis, ou après sa dernière mise à jour s’il n’est jamais clos

  Destinataires

  Agence commerciale, service communication

• Candidature

  Finalité

  Gérer le recrutement

  Base légale

  Mesures précontractuelles prises à votre demande

  Données

  Identité, coordonnées, message (facultatif), CV

  Conservation

  24 mois à compter de la réception

  Destinataires

  Ressources humaines

• Lettre d’information

  Finalité

  Vous informer de l’actualité du réseau

  Base légale

  Consentement, confirmé par vous depuis le lien reçu par e-mail (bouton « Confirmer mon inscription »)

  Données

  Adresse e-mail, dates d’inscription, de confirmation et de désinscription, empreinte de l’adresse IP (preuve du consentement)

  Conservation

  Jusqu’à votre désabonnement, puis 36 mois au plus pour la preuve du consentement ; inscriptions non confirmées : 7 jours

  Destinataires

  Service communication

• Suivi de dossier

  Finalité

  Vous informer de l’avancement d’une demande

  Base légale

  Intérêt légitime

  Données

  Numéro de dossier et e-mail, comparés à ceux de la demande

  Conservation

  Aucun enregistrement supplémentaire

  Destinataires

  -

• Protection des formulaires

  Finalité

  Limiter les envois automatisés et abusifs

  Base légale

  Intérêt légitime (sécurité du site)

  Données

  Empreintes de l’adresse IP et de l’adresse e-mail (hachage avec une clé secrète), nombre d’envois

  Conservation

  48 heures au plus

  Destinataires

  -

• Back-office

  Finalité

  Administrer les contenus du site et traiter les demandes

  Base légale

  Exécution du contrat de travail ou de prestation

  Données

  Nom et e-mail professionnel des agents habilités, journaux de connexion

  Conservation

  Durée de l’habilitation (compte supprimé au départ de l’agent)

  Destinataires

  Yana’BUS, WBS Développement (maintenance)

• Carte des points de vente

  Finalité

  Afficher le fond de carte et, à votre demande (bouton « Autour de moi »), les points de vente les plus proches

  Base légale

  Intérêt légitime (information des voyageurs) ; service que vous demandez pour la position

  Données

  Adresse IP transmise aux serveurs du fond de carte ; votre position reste dans votre navigateur

  Conservation

  Position : jamais enregistrée ; journaux des serveurs du fond de carte : selon la politique de la Fondation OpenStreetMap

  Destinataires

  Fondation OpenStreetMap (images du fond de carte)

Avec chaque démarche (contact, réclamation, objet perdu, pré-demande de carte, avis), nous enregistrons aussi la date de votre accord, une empreinte de votre adresse IP et l’identification de votre navigateur (« user-agent »), à des fins de preuve et de sécurité ; elles sont conservées et supprimées avec la demande.

Nous ne réalisons aucune prospection commerciale, aucun profilage ni aucune décision automatisée à partir de vos données. Aucune donnée n’est vendue ni cédée à des tiers.

Caractère obligatoire des informations

Dans nos formulaires, tous les champs sont obligatoires, sauf ceux marqués « facultatif » : sans les premiers, nous ne pouvons pas traiter votre demande ; les seconds servent à mieux vous répondre (par exemple le numéro de téléphone ou la pièce jointe d’une réclamation). Sous chaque formulaire, une mention précise la finalité, les destinataires, la durée de conservation et vos droits.

Les démarches (contact, réclamation, objet perdu, pré-demande de carte) et les candidatures ne reposent pas sur votre consentement mais sur notre intérêt légitime, le contrat de transport ou des mesures précontractuelles : une case non pré-cochée vous fait seulement confirmer que vous avez pris connaissance de cette politique. L’avis et la lettre d’information reposent sur votre consentement : la case, non pré-cochée, recueille alors votre accord, que vous pouvez retirer à tout moment.

Nous appliquons le principe de minimisation : la pré-demande de carte ne collecte ni date de naissance ni nationalité, la carte étant finalisée en agence sur présentation de vos justificatifs ; aucun formulaire ne vous demande d’information sur votre santé.

Données collectées automatiquement

• Journaux techniques. Comme tout site, nos hébergeurs (Vercel pour les pages, Supabase pour la base de données) enregistrent des journaux de connexion (adresse IP, horodatage, page demandée, navigateur) à des fins de sécurité et de diagnostic, conservés quelques jours au plus.
• Protection des formulaires. Lors d’un envoi, votre adresse IP et votre adresse e-mail sont transformées en empreintes (hachage SHA-256 avec une clé secrète) qui ne les laissent pas apparaître en clair. Ces empreintes servent à limiter le nombre d’envois et sont effacées sous 48 heures ; l’empreinte de l’adresse IP est en outre conservée avec votre démarche ou votre inscription à la lettre d’information, comme élément de preuve.
• Mesure d’audience. Le site ne mesure pas son audience à ce jour. Si une mesure est mise en place, elle reposera sur un outil sans cookie qui ne collecte aucune donnée identifiante et ne suit pas les visiteurs d’un site à l’autre, et cette politique sera mise à jour avant sa mise en service.
• Carte des points de vente. La carte de la page Points de vente est affichée par le site lui-même ; seules les images du fond de carte (tuiles) sont chargées depuis les serveurs de la Fondation OpenStreetMap. Comme pour toute image hébergée par un tiers, votre adresse IP lui est transmise pour les servir, sans cookie ni traceur. La fonction « Autour de moi » n’utilise la géolocalisation de votre navigateur qu’après votre accord : votre position est traitée uniquement sur votre appareil, n’est envoyée ni à nos serveurs ni à un tiers, et n’est pas conservée. Seules les images du fond de carte de la zone affichée sont demandées, comme lors de tout déplacement sur la carte.
• Carte interactive du réseau. Sur ordinateur, la page Horaires & lignes propose la carte ancien / nouveau réseau fournie par le prestataire de la CACL : elle ne se charge qu’après votre clic sur « Afficher la carte interactive », et c’est alors seulement que votre adresse IP est transmise à ce prestataire et aux services de diffusion de fichiers qu’il utilise. Ce choix est retenu jusqu’à la fermeture de l’onglet. Sur téléphone, la carte ne s’ouvre qu’à votre demande, dans un nouvel onglet.
• Aucune autre ressource tierce. Les polices, images, animations et scripts du site sont servis par le site lui-même ou par notre base de données, à l’exception du module de vérification anti-robots des formulaires s’il est activé ; aucun pixel de suivi ni script publicitaire n’est chargé. Voir la page Cookies.

Destinataires et prestataires

Vos données sont accessibles aux seuls agents habilités de Yana'BUS (agence commerciale, exploitation, communication, ressources humaines selon la demande) et, pour les besoins de la maintenance technique, à WBS Développement, prestataire tenu par un engagement de confidentialité.

Nous faisons appel aux sous-traitants suivants, liés par un contrat conforme à l’article 28 du RGPD :

• Vercel Inc. (États-Unis) : hébergement de l’application, pages générées à Paris et diffusées par son réseau mondial.
• Supabase Pte. Ltd. (Singapour) : base de données, authentification du back-office et stockage des fichiers, sur des serveurs Amazon Web Services situés à Paris (Union européenne).
• Resend (Plus Five Five, Inc., États-Unis) : envoi des e-mails automatiques (accusés de réception, notifications internes, confirmation d’inscription à la lettre d’information), lorsque ces envois sont activés ; tant qu’ils ne le sont pas, aucun e-mail n’est envoyé et les inscriptions à la lettre d’information sont fermées.
• Cloudflare, Inc. (États-Unis, service Turnstile) : vérification anti-robots des formulaires, si elle est activée.
• GitHub : hébergement du code source du site, sans aucune donnée personnelle.

Certains contenus sont fournis par des tiers qui traitent alors votre adresse IP en tant que responsables de traitement, selon leur propre politique de confidentialité : la Fondation OpenStreetMap (Royaume-Uni) pour les images du fond de carte des points de vente, le prestataire de la CACL pour la carte interactive du réseau, YouTube (Google) pour les vidéos que vous choisissez de lire, et la plateforme 2cloud de la CACL (horaires, carte en temps réel, boutique), ouverte dans un nouvel onglet.

Les données peuvent également être communiquées aux autorités compétentes lorsque la loi l’impose.

Transferts hors Union européenne

Vos données sont stockées dans l’Union européenne : base de données et fichiers à Paris. Certains prestataires sont toutefois établis hors de l’Union ou peuvent y accéder pour la maintenance ; ces transferts sont encadrés de la façon suivante :

• Vercel Inc., Resend (Plus Five Five, Inc.) et, si la vérification anti-robots est activée, Cloudflare, Inc. sont certifiées au cadre de protection des données UE-États-Unis (Data Privacy Framework), reconnu par la Commission européenne comme assurant un niveau de protection adéquat (décision du 10 juillet 2023) ;
• Supabase Pte. Ltd. (Singapour) est liée par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914) ;
• la Fondation OpenStreetMap est établie au Royaume-Uni, pays reconnu par la Commission européenne comme assurant un niveau de protection adéquat.

Avant de confier des données à un autre prestataire établi hors de l’Union européenne, nous nous assurons de la même manière de l’existence de garanties appropriées.

Durées de conservation

Les durées indiquées dans le tableau des traitements sont appliquées automatiquement : une purge quotidienne supprime les demandes closes depuis plus de 36 mois (12 mois pour les avis), les demandes jamais closes sans mise à jour depuis 36 mois (12 mois pour les avis), les candidatures reçues depuis plus de 24 mois, les inscriptions à la lettre d’information non confirmées après 7 jours, les désinscriptions de plus de 36 mois et les empreintes de protection des formulaires après 48 heures au plus. Les pièces jointes et les CV sont effacés en même temps que la demande ou la candidature à laquelle ils se rapportent ; le même traitement efface aussi tout fichier qui ne serait plus rattaché à une demande ou à une candidature.

Les sauvegardes de la base de données, conservées 7 jours par l’hébergeur, sont renouvelées en continu : une donnée supprimée en disparaît dans ce délai. Au-delà, certaines données peuvent être conservées sous forme d’archive, pour la durée de prescription légale, lorsque c’est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice.

Cookies

Le site n’utilise aucun cookie soumis à consentement : seuls des stockages strictement nécessaires ou demandés par vous sont utilisés (session des agents du back-office, préférence d’affichage clair ou sombre, pause des animations, mémoire de vos votes dans la FAQ, choix d’afficher la carte du réseau pour la durée de l’onglet). L’inventaire complet et les moyens de les gérer sont décrits sur la page Cookies.

Vos droits

Vous disposez, dans les conditions prévues par le RGPD, des droits suivants :

• Accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Rectification : faire corriger des données inexactes ou incomplètes.
• Effacement : demander la suppression de vos données, pièces jointes et CV compris, sauf obligation légale de conservation.
• Limitation : demander le gel temporaire de l’utilisation de vos données, par exemple le temps de vérifier leur exactitude.
• Opposition : vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur notre intérêt légitime.
• Portabilité : recevoir dans un format lisible par machine les données que vous nous avez fournies sur la base de votre consentement ou d’un contrat (avis, pré-demande de carte, candidature, lettre d’information).
• Retrait du consentement : à tout moment, pour les traitements qui en dépendent (avis, lettre d’information - chaque envoi contient un lien de désabonnement), sans remettre en cause la licéité du traitement antérieur.
• Directives post mortem : définir le sort de vos données après votre décès.

Exercer vos droits

Adressez votre demande, en précisant le droit que vous souhaitez exercer :

• par e-mail : dpo@yanabus.fr ;
• par courrier : Yana'BUS - Données personnelles - 4 esplanade de la Cité d'Affaires, 97351 Matoury.

Nous vous répondons dans un délai d’un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois en cas de demande complexe ou de nombre élevé de demandes ; vous en êtes alors informé·e. En cas de doute raisonnable sur votre identité, un justificatif pourra vous être demandé ; il est supprimé une fois la vérification effectuée.

Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés : en ligne sur www.cnil.fr (nouvel onglet) ou par courrier à CNIL - 3 place de Fontenoy - TSA 80715 - 75334 Paris Cedex 07.

Sécurité des données

• Chiffrement en transit : toutes les pages et tous les échanges avec la base de données utilisent HTTPS (TLS).
• Accès restreints : les données des formulaires ne sont jamais lisibles depuis le navigateur ; elles sont écrites par le serveur et consultées uniquement par des agents authentifiés, selon leur rôle.
• Fichiers protégés : les pièces jointes et les CV sont stockés dans des espaces privés, accessibles par liens temporaires au seul personnel habilité ; les métadonnées des images (dont la géolocalisation) sont retirées à l’envoi.
• Minimisation et purges automatiques : adresse IP hachée, durées de conservation appliquées chaque jour par un traitement automatique.
• Sauvegardes : la base de données est sauvegardée chaque jour par l’hébergeur, dans l’Union européenne.
• Violation de données : en cas d’incident de sécurité affectant vos données, nous le documentons, le notifions à la CNIL dans les 72 heures lorsque la réglementation l’exige et vous en informons si l’incident présente un risque élevé pour vos droits et libertés.

La sécurité du terminal depuis lequel vous consultez le site relève de votre responsabilité.

Réseaux sociaux

Yana'BUS est présent sur Facebook, Instagram et YouTube. Les boutons du site sont de simples liens vers ces pages : aucun module social n’est chargé sur www.yanabus.fr. En visitant ces plateformes, vous êtes soumis·e à leurs conditions d’utilisation et à leurs politiques de confidentialité, indépendantes de la nôtre. Les vidéos intégrées au site ne sont chargées qu’après votre clic, depuis le domaine sans suivi publicitaire de YouTube.

Mise à jour de cette politique

Cette politique peut évoluer pour suivre les changements du site ou de la réglementation. La date de dernière mise à jour figure en haut de page ; en cas de modification substantielle, une information sera affichée sur le site. Un registre des traitements est tenu à jour par Yana'BUS.