Politique de confidentialité
À jour au 12 octobre 2026.
Vos photos, vos numéros et votre dossier de vol servent à une seule chose : retrouver votre vélo. Rien n’est vendu, rien n’est publié, rien ne sert de publicité. Vous pouvez demander l’effacement de vos données, sous réserve des conservations légales et des preuves nécessaires décrites ci-dessous.
1. Qui traite vos données
Le responsable de traitement est Retrace, 5 parvis Alan Turing, 75013 Paris (voir les mentions légales).
Contact pour toute question ou demande sur vos données : contact@retrace.bike.
Aucun délégué à la protection des données n’est désigné à ce jour : l’activité ne l’impose pas. L’adresse ci-dessus est le point de contact.
2. Ce que nous collectons, et pourquoi
| Données | Pourquoi | Base légale |
|---|---|---|
| Compte : e-mail, mot de passe (jamais en clair) ou connexion Google, Apple ou Facebook, nom si vous le donnez, langue, pays | Créer et sécuriser votre accès | Exécution du contrat |
| Vélo : photos, description, marque, modèle, taille, numéro de série, numéro de marquage, signes particuliers | Constituer la fiche, comparer aux annonces | Exécution du contrat |
| Vol : date, lieu, récit, état de la plainte, numéro de plainte ou de récépissé, service saisi | Déclarer le vol, préparer le dossier, régler la recherche sur la bonne zone | Exécution du contrat |
| Adresse du vélo (facultative) | Chercher d’abord près de chez vous | Exécution du contrat |
| Téléphone | Envoyer l’alerte SMS quand une annonce sort du lot | Exécution du contrat, alerte SMS activée par vous |
| Paiement : identifiant client et abonnement chez Stripe, montants, dates, factures | Encaisser l’abonnement, tenir la comptabilité | Contrat, obligation légale |
| Demande de démarrage immédiat : texte confirmé, information sur la rétractation et le prorata, langue, version des conditions, identifiant et date de création de la session de paiement ou de l’abonnement | Enregistrer votre demande avant le paiement et conserver la preuve de l’information fournie | Contrat, obligation légale ; intérêt légitime à établir et défendre les droits contractuels |
| Rétractation : nom, e-mail choisi, référence du contrat, déclaration, identifiant et date et heure de réception, lien avec le compte ou la recherche si vérifié, arrêt de la recherche, suivi de l’accusé de réception, état et notes de traitement | Recevoir votre déclaration, envoyer l’accusé de réception, traiter l’arrêt et le remboursement, conserver la preuve du traitement | Obligation légale, exécution du contrat ; intérêt légitime à établir et défendre les droits contractuels |
| Journaux techniques : adresse IP, date, navigateur, actions du compte | Sécurité, preuve, diagnostic de panne | Intérêt légitime, obligation légale |
| Mesure d’audience : pages vues, agrégées, sans cookie | Savoir ce qui sert et ce qui ne sert pas | Intérêt légitime |
Les champs facultatifs sont signalés dans l’application. Les autres sont nécessaires : sans photo ni numéro, il n’y a pas de comparaison possible.
Connexion avec Google, Apple ou Facebook
Vous pouvez vous connecter avec votre compte Google, Apple ou Facebook au lieu d’un mot de passe. Nous recevons alors seulement :
- votre adresse e-mail ;
- votre nom et votre photo de profil, si ce compte les transmet ;
- un identifiant technique propre à ce compte.
Nous ne demandons accès à rien d’autre : ni contacts, ni agenda, ni fichiers, ni publications.
Ces données servent à créer votre compte, à vous connecter et à vous écrire au sujet de votre compte et de vos alertes. Elles sont gardées tant que le compte existe. Elles ne vont qu’aux prestataires du point 6 qui en ont besoin : Supabase pour la connexion, Brevo pour les e-mails. Elles ne sont ni vendues, ni utilisées pour de la publicité, ni pour entraîner un modèle d’intelligence artificielle.
L’usage des données reçues de Google respecte la politique relative aux données utilisateur des services d’API Google, y compris ses exigences d’usage limité (Limited Use).
Vous pouvez retirer cet accès à tout moment dans les réglages de votre compte Google, Apple ou Facebook, et demander l’effacement de votre compte Retrace (point 8).
3. Les données liées à l’infraction
Le récit du vol, le numéro de plainte et le service saisi sont des données relatives à une infraction. Elles ne sont traitées que pour vous permettre de préparer, d’exercer et de suivre votre action en tant que victime, au sens de l’article 46 de la loi du 6 janvier 1978. Elles restent dans votre dossier, ne sont transmises à personne d’autre que vous, et ne servent à établir aucun fichier de personnes.
4. Comment la comparaison fonctionne
Vos photos sont analysées composant par composant (cadre, roues, transmission, freins, selle, accessoires). Chaque composant devient une empreinte numérique. Les annonces analysées subissent le même traitement, et un score de ressemblance est calculé, corrigé par le prix, la zone et la date.
Le score décide seulement de vous prévenir ou non. Aucune décision produisant un effet juridique n’est prise automatiquement. C’est vous qui regardez l’annonce, vous qui décidez, et la police qui agit.
5. Les annonces et les vendeurs
Pour trouver votre vélo, Retrace analyse des annonces publiées publiquement sur des sites de petites annonces, et en conserve le titre, la description, le prix, les photos, la zone, la date, l’adresse de l’annonce, ainsi que les éléments publics du compte vendeur (pseudonyme, ancienneté, note, lien du profil).
Ce traitement repose sur l’intérêt légitime de la personne volée à retrouver son bien, et sur le nôtre à fournir ce service (article 6.1.f du RGPD). Il ne vise pas les personnes : il vise des objets mis en vente.
Ce que nous ne faisons pas : aucun fichier de réputation, aucune liste noire, aucune identification de la personne derrière un compte, aucune revente, aucune prospection, aucun recoupement entre utilisateurs en dehors de l’annonce qui concerne le vélo d’un propriétaire précis.
Informer chaque vendeur individuellement supposerait de le contacter, ce que Retrace s’interdit et ce qui exigerait un effort disproportionné (article 14.5.b du RGPD) : cette page tient lieu d’information. Si vous vendez un vélo et souhaitez savoir si votre annonce a été analysée, en obtenir l’effacement ou vous opposer à son analyse, écrivez à l’adresse du point 1 en indiquant l’adresse de l’annonce. Nous répondons sous un mois.
6. Qui accède à vos données
Personne, en dehors de l’éditeur et des prestataires ci-dessous, chacun pour la seule part qui lui revient.
| Prestataire | Rôle | Où |
|---|---|---|
| Hetzner Online GmbH | Serveur, base de données, sauvegardes | Helsinki, Finlande |
| Cloudflare | Stockage des photos, protection du site | Union européenne (bucket R2 en Europe de l’Ouest, WEUR) et États-Unis, clauses contractuelles types |
| Supabase | Comptes et connexion | Union européenne (région eu-west), société américaine, clauses contractuelles types |
| Stripe Payments Europe Ltd | Paiement, factures, abonnements, preuve de la demande de démarrage | Irlande, transferts vers Stripe Inc. encadrés |
| Brevo (Sendinblue SAS) | Envoi des e-mails : connexion, alertes, compte, accusés de réception de rétractation | France |
| Roboflow, Inc. | Repérer les composants sur vos photos | États-Unis |
| OVHcloud (prévu, à activer) | Envoi des alertes SMS | France, puis opérateurs des destinataires |
| Anthropic | Analyser une photo de vélo et la décrire | États-Unis, clauses contractuelles types. Vos photos ne servent à entraîner aucun modèle |
| Bright Data Ltd | Accès aux pages d’annonces publiques | Israël, décision d’adéquation. Ne reçoit aucune de vos données |
| Base Adresse Nationale (DINUM) et Photon (Komoot GmbH) | Compléter une adresse que vous tapez | France, Allemagne |
| Umami, auto-hébergé | Mesure d’audience sans cookie | Notre serveur |
Vos données peuvent aussi être communiquées à une autorité judiciaire ou policière qui en fait la demande dans les formes légales.
Aucune donnée n’est vendue, louée ou échangée.
7. Combien de temps
| Donnée | Durée |
|---|---|
| Compte | Tant qu’il existe. À sa fermeture, effacement sous 30 jours, sauvegardes comprises |
| Fiche vélo et photos | Tant que vous les gardez. Suppression immédiate à votre demande, effacement des sauvegardes sous 30 jours |
| Dossier de vol (récit, plainte, alertes, rapports) | Pendant la recherche, puis 3 ans, le temps qu’il puisse encore servir dans une procédure. Effaçable avant, sur demande |
| Téléphone | Tant que l’alerte SMS est activée |
| Suivi des envois (type, canal, date, résultat) | Tant que la fiche du vélo existe, sans copie du message ni des coordonnées dans ce suivi |
| Annonces analysées et comptes vendeurs | 6 mois, puis effacement. Une annonce retenue comme candidate reste dans le dossier du vélo concerné |
| Factures et pièces comptables | 10 ans, obligation légale |
| Demandes de démarrage et de rétractation, preuves et suivi de leur traitement | Le temps nécessaire au traitement, puis à l’établissement, l’exercice ou la défense des droits, selon les délais légaux applicables. Ces éléments peuvent être conservés après la suppression du compte ou du vélo. Les pièces comptables suivent la durée de 10 ans ci-dessus |
| Journaux techniques | 12 mois |
| Mesure d’audience | 25 mois, agrégée |
| Parcours dans l’application | 90 jours |
8. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.
Écrivez à l’adresse du point 1. Nous répondons sous un mois, et pouvons demander une preuve d’identité en cas de doute sérieux.
Si la réponse ne vous satisfait pas, vous pouvez saisir la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.
9. Sécurité
Tout passe en HTTPS. Les photos sont dans un stockage privé, servi par des liens signés de courte durée. Les mots de passe ne sont jamais stockés en clair. L’accès aux serveurs est limité et par clé. Les sauvegardes sont chiffrées.
En cas de violation de données présentant un risque pour vous, vous serez prévenu, et la CNIL dans les 72 heures.
10. Cookies et stockage local
Aucun cookie publicitaire, aucun traceur tiers, aucun réseau social embarqué. Le détail de ce que le site enregistre dans votre navigateur, et pourquoi aucun bandeau ne vous demande votre accord, est sur la page Cookies.
11. Mineurs
Le service est réservé aux personnes majeures. Nous ne collectons pas sciemment les données d’un mineur ; signalez le cas échéant et nous effacerons.
12. Modifications
Cette politique peut évoluer. Un changement important est annoncé par e-mail aux titulaires d’un compte. La date en tête indique la version en vigueur.