Politique de confidentialité

Le responsable du traitement est AREL GROUPE, société par actions simplifiée immatriculée au RCS de Pontoise sous le numéro 101 703 635, dont le siège social est situé Lot B8, 15 rue Gustave Eiffel, 95190 Goussainville, France.

Pour toute question relative à cette politique ou à l'exercice de vos droits : contact@arelpro.com.

La présente politique couvre exclusivement les services professionnels Arel Pro : le site arelpro.com, l'espace client partner.arelpro.com et l'interface de programmation api.arelpro.com. L'application grand public Arel fait l'objet d'une politique distincte, publiée séparément.

Visiteurs du site. Adresse IP, type de navigateur et de terminal, pages consultées, date et heure de consultation, données de journalisation technique.

Clients professionnels et leurs utilisateurs. Nom et prénom, adresse électronique, numéro de téléphone, mot de passe conservé sous forme chiffrée, éléments d'authentification à deux facteurs ; dénomination sociale, numéro SIRET, extrait Kbis, adresse de l'établissement et adresse d'enlèvement habituelle ; identifiants techniques (Client ID, clés API et leur historique d'usage) ; données de facturation, solde du portefeuille, historique des transactions et des virements ; journaux de connexion et d'appels à l'API.

Destinataires des colis. Nom, adresse de livraison, numéro de téléphone et, le cas échéant, instructions de livraison. Ces données sont transmises à Arel par le client professionnel expéditeur.

Données d'expédition. Référence du bordereau, adresses d'enlèvement et de livraison, poids et description déclarée du contenu, statuts successifs et leurs horodatages, code de livraison, preuve de remise, et position du livreur pendant l'exécution de la course.

Arel ne collecte ni ne conserve aucune donnée de carte bancaire : les paiements sont traités directement par Stripe, qui agit en qualité de prestataire de services de paiement.

• Création et gestion du compte professionnel, authentification, gestion des clés API — exécution du contrat (article 6.1.b du RGPD).
• Organisation et exécution des livraisons, attribution à un livreur, suivi, information du destinataire par SMS — exécution du contrat, et intérêt légitime d'Arel et de l'expéditeur à ce que le colis parvienne à son destinataire s'agissant des données de ce dernier (articles 6.1.b et 6.1.f).
• Tarification, facturation et recouvrement — exécution du contrat et obligation légale (articles 6.1.b et 6.1.c).
• Vérification de l'existence et de la qualité du professionnel (SIRET, Kbis) — obligation légale et intérêt légitime tenant à la prévention de la fraude (articles 6.1.c et 6.1.f).
• Sécurité de la plateforme, journalisation, détection et traitement des abus et incidents — intérêt légitime (article 6.1.f).
• Traitement des réclamations et gestion des litiges — exécution du contrat et intérêt légitime à faire valoir ses droits (articles 6.1.b et 6.1.f).
• Conservation des pièces comptables et fiscales — obligation légale (article 6.1.c).
• Cookies non strictement nécessaires et communications commerciales non sollicitées — consentement (article 6.1.a).

Les données des clients professionnels sont collectées directement auprès d'eux. Les données des destinataires sont communiquées à Arel par le client expéditeur, qui se porte fort de les avoir informés de cette transmission.

Arel agit en qualité de responsable de traitement pour l'organisation et l'exécution du transport, la facturation et la sécurité du service. Le client professionnel demeure responsable de traitement pour sa propre relation commerciale avec ses clients, en amont de la remise des données à Arel.

Les données ne sont ni vendues ni louées. Elles sont accessibles aux seuls personnels habilités d'Arel et communiquées aux catégories de destinataires suivantes :

• Livreurs indépendants, pour les seules informations nécessaires à l'enlèvement et à la remise du colis.
• Stripe Payments Europe Ltd (Irlande) — traitement des paiements, gestion du portefeuille et versement des rémunérations des livreurs.
• Amazon Web Services — hébergement des documents justificatifs, dans la région eu-north-1 (Stockholm, Suède).
• Hostinger — hébergement des serveurs applicatifs et de la base de données, sur une infrastructure située en France.
• MailerSend et Twilio SendGrid — acheminement des courriers électroniques transactionnels.
• Twilio et ZIMSS — acheminement des messages courts adressés aux destinataires et aux utilisateurs.
• Autorités administratives ou judiciaires, sur réquisition régulière.

Chacun de ces prestataires n'intervient que sur instruction d'Arel, dans le cadre d'un contrat conforme à l'article 28 du RGPD, et pour les seules finalités décrites ci-dessus.

Les données sont hébergées au sein de l'Union européenne. Certains prestataires, en particulier Twilio et Twilio SendGrid, appartiennent à des groupes établis aux États-Unis et sont susceptibles d'accéder aux données depuis ce pays. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, le cas échéant, par la certification de ces prestataires au titre du cadre de protection des données UE–États-Unis, complétées par des mesures techniques appropriées.

• Compte professionnel et données de contact — pendant la durée de la relation contractuelle, puis trois ans à compter du dernier contact.
• Bordereaux et données d'expédition, y compris les coordonnées des destinataires — cinq ans à compter de la livraison, durée de la prescription commerciale.
• Pièces justificatives (Kbis, documents de vérification) — pendant la durée de la relation contractuelle, puis cinq ans.
• Factures et pièces comptables — dix ans à compter de la clôture de l'exercice, conformément à l'article L. 123-22 du code de commerce.
• Position du livreur — conservée le temps de l'exécution de la course, puis supprimée ou agrégée sous forme non identifiante.
• Journaux de connexion et d'appels à l'API — douze mois.
• Traceurs déposés sur le terminal — treize mois au maximum, le consentement étant recueilli à nouveau à l'expiration de ce délai.

À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible, sous réserve des archives intermédiaires nécessaires au respect d'une obligation légale ou à la constatation et à l'exercice d'un droit en justice.

Arel met en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des échanges par TLS, stockage des mots de passe sous forme de condensat, authentification à deux facteurs disponible sur les comptes, cloisonnement des services applicatifs, restriction des accès administratifs, journalisation des opérations sensibles, et sauvegardes régulières.

Les clés API sont révocables à tout instant depuis l'espace client. En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, Arel notifie la Commission nationale de l'informatique et des libertés dans les soixante-douze heures et informe les personnes concernées lorsque le risque est élevé.

Vous disposez des droits d'accès, de rectification, d'effacement et de limitation du traitement, du droit de vous opposer à un traitement fondé sur l'intérêt légitime, du droit à la portabilité des données que vous avez fournies, du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Ces droits s'exercent par courrier électronique à contact@arelpro.com ou par courrier postal à l'adresse du siège social. Arel répond dans un délai d'un mois, prorogeable de deux mois en cas de demande complexe. Une pièce d'identité peut être demandée en cas de doute raisonnable sur l'identité du demandeur.

Si vous êtes destinataire d'un colis et souhaitez exercer vos droits, adressez-vous directement à Arel : nous identifierons l'expédition concernée à partir de sa référence.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr.

Le site dépose des traceurs strictement nécessaires à son fonctionnement et à la sécurité de la session, qui ne requièrent pas votre consentement. Les traceurs de mesure d'audience et, le cas échéant, de personnalisation publicitaire ne sont déposés qu'après recueil de votre consentement, révocable à tout moment. Le détail des traceurs et les modalités de gestion de vos préférences figurent sur la page dédiée aux cookies.

Cette politique peut être mise à jour pour tenir compte de l'évolution des services ou de la réglementation. La date de dernière mise à jour figure en tête de page ; toute modification substantielle est portée à la connaissance des clients professionnels par courrier électronique.