⚠️ Document brouillon. Ce contenu a été rédigé par l’équipe projet (non-juriste) et doit être relu et validé par un professionnel du droit avant toute publication sur le site.

Résumé

KPS collecte les données nécessaires à ses prestations de fret France ⇄ RDC : identité et coordonnées des expéditeurs et destinataires, détails des colis, documents douaniers, données de paiement (traitées par des prestataires, jamais stockées en clair par KPS) et journaux techniques. Certaines données sont transférées hors Union européenne (agences de Kinshasa et Lubumbashi, prestataires Mobile Money) dans des conditions encadrées. Vous disposez de droits d’accès, de rectification, d’effacement, de portabilité, d’opposition et de limitation, que vous pouvez exercer par e-mail ou depuis votre espace client.

1. Responsable du traitement

2. Données collectées

Selon les services utilisés, KPS collecte :

3. Finalités et bases légales

4. Destinataires des données

Les données sont destinées exclusivement aux personnes et organismes suivants, dans la limite de ce qui est nécessaire :

• Agences KPS de Paris, Kinshasa et Lubumbashi (agents habilités, accès restreint à leur périmètre) ;
• Transporteurs et partenaires logistiques (compagnies aériennes, armateurs, manutentionnaires) pour l’acheminement ;
• Autorités douanières et sanitaires (France, Union européenne, RDC) pour les déclarations obligatoires ;
• Prestataire de paiement (carte bancaire) et opérateurs Mobile Money (M-Pesa, Orange Money) ;
• Prestataire d’e-mails transactionnels (notifications de suivi) ;
• Prestataire d’hébergement du site.

KPS ne vend ni ne loue aucune donnée personnelle.

5. Transferts hors Union européenne

L’activité de KPS implique des transferts de données vers la République démocratique du Congo (agences de Kinshasa et Lubumbashi, destinataires des colis, opérateurs Mobile Money), pays non couvert par une décision d’adéquation de la Commission européenne.

Ces transferts sont encadrés par :

• des clauses contractuelles types (CCT) de la Commission européenne, insérées dans les contrats avec les prestataires concernés ;
• des mesures complémentaires appropriées (chiffrement, accès restreint, minimisation des données transmises) ;
• une analyse d’impact relative aux transferts (TIA) documentée en interne.

Conformément à l’article 46 RGPD, les transferts vers des destinataires non couverts par une décision d’adequation, des clauses types ou des règles d’entreprise contraignantes doivent être notifiés à la CNIL avec les garanties appropriées. KPS procédera à cette notification pour les flux concernés.

[À COMPLÉTER : identifier précisément quels flux de données partent vers la RDC (fiches colis partagées avec les agences ? notifications ?) et établir les CCT correspondantes — voir points à valider.]

6. Durées de conservation

Les durées définitives seront arrêtées avec le professionnel du droit et consignées dans le registre des traitements (docs/registre-rgpd.md).

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données :

• Accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie ;
• Rectification : faire corriger des données inexactes ou incomplètes ;
• Effacement : demander la suppression de vos données, dans les limites des obligations légales de conservation (comptabilité notamment) ;
• Portabilité : recevoir vos données dans un format structuré et lisible par machine ;
• Opposition : vous opposer au traitement fondé sur l’intérêt légitime, et à tout moment à la prospection ;
• Limitation : demander le gel temporaire d’un traitement en cas de contestation ;
• Retrait du consentement à tout moment, pour les traitements fondés sur le consentement (marketing, canaux optionnels).

Comment exercer vos droits :

• depuis votre espace client : export et suppression des données disponibles dans la rubrique Profil [À COMPLÉTER : fonctionnalité prévue en phase 3 de la ROADMAP — à activer avant publication de cette page] ;
• par e-mail à [À COMPLÉTER : adresse dédiée] ou par courrier à l’agence de Paris ;
• KPS répond dans un délai d’un mois (prorogeable de deux mois en cas de demande complexe).

Vous pouvez également introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.

8. Sécurité

KPS met en œuvre des mesures techniques et organisationnelles adaptées : mots de passe hachés, sessions sécurisées, contrôle d’accès par rôles (un client ne voit que ses propres colis et factures), journalisation des actions sensibles, limitation de débit contre les abus, suivi public du colis expurgé de toute donnée personnelle complète (noms masqués, aucun téléphone ni adresse), sauvegardes chiffrées de la base de données.

9. Cookies

Le site n’utilise, dans la mesure du possible, que des cookies strictement nécessaires à son fonctionnement :

Si des cookies de mesure d’audience sont ajoutés, un bandeau de consentement sera affiché à la première visite, permettant d’accepter ou de refuser avec la même facilité, et de modifier son choix à tout moment. Aucun cookie non essentiel n’est déposé avant consentement.

[À COMPLÉTER : le site utilise actuellement Google Maps (intégration sans clé API) et des polices/images externes ; vérifier avec le professionnel du droit si ces intégrations nécessitent une mention ou un consentement spécifique.]

Points à valider

1. DPO : déterminer si KPS doit désigner un DPO (probablement non obligatoire vu la taille, mais recommandé d’identifier un référent) et créer l’adresse e-mail dédiée.
2. Transferts vers la RDC : cartographier les flux réels (fiches colis partagées avec Kinshasa/Lubumbashi, notifications, Mobile Money), établir les clauses contractuelles types et préparer la notification à la CNIL prévue par l’art. 46 RGPD.
3. Durées de conservation : arrêter les durées définitives (bordereaux, colis, réservations, comptes inactifs, journaux) avec le professionnel du droit et les reporter dans docs/registre-rgpd.md.
4. Droits RGPD dans l’espace client : les fonctions d’export et de suppression des données sont prévues (phase 3 de la ROADMAP) mais pas encore implémentées — ne pas publier cette page avant leur activation, ou reformuler la section 7.
5. Prestataires : compléter dès que les choix sont faits (prestataire de paiement, fournisseur d’e-mails transactionnels, hébergeur — décisions ouvertes de la ROADMAP).
6. Consentement WhatsApp : le canal WhatsApp exige le consentement préalable du destinataire (règles Meta) — vérifier la cohérence avec la table consentement prévue par l’agent notifications-messagerie.
7. Cookies : décider si une mesure d’audience est ajoutée ; sinon, simplifier la section 9 en « cookies strictement nécessaires uniquement ».
8. Google Maps / polices externes : faire valider le traitement de ces intégrations tierces (mention ou consentement).
9. Registre des traitements : créer docs/registre-rgpd.md à partir de cette politique (obligation art. 30 RGPD) et le tenir à jour à chaque évolution du site.