Une précision d'abord
Ce guide contient des informations générales pour les exploitants de taxi de l'Union européenne. Il ne constitue pas un conseil juridique. Les règles varient selon les pays, et votre avocat ou délégué à la protection des données doit examiner votre situation.
1. Savoir quelles données vous détenez
Listez chaque type de données collectées par votre application et votre bureau :
- Client : nom, téléphone, e-mail, historique des courses, lieux de prise en charge et de dépose, statut de paiement.
- Chauffeur : nom, contact, licence et données du véhicule, position en ligne, revenus.
- Comptes entreprises : personne de contact, factures.
Si vous n'en avez pas besoin, ne le collectez pas.
2. Choisir une base légale pour chaque usage
Le RGPD exige un motif pour chaque usage des données. Pour une course, le motif est généralement que vous en avez besoin pour fournir le service (un contrat). Pour les messages marketing, c'est généralement le consentement. Notez quelle base vous utilisez pour quoi.
3. Publier une notice d'information claire
Dites aux personnes qui vous êtes, ce que vous collectez, pourquoi, combien de temps vous le conservez, qui le reçoit et comment exercer leurs droits. Placez-la dans l'application, sur votre site et dans la fiche du store. La politique de HOPIN figure sur la page de confidentialité comme exemple de la façon dont un service de taxi décrit cela.
4. Signer des contrats avec vos sous-traitants
Votre plateforme, votre prestataire de paiement et votre outil d'e-mailing traitent des données pour vous. Il vous faut un accord de sous-traitance avec chacun. Demandez où ils stockent les données et qui sont leurs sous-traitants ultérieurs.
5. Décider de la durée de conservation
Ne conservez les données que le temps nécessaire. Les documents fiscaux et comptables ont des durées minimales légales. Les données de localisation nécessitent généralement beaucoup moins de temps. Notez les durées et supprimez les données à leur terme.
6. Être prêt à répondre aux demandes
Les clients peuvent demander ce que vous détenez sur eux, vous demander de le corriger, de le supprimer ou de cesser de l'utiliser à des fins marketing. Vous devez normalement répondre sous un mois. Décidez qui traite les demandes et comment.
7. Les protéger
Utilisez des mots de passe robustes et une connexion en deux étapes pour votre panneau d'administration, donnez à chaque collaborateur uniquement l'accès nécessaire et retirez-le à son départ. Prévoyez ce que vous ferez en cas d'incident de données. Dans de nombreux cas, vous devez prévenir rapidement l'autorité.
8. Messages marketing
Demandez un consentement clair avant d'envoyer des e-mails ou notifications push marketing, facilitez le refus et respectez le choix. Les confirmations de course sont différentes du marketing.
FAQ
Le RGPD s'applique-t-il à une petite compagnie de taxi ?
Oui, si vous traitez des données personnelles de personnes dans l'UE, quelle que soit votre taille.
Ai-je besoin d'un délégué à la protection des données ?
Seulement dans certains cas, par exemple en cas de suivi systématique à grande échelle. Demandez à votre avocat. Beaucoup de petits exploitants n'en ont pas besoin.
Qui est responsable, moi ou la plateforme ?
En général, vous décidez de l'usage des données (responsable de traitement) et la plateforme les traite pour vous (sous-traitant). Vérifiez le contrat.
Combien de temps conserver les données de courses ?
Le moins longtemps possible, dans le respect des obligations comptables légales. Décidez et notez-le.