Politique de confidentialité

La société AUGUSTA VIROMANDUORUM NUMERICAM (AVN), dont le siège social est situé 57 bis rue de la Pomme Rouge – 02100 SAINT-QUENTIN, attache une grande importance à la protection et au respect de votre vie privée. La présente politique vise à vous informer, conformément au Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après dénommé le « Règlement »), de nos pratiques concernant la collecte, l’utilisation et le partage des informations traitées par le biais de notre site internet, de nos applications et de l’ensemble de nos services.

Cette politique a pour but de vous informer sur les catégories de données personnelles que nous recueillons ou détenons, comment nous les utilisons, quels en sont les destinataires, la durée pendant laquelle nous les conservons, comment nous les protégeons, et les droits dont vous disposez sur vos données personnelles.

1. Notre double rôle

Selon les traitements concernés, AVN intervient à deux titres distincts. Cette distinction détermine vos interlocuteurs et les modalités d’exercice de vos droits.

1.1. AVN agit en qualité de responsable du traitement

AVN détermine les finalités et les moyens du traitement, et en assume la responsabilité, pour :

• la gestion de son site internet et des demandes de contact ;
• la création et la gestion des comptes clients ;
• la gestion de la relation commerciale, de la facturation et du recouvrement ;
• la prospection commerciale ;
• la sécurité des systèmes d’information, la journalisation et la traçabilité des accès ;
• au titre de son activité de Plateforme Agréée : la vérification de l’identité et de la qualité du client, la traçabilité des contrôles réglementaires et la transmission des données à l’administration fiscale ;
• la gestion des ressources humaines.

1.2. AVN agit en qualité de sous-traitant

AVN traite les données pour le compte de ses clients, sur leur instruction et sans en déterminer les finalités, pour :

• l’hébergement et l’exploitation de la solution logicielle, ainsi que les données que le client y intègre ;
• l’établissement des factures médicales et leur télétransmission aux organismes d’assurance maladie, y compris les données de santé des personnes transportées ;
• le traitement, le contrôle, l’adressage, la transmission, l’archivage et l’interopérabilité des factures électroniques au titre de l’activité de Plateforme Agréée.

Dans ce cadre, le responsable du traitement est le client d’AVN : transporteur conventionné, professionnel ou entreprise. C’est à lui qu’il revient d’informer les personnes concernées et de répondre à leurs demandes.

Cette qualification figure à l’article 7.2 de nos conditions générales de services. Elle est inhérente à notre certification d’hébergeur de données de santé, dont le référentiel réserve la certification aux personnes ayant la qualité de sous-traitant au sens de l’article 28 du Règlement.

2. Les données que nous traitons en qualité de responsable du traitement

• Données du compte : données renseignées lors de la création d’un compte, identité et coordonnées professionnelles du client et des utilisateurs qu’il accrédite.
• Données de vérification d’identité et de qualité : éléments justificatifs recueillis à l’ouverture du compte au titre de l’activité de Plateforme Agréée.
• Données relatives à la relation commerciale : devis, bons de commande, factures, avoirs, échanges de support.
• Données de transaction : éléments relatifs au règlement de nos factures. Les données de paiement par carte sont traitées directement par les établissements bancaires et prestataires de services de paiement, qui agissent en qualité de responsables de traitement autonomes ; AVN ne conserve pas les numéros de carte.
• Données relatives à la navigation : date et heure de connexion, type et langue du navigateur, adresse IP.
• Journaux techniques : traces de connexion, d’accès et d’administration, générées à des fins de sécurité et de traçabilité.

3. Les données que nous traitons pour le compte de nos clients

• Données intégrées dans la solution par le client : identité et coordonnées de ses propres clients, contreparties et salariés, données de gestion commerciale.
• Données de santé des personnes transportées : identité, numéro d’inscription au répertoire, éléments de la prescription médicale de transport, motif d’exonération et éléments de prise en charge, pièces justificatives téléversées, dans le cadre de la facturation médicale.
• Données de facturation électronique : identification des parties, mentions obligatoires, libellés et montants, données de transaction et de paiement, statuts du cycle de vie.
• Données de géolocalisation : ce traitement n’est pas actif à ce jour. Lorsqu’il le sera, l’application mobile Gestav TXS collectera la position du conducteur ainsi que les points de prise en charge et de dépose, aux fins de suivi et de gestion des courses. Sa mise en œuvre sera précédée d’une analyse d’impact et d’une information spécifique.

Le contenu des mentions portées sur les factures relève de la seule responsabilité du client. Nous invitons nos clients à ne pas y faire figurer d’information sensible qui ne serait pas nécessaire à la facturation.

4. Finalités et bases légales des traitements dont nous sommes responsables

Lors de la collecte, vous êtes informé du caractère obligatoire ou facultatif des données demandées. Les données identifiées par un astérisque au sein du formulaire de collecte sont obligatoires ; à défaut, l’exécution de votre demande pourra être restreinte.

Aucune donnée, y compris de santé, n’est utilisée à des fins commerciales, publicitaires, marketing ou de réalisation de statistiques. Les données confiées par nos clients sont exclusivement traitées pour les besoins de la prestation convenue, dans le respect des obligations de confidentialité et de protection des données personnelles imposées par la législation en vigueur.

5. Qui sont les destinataires des données ?

5.1. Au sein d’AVN

Les données sont accessibles aux seules personnes habilitées, selon le principe du besoin d’en connaître : fonctions technique, support, commerciale et administrative, selon la nature de la donnée.

5.2. Destinataires externes

Dans le cadre des traitements effectués pour le compte de nos clients, les données sont transmises aux destinataires suivants, à la demande et sous le contrôle du client :

• les organismes d’assurance maladie, dans le cadre de la télétransmission des factures de transport ;
• le Portail Public de Facturation, également désigné concentrateur de données, pour les données réglementaires, de transaction et de paiement ;
• l’annuaire central, aux seules fins d’adressage des factures électroniques ;
• les autres plateformes agréées et le réseau d’interopérabilité PEPPOL, lorsque la contrepartie du client y est raccordée.

Pour les traitements dont nous sommes responsables, les destinataires sont les établissements bancaires et prestataires de services de paiement, ainsi que notre cabinet d’expertise comptable, chacun agissant selon ses propres obligations.

5.3. Données transférées aux autorités et organismes publics

Conformément à la réglementation en vigueur, les Données peuvent être transmises aux autorités compétentes sur réquisition, et notamment aux organismes publics, aux auxiliaires de justice et aux officiers ministériels, exclusivement pour répondre aux obligations légales.

5.4. Absence de sous-traitance ultérieure

Nous ne recourons à aucun sous-traitant ultérieur au sens de l’article 28.4 du Règlement. L’intégralité de la chaîne technique — hébergement, exploitation, administration, sauvegarde, développement, support et acheminement des courriels applicatifs — est assurée en propre.

Tout recours futur à un sous-traitant ultérieur interviendrait dans le respect des articles 28 et 29 du Règlement, ferait l’objet d’une information préalable du client et ouvrirait à ce dernier un droit d’objection motivé.

6. Combien de temps conservons-nous vos données ?

Vos Données ne sont pas conservées au-delà de la durée strictement nécessaire aux finalités poursuivies telles qu’énoncées dans la présente politique, et ce conformément au Règlement et aux lois applicables.

Une obligation légale, une instruction d’autorité compétente ou un litige en cours peut différer la suppression ; le client en est alors informé.

Lorsque les durées de conservation arrivent à leur terme, vos Données sont effacées ou anonymisées. Elles peuvent être archivées au-delà pour les seuls besoins de la recherche, de la constatation et de la poursuite des infractions pénales, dans le seul but de permettre, en tant que de besoin, leur mise à disposition de l’autorité judiciaire. L’archivage implique que vos Données ne sont plus consultables en ligne mais extraites et conservées sur un support autonome et sécurisé.

7. Localisation, transferts et accès hors Espace économique européen

Vos données, y compris les données de santé à caractère personnel, sont hébergées exclusivement en France métropolitaine, sur nos propres serveurs et infrastructures de sauvegarde.

Aucune partie du stockage, y compris les systèmes de continuité et de reprise d’activité, n’est située hors de France.

Nous ne réalisons aucun transfert de données, de quelque nature que ce soit, vers un pays tiers ou une organisation internationale.

Aucun accès à distance depuis un pays situé hors de l’Espace économique européen n’est autorisé, y compris pour les opérations de maintenance et de support technique. Les équipes intervenant sur les données sont localisées sur le territoire français.

Nous ne sommes soumis à aucune législation extra-européenne susceptible d’imposer un accès aux données en violation du droit de l’Union européenne.

8. Comment vos données sont-elles protégées ?

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour prévenir l’accès non autorisé, la modification, la divulgation, la perte ou la destruction des Données, notamment :

• comptes nominatifs individuels et authentification à double facteur ;
• cloisonnement des réseaux et des environnements ;
• chiffrement des sauvegardes et des exports ;
• journalisation centralisée et protégée des accès et des actions d’administration ;
• sauvegardes quotidiennes avec contrôle de restauration, plan de continuité et plan de reprise d’activité ;
• développement sécurisé et analyse automatisée du code.

Notre système de management de la sécurité de l’information est certifié ISO/IEC 27001:2022. Nous sommes certifiés Hébergeur de Données de Santé conformément à l’article L. 1111-8 du code de la santé publique, pour les six activités définies à l’article R. 1111-9.

Il vous appartient de préserver la confidentialité de vos identifiants afin d’empêcher toute utilisation illicite de votre compte.

9. Quels sont vos droits sur vos données ?

Conformément aux lois et règlements applicables en matière de protection des données personnelles, vous bénéficiez d’un certain nombre de droits relatifs à vos Données, à savoir :

• Un droit d’accès et d’information : vous avez le droit d’être informé de manière concise, transparente, intelligible et facilement accessible de la manière dont vos Données sont traitées. Vous avez également le droit d’obtenir (i) la confirmation que des Données vous concernant sont traitées et, le cas échéant (ii) d’accéder à ces Données et d’en obtenir une copie.
• Un droit de rectification : vous avez le droit d’obtenir la rectification des Données inexactes vous concernant. Vous avez également le droit de compléter les Données incomplètes vous concernant, en fournissant une déclaration complémentaire. En cas d’exercice de ce droit, nous nous engageons à communiquer toute rectification à l’ensemble des destinataires de vos Données.
• Un droit d’effacement : dans certains cas, vous avez le droit d’obtenir l’effacement de vos Données. Cependant, ceci n’est pas un droit absolu et nous pouvons pour des raisons légales ou légitimes conserver ces Données.
• Un droit à la limitation du traitement : dans certains cas, vous avez le droit d’obtenir la limitation du traitement sur vos Données.
• Un droit à la portabilité des Données : vous avez le droit de recevoir les Données que vous nous avez fournies, dans un format structuré, couramment utilisé et lisible par une machine, pour votre usage personnel ou pour les transmettre à un tiers de votre choix. Ce droit ne s’applique que lorsque le traitement de vos Données est fondé sur votre consentement ou sur un contrat, et qu’il est effectué par des moyens automatisés.
• Un droit d’opposition au traitement : vous avez le droit de vous opposer à tout moment au traitement de vos Données pour les traitements fondés sur notre intérêt légitime et pour ceux à des fins de prospection commerciale. Ceci n’est pas un droit absolu et nous pouvons, pour des raisons légales ou légitimes, refuser votre demande d’opposition.
• Le droit de retirer votre consentement à tout moment : vous pouvez retirer votre consentement au traitement de vos Données lorsque le traitement est fondé sur votre consentement. Le retrait du consentement ne compromet pas la licéité du traitement effectué avant ce retrait.
• Le droit d’introduire une réclamation auprès d’une autorité de contrôle : vous avez le droit de contacter votre autorité de protection des données pour vous plaindre de nos pratiques de protection des données personnelles.
• Le droit de donner des directives concernant le sort de vos données après votre décès : vous avez le droit de nous donner des directives concernant l’utilisation de vos Données après votre décès.

À qui adresser votre demande ?

• Si vos données sont traitées par AVN en qualité de responsable du traitement — compte, relation commerciale, navigation sur notre site — adressez-nous directement votre demande.
• Si vos données ont été confiées à AVN par l’un de nos clients — notamment si vous avez été transporté par un taxi conventionné utilisant notre solution, ou si vous figurez sur une facture traitée par notre plateforme — le responsable du traitement est ce client. Il vous appartient de lui adresser votre demande. Si vous nous la transmettez, nous la relaierons sans délai et l’assisterons dans son traitement, sans pouvoir y répondre nous-mêmes.

Pour nous contacter :

• par courriel à l’adresse dpo@gestav.com ;
• via le formulaire de contact de notre site internet gestav.com ;
• via l’onglet support de votre compte Gestav en créant un ticket.

Notez que nous pouvons exiger un justificatif de votre identité pour l’exercice de ces droits.

10. Notification en cas de violation de données personnelles

En cas de violation de données à caractère personnel, nous nous engageons à notifier le client concerné, en sa qualité de responsable du traitement, dans un délai maximum de 48 heures après en avoir pris connaissance. Cette notification comprend la nature de la violation, les données potentiellement affectées, les conséquences probables et les mesures prises pour y remédier et limiter les impacts éventuels.

Il appartient au client responsable du traitement de procéder, le cas échéant, à la notification à l’autorité de contrôle et à l’information des personnes concernées.

Pour les traitements dont AVN est responsable, la notification à la Commission nationale de l’informatique et des libertés intervient dans les 72 heures lorsqu’elle est requise.

11. Analyse d’impact relative à la protection des données

Une analyse d’impact a été conduite sur l’ensemble de nos activités de traitement, conformément à l’article 35 du Règlement. Elle est tenue à la disposition de nos clients, sur demande motivée, afin de les assister dans leur propre analyse au titre du f du 3 de l’article 28.

12. Politique de gestion des informations personnelles

Nous vous informons que les modalités encadrant la mise à disposition, la restitution et la destruction des données à caractère personnel sont établies par notre politique de gestion des informations personnelles, celle-ci peut vous être communiquée par simple demande par les moyens de contact mentionnés à l’article « Contact ».

13. Conditions d’audit client et accès aux rapports d’audit de certification

Notre infrastructure étant mutualisée, nous ne permettons pas à nos clients de réaliser directement des audits sur celle-ci. Cependant, AVN s’engage à maintenir une totale transparence concernant les mesures de sécurité et les contrôles de conformité relatifs à la protection des données hébergées. À cet effet, nous mettons à disposition de nos clients, sur demande formelle, les rapports d’audit de certification qui attestent de notre conformité avec les normes établies par les référentiels ISO 27001 et Hébergeur de Données de Santé (HDS), ainsi que la synthèse managériale du rapport d’audit technique portant sur les ressources mutualisées. Ces rapports peuvent être fournis pour soutenir les démarches de nos clients en matière de transfert ou de demande d’équivalence auprès des organismes de certification compétents. Toutefois l’accès à ces résultats est exclusivement possible dans nos locaux, afin d’assurer la confidentialité et la sécurité des informations partagées.

14. Modification de notre politique de confidentialité

Nous pouvons être amenés à modifier occasionnellement la présente politique, afin notamment de nous conformer à toutes évolutions réglementaires, jurisprudentielles, éditoriales ou techniques. Le cas échéant, nous changerons la date de « dernière mise à jour » et indiquerons la date à laquelle les modifications ont été apportées. Lorsque cela est nécessaire, notamment mais pas exclusivement en cas de modification substantielle ou d’évènement particulier requérant la modification de la présente politique, nous vous informerons et/ou solliciterons votre accord. Nous vous conseillons de consulter régulièrement cette page pour prendre connaissance des éventuelles modifications ou mises à jour apportées à notre politique.

15. Contact

Pour toute question relative à la présente politique ou pour toute demande relative à vos Données, vous pouvez contacter notre Déléguée à la protection des données en :

• Adressant un courriel à l’adresse suivante : dpo@gestav.com ; ou
• Adressant un courrier à l’adresse suivante :

  AVN
  À l’attention de la Déléguée à la protection des données
  57 bis rue de la Pomme Rouge
  02100 SAINT-QUENTIN

Notre Déléguée à la protection des données est déclarée auprès de la Commission nationale de l’informatique et des libertés sous le numéro DPO-177515.

Vous disposez par ailleurs du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

Version mise à jour le 07/09/2026