Légal · Version 1.3

Conformité RGPD

Registre des activités de traitement · 22 septembre 2026

Ce document est le registre des activités de traitement (RGPD art. 30) et la synthèse de conformité de Riidon. Il complète la Politique de confidentialité et les CGU.

Identité du responsable de traitement

Élément	Valeur
Responsable de traitement	Riidon, SAS au capital de 100 € — RCS Nanterre 130 146 574
Coordonnées	1er étage, 5 rue Soyer, 92200 Neuilly-sur-Seine — privacy@riidon.app
DPO (si désigné)	`[NOM / EMAIL]`
Représentant UE (si hors UE)	`[NOM / ADRESSE]`
Autorité de contrôle	CNIL (France) — www.cnil.fr

Registre des activités de traitement (art. 30)

T1 Gestion des comptes et authentification

FinalitéCréation/connexion, sécurité du compte.

DonnéesE-mail, empreinte argon2id, identifiants OAuth, jetons AES-256-GCM, dates de connexion.

Base légaleExécution du contrat (art. 6.1.b)

DestinatairesGoogle, Apple (auth) ; Neon (stockage) ; Railway (traitement)

ConservationDurée de vie du compte ; suppression à l'effacement.

T2 Enregistrement et historique de trajets

FinalitéEnregistrer les trajets, afficher statistiques et cartes.

DonnéesPoints GPS précis (lat, lng, vitesse, altitude, cap), points départ/arrivée, statistiques, scores confort/risque.

Base légaleExécution du contrat (art. 6.1.b)

DestinatairesMapbox (vignettes/itinéraires), Neon, Railway

ConservationConservées pendant la durée de vie du compte ; supprimées lors de l'effacement du compte.

T3 Détection de surface (capteurs)

FinalitéÉvaluer la qualité du revêtement et l'activité.

DonnéesIndicateurs accéléromètre/gyroscope/baromètre, features DSP, classification d'activité ; échantillons d'entraînement anonymisés (geohash-6, jour, sans identifiant).

Base légaleIntérêt légitime (art. 6.1.f)

ConservationLiée au trajet pour les indicateurs ; anonyme et indéfinie pour les échantillons.

T4 Calcul d'itinéraires et télémétrie de routage

FinalitéCalculer les itinéraires ; observabilité technique du moteur.

DonnéesCoordonnées origine/destination, paramètres de requête, métriques moteur, latence, cellules H3.

Base légaleExécution du contrat + intérêt légitime (observabilité)

Conservation2 ans, purge automatique quotidienne.

T5 Intelligence collaborative (Layer 2)

FinalitéConstruire une carte communautaire de qualité de surface et de dangers.

DonnéesSegments de surface (tracés GPS), signalements (position précise, type, gravité, géocodage). Les signalements informatifs (présence de forces de l'ordre) peuvent voir leur rediffusion suspendue sur demande de l'autorité administrative (art. L. 130-11 du code de la route).

Base légaleIntérêt légitime (art. 6.1.f)

ConservationDurée de vie du Service ; conservées anonymisées après suppression du compte.

T6 Abonnements

FinalitéGérer l'accès premium.

DonnéesStatut, plan, périodes, identifiant client RevenueCat.

Base légaleExécution du contrat (art. 6.1.b)

DestinatairesRevenueCat, Apple/Google (facturation)

T7 Météo

FinalitéAfficher la météo contextuelle.

DonnéesPosition GPS au moment de la requête (transmise directement depuis l'appareil à Open-Meteo).

Base légaleExécution du contrat / intérêt légitime

DestinataireOpen-Meteo

T8 Sécurité et anti-abus

FinalitéProtéger le Service.

DonnéesAdresse IP (limitation de débit, en mémoire), journaux techniques (sans PII).

Base légaleIntérêt légitime (art. 6.1.f)

T9 Partage de données agrégées avec partenaires (B2B)

FinalitéMonétisation/valorisation de données agrégées et anonymisées.

DonnéesAgrégats k-anonymisés (≥3 contributeurs ; ≥5 pour OD). Précision géographique limitée : selon l'indicateur, agrégation par tronçon de rue ou par maille d'environ 1,2 km ; les dangers signalés sont localisés à une centaine de mètres près.

DestinatairesPartenaires sous licence : villes et collectivités, opérateurs de flottes, fabricants, boutiques, assureurs, chercheurs. Chaque accès est journalisé.

Base légaleConsentement (art. 6.1.a), révocable à tout moment.

Sous-traitants (art. 28)

Un accord de sous-traitance (DPA) doit exister avec chaque prestataire ci-dessous.

Sous-traitant	Service	DPA en place ?
Mapbox	Cartographie / routing / géocodage	—
Google	Authentification	—
Apple	Authentification, facturation IAP	—
RevenueCat	Abonnements	—
Open-Meteo	Météo	API publique — pas de DPA standard ; à qualifier
Railway	Hébergement API	—
Neon	Base de données	—
Expo / EAS	Build & distribution	—

Transferts internationaux (art. 44-49)

Plusieurs sous-traitants sont susceptibles de traiter des données hors UE/EEE (notamment aux États-Unis). Encadrement requis : clauses contractuelles types (CCT) et/ou cadre de transfert UE-US (Data Privacy Framework) lorsque applicable.

Droits des personnes (art. 15-22)

Droit (RGPD)	Comment l'exercer	Disponibilité
Accès & portabilité (art. 15, 20)	Export de vos données depuis l'Application	✅ Disponible
Effacement (art. 17)	Suppression du compte depuis l'Application	✅ Disponible
Rectification (art. 16)	Réglages du compte (profil, véhicule, préférences)	✅ Disponible
Consentement & retrait (art. 7)	Réglages de confidentialité (partage de données agrégées), ou e-mail à privacy@riidon.app	✅ Disponible
Opposition (art. 21)	Sur demande	Sur demande
Limitation (art. 18)	Sur demande	Sur demande

Mesures de sécurité (art. 32)

Hachage des mots de passe : argon2id
Chiffrement des jetons OAuth : AES-256-GCM
Cloisonnement par utilisateur : Row-Level Security PostgreSQL
Transport : TLS/HTTPS
Journaux serveur sans PII
Anonymisation par k-anonymité (≥3 / ≥5) et agrégation géographique (tronçon de rue, maille d'environ 1,2 km) sur les exports B2B

Violations de données (art. 33-34)

Notification à la CNIL sous 72 h en cas de risque pour les droits et libertés.
Information des personnes concernées en cas de risque élevé.

Révision

Ce document doit être revu à chaque évolution significative du modèle de données ou des sous-traitants, et au minimum annuellement.

Version	Date	Modifications
1.0	28 juin 2026	Création initiale (registre + écarts)
1.1	21 septembre 2026	Identité du responsable de traitement : Riidon SAS (immatriculée le 21 septembre 2026)
1.2	21 septembre 2026	Partage B2B (T9) : catégories de destinataires et précision géographique des agrégats
1.3	22 septembre 2026	Signalements informatifs (T5) et article L. 130-11 du code de la route ; retrait du consentement également par e-mail