Politique de Confidentialité
Dernière mise à jour : 7 septembre 2026
1. Responsable de traitement
Le responsable du traitement des données personnelles collectées sur le site Carspop est :
SACAM, société par actions simplifiée au capital de 50 000,00 euros, immatriculée au RCS de Bobigny sous le numéro 413 377 573, dont le siège social est situé 16 avenue de Rosny, 93130 Noisy-le-Sec.
Pour toute question relative au traitement de vos données ou pour exercer vos droits :
- Courriel : contact
@carspop.com - Courrier : SACAM — Protection des données, 16 avenue de Rosny, 93130 Noisy-le-Sec
2. Données collectées
Nous collectons uniquement les données nécessaires aux finalités décrites ci-dessous. Aucune donnée sensible au sens de l’article 9 du RGPD n’est collectée.
Données que vous nous fournissez directement
- Identité : nom, prénom
- Coordonnées : adresse électronique, numéro de téléphone, adresses de facturation et de livraison
- Données professionnelles (clients professionnels) : raison sociale, numéro SIRET, numéro de TVA intracommunautaire
- Données de compte : identifiant, mot de passe (stocké sous forme chiffrée et non lisible par nos équipes)
- Données relatives à votre véhicule : marque, modèle, motorisation, année, et le cas échéant numéro d’immatriculation ou d’identification, aux seules fins de vérifier la compatibilité des pièces
- Contenu de vos échanges avec notre service client
Données collectées automatiquement
- Données de commande : produits consultés, panier, historique d’achat, montants
- Données techniques : adresse IP, type de navigateur, système d’exploitation, pages consultées, date et heure de connexion
- Identifiants de cookies et traceurs, sous réserve de votre consentement lorsqu’il est requis
Données de paiement Les données de carte bancaire sont saisies directement sur l’interface sécurisée de notre prestataire de paiement. Elles ne transitent pas par nos serveurs et ne sont ni collectées ni conservées par SACAM.
3. Finalités, bases légales et durées de conservation
| Finalité | Base légale | Durée de conservation |
|---|---|---|
| Gestion des commandes, livraison, facturation | Exécution du contrat (art. 6.1.b RGPD) | Durée de la relation contractuelle, puis archivage 10 ans au titre des obligations comptables |
| Gestion du compte client | Exécution du contrat | Durée de vie du compte, supprimé après 3 ans d’inactivité |
| Gestion du service après-vente, garanties et retours | Exécution du contrat et obligation légale | 5 ans à compter de la livraison, pour couvrir les garanties légales |
| Réponse aux demandes de contact | Intérêt légitime (art. 6.1.f) — répondre aux sollicitations | 3 ans à compter du dernier contact |
| Prospection commerciale par courriel auprès des clients, sur produits analogues | Intérêt légitime, avec droit d’opposition à chaque envoi | 3 ans à compter du dernier contact |
| Prospection commerciale auprès des prospects | Consentement (art. 6.1.a) | 3 ans à compter du recueil, ou du dernier contact |
| Mesure d’audience et analyse du trafic | Consentement | Voir §6 |
| Publicité et mesure de performance publicitaire | Consentement | Voir §6 |
| Lutte contre la fraude et sécurisation des transactions | Intérêt légitime et obligation légale (lutte contre le blanchiment) | 13 mois pour les données de scoring ; 5 ans pour les pièces justificatives d’identité recueillies en cas de vérification |
| Respect des obligations comptables et fiscales | Obligation légale | 10 ans |
Les données peuvent être conservées au-delà de ces durées, en archivage à accès restreint, pour la durée des prescriptions légales applicables en cas de contentieux.
4. Destinataires des données
Vos données sont accessibles aux personnels habilités de SACAM, dans la limite de leurs attributions, ainsi qu’aux sous-traitants suivants, chacun agissant sur instruction documentée de SACAM dans le cadre d’un contrat conforme à l’article 28 du RGPD :
| Destinataire | Rôle | Données concernées | Localisation |
|---|---|---|---|
| Hostinger International Ltd | Hébergement du site, des bases de données et des messageries | Ensemble des données du site | Société établie à Chypre, serveurs situés en France |
| Stripe Payments Europe Limited | Traitement des paiements, authentification forte et lutte contre la fraude | Identité, coordonnées, montant, données de transaction, données techniques | Irlande, avec transferts vers les États-Unis |
| DPD France | Livraison des commandes de petit gabarit et suivi | Nom, adresse de livraison, téléphone, adresse électronique | France |
| Chronopost | Livraison express des commandes de petit gabarit et suivi | Nom, adresse de livraison, téléphone, adresse électronique | France |
| Geodis | Livraison des commandes volumineuses, prise de rendez-vous et suivi | Nom, adresse de livraison, téléphone, adresse électronique | France |
| Sendinblue SAS (Brevo) | Envoi des courriels transactionnels et des communications commerciales, mesure de leur réception et de leur ouverture | Nom, adresse électronique, données de commande, statut d’abonnement | France |
| Axeptio SAS | Recueil des choix de consentement et conservation de leur preuve | Identifiant technique de consentement, date et contenu du choix, données techniques | France |
| Google Ireland Limited / Google LLC | Mesure d’audience, mesure de performance publicitaire et diffusion d’annonces | Identifiants de cookies, données de navigation, données d’événement e-commerce | Irlande, avec transferts vers les États-Unis |
Les données transmises à Google le sont uniquement lorsque vous y avez consenti, dans les conditions décrites à l’article 6.
Vos données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales.
Elles peuvent en outre être communiquées à nos conseils — expert-comptable, avocat — ainsi qu’aux autorités administratives ou judiciaires lorsque la loi l’exige, et le cas échéant au médiateur de la consommation saisi d’un litige vous concernant.
5. Transferts hors Union européenne
Les traitements réalisés par Google et par Stripe impliquent des transferts de données vers les États-Unis. Google LLC et Stripe, Inc. sont certifiées au titre du cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework), et ces transferts sont en outre encadrés par les clauses contractuelles types adoptées par la Commission européenne.
L’ensemble des autres destinataires mentionnés au tableau ci-dessus traite vos données au sein de l’Union européenne. Aucun autre transfert hors Union européenne n’est réalisé.
6. Cookies et traceurs
6.1 Recueil du consentement
Lors de votre première visite, un module de gestion du consentement fourni par Axeptio vous permet d’accepter ou de refuser, finalité par finalité, le dépôt des cookies non strictement nécessaires. Refuser est aussi simple qu’accepter.
Tant que vous n’avez pas exprimé de choix, aucun cookie non essentiel n’est déposé. Vous pouvez modifier vos préférences à tout moment via le lien de gestion des cookies accessible depuis chaque page.
Votre choix est conservé pendant 180 jours, à l’issue desquels la question vous est reposée. La preuve de votre consentement est conservée par Axeptio conformément aux exigences de l’article 7.1 du RGPD.
6.2 Cookies déposés
Cookies strictement nécessaires — exemptés de consentement Ils permettent le fonctionnement du site : maintien de la session, contenu du panier, sécurisation du paiement, mémorisation de vos préférences de consentement. Leur désactivation rendrait le site inutilisable. Durée : session à 13 mois selon le cookie.
Cookies de mesure d’audience — soumis à consentement Google Analytics 4 nous permet de comprendre la fréquentation du site, les parcours de navigation et les points de friction, afin d’améliorer nos pages et notre catalogue. Durée de vie des cookies : 13 mois maximum. Durée de conservation des données au sein de Google Analytics : 14 mois.
Cookies publicitaires — soumis à consentement Google Ads nous permet de mesurer l’efficacité de nos campagnes publicitaires, d’attribuer les commandes aux annonces correspondantes et de diffuser des annonces adaptées. Durée de vie des cookies : 13 mois maximum.
6.3 Mode Consentement Google
Le site met en œuvre le Consent Mode v2 de Google. Ce dispositif transmet aux services Google l’état de votre consentement pour quatre paramètres : le stockage publicitaire, les données utilisateur à des fins publicitaires, la personnalisation publicitaire et le stockage à des fins de mesure d’audience. Par défaut, et avant tout choix de votre part, ces quatre paramètres sont positionnés sur « refusé ».
Lorsque vous refusez, les balises Google ne déposent aucun cookie et n’enregistrent aucun identifiant permettant de vous reconnaître. Elles transmettent uniquement des signaux techniques anonymes — état du consentement, type de navigateur, horodatage — qui permettent à Google d’estimer statistiquement le volume de visites non mesurées, sans identification individuelle.
Le site utilise également la fonction de conservation des paramètres d’URL : lorsque vous arrivez depuis une annonce et que vous refusez le dépôt de cookies, l’identifiant de clic publicitaire est conservé temporairement dans l’adresse des pages consultées, au sein de votre navigation, plutôt que dans un cookie. Il n’est associé à aucune donnée permettant de vous identifier et disparaît à la fermeture de votre session.
6.4 Réglages de votre navigateur
Vous pouvez également configurer votre navigateur pour refuser tout ou partie des cookies. Ce réglage peut affecter le fonctionnement de certaines fonctionnalités du site, notamment le panier et le tunnel de commande.
7. Sécurité
SACAM met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données contre la destruction, la perte, l’altération, la divulgation ou l’accès non autorisés : chiffrement des échanges par protocole HTTPS, chiffrement des mots de passe, restriction des accès aux seules personnes habilitées, sauvegardes régulières, et mise à jour des composants logiciels du site.
En cas de violation de données susceptible d’engendrer un risque élevé pour vos droits et libertés, vous en serez informé dans les meilleurs délais, conformément à l’article 34 du RGPD.
8. Vos droits
Conformément au Règlement (UE) 2016/679 et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :
- Droit d’accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie
- Droit de rectification : faire corriger des données inexactes ou incomplètes
- Droit à l’effacement : demander la suppression de vos données, sous réserve de nos obligations légales de conservation
- Droit à la limitation : demander le gel temporaire du traitement
- Droit d’opposition : vous opposer à un traitement fondé sur notre intérêt légitime, ainsi qu’à la prospection commerciale à tout moment et sans motif
- Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine
- Droit de retirer votre consentement à tout moment, sans que cela remette en cause la licéité du traitement effectué avant le retrait
- Droit de définir des directives relatives au sort de vos données après votre décès
Pour exercer ces droits, écrivez à contact@carspop.com ou par courrier à l’adresse du siège. Une preuve d’identité pourra vous être demandée en cas de doute raisonnable sur l’identité du demandeur. Nous répondons dans un délai d’un mois, prolongeable de deux mois en cas de demande complexe.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés : CNIL, 3 place de Fontenoy — TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.
9. Modifications
Cette politique peut être modifiée pour tenir compte d’évolutions légales, techniques ou des services proposés. La version applicable est celle publiée sur le site à la date de votre visite. En cas de modification substantielle, vous en serez informé par un moyen approprié.