La présente politique de confidentialité informe les utilisateurs du site prepavol.fr sur la manière dont Prepavol collecte, utilise et protège les données personnelles. En utilisant le site, l'utilisateur accepte les présentes conditions.
1. Responsable du traitement et point de contact
Le responsable du traitement des données personnelles est Prepavol (SIREN 893 831 958), joignable à [email protected].
Un délégué à la protection des données (DPO) n'est pas requis au sens de l'Article 37 RGPD à ce jour, mais un point de contact dédié est mis à disposition pour toute question relative à la protection des données : [email protected].
Pour les demandes formelles de droits RGPD (accès, rectification, effacement, portabilité, opposition, limitation, retrait du consentement), la plupart sont accessibles directement dans vos paramètres ou peuvent être adressées par email.
2. Collecte des données personnelles
Prepavol collecte les données suivantes :
- Identification : nom, prénom, adresse postale, adresse email, date de naissance, numéro de téléphone
- Aéroclub / école : nom, code ICAO, adresse, numéro SIRET, agrément ATO/DTO
- Pilote : licences (PPL/LAPL/CPL/ATPL), qualifications (SEP/MEP/IR/FI/FE), heures de vol, currency, carnet de vol (logbook) y compris vols, aéronefs, instructeurs, copilotes, observations
- Position GPS / suivi de vol : trajectoires ADS-B des aéronefs (associés à votre vol via réservation), conservées 7 jours puis purgées automatiquement
- Signature électronique : signature manuscrite numérisée (PNG), signatures eIDAS niveau « simple » pour vols découverte et évaluations CBTA
- Photos : photo d'avatar, photo de licence (le cas échéant)
- Navigation : adresse IP (anonymisée pour la mesure d'audience, complète pour les logs de sécurité), pages visitées, user-agent, URL de provenance
- Facturation et paiement : informations de facturation, traces Stripe (identifiant client, abonnement), pas de carte bancaire stockée chez nous
- Authentification tiers : tokens OAuth (chiffrés AES-256) si vous liez votre compte à Google, Microsoft, Apple, GitHub, Facebook, Discord ou Twitter/X
- Vérification d'identité (KYC) : pièce d'identité et photo selfie via Stripe Identity, traitées et stockées par Stripe selon sa politique (Prepavol ne stocke pas les images)
Ces données sont collectées lors de la création de compte, de l'utilisation des services, des synchronisations avec Aerogest / OpenFlyers / SIGEBEL le cas échéant, ou via les formulaires de contact.
2 bis. Données de santé — certificats médicaux aéronautiques (Article 9 RGPD)
Conformément à la réglementation EASA Part-MED, les pilotes doivent disposer d'un certificat médical valide. Prepavol propose un service de stockage et de suivi de validité de votre certificat :
- Données collectées : copie numérique de votre certificat médical (PDF/image), classe (1, 2, LAPL), date de délivrance, date d'expiration, restrictions éventuelles, médecin AME, texte OCR extrait
- Base légale : votre consentement explicite au moment du téléversement (Article 9.2.a RGPD), et pour les pilotes affiliés à une école/aéroclub, l'exécution d'un contrat de formation et le suivi d'aptitude (Article 9.2.b RGPD)
- Sécurité : le PDF est chiffré en base de données via algorithme AES-256-GCM avec une clé dédiée. Seul vous et les administrateurs autorisés de votre tenant ayant la permission
certifications.managepeuvent y accéder - Conservation : les certificats remplacés (« superseded ») sont supprimés 6 mois après remplacement. Les certificats expirés depuis plus de 24 mois ont leur PDF effacé (seules les métadonnées de classe et date d'expiration sont conservées pour l'historique de currency)
- Retrait du consentement : vous pouvez à tout moment supprimer votre certificat médical depuis Mes certificats
2 ter. Mineurs (Article 8 RGPD)
Lorsqu'un bénéficiaire de vol découverte est mineur, ses données sont collectées avec l'autorisation du titulaire de l'autorité parentale, vérifiée par signature électronique avec OTP (« guardian » avec code à usage unique). La conservation est limitée à 5 ans après le vol, durée justifiée par l'obligation de tenue des registres de vol par les exploitants.
3. Base légale du traitement
Les traitements de données sont fondés sur :
- L'exécution du contrat (Article 6.1.b RGPD) : gestion de compte, fourniture des services, facturation, signature de carnets de vol
- Le consentement (Article 6.1.a / 9.2.a RGPD) : mesure d'audience (cookies de suivi), communications marketing, certificats médicaux pour les pilotes individuels
- L'intérêt légitime (Article 6.1.f RGPD) : sécurité du site, prévention des fraudes, lutte contre les bots (reCAPTCHA), historisation 7 jours du tracking ADS-B (sécurité aérienne)
- L'obligation légale (Article 6.1.c RGPD) : conservation des factures (10 ans, art. L102 B du Livre des procédures fiscales), KYC pour la lutte anti-blanchiment
- Mission d'intérêt public / nécessité pour les exploitants (Article 9.2.b RGPD) : suivi d'aptitude médicale pour les pilotes affiliés à un exploitant ATO/DTO, dans le cadre des obligations Part-MED EASA
4. Utilisation des données
Les données collectées servent à :
- Fournir et gérer les services demandés
- Gérer les comptes utilisateurs et la facturation
- Répondre aux demandes de support
- Améliorer nos services et l'expérience utilisateur (mesure d'audience, uniquement avec consentement)
- Envoyer des communications relatives au service
- Assurer la sécurité du site
5. Mesure d'audience et suivi
Avec votre consentement, Prepavol collecte des données de navigation anonymisées (pages visitées, adresse IP tronquée, user-agent) à des fins de mesure d'audience et d'amélioration des services. Ces données sont conservées pour une durée maximale de 6 mois puis automatiquement supprimées. Aucune donnée n'est transmise à des services tiers d'analyse.
Vous pouvez retirer votre consentement à tout moment via le bandeau de gestion des cookies.
6. Partage des données et sous-traitants
Prepavol ne vend ni ne transfère les données personnelles à des tiers à des fins commerciales. Les sous-traitants suivants peuvent accéder à certaines données dans le cadre de la fourniture des services :
- Stripe (paiement en ligne et vérification d'identité KYC, US) — Politique Stripe
- Cloudflare (sécurité réseau, US) — Politique Cloudflare
- OVH (hébergement, envoi de SMS, France) — Politique OVH
- Google, Apple, Microsoft, Discord, GitHub, Meta, X (authentification OAuth tierce, à votre initiative) — la politique de chaque fournisseur s'applique au lien que vous établissez
- Aerogest, OpenFlyers, SIGEBEL (synchronisations carnet de vol et qualifications, France/Belgique, à votre demande) — données pilote uniquement
- Sources de données aéronautiques publiques (météo, cartes VAC, NOTAMs, tracking ADS-B) — aucune donnée personnelle transmise
D'autres outils techniques nécessaires au fonctionnement du service (traitement local de documents, etc.) sont exécutés sur notre infrastructure sans transmission à des tiers.
Transferts hors UE : certains sous-traitants ci-dessus traitent les données aux États-Unis. Pour chacun d'entre eux, le transfert s'appuie sur le Data Privacy Framework (DPF) approuvé par la Commission européenne (décision d'adéquation du 10 juillet 2023), ou à défaut sur les Clauses Contractuelles Types (CCT) de la Commission européenne (Décision 2021/914) comme garanties appropriées (Article 46 RGPD).
Des contrats de sous-traitance (DPA, Article 28 RGPD) sont conclus ou disponibles via les politiques publiques des prestataires. La liste détaillée et nominative des sous-traitants ainsi que les catégories de données concernées peuvent être communiquées sur demande à [email protected].
7. Sécurité des données
Prepavol met en place des mesures techniques et organisationnelles appropriées pour protéger les données personnelles :
- Chiffrement HTTPS (TLS) de bout en bout pour toutes les communications
- Hachage des mots de passe (algorithme standard de l'état de l'art)
- Chiffrement at-rest des données de santé : les certificats médicaux sont chiffrés en base avec une clé dédiée (algorithme AES-256)
- Chiffrement at-rest des tokens d'authentification tiers
- Protection contre les attaques web courantes (CSRF, XSS, injection SQL) via requêtes préparées et headers de sécurité
- Authentification à deux facteurs (OTP) disponible, support des passkeys (WebAuthn) sur les pages où c'est applicable
- Pare-feu applicatif et limitation des tentatives de connexion par IP et par email
- Isolation stricte entre tenants : aucune donnée d'un aéroclub ne peut être lue par un membre d'un autre aéroclub
- Audit logs des actions sensibles côté administrateurs
8. Durée de conservation
Les données personnelles sont conservées selon les durées suivantes :
- Données de compte (nom, email, etc.) : pendant toute la durée d'utilisation du service, et supprimées dans les 30 jours suivant la suppression du compte (sauf obligations légales contraires : factures conservées 10 ans en mode anonymisé)
- Carnet de vol (logbook) : conservé pendant la durée de l'abonnement ; export RGPD complet disponible avant suppression du compte
- Certificats médicaux :
- Certificat en cours de validité : conservé tant qu'il est utile au suivi (le PDF est chiffré)
- Certificat remplacé par un nouveau : supprimé 6 mois après remplacement
- Certificat expiré : PDF effacé 24 mois après expiration ; seules les métadonnées (classe, date d'expiration) sont conservées pour l'historique de currency
- Certificat rejeté à l'OCR : supprimé 3 mois après rejet
- Signatures électroniques (vols découverte, CBTA) : 5 ans après le vol / l'évaluation
- Tracking ADS-B (historique GPS) : 7 jours maximum, purgé automatiquement chaque nuit
- Vols découverte (mineurs inclus) : 5 ans après le vol (obligation de tenue de registres)
- Données de navigation / audience (page_visits) : 6 mois maximum
- Données de facturation : 10 ans (Article L102 B LPF)
- Logs de sécurité (tentatives de connexion) : 12 mois ; logs serveur web (Apache) : 14 jours
- Tickets de support : 2 ans après la clôture du ticket
- Contexte de diagnostic joint à un ticket (dernières actions, erreurs affichées, état du navigateur ; joint uniquement avec votre accord, sans contenu de formulaire) : 30 jours, purgé automatiquement chaque nuit
- Notifications : 90 à 180 jours selon la catégorie
- Slots fuel : 4 jours (réservations passées purgées quotidiennement)
9. Droits des utilisateurs
Conformément au RGPD, les utilisateurs disposent des droits suivants :
- Accès (Article 15) : obtenir une copie de vos données personnelles
- Rectification (Article 16) : corriger des données inexactes
- Suppression (Article 17) : demander l'effacement de vos données — accessible depuis Paramètres > Suppression du compte
- Limitation (Article 18) : restreindre le traitement de vos données
- Portabilité (Article 20) : recevoir vos données dans un format structuré (archive ZIP contenant un fichier JSON, des fichiers CSV et vos documents) — accessible depuis Paramètres > Export des données
- Opposition (Article 21) : vous opposer au traitement de vos données
- Retrait du consentement : retirer à tout moment votre consentement pour les cookies non essentiels
Pour exercer ces droits, vous pouvez utiliser les outils en ligne dans vos paramètres ou nous contacter à : [email protected]
En cas de réclamation, vous pouvez contacter la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr.
10. Cookies
Le site utilise les cookies suivants :
- Cookies essentiels (ne requièrent pas de consentement) :
PHPSESSID: identifiant de session (durée : session, SameSite=Lax, HttpOnly, Secure)pv_remember: connexion persistante « Se souvenir de moi » (durée : 30 jours, SameSite=Lax, HttpOnly, Secure)pv_device: appareil de confiance pour 2FA (durée : selon configuration, SameSite=Lax)pv_lang: préférence de langue (durée : 1 an)pv_cookie_consent: choix de consentement cookies (durée : 1 an)csrf_tokenen session : jeton anti-CSRF
- Cookies tiers strictement nécessaires à la sécurité de l'authentification (exemption Article 5.3 ePrivacy / délibérations CNIL « strictement nécessaire ») :
- Google reCAPTCHA v3 (
NID,_GRECAPTCHA) — chargé uniquement sur les pages/auth/login/et/auth/register/pour la lutte contre les attaques par force brute et la création de comptes par bots. Données transmises à Google selon sa politique. Vous pouvez nous contacter pour exiger une alternative sans cookie.
- Google reCAPTCHA v3 (
- Cookies de mesure d'audience (soumis à consentement) :
- Suivi des pages visitées pour améliorer nos services (page_visits). Aucune donnée n'est transmise à un service tiers d'analyse.
Vous pouvez modifier vos préférences à tout moment via le bandeau cookies affiché en bas de page (clic « Tout accepter » ou « Essentiels uniquement »).
11. Notification de violation de données et procédure interne
En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, Prepavol s'engage à :
- Détecter et qualifier l'incident dans les meilleurs délais (supervision et vérification d'intégrité)
- Notifier la CNIL dans un délai de 72 heures via le téléservice notifications.cnil.fr (Article 33 RGPD)
- Vous informer dans les meilleurs délais si le risque est élevé pour vos droits et libertés (Article 34 RGPD)
- Documenter l'incident, son périmètre, les mesures correctives prises et conserver cette documentation pour traçabilité réglementaire
- Pour signaler une vulnérabilité de sécurité de bonne foi, contactez [email protected]
12. Modifications de la politique
Prepavol se réserve le droit de modifier la présente politique à tout moment. Les modifications prennent effet dès leur publication sur le site. En cas de modification substantielle, les utilisateurs seront informés par email ou notification dans l'application. L'utilisateur est invité à la consulter régulièrement.
13. Contact
Pour toute question relative à cette politique ou à la protection de vos données : [email protected]
Dernière mise à jour : 02/11/2026