Politique de confidentialité

Dernière mise à jour : 29 octobre 2026  ·  Date d'entrée en vigueur : 29 octobre 2026

1. Identité du responsable du traitement

Le responsable du traitement de vos données personnelles est :

Pour toute question relative à la protection de vos données, vous pouvez nous contacter par email à l'adresse ci-dessus.

2. Données que nous collectons

Nous collectons uniquement les données nécessaires au fonctionnement de notre service. Aucune donnée n'est collectée à des fins publicitaires.

2.1 Données d'authentification

• Adresse email — utilisée comme identifiant de connexion.
• Mot de passe — stocké de façon hachée par notre prestataire d'authentification (Supabase Auth) ; il ne nous est jamais accessible en clair.

2.2 Données de profil

• Nom complet
• Numéro de téléphone
• Ville (au Maroc)
• Méthode de contact préférée (téléphone, WhatsApp ou email)
• Photo de profil facultative — stockée uniquement sur votre appareil (AsyncStorage), jamais transmise à nos serveurs.

2.3 Données d'activité

• Demandes de véhicule que vous soumettez (marque, modèle, plage d'années, budget, type de carburant, notes).
• Annonces de véhicule que vous publiez (titre, marque, modèle, année, kilométrage, prix, carburant, transmission, ville, description, nom et téléphone du vendeur).
• Photos de véhicules que vous téléversez — stockées dans Supabase Storage dans un bucket public (les photos d'annonces sont, par nature, visibles par les autres utilisateurs).
• Favoris et réservations.
• Pour les utilisateurs ayant un rôle d'inspecteur : données liées au flux d'inspection (rapports, étapes complétées).

2.4 Permissions de l'appareil

L'application mobile demande, uniquement lorsque vous l'utilisez :

• Caméra — pour photographier un véhicule, votre profil, les documents de votre dossier de financement, le problème à signaler lors d'une réservation d'entretien et le reçu de l'entretien, et pour scanner le QR code d'une station partenaire.
• Photothèque — pour joindre des photos à une annonce, à votre profil, à une réservation d'entretien ou à une conversation avec un garage, ajouter les photos et vidéos des publications de votre garage, et téléverser les documents de votre dossier de financement (cf. § 2.7).
• Microphone — pour la recherche et la mise en vente vocales (cf. § 2.6) et pour envoyer des messages vocaux dans une conversation avec un garage (cf. § 2.8). L'enregistrement n'est démarré que lorsque vous appuyez sur le bouton micro.
• Localisation (uniquement pendant l'utilisation) — pour afficher les stations partenaires les plus proches, confirmer votre présence à la station lors du check-in d'un entretien (cf. § 2.9), et, si vous ouvrez un garage, placer votre garage sur la carte.
• Notifications — pour vous prévenir quand notre équipe a étudié votre dossier de financement (cf. § 2.10).

Nous ne demandons pas votre localisation en arrière-plan, ni l'accès aux contacts, au calendrier ou à la santé.

2.5 Ce que nous ne collectons PAS

• Aucune localisation en arrière-plan ni historique de vos déplacements : votre position n'est lue que lorsque vous cherchez une station, faites le check-in d'un entretien ou placez votre garage sur la carte.
• Aucun SDK publicitaire ou de mesure d'audience tierce (pas de Facebook SDK, pas de Google Analytics, pas d'AppsFlyer, etc.).
• Aucun suivi inter-applications (pas de tracking au sens du Cadre App Tracking Transparency d'Apple).
• Aucune connexion via réseaux sociaux (pas de « Login with Google », pas de « Login with Facebook »).

2.6 Données vocales (microphone)

Lorsque vous utilisez la recherche vocale ou la mise en vente vocale, l'application enregistre un court extrait audio sur votre appareil et l'envoie à notre service de transcription pour le convertir en texte.

• Ce que nous collectons : un fichier audio temporaire de quelques secondes, uniquement quand vous appuyez sur le bouton micro.
• Ce que nous en faisons : transcription en texte pour exécuter votre recherche ou pré-remplir un formulaire d'annonce.
• Consentement : avant le premier enregistrement, l'application vous explique que votre voix sera envoyée à un service d'intelligence artificielle tiers et vous demande votre accord. Aucun enregistrement n'est effectué si vous refusez.
• Sous-traitant : la transcription et l'interprétation de votre demande sont effectuées par OpenAI, L.L.C. (États-Unis) — politique : openai.com/policies/privacy-policy. Ni l'enregistrement audio ni sa transcription ne sont conservés par Mertah Auto après le traitement de votre demande.
• Refus : la fonctionnalité est entièrement optionnelle. Vous pouvez toujours saisir votre recherche au clavier.

Les messages vocaux envoyés dans une conversation avec un garage (§ 2.8) ne sont pas concernés : ils sont transmis uniquement à votre interlocuteur et ne sont envoyés à aucun service d'intelligence artificielle.

2.7 Dossier de financement (facultatif)

Si vous souhaitez obtenir un financement pour l'achat d'un véhicule, vous pouvez constituer un dossier depuis l'application (Profil → Mon dossier). Ce dossier est entièrement facultatif et n'est créé qu'après votre accord explicite dans l'application.

Données collectées :

• Identité : nom, prénom, date de naissance, sexe, numéro et photos recto/verso de la CIN.
• Adresse : adresse, ville, code postal, justificatif de domicile.
• Permis de conduire : numéro, catégorie, date d'expiration, photos recto/verso.
• Situation professionnelle et financière : profession, employeur, type de contrat, ancienneté, revenu mensuel, banque, crédits en cours et mensualités, situation familiale, nombre de personnes à charge, situation de logement.
• Contact d'urgence : nom et téléphone.
• Documents : relevés bancaires et autres justificatifs que vous choisissez d'ajouter (PDF ou photos).

Finalité : étudier votre dossier et le transmettre à nos banques et organismes de financement partenaires afin d'obtenir une offre de financement pour votre véhicule. Ces données ne sont jamais vendues ni utilisées à d'autres fins.

Qui l'étudie : un membre de l'équipe Mertah examine votre dossier manuellement. Aucune décision n'est prise de façon automatisée et aucun service d'intelligence artificielle ne lit ces documents.

Stockage : les documents sont stockés dans un espace privé et chiffré (Supabase Storage, Union européenne), accessible uniquement par vous et par l'équipe Mertah habilitée.

2.8 Garages et messagerie

Ouvrir un garage (professionnels). Si vous ouvrez un garage dans l'application, les informations de votre garage sont publiques : nom, identifiant (@…), logo, photo de couverture, description, ville, adresse et position sur la carte, horaires, téléphone et WhatsApp, ainsi que vos publications (photos, vidéos, prix, kilométrage, description). L'équipe Mertah vérifie chaque garage et chaque publication avant leur mise en ligne. Nous mesurons aussi les vues, les mentions « j'aime », les enregistrements et les contacts de vos publications pour vous fournir vos statistiques.

Suivre, aimer, enregistrer. Les garages que vous suivez et les publications que vous aimez ou enregistrez sont liés à votre compte. Un garage voit son nombre d'abonnés.

Messagerie. Vous pouvez écrire à un garage depuis l'application (texte, photos, messages vocaux). Vos messages et pièces jointes sont stockés dans un espace privé et ne sont visibles que par vous et le garage concerné. Si une conversation est signalée, l'équipe Mertah peut la lire pour traiter le signalement ; l'autre personne ne sait pas qui l'a signalée.

Signalement et blocage. Les signalements (publication, garage, annonce, conversation) et les blocages que vous effectuez sont enregistrés pour la modération.

2.9 Entretien chez une station partenaire

Si vous réservez un entretien (onglet « Ma Voiture »), nous collectons : le véhicule concerné (marque, modèle, année, immatriculation), le service demandé, votre prénom, la description du problème et ses photos éventuelles, la date du rendez-vous.

Check-in : à la station, vous scannez son QR code ; votre position est relevée une seule fois à ce moment pour confirmer que vous êtes bien à la station.

Reçu : vous photographiez le reçu remis par la station. La photo est analysée par Google Gemini (Google LLC) pour en extraire le montant payé ; le résultat sert à vérifier la prestation. La station ne voit pas cette analyse.

La station partenaire voit votre prénom, le véhicule et le service réservé, uniquement pour réaliser la prestation.

2.10 Notifications

Si vous les autorisez, l'application enregistre un identifiant de notification propre à votre appareil, pour vous prévenir par exemple quand notre équipe a étudié votre dossier de financement. Cet identifiant est supprimé quand vous vous déconnectez. Vous pouvez désactiver les notifications à tout moment dans les réglages de votre téléphone.

3. Finalités du traitement

4. Bases légales du traitement

Conformément au RGPD et à la loi marocaine n° 09-08 :

• Exécution du contrat — gestion du compte, publication d'annonces, mise en relation, traitement des demandes et réservations.
• Consentement — accès à la caméra, à la photothèque, au microphone et à la localisation, téléversement de photos et vidéos, envoi de vos enregistrements vocaux à OpenAI, analyse de vos reçus par Google Gemini, constitution et transmission de votre dossier de financement, et notifications. Vous pouvez retirer ce consentement à tout moment, dans les réglages de votre appareil ou en supprimant votre compte.
• Intérêt légitime — sécurité du service et prévention de la fraude (par exemple détection d'annonces frauduleuses ou de comportements abusifs).
• Obligations légales — réponse aux demandes des autorités compétentes lorsque la loi l'exige.

5. Destinataires et sous-traitants

Nous ne vendons jamais vos données. Nous faisons appel aux sous-traitants suivants, strictement pour les besoins du service :

Banques et organismes de financement partenaires. Si vous constituez un dossier de financement et l'envoyez, nous le transmettons à nos partenaires : banques et sociétés de financement agréées au Maroc. Ils l'utilisent uniquement pour étudier votre demande de crédit, sous leur propre responsabilité et conformément à la loi 09-08.

Garages et stations partenaires. Lorsque vous écrivez à un garage, il reçoit vos messages, votre prénom et l'initiale de votre nom. Lorsque vous réservez un entretien, la station partenaire reçoit les informations décrites au § 2.9.

Vos données peuvent également être visibles par les autres utilisateurs lorsque vous publiez une annonce (par exemple votre nom de vendeur, votre téléphone si vous l'indiquez dans l'annonce, et les photos téléversées).

6. Transferts internationaux

Nos sous-traitants Supabase, Expo, OpenAI et Google sont susceptibles de stocker ou traiter des données en dehors du Maroc et de l'Espace économique européen, notamment dans des régions situées dans l'Union européenne ou aux États-Unis. Les enregistrements vocaux sont traités par OpenAI et les photos de reçus par Google, aux États-Unis, uniquement lorsque vous utilisez ces fonctionnalités.

Région Supabase utilisée par Mertah Auto : Union européenne (Frankfurt).

Lorsque ces transferts ont lieu hors de l'EEE, ils sont encadrés par les Clauses Contractuelles Types (SCC) approuvées par la Commission européenne et par les engagements contractuels de Supabase / Expo, afin d'assurer un niveau de protection adéquat.

7. Durée de conservation

• Compte et profil : conservés tant que votre compte est actif.
• Annonces, demandes, favoris, réservations : conservés tant que votre compte est actif, ou jusqu'à ce que vous les supprimiez vous-même.
• Dossier de financement : conservé tant que votre compte est actif. Vous pouvez supprimer vos documents à tout moment depuis l'application ; ils sont supprimés définitivement avec votre compte.
• Garage, publications et messages : conservés tant que votre compte est actif ; supprimés définitivement avec votre compte (y compris les conversations et leurs pièces jointes).
• Historique d'entretien : la réservation, la date et les montants sont conservés après la suppression du compte pour les besoins comptables de Mertah et de la station, mais anonymisés : nom, immatriculation, position du check-in, description, photos et reçu sont effacés.
• Suppression du compte : vos données personnelles sont supprimées de nos systèmes dans un délai maximum de 30 jours après votre demande de suppression. Certaines sauvegardes chiffrées peuvent être conservées jusqu'à 90 jours puis purgées automatiquement.
• Logs techniques : conservés au maximum 12 mois pour des raisons de sécurité.
• Données conservées plus longtemps uniquement si la loi l'exige (par exemple pour répondre à une obligation comptable ou à une réquisition judiciaire).

8. Vos droits

Conformément au RGPD et à la loi 09-08, vous disposez des droits suivants :

• Droit d'accès — obtenir une copie des données que nous détenons sur vous.
• Droit de rectification — corriger toute donnée inexacte. La plupart des informations de profil sont modifiables directement dans l'application (Profil → Modifier).
• Droit à l'effacement — demander la suppression de vos données. Voir la section Suppression de votre compte.
• Droit à la portabilité — recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition — vous opposer à un traitement fondé sur l'intérêt légitime.
• Droit à la limitation — demander que le traitement soit suspendu dans certains cas.
• Droit de retirer votre consentement à tout moment, sans que cela n'affecte la licéité du traitement effectué avant ce retrait.

Pour exercer ces droits, écrivez-nous à [email protected] en précisant l'objet de votre demande. Nous y répondrons dans un délai maximum de 30 jours.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez également déposer une plainte auprès de la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) au Maroc (cndp.ma), ou auprès de l'autorité de protection des données de votre pays de résidence si vous résidez dans l'Union européenne.

9. Suppression de votre compte

Vous pouvez aussi nous écrire à [email protected] depuis l'adresse email associée à votre compte, avec pour objet « Suppression de compte ».

La suppression entraîne :

• la suppression définitive de votre profil (nom, téléphone, ville, préférences) ;
• la suppression de vos demandes de véhicule ;
• la suppression de vos annonces et des photos associées (sauf les photos reprises dans une annonce publiée par Mertah) ;
• la suppression de vos favoris et de vos réservations ;
• la suppression de votre dossier de financement et de tous les documents associés (CIN, permis, justificatifs, relevés bancaires) ;
• la suppression de votre garage, de ses publications, photos et vidéos, et de vos conversations avec leurs photos et messages vocaux ;
• l'anonymisation de votre historique d'entretien chez les stations partenaires ;
• la révocation de vos accès (vous ne pourrez plus vous connecter avec cet email).

Les réservations d'entretien passées restent dans l'historique de la station et de Mertah, pour la comptabilité, sans lien avec votre compte : seuls la réservation, la date et les montants sont conservés ; nom, immatriculation, position du check-in, description, photos et reçu sont effacés.

La suppression est effectuée sous 30 jours au maximum. Les sauvegardes chiffrées sont automatiquement purgées dans un délai additionnel de 90 jours.

Certaines données peuvent être conservées au-delà de ce délai uniquement si la loi nous y oblige (par exemple en cas de procédure judiciaire en cours), ou sous une forme anonymisée ne permettant plus de vous identifier.

10. Confidentialité des mineurs

Le service Mertah Auto n'est pas destiné aux personnes de moins de 16 ans. Nous ne collectons pas sciemment de données relatives à des mineurs de moins de 16 ans. Si vous êtes parent ou tuteur et constatez qu'un mineur nous a transmis des données, contactez [email protected] : nous supprimerons ces données.

11. Cookies et stockage local

Le site mertahauto.ma utilise un nombre limité de mécanismes de stockage local :

• Stockage technique nécessaire au fonctionnement du site (jeton de session, préférence de langue). Aucun consentement n'est requis pour ces éléments car ils sont strictement nécessaires.
• Aucun cookie publicitaire ou de mesure d'audience tiers n'est déposé.

L'application mobile utilise AsyncStorage pour stocker, sur votre appareil uniquement, votre session, votre préférence de langue et votre photo de profil.

12. Sécurité

• Chiffrement en transit — toutes les communications entre l'application/le site et nos serveurs sont chiffrées via TLS (HTTPS).
• Mots de passe — hachés à l'aide d'algorithmes standards de l'industrie par Supabase Auth ; ils ne nous sont jamais accessibles en clair.
• Contrôle d'accès — la base de données applique des règles de sécurité au niveau ligne (Row Level Security) afin que chaque utilisateur ne puisse accéder qu'à ses propres données privées.
• Accès interne restreint — seuls les membres de l'équipe ayant besoin d'accéder aux systèmes pour exploiter le service y sont autorisés.

Aucune méthode de transmission ou de stockage électronique n'est sûre à 100 %. Nous nous engageons à mettre en œuvre des mesures techniques et organisationnelles raisonnables pour protéger vos données.

13. Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter les évolutions de notre service ou de la réglementation. La date de « dernière mise à jour » en haut de cette page reflète la version en vigueur. Pour les changements significatifs, nous vous notifierons par email et / ou via une notification dans l'application avant l'entrée en vigueur des modifications.

14. Contact

Voir les Conditions générales d'utilisation →