Politique de confidentialité

Responsable du traitement

SAVA LOGISTIC SRL, société à responsabilité limitée de droit roumain (CUI 27317524, numéro de TVA RO27317524, registre du commerce roumain J2010001371122), dont le siège social est situé Str. Florilor 324A, ap. 5, 407280 Florești, Cluj (Roumanie), qui exerce son activité en Espagne par l'intermédiaire de son établissement stable, immatriculé sous le NIF ESW0661358B et situé Carrer de l'Empordà 1-7, 08211 Castellar del Vallès, Barcelona (Espagne). Contact en matière de protection des données : administracion@savaexpress.com.

Finalités

• Traiter les demandes de devis envoyées depuis le site et établir l'offre correspondante.
• Répondre aux questions et aux demandes de contact.
• Classer et hiérarchiser, au moyen d'une analyse automatisée par intelligence artificielle, les demandes reçues via les formulaires, afin d'organiser leur traitement.
• Mesurer quelles demandes reçues via le site aboutissent à des envois, en rapprochant chaque demande de l'activité commerciale qui la suit, afin de savoir quels canaux nous amènent des clients.
• Envoyer les ressources demandées volontairement par l'utilisateur, comme la checklist export.
• Gérer les candidatures reçues via les offres d'emploi, y compris le CV fourni.
• Publier, après vérification, les avis envoyés volontairement par les utilisateurs.
• Analyse facultative, mesure publicitaire et identification d’entreprises visiteuses selon vos choix de cookies ; statistiques propres sans cookies distinctes, expliquées ci-dessous.
• Assurer la sécurité du site et prévenir son utilisation abusive.

Base juridique

• L'exécution de mesures précontractuelles prises à la demande de la personne concernée (art. 6.1.b RGPD), pour les demandes de devis et les questions.
• Le consentement de la personne concernée (art. 6.1.a RGPD), pour les cookies analytiques et publicitaires, l'envoi de ressources et la publication d'avis. Il peut être retiré à tout moment.
• Les mesures précontractuelles et le consentement, pour les candidatures.
• L'intérêt légitime du responsable du traitement (art. 6.1.f RGPD) à assurer la sécurité du site et à prévenir la fraude, à classer et hiérarchiser les demandes qu'il reçoit et à mesurer quelles demandes du site aboutissent à des envois, afin de savoir quels canaux lui amènent des clients. L'utilisateur peut s'opposer à ces traitements à tout moment en écrivant à l'adresse indiquée ci-dessous.

Données traitées

• Formulaires de devis et de contact : nom, adresse e-mail, téléphone et les données de l'envoi que l'utilisateur choisit de fournir (origine, destination, type de marchandise, dimensions, poids et délais).
• Analyse de la demande : le résumé et la classification générés automatiquement à partir de ce qu'écrit l'utilisateur (intention, urgence, entreprise déduite de la demande et taille de flotte estimée).
• Issue de la demande : si elle a abouti à des envois, information tirée de l'activité commerciale de SAVA.
• Candidatures : nom, téléphone, adresse e-mail, langues, permis et habilitations, disponibilité, message et CV.
• Avis : nom, adresse e-mail et contenu de l'avis.
• Données techniques : adresse IP, date et heure, pages consultées et identifiants de cookies, ces derniers uniquement avec le consentement de l'utilisateur.

Cookies et mesure d'audience

Après un nouveau choix de cookies marketing, le pixel OpenAI Ads mesure les demandes de transport acceptées. Il transmet à OpenAI des informations sur l’événement et le navigateur, des identifiants publicitaires et une référence aléatoire de la demande. La correspondance avancée automatique peut inclure les coordonnées détectées dans les formulaires (e-mail, téléphone ou nom), normalisées et hachées dans le navigateur. Le hachage n’est pas une anonymisation. Notre événement ne comprend ni détails d’expédition ni montants de devis. Le pixel utilise __oppref (jusqu’à 30 jours) et __obref (jusqu’à 365 jours) ; refuser le marketing les supprime et empêche les événements futurs. OpenAI peut traiter ces informations hors de l’EEE selon ses Conversion Terms et Ad Tools Data Processing Addendum : https://openai.com/policies/conversion-terms/ et https://openai.com/policies/ad-tools-dpa/. Un choix antérieur n’active pas ce nouveau fournisseur.

Google Analytics utilise le choix analytique ; Google Ads, LinkedIn Insight Tag et l’identification des entreprises visiteuses par Apollo utilisent le consentement marketing. Apollo reçoit les données techniques de visite, dont l’IP, pour identifier les entreprises à des fins de prospection. Le mode de consentement Google peut envoyer des signaux limités sans cookies lorsque le stockage est refusé ; refuser les cookies ne bloque pas toute requête réseau vers Google.

SAVA mesure aussi les visites et interactions avec son propre service sans cookies, à partir d’identifiants pseudonymes quotidiens dérivés des données techniques de connexion. La table des événements ne conserve pas les IP brutes. Cette mesure distincte repose sur notre intérêt légitime à comprendre l’utilisation du site ; vous pouvez vous y opposer via le contact ci-dessous.

Sur les pages emploi, les visites sont également comptées avec Plausible, un service de statistiques web sans cookies établi dans l'Union européenne.

Vous pouvez accepter, refuser ou configurer les préférences en conservant l’accès aux formulaires. Rouvrez Gérer les cookies dans le pied de page pour modifier ou retirer votre choix. Le retrait arrête le suivi facultatif futur et peut recharger la page ; il n’efface pas les données déjà traitées licitement. Le choix est enregistré comme sava-consent dans le stockage local jusqu’à modification ou suppression. L’expiration d’un cookie ne fixe pas la conservation des données déjà reçues par le fournisseur. Consultez leurs détails et durées ci-dessous.

Google: https://policies.google.com/privacy — https://policies.google.com/technologies/cookies ; LinkedIn: https://www.linkedin.com/legal/privacy-policy — https://www.linkedin.com/legal/l/cookie-table ; Apollo: https://www.apollo.io/privacy-policy ; OpenAI: https://openai.com/policies/conversion-terms/ — https://openai.com/policies/ad-tools-dpa/ .

Destinataires et sous-traitants

Le site et le système de gestion interne de SAVA sont hébergés sur un serveur Hostinger situé à Francfort (Allemagne). Les données envoyées via les formulaires sont conservées dans la base de données de SAVA, hébergée par Supabase dans sa région de Francfort (Allemagne), avec les fichiers tels que les CV.

Sauf indication contraire, les prestataires cités dans cette section traitent des données pour le compte de SAVA, en qualité de sous-traitants, dans le cadre des accords applicables. Les données publicitaires consenties sont aussi partagées avec Google, LinkedIn, Apollo et OpenAI selon leurs conditions. SAVA et OpenAI sont généralement responsables indépendants ; OpenAI est sous-traitant pour le Traitement Restreint défini dans son Ad Tools DPA. OpenAI Ireland Limited reçoit les données EEE selon cet accord. Les fournisseurs publicitaires peuvent aussi utiliser des informations à leurs propres fins autorisées de mesure, diffusion et amélioration des services.

Autres prestataires : Google, via Google Workspace, dont la messagerie (Gmail) achemine toute la correspondance de l'entreprise, ainsi que Google Maps et la recherche Google ; ZeroBounce, qui vérifie qu'une adresse e-mail existe avant que nous y écrivions ; Twilio, qui vérifie les numéros de téléphone ; et Apollo, qui, en plus de ce qui est décrit dans la section sur les cookies, fournit des coordonnées professionnelles d'entreprises (voir « Clients potentiels »).

Unipile SAS, société française, relie le compte LinkedIn d'un membre de l'équipe SAVA au système de gestion interne de SAVA et héberge les données en France (voir « Clients potentiels »).

Analyse des demandes par intelligence artificielle. Le contenu des demandes envoyées via les formulaires est analysé au moyen de l'API d'Anthropic, fournisseur d'intelligence artificielle agissant en qualité de sous-traitant, dans le seul but de les classer et de les hiérarchiser. L'analyse renvoie un résumé, l'intention, l'urgence, l'entreprise déduite de la demande et une taille de flotte estimée, qui sont conservés avec la demande. Ce traitement est encadré par l'accord de traitement des données (Data Processing Addendum) d'Anthropic, intégré à ses conditions commerciales ; selon ces conditions, Anthropic n'utilise pas ces données pour entraîner ses modèles.

Anthropic ne reçoit que des documents et contenus d'entreprises : outre ces demandes, les réponses aux e-mails commerciaux de SAVA (pour les classer), des factures de fournisseurs et des synthèses de l'activité commerciale. Il ne reçoit aucun document concernant des personnes.

Documents des personnes : intelligence artificielle propre. Les documents des personnes — pièces d'identité (DNI, NIE ou passeport), permis de conduire, certificats CAP et ADR, cartes de chronotachygraphe, bulletins de paie, CV des candidats, papiers du camion et lettres de voiture CMR ou ordres de chargement portant le nom du conducteur — sont lus par un modèle d'intelligence artificielle propre à SAVA (Qwen2.5-VL-7B), que SAVA exécute sur des serveurs GPU loués à RunPod, société américaine, limités à des centres de données situés dans l'UE/EEE : Tchéquie, France, Pays-Bas, Roumanie, Suède, Islande et Norvège. Si la lecture échoue, elle est relancée et, en cas de nouvel échec, les données sont saisies à la main. Ces documents ne sont jamais envoyés à Anthropic.

Alertes internes. L'équipe de SAVA reçoit des alertes internes de travail via Telegram. Les alertes concernant de nouvelles candidatures et de nouveaux clients potentiels ne mentionnent pas le nom de la personne : elles indiquent seulement combien il y en a (par exemple « 1 nouveau ») et renvoient par un lien au système de gestion interne de SAVA, où on les consulte. Dans les autres alertes, les noms des personnes apparaissent partiellement masqués (par exemple « Io* Pop**** »). Aucune alerte ne contient de pièces d'identité, de numéros de téléphone ni d'adresses e-mail ; le nom complet n'est visible que dans le système de gestion interne de SAVA. Telegram traite ces alertes en dehors de l'Espace économique européen, comme expliqué à la section « Transferts internationaux de données ».

Maintenance des systèmes. SAVA utilise des outils d'intelligence artificielle (Claude, d'Anthropic) pour maintenir ses systèmes informatiques, avec pour règle écrite que ces sessions de travail ne traitent pas de données concernant des personnes.

Publication sur les réseaux sociaux. Un serveur Google Cloud situé dans l'Iowa (États-Unis) publie les messages de SAVA sur les réseaux sociaux. Il ne traite que du contenu de l'entreprise.

Transferts internationaux de données

Les demandes envoyées via les formulaires sont transférées aux États-Unis, où Anthropic les analyse dans les conditions décrites à la section précédente. Ce transfert est encadré par les clauses contractuelles types adoptées par la Commission européenne (art. 46.2.c RGPD), intégrées à l'accord de traitement des données d'Anthropic. Il a lieu indépendamment des cookies : il ne dépend pas du fait que l'utilisateur les accepte ou les refuse. Une copie de ces garanties peut être demandée à l'adresse indiquée ci-dessous.

La base de données et les fichiers sont conservés à Francfort (Allemagne), mais le contrat est conclu avec Supabase Pte. Ltd., société de Singapour. Tout accès aux données depuis l'extérieur de l'EEE pouvant découler de ce contrat repose donc sur les clauses contractuelles types adoptées par la Commission européenne (art. 46.2.c RGPD).

Google (Google Workspace et Gmail, Google Maps et la recherche Google), ZeroBounce, Twilio et Apollo sont des sociétés américaines qui adhèrent au cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework). Le transfert des données qu'elles traitent pour SAVA repose sur la décision d'adéquation de la Commission européenne du 10 juillet 2023 (art. 45 RGPD).

Google, LinkedIn, Apollo et OpenAI peuvent traiter des données publicitaires ou techniques à l’international, y compris aux États-Unis. Garanties et rôles dépendent du service et du traitement ; consultez les notices et accords liés, notamment les clauses contractuelles types lorsque pertinentes. Vous pouvez demander à SAVA le détail des garanties. Refuser les cookies facultatifs n’empêche pas le traitement distinct nécessaire pour répondre à une demande envoyée.

Les documents des personnes lus par l'intelligence artificielle propre à SAVA sont traités dans des centres de données situés dans l'UE/EEE. RunPod, qui loue ces serveurs, est une société américaine qui n'adhère pas au cadre de protection des données UE-États-Unis. C'est pourquoi l'accord de traitement des données signé par SAVA avec RunPod intègre les clauses contractuelles types adoptées par la Commission européenne (module 2, de responsable du traitement à sous-traitant ; art. 46.2.c RGPD), sur lesquelles repose tout accès aux données depuis l'extérieur de l'EEE pouvant découler de ce contrat. Une copie de ces garanties peut être demandée à l'adresse indiquée ci-dessous.

Pour se connecter à LinkedIn, Unipile peut recourir à des fournisseurs de réseau situés hors de l'EEE : Bright Data, en Israël, sur la base de la décision d'adéquation de la Commission européenne (art. 45 RGPD), ainsi que Webshare, aux États-Unis, et Infatica, à Singapour, sur la base des clauses contractuelles types approuvées par la Commission européenne (art. 46.2.c RGPD), conformément à l'accord de traitement des données d'Unipile. Une copie de ces garanties peut être demandée à l'adresse indiquée ci-dessous.

Telegram, par lequel l'équipe de SAVA reçoit les alertes internes décrites à la section précédente, traite ces alertes en dehors de l'EEE. C'est pourquoi ces alertes se limitent au strict nécessaire : celles qui concernent des candidatures et des clients potentiels ne mentionnent pas le nom de la personne, et aucune ne contient de documents, de numéros de téléphone ni d'adresses e-mail.

Le serveur Google Cloud de l'Iowa (États-Unis) qui publie sur les réseaux sociaux ne traite que du contenu de l'entreprise.

Candidatures : c'est toujours une personne qui décide

Les CV et autres documents des candidats sont lus par l'intelligence artificielle propre à SAVA, décrite dans la section « Destinataires et sous-traitants », jamais par Anthropic.

L'intelligence artificielle se limite à proposer : elle organise les informations et peut suggérer les candidatures qui correspondent le mieux à un poste. La décision est toujours prise par une personne de l'équipe des ressources humaines de SAVA. Aucune décision n'est fondée exclusivement sur un traitement automatisé (article 22 RGPD).

L'adresse e-mail que le candidat indique pour recevoir la réponse n'est pas vérifiée auprès de services externes : elle est utilisée telle qu'il l'a écrite.

Durée de conservation

Les demandes envoyées via le site et leur analyse sont conservées pendant toute la durée de la relation commerciale qui en découle puis, à son terme, pendant les délais de conservation commerciaux et fiscaux applicables. En l'absence de relation commerciale, elles sont conservées 24 mois à compter de la dernière communication avec l'utilisateur, puis anonymisées. La mesure des demandes qui aboutissent à des envois porte sur ces mêmes données et respecte ces mêmes délais.

Les IP des journaux de sécurité sont conservées jusqu’à 90 jours pour prévenir les abus. Le traitement technique distinct pour la mesure est décrit ci-dessus.

Les candidatures sont conservées deux ans au maximum à compter de leur réception, afin de pouvoir être prises en compte lors de recrutements ultérieurs, et sont supprimées à l'expiration de ce délai.

L'utilisateur peut demander à tout moment l'effacement de ses données à l'adresse indiquée ci-dessous.

Clients et contacts commerciaux

Les sections précédentes décrivent le traitement des données des personnes qui utilisent ce site. La présente section en décrit un autre, qui concerne d'autres personnes : les entreprises déjà clientes de SAVA, dont les données ne proviennent PAS de ce site mais de la relation commerciale elle-même.

Finalité. Adresser aux entreprises déjà clientes des communications portant sur les mêmes services de transport que ceux qu'elles ont souscrits auprès de nous : groupage et lot complet entre l'Espagne et le reste de l'Europe.

Base juridique. L'envoi repose sur l'article 21.2 de la loi espagnole 34/2002 (LSSI), qui autorise la communication commerciale sans consentement préalable lorsqu'il existe une relation contractuelle antérieure, que la communication porte sur des produits ou services propres analogues à ceux souscrits et que la possibilité de s'y opposer est offerte dans chaque message. Le traitement des données repose sur l'intérêt légitime (art. 6.1.f RGPD), dans les termes de l'avis 0173/2018 de l'autorité espagnole de protection des données (AEPD), qui l'admet pour les clients actuels. À cet effet, est considéré comme client actuel celui avec lequel une opération a été facturée au cours des douze derniers mois. Votre consentement n'est ni demandé ni présumé.

Données traitées et origine. Les données d'identification et de contact figurant dans votre fiche client — raison sociale, adresse e-mail et pays de facturation —, obtenues dans le cadre de la relation commerciale elle-même (contractualisation, facturation et gestion des envois), et non via ce site. Si votre entreprise expose sur un salon, le nom de l'entreprise, son pays et le salon proviennent du catalogue public des exposants publié par l'organisateur. Outre votre adresse e-mail, nous pouvons utiliser l'adresse de votre profil LinkedIn public.

Conservation. L'adresse est utilisée tant que la relation commerciale est en cours et, à cet effet, tant que douze mois ne se sont pas écoulés depuis la dernière opération facturée. Si vous vous y opposez, votre adresse est inscrite sur une liste d'exclusion conservée précisément pour ne plus vous écrire.

Destinataires. Ces communications sont envoyées par l'intermédiaire du même prestataire de messagerie que le reste de la correspondance de l'entreprise, qui agit en qualité de sous-traitant dans les conditions décrites plus haut. Ces données ne sont pas cédées à des plateformes publicitaires et ne servent pas à cibler des audiences.

Clients potentiels

Outre ses clients, SAVA écrit à des entreprises qui ne le sont pas encore et qui peuvent avoir besoin de transport routier. Cette section s'adresse aux personnes de contact de ces entreprises, dont les données ne proviennent PAS de ce site.

Données traitées et origine. Le nom, la fonction et l'entreprise de la personne de contact, ainsi que son adresse e-mail et son numéro de téléphone professionnels, obtenus auprès d'Apollo, fournisseur de coordonnées professionnelles. Avant d'écrire, nous vérifions que l'adresse e-mail existe (ZeroBounce) et que le numéro de téléphone est valide (Twilio). Si votre entreprise expose sur un salon, le nom de l'entreprise, son pays et le salon proviennent du catalogue public des exposants publié par l'organisateur. Outre votre adresse e-mail, nous pouvons utiliser l'adresse de votre profil LinkedIn public.

Finalité et base juridique. Vous présenter les services de transport de SAVA, sur la base de l'intérêt légitime de SAVA à faire connaître ses services à d'autres entreprises (article 6.1.f RGPD).

Contact via LinkedIn. Depuis le profil LinkedIn d'un membre de l'équipe SAVA, nous pouvons vous envoyer une invitation à vous connecter accompagnée d'une courte note et, si vous l'acceptez, un message de remerciement. Pour cela, SAVA utilise Unipile SAS (Riorges, France), qui relie ce compte LinkedIn au système de gestion interne de SAVA et agit en tant que sous-traitant ; les données sont hébergées en France (voir « Transferts internationaux de données »). LinkedIn traite les données de sa plateforme en tant que responsable du traitement indépendant, selon sa propre politique de confidentialité. Si vous n'acceptez pas l'invitation, nous la retirons au bout de 30 jours.

Comment vous êtes informé. Une invitation LinkedIn ne laisse pas de place pour une information complète : le profil depuis lequel nous l'envoyons renvoie donc à la présente politique. Le premier e-mail commercial que nous vous envoyons indique, en bas et en petits caractères, d'où provient votre donnée, à quoi nous l'utilisons et comment vous désinscrire, comme l'exige l'article 14 RGPD.

Conservation. Vos données sont conservées pendant deux ans à compter du dernier contact, puis supprimées à l'expiration de ce délai.

Si vous vous y opposez, votre demande est traitée dès que vous la formulez : nous cessons de vous écrire et votre adresse est ajoutée à la liste d'exclusion, conservée précisément pour ne plus vous écrire.

Votre droit de vous opposer aux communications commerciales

Que vous soyez client ou client potentiel, vous pouvez vous opposer à tout moment à la réception de ces communications, sans avoir à vous justifier et sans frais, au moyen du lien de désinscription figurant dans chaque message ou en écrivant à administracion@savaexpress.com.

La désinscription est immédiate et n'a aucune incidence sur la gestion de vos envois ni sur votre facturation, qui se poursuivront normalement.

Vos droits

Vous pouvez exercer vos droits d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité, ainsi que retirer le consentement donné, en écrivant à administracion@savaexpress.com. Vous pouvez également introduire une réclamation auprès de l'autorité de contrôle compétente (l'AEPD en Espagne ou l'ANSPDCP en Roumanie).