Politique de confidentialité
Dernière mise à jour : 4 septembre 2026 · Version 1.1
La présente politique de confidentialité décrit la manière dont Flitty (édité par Citiroads SRL) collecte, utilise et protège vos données à caractère personnel lorsque vous utilisez l'application mobile Flitty et les services associés (ci-après « les Services »). Elle est rédigée conformément au Règlement (UE) 2016/679 (« RGPD ») et à la législation belge applicable.
1. Responsable du traitement
Citiroads SRL, dont le siège est situé Rue Louis Lumière 9, 1190 Forest, Bruxelles, Belgique, immatriculée sous le numéro BCE/KBO 0455.377.287 (TVA BE0455.377.287), agit en qualité de responsable du traitement pour les traitements liés au fonctionnement de la plateforme Flitty.
Pour toute question relative à vos données, vous pouvez contacter privacy@flitty.app.
2. Rôles : utilisateur et organisation cliente
Flitty est une application professionnelle (B2B) mise à disposition d'entreprises clientes (sociétés de taxi/VTC) qui invitent ensuite leurs administrateurs et chauffeurs. L'organisation qui vous a invité agit en tant que responsable de traitement pour les données qu'elle vous demande de saisir dans l'app (planning, demandes, justificatifs, dépenses, trajets). Flitty agit comme sous-traitant pour ces données et comme responsable uniquement pour ce qui relève du fonctionnement de la plateforme (compte, sécurité, journalisation).
3. Données collectées et finalités
| Catégorie | Données | Finalité | Base légale |
|---|---|---|---|
| Identification | Nom, prénom, e-mail, téléphone, photo de profil (facultative) | Création et gestion du compte, communication | Exécution du contrat (art. 6.1.b) |
| Identifiants techniques | Adresse IP, user-agent, jetons de session, jetons push (Apple/Google via Expo) | Authentification, sécurité, notifications | Intérêt légitime (art. 6.1.f) |
| Données professionnelles | Plannings, shifts, demandes de congés, échanges de service, soldes de congés, dépenses, trajets | Fonctionnement opérationnel pour le compte de l'employeur/donneur d'ordre | Exécution du contrat (art. 6.1.b) |
| Données de localisation | Adresses de départ/arrivée des courses, latitude/longitude (saisies à la fin du trajet) | Calcul de tarif, registre de course, comptabilité | Exécution du contrat (art. 6.1.b) et obligation légale (art. 6.1.c) |
| Données financières | Montants des dépenses, reçus scannés, montants de courses, mode de paiement | Notes de frais, comptabilité, contrôle | Obligation légale (art. 6.1.c) |
| Données de santé (art. 9) | Demandes de type « Maladie », certificats médicaux | Justification d'absence et conformité au droit du travail | Obligation en matière de droit du travail et de sécurité sociale (art. 9.2.b) |
| Documents d'identité et professionnels | Carte d'identité, permis de conduire, certificat médical, etc. (selon documents demandés par l'organisation) | Conformité réglementaire de l'activité | Obligation légale (art. 6.1.c) |
| Communications | Messages échangés dans le chat intégré, annonces, notifications | Coordination interne | Exécution du contrat / intérêt légitime |
| Journaux d'audit | Actions sensibles, IP, user-agent, horodatages | Sécurité, traçabilité, lutte contre les fraudes | Intérêt légitime (art. 6.1.f) et obligation légale |
Aucune publicité, aucun profilage commercial, aucun cookie analytique tiers n'est mis en œuvre dans l'application mobile.
Le site marketing flitty.app utilise Vercel Web Analytics (hébergeur du site) pour mesurer le trafic de façon agrégée et anonymisée, sans cookies publicitaires ni revente de données à des courtiers. Ces mesures servent uniquement à améliorer le site.
4. Durées de conservation
- Compte utilisateur actif : pendant toute la durée d'utilisation, puis 3 mois après désactivation, avant anonymisation.
- Données de planning, demandes et soldes de congés : 5 ans après la fin de la relation contractuelle (durée de prescription en droit du travail).
- Documents fiscaux et comptables (dépenses, courses, factures) : 10 ans (obligation légale).
- Certificats médicaux : durée de l'absence justifiée + 1 an, puis suppression sécurisée.
- Journaux d'audit (audit log) : 12 mois maximum.
- Jetons de rafraîchissement : 30 jours après expiration ou révocation.
- Jetons push : tant que l'application est installée et le compte actif.
5. Destinataires et sous-traitants
Vos données sont accessibles uniquement aux personnes habilitées au sein de votre organisation cliente (administrateurs, super-administrateur) et à l'équipe technique de Flitty soumise au secret. Nous faisons appel à des sous-traitants techniques :
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| Railway, Inc. | Hébergement de l'API et de la base de données | UE (région à confirmer) | DPA, clauses contractuelles types le cas échéant |
| Vercel Inc. | Hébergement du site marketing flitty.app et Web Analytics (trafic anonymisé) | UE / États-Unis | DPA, clauses contractuelles types |
| Expo (650 Industries) | Service de notifications push, mises à jour de l'application | États-Unis | Clauses contractuelles types (UE-US DPF) |
| Apple Inc. / Google LLC | Distribution iOS/Android, transport APNs/FCM | États-Unis | Clauses contractuelles types |
| Fournisseur SMTP (Brevo / Resend / Gmail selon configuration) | Envoi d'e-mails transactionnels | UE / États-Unis | DPA et clauses contractuelles types |
Aucune donnée n'est cédée ni vendue à des tiers à des fins publicitaires.
6. Transferts hors UE
Certains sous-traitants (Expo, Apple, Google, certains fournisseurs SMTP) peuvent être amenés à traiter des données depuis les États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le cadre EU-US Data Privacy Framework.
7. Sécurité
- Chiffrement en transit (HTTPS / TLS 1.2+) systématique.
- Mots de passe stockés hachés avec bcrypt (cost 12).
- Jetons d'accès JWT à durée courte, jetons de rafraîchissement à rotation.
- Mécanisme anti-bruteforce (verrou après 5 tentatives échouées).
- Accès aux fichiers sensibles via URLs signées à durée courte (5 minutes).
- Journalisation des actions sensibles (audit log).
8. Vos droits
Conformément au RGPD, vous disposez des droits suivants :
- Accès : obtenir une copie de vos données (art. 15).
- Rectification : corriger des données inexactes (art. 16).
- Effacement : demander la suppression (art. 17), sous réserve d'obligations légales de conservation.
- Limitation du traitement (art. 18).
- Portabilité : recevoir vos données dans un format lisible (art. 20).
- Opposition à un traitement (art. 21).
- Retrait du consentement à tout moment, lorsque le traitement repose sur ce consentement.
Vous pouvez exercer ces droits depuis le menu Mon compte de l'application (export et suppression) ou par e-mail à privacy@flitty.app. Une réponse vous sera apportée dans un délai d'un mois.
Vous pouvez à tout moment introduire une réclamation auprès de l'Autorité de protection des données (APD) en Belgique (autoriteprotectiondonnees.be) ou auprès de toute autre autorité de contrôle compétente de l'UE.
9. Notifications push, caméra, photos
L'application demande votre autorisation pour vous envoyer des notifications, accéder à la caméra (capture de reçus et certificats) et à la photothèque (sélection de fichiers à téléverser). Ces autorisations peuvent être révoquées à tout moment depuis les réglages de votre appareil.
10. Mineurs
Les Services ne sont pas destinés à des mineurs de moins de 16 ans et ne collectent pas sciemment leurs données.
11. Modifications de la politique
Toute évolution importante sera notifiée dans l'application avec une nouvelle version et, si nécessaire, une nouvelle acceptation lors de votre prochaine connexion.
Privacybeleid
Laatst bijgewerkt: 4 september 2026 · Versie 1.1
Dit privacybeleid beschrijft hoe Flitty (uitgegeven door Citiroads SRL) uw persoonsgegevens verzamelt, gebruikt en beschermt wanneer u de mobiele Flitty-applicatie en gerelateerde diensten gebruikt (de "Diensten"). Het is opgesteld in overeenstemming met Verordening (EU) 2016/679 ("AVG/GDPR") en de Belgische wetgeving.
1. Verwerkingsverantwoordelijke
Citiroads SRL, gevestigd te Louis Lumièrestraat 9, 1190 Vorst, Brussel, België, ingeschreven onder KBO-nummer 0455.377.287 (btw BE0455.377.287), treedt op als verwerkingsverantwoordelijke voor de verwerkingen die verband houden met het Flitty-platform. Vragen: privacy@flitty.app.
2. Rollen: gebruiker en klantorganisatie
Flitty is een professionele (B2B) toepassing die door taxi-/VVB-bedrijven aan hun beheerders en chauffeurs ter beschikking wordt gesteld. De organisatie die u uitnodigt is verwerkingsverantwoordelijke voor de gegevens die u in de app invoert. Flitty treedt op als verwerker voor deze gegevens en als verantwoordelijke uitsluitend voor accountbeheer, beveiliging en logging.
3. Verzamelde gegevens
De app verwerkt: identificatiegegevens (naam, e-mail, telefoon, eventuele profielfoto), technische identificatoren (IP, sessie- en push-tokens), professionele gegevens (planning, verzoeken, verlof, ritten, onkosten), locatiegegevens van ritten, financiële gegevens, gezondheidsgegevens (art. 9 AVG) in het kader van ziekteverzuim (medisch attest), identiteits- en beroepsdocumenten, interne communicatie en auditlogboeken.
4. Bewaartermijnen
- Actieve account: gedurende het gebruik, daarna 3 maanden tot anonimisering.
- Planning, verzoeken, verlofsaldi: 5 jaar na einde overeenkomst.
- Fiscale en boekhoudkundige documenten: 10 jaar.
- Medische attesten: duur van afwezigheid + 1 jaar.
- Auditlog: maximaal 12 maanden.
- Refresh-tokens: 30 dagen na intrekking.
5. Verwerkers en doorgiften
Wij doen beroep op Railway (API-hosting), Vercel (marketingwebsite flitty.app en geanonimiseerde Web Analytics), Expo (push, OTA-updates), Apple en Google (distributie en push) en een SMTP-leverancier voor transactionele e-mails. Sommige verwerkers bevinden zich in de VS; de doorgiften zijn omkaderd door de standaardcontractbepalingen van de Europese Commissie en in voorkomend geval het EU-US Data Privacy Framework.
6. Beveiliging
HTTPS/TLS 1.2+, bcrypt-hash voor wachtwoorden, korte JWT-tokens met rotatie, bescherming tegen brute-force, ondertekende URL's met korte geldigheid voor gevoelige bestanden, auditlogboek.
7. Uw rechten
U heeft recht op inzage, rectificatie, wissing, beperking, dataportabiliteit, bezwaar en intrekking van toestemming. U kunt deze rechten uitoefenen via de sectie Mijn account in de app of via privacy@flitty.app. U heeft ook het recht een klacht in te dienen bij de Belgische Gegevensbeschermingsautoriteit (APD) of bij de bevoegde EU-autoriteit.
8. Wijzigingen
Belangrijke wijzigingen worden in de app aangekondigd met een nieuwe versie en, indien nodig, opnieuw aanvaard bij uw volgende aanmelding.
Privacy Policy
Last updated: September 4, 2026 · Version 1.1
This privacy policy explains how Flitty (operated by Citiroads SRL) collects, uses and protects your personal data when you use the Flitty mobile application and related services (the "Services"). It is drafted in accordance with Regulation (EU) 2016/679 ("GDPR") and applicable Belgian law.
1. Data controller
Citiroads SRL, registered office at Rue Louis Lumière 9, 1190 Forest, Brussels, Belgium, company number (BCE/KBO) 0455.377.287 (VAT BE0455.377.287), acts as the data controller for processing related to the Flitty platform. For any question regarding your data, contact privacy@flitty.app.
2. Roles: user and customer organization
Flitty is a professional (B2B) application provided to taxi/PHV companies that invite their administrators and drivers. The organization that invites you is the data controller for the data you enter in the app. Flitty acts as a data processor for that data and as controller only for platform-level concerns (account, security, logging).
3. Data collected
The app processes: identification data (name, email, phone, optional profile picture), technical identifiers (IP, session and push tokens), professional data (schedule, requests, leave, trips, expenses), location data attached to trips, financial data, health-related data (Art. 9 GDPR) in connection with sick-leave certificates, identity and professional documents, internal communications, and audit logs.
4. Retention periods
- Active account: while in use, then 3 months until anonymisation.
- Schedule, requests, leave balances: 5 years after end of contract.
- Tax and accounting records: 10 years.
- Medical certificates: duration of absence + 1 year.
- Audit log: 12 months maximum.
- Refresh tokens: 30 days after revocation.
5. Recipients and processors
We rely on Railway (API hosting), Vercel (marketing site flitty.app and anonymised Web Analytics), Expo (push, OTA updates), Apple and Google (distribution and push delivery), and an SMTP provider for transactional email. Some processors operate in the United States; such transfers are framed by the European Commission's Standard Contractual Clauses and, where applicable, the EU-US Data Privacy Framework.
6. Security
HTTPS/TLS 1.2+, bcrypt password hashing, short-lived rotating JWT tokens, brute-force protection, short-lived signed URLs for sensitive files, and audit logging.
7. Your rights
You have the right to access, rectify, erase, restrict, port, object and withdraw consent. Exercise them via the My Account section of the app or by emailing privacy@flitty.app. You may also lodge a complaint with the competent supervisory authority (e.g. CNIL in France, APD/GBA in Belgium).
8. Changes
Material changes will be announced in the app with a new version and, where required, re-acceptance at your next sign-in.