Politique de
Confidentialité

Xpeditis exploite une plateforme professionnelle de réservation de fret maritime en groupage, accessible sur www.xpeditis.com, et agit en qualité de responsable du traitement pour les données décrites ici. Toute question, demande d'accès ou exercice de vos droits : privacy@xpeditis.com. Nous répondons sous un mois.

• Identité et contact : nom, prénom, adresse email professionnelle, numéro de téléphone • Entreprise : raison sociale, SIREN et SIRET, adresse, numéro EORI • Compte : rôle, langue, date de dernière connexion, préférences de cookies • Activité commerciale : recherches de tarifs, demandes de réservation, documents de transport, montants et commissions • Échanges avec l'assistant : le contenu des questions posées et des réponses reçues • Sécurité et technique : adresse IP, navigateur utilisé, journal des connexions et des actions sensibles Nous ne traitons aucune donnée sensible au sens de l'article 9 du RGPD : ni santé, ni opinions, ni données biométriques. Le service s'adresse à des professionnels, et les informations que vous fournissez concernent votre activité.

Chaque traitement repose sur une base légale précise (article 6) : • Fournir le service — recherche de tarifs, réservations, documents, facturation : *exécution du contrat* • Gérer votre compte et l'authentification — connexion, double facteur, réinitialisation du mot de passe : *exécution du contrat* • Vérifier l'entreprise à l'inscription via son SIREN ou SIRET : *intérêt légitime à ne contracter qu'avec des professionnels identifiés* • Sécuriser la plateforme — journal des accès, détection des tentatives d'intrusion, limitation du débit : *intérêt légitime* • Conserver les pièces comptables : *obligation légale* • Vous notifier de l'avancement de vos réservations : *exécution du contrat* • Cookies non essentiels et communications commerciales : *votre consentement*, retirable à tout moment Aucune décision produisant des effets juridiques à votre égard n'est prise de manière entièrement automatisée (article 22). Les tarifs affichés et les réponses de l'assistant sont des aides à la décision : la validation reste humaine.

L'assistant intégré à la plateforme s'appuie sur les modèles d'OpenAI. • Le contenu de vos messages est transmis à OpenAI pour produire la réponse. • Ces échanges ne servent pas à entraîner de modèle : le traitement passe par l'offre professionnelle d'OpenAI, qui exclut cet usage par contrat. • L'assistant peut consulter vos propres données — vos réservations, votre organisation — dans la limite de vos droits d'accès, et chacune de ces consultations est journalisée. • Vos conversations sont conservées pour que vous puissiez les retrouver, et effacées sur simple demande. Comme pour tout service reposant sur un prestataire externe, n'y saisissez pas d'information que vous ne souhaitez pas voir quitter la plateforme.

Vos données ne sont ni vendues, ni louées, ni cédées à des fins publicitaires. Y accèdent : les membres de votre organisation selon leurs droits, les équipes d'Xpeditis spécifiquement habilitées, et le transporteur concerné lorsque vous lui adressez une demande de réservation — dans ce cas, seuls les éléments nécessaires à l'exécution du transport lui sont transmis. Elles sont par ailleurs traitées, pour notre compte et sur nos instructions, par les sous-traitants suivants :

Certains des prestataires ci-dessus traitent des données aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021, complétées par des mesures techniques : chiffrement en transit et au repos, et limitation des données transmises au strict nécessaire. Nous ne nous prévalons d'aucune certification Privacy Shield : ce mécanisme a été invalidé par la Cour de justice de l'Union européenne le 16 juillet 2020 (arrêt Schrems II, affaire C-311/18). Une copie des garanties applicables peut vous être communiquée sur demande à privacy@xpeditis.com.

• Compte et profil : durée de la relation commerciale. À sa fermeture, le compte est anonymisé. • Réservations et pièces comptables : 10 ans, conformément à l'article L123-22 du code de commerce • Journaux de sécurité : 12 mois • Notifications : 12 mois • Conversations avec l'assistant : 12 mois • Preuve du consentement aux cookies : 13 mois Au terme de ces durées, les données sont supprimées ou anonymisées. Une donnée anonymisée ne permet plus de vous identifier : elle n'est plus une donnée personnelle.

• Accès et portabilité : téléchargez l'intégralité de vos données depuis votre espace, en JSON ou en tableur, sans avoir à nous écrire • Rectification : corrigez vos informations depuis vos paramètres, ou demandez-nous de le faire • Effacement : la suppression de votre compte efface vos notifications, vos conversations, vos clés d'API et vos préférences, et anonymise votre compte ainsi que les journaux. Les pièces comptables sont conservées sans votre identité, comme la loi l'impose. • Opposition et limitation : vous pouvez vous opposer à un traitement fondé sur notre intérêt légitime, ou en demander la limitation • Retrait du consentement : à tout moment, aussi simplement qu'il a été donné, sans effet sur ce qui a été fait auparavant Nous répondons sous un mois (article 12.3). Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL.

• Chiffrement de toutes les communications par TLS • Mots de passe protégés par Argon2 : ni stockés en clair, ni lisibles par nos équipes • Jetons de session déposés en cookies httpOnly, inaccessibles au JavaScript de la page • Double authentification disponible • Journalisation des actions sensibles et des accès administrateurs • Limitation du nombre de tentatives de connexion Aucune mesure n'élimine tout risque. En cas de violation susceptible d'engendrer un risque élevé pour vos droits, vous en serez informé (article 34).