Politique de confidentialité

Dernière mise à jour : 17 août 2026 — cette version remplace la précédente (datée du 8 août 2023).

La Communauté d’Agglomération d’Épinal (« CAE » ou « Nous ») met tout en œuvre pour protéger vos données personnelles en conformité avec les réglementations européennes et françaises applicables.

La présente politique de confidentialité (« Politique de Confidentialité ») est destinée à vous informer sur les finalités et les conditions dans lesquelles nous traitons les données personnelles que nous sommes susceptibles de recueillir par le biais de nos divers canaux : nos services, notre site Internet www.booje.fr, nos réseaux sociaux (par exemple https://www.facebook.com/imaginelebus), ou encore nos éventuels évènements.

La gestion des cookies et traceurs est traitée à l’article 5 de la présente politique.

Nous vous invitons à prendre le temps de lire cette Politique de Confidentialité afin de disposer de toutes les informations utiles vous permettant de comprendre l’usage réalisé de vos données personnelles et d’exercer pleinement les droits qui vous sont garantis.

1 – Dispositions générales

Responsable de traitement

Le responsable du traitement de vos données personnelles est la Communauté d’Agglomération d’Épinal, établissement public de coopération intercommunale (EPCI) — SIREN 200068757 — 1 avenue Dutac, 88000 Épinal — représentée par son Président, Cédric HAXAIRE.

Certains traitements peuvent relever d’un autre responsable ou d’une responsabilité conjointe (voir article 2), notamment lorsque des données sont collectées et exploitées par l’exploitant du réseau dans le cadre de la délégation de service public. Le cas échéant, vous en êtes informé lors de la collecte.

Délégué à la protection des données (DPO)

La CAE a désigné un délégué à la protection des données : Cyril March — dpo@agglo-epinal.fr — 1 avenue Dutac, 88000 Épinal. Vous pouvez le contacter pour toute question relative à vos données ou pour exercer vos droits.

Documents contractuels associés

La Politique de Confidentialité doit être lue conjointement avec les Mentions légales du site et, selon le service utilisé, avec les conditions générales applicables (conditions d’utilisation du site, conditions des services Vilvolt libre-service et longue durée, conditions de vente de l’exploitant pour les titres du réseau).

Loi applicable et autorité compétente

La Politique de Confidentialité est régie par le Règlement (UE) 2016/679 (« RGPD ») et par la loi n° 78-17 du 6 janvier 1978 modifiée (« Loi Informatique et Libertés »), sous le contrôle de la CNIL (www.cnil.fr).

Liens vers des sites tiers

Notre site peut contenir des liens renvoyant vers des sites, applications ou services exploités par des tiers (partenaires, réseaux sociaux, services régionaux). La présente Politique ne s’étend pas à ces tiers, sur lesquels nous n’avons pas de contrôle. Nous vous encourageons à consulter leurs propres politiques de confidentialité.

À ce titre, la fonction de calcul d’itinéraire proposée sur le site relève du service Fluo Grand Est, mis à disposition par la Région Grand Est (développé par la société Instant System) : les données saisies dans le calculateur sont traitées sous la responsabilité de la Région.

Protection des mineurs

Pour la fourniture de certains services (notamment le transport scolaire), nous sommes susceptibles de recueillir des données personnelles de mineurs de moins de 16 ans, sous le contrôle et avec le consentement de leurs représentants légaux. Les usagers de moins de 16 ans disposent d’un droit à l’effacement de leurs données (sous réserve de nos obligations légales de conservation, article 4), exerçable directement ou par leur représentant légal, à tout moment, à l’adresse dpo@agglo-epinal.fr.

2 – Responsabilité des traitements

Traitements sous la responsabilité de la CAE. Les traitements réalisés sur booje.fr (article 4.1) et les services exploités en régie par la CAE, notamment Vilvolt (libre-service et location longue durée). Pour ces services en régie, la CAE reste responsable de traitement même lorsque la collecte a lieu dans une application ou sur un site dédié ; l’information y est alors délivrée au point de collecte (article 4.2).

Traitements relevant de l’exploitation du réseau (délégation de service public). Les titres du réseau sont commercialisés par l’exploitant, qui perçoit les recettes dans le cadre de la DSP. Un ensemble de traitements liés à l’exploitation (billettique, open paiement, vidéoprotection, procès-verbaux et amendes, transport à la demande, etc. — article 4.3) sont mis en œuvre par l’exploitant. Sa qualité — sous-traitant ou responsable, le cas échéant conjoint — dépend de la convention de délégation.

Traitement relevant de la Région Grand Est. Le calcul d’itinéraire est le SIM « Fluo » mis à disposition par la Région Grand Est (développé par Instant System) : les données saisies sont traitées sous la responsabilité de la Région.

Sous-traitants

Prestataires agissant sur instruction du responsable (contrats art. 28 RGPD) :

OVH (hébergement de booje.fr),
AEP (boutique en ligne),
Fifteen (application/libre-service Vilvolt),
locvélo (LLD Vilvolt),
VIA (application Cap’Imagine — transport adapté),
prestataire de paiement certifié PCI DSS (open paiement),
Section 4 (site).

3 – Les données personnelles que nous recueillons

Sources de collecte :

formulaires (inscription, contact)
demandes par courriel, courrier ou téléphone
navigation sur booje.fr
exercice de vos droits RGPD
pour les services connexes, les canaux propres à ces services (applications, points de vente, véhicules).

4 – Utilisation des données et durées de conservation

Les traitements sont présentés selon leur lieu de collecte et leur responsable : ce qui est collecté sur booje.fr (4.1) ; les services accessibles par redirection, dotés de leur propre politique (4.2) ; et les traitements d’exploitation du réseau (4.3).

4.1 Traitements réalisés sur booje.fr (responsable : CAE)

Navigation et sécurité du site — logs techniques (adresse IP, journaux, type de navigateur) — 6 mois à 1 an (durée glissante), selon la rotation effectivement configurée.
Formulaire de contact et demandes d’informations — identification, contenu et réponse — durée nécessaire au traitement, 1 an maximum.
Demande de rendez-vous — conseil en mobilité — identification, objet de la demande — durée nécessaire au traitement, 1 an maximum.
Inscription et préinscription au transport scolaire — identité élève et représentant légal, coordonnées, établissement, justificatifs (données de mineurs) — données d’inscription conservées le temps de l’étude et de la validation ; après validation, seules les données nécessaires à la prise en charge ; suppression/anonymisation au bout de 365 jours.
Allocation de transport scolaire — identification, RIB, justificatifs — durée nécessaire au traitement, 1 an maximum.
Signalement d’obstacles pour les personnes à mobilité réduite — identification, obstacle — 5 ans.
Exercice des droits RGPD — identification (dont pièce d’identité), demandes et réponses — 5 ans ; pièce d’identité conservée le seul temps de la vérification.
Précontentieux / contentieux, preuves — données nécessaires à la procédure — durée de la procédure.
Analyses statistiques d’utilisation — statistiques anonymisées — anonymes.

4.2 Services connexes accessibles par redirection — politiques de confidentialité propres

Depuis booje.fr, vous êtes redirigé vers des services disposant de leur propre interface de collecte et de leur propre politique de confidentialité, où figurent le détail des traitements et les durées de conservation :

Application Vilvolt (vélo en libre-service) — responsable : CAE (régie) ; solution technique : Fifteen.
locvélo (location longue durée Vilvolt) — responsable : CAE (régie).
Boutique en ligne des titres (e-boutique Imagine) — commercialisation par l’exploitant du réseau (DSP).
Calcul d’itinéraire (Fluo) — responsable : Région Grand Est (Instant System).
Application Cap’Imagine (réservation du transport adapté PMR) — application contractée par la CAE auprès de la société VIA (sous-traitant) et mise à disposition des prestataires qui exploitent le service. Responsable : CAE . Ce service traite des données relatives au handicap / à la santé (art. 9 RGPD) : l’information renforcée et la base légale de la levée d’interdiction relèvent de la politique propre au service, délivrée au point de collecte (l’application).
Demande d’aide à l’acquisition de vélo – responsable : CAE ; solution technique : démarches-simplifiées (demarches-simplifiees.fr)

4.3 Traitements des données relevant des politiques de confidentialité des services partenaires

Ces traitements sont mis en œuvre dans le cadre de l’exploitation du réseau (points de vente, véhicules, systèmes billettiques), pour la plupart hors collecte sur booje.fr. Ils relèvent, selon le cas, de la politique de confidentialité propre.

Gestion, délivrance et utilisation des titres — identification, validation, photo — relation client : durée de la relation + 3 ans ; réclamations post-paiement : 12 mois ; impayés : retirés à régularisation, sinon 2 ans max ; données de validation : 48 h max (lutte contre la fraude) puis anonymisation ; photo : durée de validité de la carte.
Achats, prestations, garanties, recouvrement, SEPA — identification, commandes/abonnements, paiement, mandat SEPA — 10 ans à compter du dernier évènement (moyens de paiement : durée de prescription, chez les prestataires de paiement).
Paiement sans contact (open paiement) — données de transaction et bancaires (Tap, PAN) — durée des prescriptions bancaires.
Gestion des réclamations — identification, commandes/abonnements, réponses — 5 ans après clôture.
Prospection commerciale et actualités — identification, vie personnelle — 3 ans (fin de relation contractuelle / dernier contact prospect).
Communications, promotions, offres partenaires — identification — jusqu’au retrait du consentement.
Alertes SMS — identification, lignes de transport — jusqu’au retrait du consentement.
Transport à la demande — identification, connexion, adresse, date/heure/lieu — suppression/anonymisation 2 ans après la dernière réservation ; historiques 30 jours glissants.
Enquêtes de satisfaction — identification, habitudes de déplacement — anonymisation après l’enquête.
Suivi des procès-verbaux et amendes — identification, localisation, infractions — jusqu’au paiement.
Détection du délit d’habitude — identification, localisation, infractions — 12 mois max.
Bulletins de régularisation, relances, réclamations sur infraction — 1 an en base active puis 2 ans en archivage.
Vidéoprotection (locaux et véhicules) — images, identification, localisation — de quelques heures à 30 jours (autorisation préfectorale) ; export : 1 mois max.
Enregistrement des appels d’urgence — sons — 1 mois max.
Jeux-concours — données de participation et de sélection — durée du jeu jusqu’à attribution des lots.
Objets trouvés — objet non réclamé sous 3 mois : remis à la Police Municipale d’Épinal.
Signalements d’incidents — identification, incident — 1 an

5 – Cookies et autres traceurs

La navigation sur le site booje.fr peut entraîner le dépôt de cookies et autres traceurs. Les cookies strictement nécessaires au fonctionnement du site sont exemptés de consentement.

Le site intègre des contenus et services tiers susceptibles de déposer des traceurs soumis à consentement :

Google reCAPTCHA (protection des formulaires contre les soumissions automatisées) ;
vidéos YouTube (service de Google) intégrées à certaines pages.

Ces traceurs ne sont déposés qu’après recueil de votre consentement, via le bandeau de gestion des cookies présenté lors de votre première visite. Vous pouvez à tout moment accepter, refuser ou modifier vos choix (refuser étant aussi simple qu’accepter) en rouvrant le module « Gérer les cookies ». Le refus n’empêche pas la navigation, mais peut limiter certaines fonctionnalités (par exemple l’affichage des vidéos).

reCAPTCHA et YouTube étant des services de Google, les données collectées via ces traceurs sont susceptibles d’impliquer un transfert hors Union européenne, encadré dans les conditions prévues à l’article 7.

Aucun contenu de Facebook ou d’Instagram n’est en revanche intégré au site. La CAE dispose de pages sur ces réseaux (par exemple https://www.facebook.com/imaginelebus), accessibles par de simples liens et régies par les politiques propres à leurs éditeurs.

6 – Bases légales des traitements

Conformément au RGPD, chaque traitement repose sur l’un des fondements suivants : exécution (pré)contractuelle, consentement, intérêt légitime ou obligation légale.

Les finalités de traitement reposant sur le fondement de l’exécution contractuelle (ou précontractuelle)

Gestion, délivrance et utilisation des titres de transport ;
Inscription et gestion des services de la CAE ;
Abonnements et locations Vilvolt ;
Gestion et historisation des achats et prestations de services, garanties, recouvrement, facturation et mandats SEPA ;
Gestion des paiements sans contact (open paiement) ;
Gestion des réclamations ;
Inscription et gestion du transport scolaire ;
Inscription et gestion du transport à la demande ;
Inscription et gestion du transport de personnes à mobilité réduite (Cap’Imagine) ;
Gestion des achats en ligne.

Les finalités de traitement reposant sur le fondement de votre consentement

Prospection commerciale et envoi d’actualités aux clients et prospects ;
Réalisation d’enquêtes de satisfaction ;
Gestion des cookies et traceurs non strictement nécessaires au fonctionnement ;
Gestion des alertes SMS ;
Gestion de vos comptes utilisateurs.

Les finalités de traitement reposant sur le fondement de l’intérêt légitime

Gestion de vos demandes d’informations / questions ;
Gestion des objets trouvés ;
Gestion du précontentieux et du contentieux, constitution de preuves ;
Enregistrement des appels d’urgence (interphones en station) ;
Réalisation d’analyses statistiques sur l’utilisation du réseau ;
Organisation des jeux-concours et attribution des lots ;
Gestion des signalements d’incidents ;
Gestion des signalements d’obstacles d’accessibilité pour les personnes à mobilité réduite ;
Mise en place d’une vidéoprotection à des fins de sécurité des biens et des personnes.

Les données collectées sur le fondement de l’obligation légale

Gestion de la fraude et du recouvrement des procès-verbaux, et détection du délit d’habitude ;
Gestion des demandes d’exercice de droits au titre du RGPD ;
Vidéoprotection à des fins de sécurité, conformément au code de la sécurité intérieure.

7 – Transmission des données (destinataires et flux)

Vos données peuvent être communiquées :

En interne

Aux services habilités de la CAE devant en connaître dans le cadre des finalités décrites : service relation usagers, ressources humaines, service sûreté et fraude et agents assermentés, personnes habilitées du service sécurité, agents, service juridique, etc.

À des prestataires et sous-traitants

À des tiers de confiance situés au sein de l’Union européenne, pour nous aider à exploiter nos services et assurer le bon fonctionnement des sites et applications de la CAE (liste des principaux sous-traitants à l’article 2). Pour la gestion des paiements par carte (open paiement), la CAE a recours à un prestataire certifié PCI DSS.

Aux exploitants de transport de la Région / du Département

Dans le cadre de l’interopérabilité de certains titres et abonnements, des données billettiques peuvent être transmises aux exploitants aux seules fins d’assurer cette interopérabilité. À la fin de la délégation de service public, vos données client sont transmises au nouvel exploitant afin d’assurer la continuité du service public. Avec votre consentement, vos données peuvent être transmises aux exploitants pour vous contacter dans le cadre d’enquêtes et/ou vous adresser de l’information régionale.

À des tiers pour motifs juridiques

En cas d’obligation légale (transmission des procès-verbaux impayés à l’Office du Ministère public, transmission des images de vidéoprotection à la Police judiciaire sur réquisition, etc.). Si vous y avez formellement consenti, certaines de vos données peuvent être transmises aux exploitants, exclusivement pour les finalités prévues.

Transferts hors Union européenne

Vos données sont traitées et hébergées principalement au sein de l’UE. Tout transfert hors UE est encadré par des garanties appropriées : soit une décision d’adéquation, soit des clauses contractuelles types validées par la Commission européenne.

En tout état de cause, nous exigeons de ces destinataires des garanties de confidentialité et de sécurité suffisantes, ainsi que la mise en œuvre des mesures physiques, organisationnelles et techniques nécessaires à la protection de vos données.

8 – Sécurité des données

La Communauté d’Agglomération d’Épinal sécurise vos données personnelles en mettant en place des mesures physiques, organisationnelles et techniques adéquates afin d’éviter tout accès, utilisation, divulgation, modification ou destruction non autorisé, conformément à la réglementation en vigueur.

Ces mesures incluent notamment :

un stockage sur des serveurs sécurisés au sein de l’Union européenne ;
une sécurisation de vos données, notamment via des procédés de pseudonymisation, le chiffrement des données transmises, et la mise en œuvre de moyens permettant de garantir la confidentialité, l’intégrité et la disponibilité de vos données ;
un accès limité à vos données sur la base du « besoin d’en connaître » ;
des mesures organisationnelles internes, dont une procédure de gestion des violations de données personnelles.

Bien que la CAE mette en œuvre toutes les mesures possibles pour protéger vos données, la sécurité des informations transmises sur nos sites ou applications ne peut être totalement garantie lorsqu’un défaut de sécurité affecte votre propre terminal ou navigateur.

9 – Vos droits

Au titre du RGPD et de la loi Informatique et Libertés, vous disposez des droits suivants :

Accès, rectification, mise à jour et effacement — vous pouvez demander à accéder à vos données, les consulter, en obtenir une copie (papier ou électronique) et en demander la correction, la mise à jour ou la suppression.
Opposition — vous pouvez, à tout moment, demander que certaines de vos données ne fassent plus l’objet d’un traitement.
Portabilité — vous pouvez demander que les données faisant l’objet d’un traitement vous soient communiquées dans un format ouvert et lisible par machine, pour votre usage personnel ou pour les transférer à un autre responsable de traitement.
Limitation — dans certains cas, vous pouvez demander que le traitement de vos données soit limité.
Directives post mortem — vous pouvez définir le sort de vos données après votre décès.
Retrait du consentement – Lorsqu’un traitement repose sur votre consentement, vous pouvez retirer ce consentement à tout moment.
Réclamation auprès d’une autorité de contrôle — sans préjudice de tout autre recours, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr/fr/plaintes) ou de l’autorité de contrôle de l’État de l’Union européenne dans lequel vous résidez ou travaillez.

Pour exercer ces droits, adressez une demande écrite, accompagnée le cas échéant d’un justificatif d’identité (lorsqu’il est nécessaire pour vérifier votre identité), au DPO (dpo@agglo-epinal.fr) ou par courrier (article 11). Nous nous efforçons de répondre dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois. Dans certains cas, il est possible que nous ne soyons pas en mesure d’accéder favorablement à votre demande afin de respecter nos obligations légales ou contractuelles.