La présente politique décrit comment OneFlash traite les données personnelles des personnes qui utilisent ses services de location de batteries portables en libre-service, quel que soit le parcours : le site https://oneflash.fr et ses sous-domaines ; l'application mobile (iOS et Android) et la WebApp https://oneflash.web.app ; les Stations et les Bornes de paiement (TPE) installées dans les établissements partenaires. Les termes commençant par une majuscule (Station, Borne de paiement, Caution, Empreinte bancaire, Espace personnel, etc.) ont le sens défini dans les Conditions générales de vente et d'utilisation (CGVU) de OneFlash.

Responsable de traitement : ONEFLASH, SAS au capital de 8 985,40 €, immatriculée au RCS de Bobigny sous le n° 853 831 246, siège social : 7 place de l'Hôtel de Ville, 93600 Aulnay-sous-Bois, n° TVA FR06853831246 (ci-après « OneFlash », « nous »).

Dernière mise à jour : 5 octobre 2026.

1. Quelles données collectons-nous ?
Nous ne collectons que les données nécessaires au parcours que vous utilisez (art. 5 RGPD). Nous ne collectons ni mot de passe, ni adresse e-mail à l'inscription, et jamais le numéro complet ni le cryptogramme de votre carte bancaire.
Location via l'Application : numéro de téléphone mobile (identifiant) ; code à usage unique (OTP) envoyé par SMS à chaque connexion ; moyen de paiement saisi dans l'interface Stripe, dont OneFlash ne reçoit que les quatre derniers chiffres et un identifiant technique ; historique des locations et note de satisfaction ; préférences de notification ; position de l'appareil, uniquement si vous l'autorisez.
Location via TPE : aucune donnée d'identification directe (ni nom, ni e-mail, ni téléphone). OneFlash reçoit uniquement l'identifiant technique de la transaction et les quatre derniers chiffres du moyen de paiement ; la carte est traitée par Stripe.
Toute location : journaux de la Station et de la Borne de paiement (Batterie portable louée, Stations de retrait et de restitution, horodatage, durée, montant de l'Empreinte bancaire, montants prélevés, incidents signalés).
Programme de fidélité d'un établissement partenaire (certains lieux, Application uniquement) : l'inscription ou la connexion au programme se fait dans l'interface de l'établissement, affichée dans l'Application. Les données saisies lors de l'inscription transitent par nos serveurs pour valider votre adhésion ; nous ne conservons que votre adresse e-mail de membre, rattachée à votre Espace personnel.
Service client (e-mail, téléphone, WhatsApp) : coordonnées utilisées pour nous contacter, contenu des échanges et pièces jointes, éléments d'identification d'une Location via TPE (date, heure, lieu, quatre derniers chiffres).
Site et Application : adresse IP, journaux techniques, modèle d'appareil et système, langue, pages ou écrans consultés, cookies et traceurs selon vos choix (§ 6).
Prospection B2B et candidatures : nom, prénom, e-mail, téléphone, société, fonction, contenu du formulaire ou de la candidature, notes commerciales.


2. À quelles fins et sur quels fondements ?
Créer et gérer votre Espace personnel, vous authentifier par code SMS : exécution du contrat.Réaliser la location (déverrouillage, décompte du temps, restitution, paiement, Empreinte bancaire, prélèvement de la Caution en cas de dépassement de la Durée maximale de location) : exécution du contrat.Délivrer les reçus, l'historique et les notifications liées à la location : exécution du contrat.Traiter vos demandes au service client, vos réclamations et, le cas échéant, la médiation : exécution du contrat ; intérêt légitime pour les demandes hors contrat.Prévenir la fraude, sécuriser les Services, conserver la preuve des opérations (articles 13 et 19 des CGVU) : intérêt légitime.Afficher les Stations à proximité : consentement (géolocalisation).Vous envoyer des notifications sur les offres des lieux où sont installées les Stations : consentement.Valider votre adhésion au programme de fidélité d'un établissement partenaire et vous reconnaître lors de vos locations suivantes, pour appliquer l'avantage réservé à ses membres (pour le compte de l'établissement) : exécution du contrat.Produire des statistiques d'usage anonymisées, dont certaines sont partagées sous forme agrégée avec les établissements partenaires : intérêt légitime.Mesurer l'audience du Site et de l'Application en configuration exemptée (CNIL) : intérêt légitime, sans consentement.Analyses non exemptées, personnalisation, publicité : consentement.Prospection commerciale B2B : intérêt légitime, opposition possible à tout moment.Traiter les candidatures : mesures précontractuelles.Respecter nos obligations comptables, fiscales et répondre aux autorités : obligation légale.Vous pouvez retirer votre consentement à tout moment (§ 7), sans effet sur les traitements réalisés avant ce retrait.


3. Destinataires

Vos données ne sont accessibles qu'aux personnes habilitées de OneFlash (équipes opérations, technique, support, commerciale et administrative), chacune pour ce qui relève de sa mission. Nous ne vendons aucune donnée personnelle.
‍
Sous-traitants, qui agissent sur nos instructions : Google Cloud (Firestore, Firebase) pour l'hébergement des bases de données et services applicatifs, données en Suisse (Zurich) ; Google (Firebase Authentication) pour l'authentification, avec l'envoi du code de connexion par SMS, données aux États-Unis ; Stripe pour le paiement dans l'Application et sur les Bornes de paiement et l'Empreinte bancaire, données en Union européenne ; Twilio pour les SMS de relance lorsqu'une Batterie portable n'est pas restituée, données aux États-Unis ; PostHog pour la mesure d'audience de la WebApp, données en Union européenne ; Segment pour la mesure d'audience de l'application mobile, données aux États-Unis ; Sentry pour le diagnostic des erreurs techniques, données en Union européenne (Allemagne) ; WhatsApp (Meta) pour le support client par messagerie, données en Union européenne ; HubSpot pour la gestion de la relation client et de la prospection B2B, données en Union européenne. Stripe agit en outre comme responsable de traitement indépendant pour ses propres obligations (lutte contre la fraude et le blanchiment). Une liste à jour de nos sous-traitants peut être obtenue à bonjour@oneflash.fr.
Établissements partenaires : les lieux où sont installées les Stations reçoivent des statistiques agrégées et anonymisées sur l'usage de leurs Stations, ainsi que les données que vous saisissez vous-même dans leur interface lorsque vous adhérez à leur programme de fidélité ou répondez à leur questionnaire de satisfaction. L'établissement, identifié sur ces écrans, est responsable du traitement de ces données. Pour vous faire bénéficier de l'avantage réservé à ses membres (par exemple la gratuité), OneFlash agit comme son sous-traitant : les données saisies lors de l'inscription transitent par nos serveurs, et nous conservons uniquement votre adresse e-mail de membre, rattachée à votre Espace personnel, pour vous reconnaître lors de vos locations suivantes. Nous ne transmettons à l'établissement aucune donnée de votre compte OneFlash (numéro de téléphone, moyen de paiement, historique de location). Aucune donnée n'est transmise aux établissements partenaires dans le cadre d'une Location via TPE.Autorités : nous pouvons communiquer des données lorsque la loi l'exige ou pour défendre nos droits (autorités administratives ou judiciaires).


4. Hébergement et transferts hors Union européenne

Nos bases de données (Google Cloud Firestore) et nos serveurs applicatifs sont hébergés par Google Cloud à Zurich (Suisse). La Suisse n'est pas membre de l'Union européenne, mais elle bénéficie d'une décision d'adéquation de la Commission européenne (décision 2000/518/CE) : son droit est reconnu comme assurant un niveau de protection équivalent à celui du RGPD, et vos données peuvent y être hébergées sans garantie supplémentaire (article 45 du RGPD).Deux prestataires traitent votre numéro de téléphone aux États-Unis : le service d'authentification de Google, qui envoie le code de connexion par SMS, et Twilio, pour les SMS de relance en cas de Batterie portable non restituée. Segment, qui mesure l'audience de l'application mobile, traite également ses données aux États-Unis. Par ailleurs, Google, Stripe, Meta, PostHog, Sentry et HubSpot appartiennent à des groupes établis aux États-Unis, ce qui peut entraîner des accès depuis ce pays. Ces transferts sont encadrés par le Data Privacy Framework UE-États-Unis pour les entités certifiées, à défaut les clauses contractuelles types de la Commission européenne (décision 2021/914), complétées si nécessaire de mesures supplémentaires, ou une décision d'adéquation de la Commission européenne. Une copie des garanties applicables peut être obtenue à bonjour@oneflash.fr.


5. Durées de conservation

Espace personnel (numéro de téléphone, préférences) : durée du compte, puis 3 ans après sa fermeture. Le compte est fermé automatiquement après 365 jours consécutifs sans utilisation.Données de transaction et de location, note de satisfaction (Application et TPE) : 13 mois à compter de la date de débit (15 mois pour les cartes à débit différé), pour la gestion des réclamations et la lutte contre la fraude.Pièces comptables et données de transaction qu'elles contiennent : 10 ans en archivage (article L.123-22 du Code de commerce).Adresse e-mail de membre d'un programme de fidélité partenaire : durée du compte, et au plus tard jusqu'à la fin de notre contrat avec l'établissement.Échanges avec le service client : 3 ans après la clôture de la demande.Prospects B2B : 3 ans après le dernier contact.Candidatures : 2 ans après le dernier contact.Journaux techniques : 12 mois.Cookies et traceurs : 13 mois maximum ; votre choix (acceptation ou refus) est conservé 6 mois.À l'issue de ces durées, les données sont supprimées ou anonymisées. Les statistiques anonymisées ne permettent plus de vous identifier et peuvent être conservées sans limite.


6. Cookies et traceurs

Sur le Site, un bandeau de gestion du consentement vous permet d'accepter ou de refuser les traceurs non essentiels. Dans l'Application, les traceurs non essentiels ne sont activés qu'avec votre accord, y compris l'identifiant publicitaire de votre appareil (IDFA sur iOS, GAID sur Android).Essentiels : fonctionnement, sécurité, langue, session. Sans consentement.Mesure d'audience exemptée : statistiques de fréquentation dans une configuration conforme aux recommandations de la CNIL. Sans consentement.Mesure d'audience non exemptée et performance : analyses et tests d'amélioration. Avec consentement.

Publicité : personnalisation et reciblage. Avec consentement.Vous pouvez modifier vos choix à tout moment via le lien « Paramétrer mes cookies » du Site ou dans les réglages de votre appareil. Le refus des traceurs non essentiels n'empêche ni l'accès au Site ni la location.


7. Vos droits

Conformément aux articles 15 à 22 du RGPD et à la loi n° 78-17 du 6 janvier 1978 modifiée, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, du droit de retirer votre consentement à tout moment et du droit de définir des directives sur le sort de vos données après votre décès.Comment les exercer : par e-mail à bonjour@oneflash.fr, ou par courrier à OneFlash, Données personnelles, 7 place de l'Hôtel de Ville, 93600 Aulnay-sous-Bois. Vous pouvez aussi fermer votre compte à tout moment depuis votre Espace personnel.Justifier de votre identité : pour une Location via l'Application, le numéro de téléphone associé à votre compte ; pour une Location via TPE, les éléments de la transaction (date, heure, lieu, quatre derniers chiffres du moyen de paiement et, le cas échéant, justificatif bancaire), puisque nous ne détenons aucune autre donnée vous concernant.Nous répondons dans un délai d'un mois, prorogeable de deux mois pour une demande complexe ; dans ce cas, nous vous en informons avec les raisons dans le premier mois.Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).


8. Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées aux risques : chiffrement des échanges (TLS) entre l'Application, le Site et nos serveurs ; authentification sans mot de passe, par code à usage unique envoyé par SMS ; aucune donnée complète de carte bancaire détenue par OneFlash, les paiements étant traités par Stripe, certifié PCI-DSS ; accès aux données limité aux personnes habilitées ; hébergement chez un prestataire cloud en Suisse, pays reconnu adéquat par la Commission européenne.Aucun système n'étant infaillible, nous ne pouvons garantir une sécurité absolue. En cas de violation de données présentant un risque élevé pour vos droits, nous vous en informerons conformément à l'article 34 du RGPD.


9. Mineurs

Les Services sont réservés aux personnes âgées de 16 ans ou plus. Le mineur de 16 ou 17 ans déclare utiliser les Services avec l'autorisation de son représentant légal. Si vous constatez qu'une personne de moins de 16 ans nous a transmis des données, écrivez-nous à bonjour@oneflash.fr pour que nous les supprimions.


10. Décisions automatisées

Le prélèvement de la Caution lorsque la Batterie portable n'est pas restituée avant la fin de la Durée maximale de location est déclenché automatiquement, à partir des journaux des Stations. Ce traitement est nécessaire à l'exécution du contrat (article 22.2.a du RGPD). Vous pouvez le contester auprès du service client et obtenir l'examen de votre situation par une personne de OneFlash.La personnalisation publicitaire ne repose sur un profilage qu'avec votre consentement (§ 6). Aucune autre décision produisant des effets juridiques ou vous affectant de manière significative n'est prise de façon entièrement automatisée.


11. Données obligatoires et facultatives

Pour une Location via l'Application, le numéro de téléphone et un moyen de paiement sont obligatoires : sans eux, le compte ne peut pas être créé ni la location réalisée.Pour une Location via TPE, seul un moyen de paiement est nécessaire.La géolocalisation, les notifications promotionnelles et l'inscription au programme de fidélité d'un établissement partenaire sont facultatives : les refuser n'empêche pas la location.
‍

12. Modifications de la politique

Nous pouvons modifier la présente politique pour refléter des évolutions légales, techniques ou de nos Services. La date de dernière mise à jour figure en tête du document. En cas de changement substantiel, nous vous en informons par un moyen approprié (notification dans l'Application, bannière sur le Site).


13. Contact

OneFlash n'a pas désigné de délégué à la protection des données. Pour toute question relative à vos données, écrivez à bonjour@oneflash.fr ou à l'adresse postale indiquée au § 7.