Politique de confidentialité (RGPD)

1. Responsable du traitement

Le responsable du traitement est la société Les Pépites du Coin (LPC), société par actions simplifiée unipersonnelle (SASU) au capital de 3 500 euros, immatriculée au RCS de Nanterre sous le numéro 109 600 098, dont le siège social est situé 96, boulevard du Maréchal-Joffre, 92340 Bourg-la-Reine, représentée par Maxime Fromentin, Président, éditrice de la plateforme « Les Pépites du Coin » (site web www.lespepitesducoin.fr, y compris sa version PWA, ci-après « la Plateforme »). Les informations légales complètes de l'éditeur figurent dans les Mentions légales, accessibles à tout moment sur la Plateforme.

Pour toute question relative à vos données personnelles : contact@lespepitesducoin.fr.

Les Pépites du Coin peut être contactée à l'adresse postale indiquée ci-dessus et à l'adresse électronique contact@lespepitesducoin.fr. Lorsque la loi l'exige ou lorsque l'identification du responsable du traitement le nécessite, les informations légales de l'éditeur, notamment sa forme sociale, son numéro d'immatriculation et, le cas échéant, son représentant légal, sont précisées dans les mentions légales de la Plateforme.

Aucun délégué à la protection des données (DPO) n'a été désigné à ce jour. Cette situation est réévaluée en cas d'évolution des traitements, notamment si les activités de la Plateforme venaient à relever d'un cas de désignation obligatoire prévu par l'article 37 du RGPD. Le contact ci-dessus centralise l'ensemble des demandes relatives aux données personnelles.

2. Données collectées

Selon votre usage de la Plateforme, les données suivantes sont collectées :

• Données de compte : adresse e-mail, mot de passe (stocké exclusivement sous forme hachée), nom et numéro de téléphone (facultatifs), préférences de notification et historique des consentements (version des CGU et de la présente politique acceptée, horodatage).
• Données de contribution : montants des contributions et pourboires, historique des transactions, nom d'affichage, message personnel et adresse e-mail du contributeur (une contribution peut être faite sans compte ; le contributeur peut choisir de rester anonyme vis-à-vis des autres utilisateurs).
• Données de paiement : les données de carte bancaire sont intégralement traitées par le prestataire de paiement (voir section 4) ; la Plateforme n'en stocke jamais et ne conserve que des références techniques de transaction.
• Données des commerçants partenaires : enseigne, adresse de l'établissement, coordonnées professionnelles, numéro SIRET, catégorie d'activité et coordonnées bancaires (IBAN) communiquées dans le cadre du contrat commerçant pour le versement des reversements.
• Données relatives aux relations entre personnes : liens entre l'Organisateur d'une Cagnotte, ses Contributeurs et le Bénéficiaire de la Carte.
• Données de vérification : pièce d'identité et justificatifs demandés dans les cas prévus aux CGU/CGS (vérifications de prévention de la fraude, perte ou vol du code, décès du Bénéficiaire).
• Données techniques et de sécurité : journaux de connexion, adresse IP et identifiant de navigateur (conservés notamment dans le journal d'audit des demandes RGPD et pour la protection des comptes), cookies strictement nécessaires (voir Politique cookies).

La Plateforme ne collecte pas la géolocalisation des utilisateurs sans leur consentement. Si l'utilisateur active les alertes de proximité, sa position est utilisée, sur la base de son consentement retirable à tout moment, uniquement pour lui signaler les commerçants partenaires proches ; elle n'est pas conservée au-delà de ce qui est nécessaire à cette fonctionnalité. Les adresses des établissements des commerçants partenaires sont géolocalisées pour l'affichage de l'annuaire et de la carte.

Lorsque certaines données sont nécessaires à la création d'un compte, à l'achat ou à l'utilisation d'une carte cadeau, ou à l'exécution du contrat commerçant, leur absence peut empêcher la fourniture du service concerné. Les champs facultatifs sont signalés comme tels lorsqu'ils sont collectés.

3. Finalités et bases légales

Les données sont traitées pour les finalités suivantes :

• Fourniture du service (création et gestion des cartes cadeaux, contributions, dépense chez les commerçants partenaires, reversements, frais d'inactivité prévus aux CGU) — exécution du contrat ;
• Gestion des comptes et service client (dont e-mails transactionnels : vérification d'adresse, réinitialisation de mot de passe, confirmations) — exécution du contrat ;
• E-mails de rappel et notifications liés à l'activité de vos cartes — intérêt légitime de la Plateforme à permettre le bon suivi des cartes cadeaux et à éviter l'oubli d'informations utiles, sous réserve de votre droit d'opposition et de la possibilité de les désactiver à tout moment depuis le compte ;
• Prévention de la fraude et sécurité de la Plateforme (verrouillage de compte, limitation du nombre de requêtes, journalisation) — intérêt légitime de la Plateforme à protéger ses services, ses utilisateurs et ses commerçants partenaires, sans préjudice des traitements nécessaires au respect d'obligations légales spécifiques ;
• Respect des obligations comptables et de lutte contre la fraude — obligation légale ;
• Communication marketing — consentement, recueilli séparément lorsqu'il est requis, notamment à l'inscription, et retirable à tout moment depuis le compte ou via les liens de désinscription figurant dans les messages concernés.

La Plateforme n'utilise actuellement aucun traceur publicitaire ni outil de mesure d'audience tiers. Si de tels outils étaient déployés, ils feraient l'objet d'un recueil de consentement préalable conformément à la Politique cookies.

4. Destinataires, prestataires et sous-traitants

Vos données sont accessibles aux seuls personnels habilités de l'éditeur, ainsi qu'aux organismes ci-dessous, chacun n'ayant accès qu'aux données nécessaires à sa mission. Selon les opérations concernées, ces organismes interviennent soit comme sous-traitants agissant pour le compte et sur instruction de l'éditeur, soit comme destinataires, soit comme responsables de traitement pour les traitements qu'ils réalisent sous leur propre responsabilité.

Sous-traitants (article 28 du RGPD — ils agissent exclusivement pour le compte de l'éditeur, dans le cadre d'un contrat comportant les garanties requises) :

• Scaleway SAS (France) : hébergement des serveurs applicatifs, de la base de données et des images, au sein de l'Union européenne ;
• Resend Inc. (États-Unis) : envoi des e-mails transactionnels (vérification d'adresse, réinitialisation de mot de passe, confirmations, rappels).

Prestataire de paiement : Stripe Payments Europe Ltd (Irlande) assure l'encaissement des contributions et le traitement des données de carte bancaire. Pour certaines opérations, notamment le respect de ses propres obligations réglementaires (sécurité des paiements, lutte contre la fraude et le blanchiment), Stripe est susceptible d'agir en qualité de responsable de traitement, conformément à sa propre politique de confidentialité, accessible sur son site. Les fonds collectés sont versés sur un compte dédié de l'éditeur, distinct de ses comptes d'exploitation (Article 6.3 des CGU/CGS), à partir duquel l'éditeur effectue lui-même les virements dus aux commerçants partenaires selon les modalités prévues au contrat commerçant.

Destinataires : les commerçants partenaires reçoivent les seules données strictement nécessaires à la validation des paiements (identité du porteur de la carte et montant). Pour les opérations qu'ils réalisent ensuite pour leur propre compte (encaissement, comptabilité, obligations fiscales), ils agissent en qualité de responsables de traitement indépendants. L'Organisateur et les Contributeurs d'une Cagnotte peuvent être informés de l'activation de la Carte ou de l'épuisement de son solde, à l'exclusion du détail des achats du Bénéficiaire, sauf consentement exprès de celui-ci (Article 21 des CGU/CGS).

Autres prestataires : le service Google Places (Google Ireland Ltd) est utilisé uniquement lors du référencement des commerçants, pour la vérification et la géolocalisation de l'adresse de leur établissement ; il ne traite pas de données des utilisateurs de la Plateforme.

Enfin, les données peuvent être communiquées aux autorités administratives ou judiciaires lorsque la loi l'exige. Les données ne sont jamais vendues ni louées à des tiers.

5. Transferts hors Union européenne

Les données sont hébergées au sein de l'Union européenne (France). Seul le prestataire d'envoi d'e-mails transactionnels (Resend Inc., États-Unis) et, le cas échéant, le prestataire de paiement peuvent traiter certaines données depuis les États-Unis. Ces transferts sont encadrés par des garanties appropriées, notamment la décision d'adéquation relative au cadre de protection des données UE–États-Unis lorsque le prestataire concerné y est certifié, ou par les clauses contractuelles types de la Commission européenne assorties, le cas échéant, de mesures complémentaires.

6. Durées de conservation

• Compte : pendant toute la durée de la relation, puis suppression ou anonymisation à la clôture du compte, que celle-ci intervienne à votre demande depuis votre espace personnel ou à l'initiative de l'éditeur dans les cas prévus aux CGU/CGS (Article 23). Les données liées à une Carte dont le solde n'est pas épuisé sont conservées tant que ce solde demeure utilisable ou réclamable (Article 14.2 des CGU/CGS). Certaines données peuvent toutefois être conservées plus longtemps lorsqu'elles sont nécessaires au respect d'une obligation légale, à la preuve d'un droit ou à la prévention de la fraude, dans la limite des durées indiquées ci-dessous ;
• Données de transaction : 10 ans à compter de la clôture de l'exercice (obligation comptable) ;
• Journaux techniques et de sécurité : 12 mois maximum ;
• Justificatifs de vérification : supprimés une fois la vérification effectuée, seule la trace de celle-ci (date et résultat) étant conservée pendant la durée de la relation ;
• Journal des demandes RGPD : 5 ans, à titre de preuve du traitement des demandes (prescription de droit commun) ;
• Données de prospection : 3 ans à compter du dernier contact ;
• Cookies : voir Politique cookies (13 mois maximum pour la plupart).

7. Vos droits

Conformément au RGPD et dans les conditions prévues par les textes applicables, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, ainsi que du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci. Vous pouvez également définir des directives relatives au sort de vos données après votre décès.

Vous pouvez exercer directement depuis votre compte : l'export de vos données, la rectification de vos informations, la gestion de vos consentements (marketing, rappels) et la suppression de votre compte. Pour toute autre demande, écrivez à contact@lespepitesducoin.fr. Une réponse vous sera apportée dans un délai d'un mois, pouvant être prolongé de deux mois en cas de demande complexe ou d'un nombre important de demandes, conformément au RGPD. Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr).

8. Sécurité

L'éditeur met en œuvre des mesures techniques et organisationnelles appropriées, notamment : chiffrement des échanges (HTTPS), hachage des mots de passe, cookies d'authentification inaccessibles aux scripts (httpOnly), verrouillage automatique des comptes en cas de tentatives de connexion répétées, limitation du nombre de requêtes, double authentification et habilitations restreintes pour les accès d'administration, journalisation des actions sensibles, et identifiants publics non prédictibles.

9. Mineurs

Conformément à l'Article 4 des CGU/CGS, le mineur non émancipé ne peut utiliser le service qu'avec l'accord préalable de son représentant légal. En outre, lorsqu'un traitement repose sur le consentement, celui d'un mineur de moins de 15 ans n'est valable que s'il est donné conjointement avec son représentant légal. L'éditeur ne collecte pas sciemment de données de mineurs sans cet accord ; tout compte concerné sera supprimé sur signalement du représentant légal, sauf obligation légale contraire ou nécessité de conserver certaines informations à titre de preuve.

10. Modifications

La Plateforme ne prend pas de décision produisant des effets juridiques à votre égard ou vous affectant de manière significative sur le seul fondement d'un traitement automatisé de vos données personnelles.

La présente politique peut être mise à jour ; la version applicable est celle publiée sur la Plateforme, datée en en-tête. En cas de modification substantielle, notamment l'ajout d'une nouvelle finalité, d'une nouvelle catégorie de destinataires ou d'un transfert hors Union européenne non précédemment prévu, les utilisateurs en seront informés par un moyen approprié et, lorsque la base légale l'exige, leur consentement sera recueilli à nouveau.