Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données est Petit d'Auvergne, dont les coordonnées figurent sur la page Mentions légales.

Une personne dédiée répond à toutes vos questions sur vos données et traite vos demandes (section 5) : rgpd@petitdauvergne.fr.

À toutes fins utiles : la désignation d'un délégué à la protection des données (DPO) n'est obligatoire que pour certains organismes limitativement énumérés — autorités publiques, suivi systématique à grande échelle, traitement à grande échelle de données sensibles (Art. 37 à 39 RGPD). Notre activité n'entre dans aucun de ces cas ; l'adresse ci-dessus reste votre interlocuteur pour tout.

2. Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement de la marketplace :

• Compte utilisateur : email, prénom, mot de passe (haché). Le prénom est celui qui s'affiche sur le site et par lequel nous nous adressons à vous — libre à vous d'en choisir un autre que votre prénom d'état civil, rien ne le vérifie. Le nom n'est demandé qu'aux comptes professionnels (candidature partenaire-vendeur), où il engage juridiquement.
• Commandes : adresses de livraison/facturation, historique d'achat.
• Liste d'attente d'ouverture : email et prénom, les deux obligatoires — rien d'autre, et aucun compte n'est créé. Le prénom ne sert qu'à personnaliser l'annonce et, comme partout ailleurs sur le site, rien ne vérifie qu'il s'agit de votre prénom d'état civil. Ces données servent uniquement à vous prévenir de l'ouverture de la boutique. Vous pouvez demander votre retrait à tout moment (section 5), et la liste est de toute façon supprimée après l'annonce (section 4).
• Partenaires-vendeurs : informations légales de l'entreprise (SIRET, raison sociale). La vérification d'identité (KYC) imposée par la réglementation financière est réalisée par Stripe, qui collecte et conserve les pièces justificatives sur ses propres serveurs : nous ne les recevons ni ne les stockons, nous n'en connaissons que le résultat (vérifié / en attente / refusé).
• Logs applicatifs : événements techniques avec adresse IP pseudonymisée par un hachage à clé secrète, jamais l'IP en clair. Le haché reste stable pour une même adresse, ce qui nous permet de bloquer une origine abusive sans jamais conserver l'adresse elle-même. Pour les statistiques de visite (section 4), la clé change chaque jour : d'un jour à l'autre, plus aucun rapprochement n'est possible.
• Logs d'identification LCEN : par exception à la ligne précédente, la loi nous impose de conserver l'adresse IP en clair pour les actions de création de contenu (inscription, connexion, message, avis, demande partenaire/B2B). Cette trace (IP brute + user-agent + identifiant de compte) est conservée 365 jours dans une table dédiée, à accès administrateur restreint, et n'est communiquée que sur réquisition judiciaire (Art. 6-II LCEN, décret n° 2021-1362).
• Preuve d'acceptation d'une attestation de certification (vendeurs uniquement) : lorsqu'un partenaire-vendeur atteste sur l'honneur qu'un produit respecte une norme, nous horodatons son acceptation et conservons son adresse IP en clair comme élément de preuve. Cette trace est conservée aussi longtemps que l'attestation elle-même reste opposable ; elle n'est pas soumise à la purge automatique de 365 jours du journal LCEN.

3. Bases légales

• Exécution du contrat (Art. 6.1.b RGPD) : compte, commandes, messagerie.
• Obligation légale (Art. 6.1.c) : factures (10 ans), identité légale des partenaires-vendeurs — SIRET, raison sociale, nom du représentant légal, et données de la déclaration fiscale annuelle DAC7 — (10 ans après la fin de la relation), logs d'identification LCEN (1 an, Art. 6-II + décret n° 2021-1362).
• Consentement (Art. 6.1.a) : inscription à la liste d'attente d'ouverture. Vous le donnez en validant le formulaire, et vous pouvez le retirer à tout moment — le retrait vaut suppression immédiate de votre adresse.
• Intérêt légitime (Art. 6.1.f) : sécurité, prévention de la fraude, logs pseudonymisés.
• Prévention du contournement de la plateforme (Art. 6.1.f) : afin de garantir la sécurité des transactions et de prévenir les paiements hors-site, nous analysons automatiquement le contenu des messages de la messagerie interne et des emails envoyés depuis nos adresses-relais, à la recherche d'indices (coordonnées bancaires, invitations à régler en dehors du site). Cette analyse ne donne lieu à aucune décision automatisée (Art. 22) : aucun message n'est bloqué et vous n'êtes pas notifié. Les contenus présentant un indice sont conservés 90 jours maximum, à accès strictement réservé à notre équipe pour revue manuelle, puis supprimés. Par exception, lorsqu'un signalement porte sur un indice grave (coordonnées bancaires) et qu'il a été effectivement examiné par notre équipe, il est conservé 12 mois à compter de sa création : le message constaté constitue alors l'unique élément de preuve d'un manquement, notamment en cas de litige de paiement ultérieur. Les signalements classés sans suite sont supprimés à 90 jours. Vous pouvez exercer votre droit d'opposition (Art. 21), sauf motif légitime impérieux tenant à la prévention de la fraude.

4. Durée de conservation

• Compte actif : durée de la relation contractuelle.
• Compte inactif : suppression après 3 ans sans connexion.
• Factures : 10 ans (obligation comptable, données anonymisées).
• Identité légale des partenaires-vendeurs : à la suppression du compte, la nationalité du représentant légal est effacée immédiatement. Sont en revanche conservés dix ans, ce délai courant à compter de l'année suivant la dernière année déclarée à l'administration fiscale (CGI, art. 1649 ter D et annexe III, art. 344 G quindecies) : les données d'identification de l'entreprise (SIRET, raison sociale, adresse du siège) et le nom du représentant légal — informations publiques au registre national des entreprises, que nous devons pouvoir produire si un produit vendu sur la plateforme cause un dommage (directive UE 2024/2853) ; ainsi que les données exigées par notre obligation déclarative fiscale annuelle (dispositif DAC7 : date de naissance, adresse, numéro d'identification fiscale, lieu de naissance), que le droit à l'effacement ne peut pas écarter tant que cette obligation court. Ces données sont ensuite supprimées automatiquement. Les pièces d'identité de la vérification KYC sont collectées et conservées par Stripe, pas par nous : nous n'en gardons que le statut de vérification.
• Liste d'attente d'ouverture : supprimée intégralement 14 jours après l'envoi de l'annonce d'ouverture, et dans tous les cas au plus tard 365 jours après votre inscription — y compris si l'ouverture est repoussée ou n'a pas lieu. Purge automatique.
• Logs applicatifs : 14 jours (IP pseudonymisée).
• Logs erreurs : 90 jours (IP pseudonymisée).
• Logs d'identification LCEN : 365 jours (IP en clair, base PG dédiée, accès admin restreint, transmis uniquement sur réquisition judiciaire). Purge automatique au-delà.
• Statistiques de visite : 90 jours (identifiant de visite pseudonyme renouvelé chaque jour, jamais d'IP en clair).
• Adresses email en attente de validation (changement d'adresse, confirmation d'inscription) : 90 jours, purge automatique.
• Trace d'envoi des emails (expéditeur, destinataire, objet, identifiant technique — jamais le contenu du message) : 365 jours, purge automatique. Elle sert à prouver qu'un email a bien été envoyé et à détecter les tentatives de contournement.
• Notifications reçues dans votre espace : 90 jours (180 jours pour les notifications critiques), et au maximum les 200 plus récentes par compte.
• Archives d'export de vos données (Art. 20, voir section 5) : le lien de téléchargement est valable 7 jours ; l'archive est supprimée du stockage au plus tard 30 jours après sa génération.
• Coordonnées libres liées aux cartes cadeaux (nom et email du destinataire, message personnalisé) : effacées 12 mois après que la carte a été entièrement utilisée, remboursée ou expirée. Le montant et le statut sont conservés au titre de la comptabilité.
• Contenus signalés (prévention du contournement) : 90 jours, puis suppression automatique — 12 mois pour les seuls signalements graves (coordonnées bancaires) ayant fait l'objet d'un examen par notre équipe, au titre de leur valeur de preuve. Anonymisation immédiate en cas de suppression de votre compte, qui met aussi fin à cette conservation étendue.

Ces durées sont celles appliquées automatiquement par nos traitements de purge. Certaines données peuvent être conservées au-delà lorsqu'une obligation légale ou un contentieux en cours l'impose.

5. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès (Art. 15) : consulter vos données depuis votre compte.
• Rectification (Art. 16) : modifier vos informations personnelles.
• Effacement / droit à l'oubli (Art. 17) : supprimer votre compte depuis la page de suppression de compte.
• Portabilité (Art. 20) : depuis la rubrique « Zone sensible » de vos informations de compte, vous déclenchez vous-même l'export. Nous générons une archive au format JSON et vous envoyons par email un lien de téléchargement valable 7 jours ; l'archive est ensuite supprimée (voir section 4).
• Limitation (Art. 18) : demander le gel d'un traitement, par exemple le temps que nous vérifiions l'exactitude d'une donnée contestée.
• Opposition (Art. 21) : vous opposer à un traitement fondé sur notre intérêt légitime.
• Retrait du consentement (Art. 7.3) : lorsqu'un traitement repose sur votre consentement (notifications push, emails d'information), vous pouvez le retirer à tout moment, sans que cela remette en cause la licéité de ce qui a été fait avant.
• Directives post-mortem (Art. 85 de la loi Informatique et Libertés) : vous pouvez nous indiquer des directives sur le sort de vos données après votre décès, et désigner la personne chargée de les exécuter. Ces directives peuvent être modifiées ou révoquées à tout moment.
• Réclamation CNIL : cnil.fr/plaintes.

Pour exercer ces droits, écrivez à rgpd@petitdauvergne.fr.

6. Sous-traitants et autres destinataires

Pour fournir le service, nous faisons appel aux tiers ci-dessous. Pour chacun, nous indiquons la finalité, les catégories de données concernées et la localisation réelle des serveurs — et non le seul pays du siège social, qui ne dit rien de l'endroit où les données sont effectivement traitées.

Ces tiers ne relèvent pas tous du même régime :

• Les sous-traitants (hébergement, stockage, paiement, livraison, email, SMS) traitent des données pour notre compte et sur nos instructions : ils sont liés par un contrat de sous-traitance au sens de l'Art. 28 RGPD.
• Les autres destinataires — API publiques de l'administration, services de notification des navigateurs, réseaux de diffusion et ressources chargées directement par votre navigateur (fond de carte) — sont des responsables de traitement distincts, dont nous ne maîtrisons pas les conditions d'utilisation. Nous les listons ici parce qu'ils reçoivent des données, pas parce qu'ils travaillent pour nous.

Les transferts hors Union européenne reposent, selon le destinataire, sur les clauses contractuelles types de la Commission (décision 2021/914), sur la décision d'adéquation « EU-US Data Privacy Framework » du 10 juillet 2023 (Google, Meta) ou sur la décision d'adéquation Suisse. Les entreprises soumises au droit américain restent exposées aux lois d'accès des autorités des États-Unis (CLOUD Act, FISA 702), quel que soit le mécanisme retenu.

Hébergement et stockage

• Scalingo (SAS française, Strasbourg) : hébergement de l'application et des bases de données (PostgreSQL, Redis, moteur de recherche) — c'est-à-dire l'ensemble des données de compte, de commande, de messagerie et de catalogue. Serveurs situés en France (Île-de-France : Pantin et Magny-les-Hameaux), sur l'infrastructure de 3DS Outscale (groupe Dassault Systèmes). Les pages de notre site sont servies directement par ces serveurs : aucun réseau de diffusion ni pare-feu applicatif américain ne s'intercale entre votre navigateur et nos pages (les images du catalogue, elles, sont diffusées par le réseau français de Scaleway décrit ci-dessous).
• Scaleway (SAS française, groupe Iliad) : stockage des fichiers (photos du catalogue, pièces jointes de la messagerie, justificatifs vendeurs, exports de données personnelles) et diffusion des images par son réseau Edge Services. Serveurs en Île-de-France, dans des centres de données exploités par OPCORE. Nos statistiques de visite sont auto-hébergées : elles sont calculées et stockées dans notre moteur de recherche (Scalingo/Outscale, France), et seules leurs archives froides sont déposées chez Scaleway. Aucun outil d'analyse tiers.

Paiement, livraison, communication

• Stripe (contrat avec Stripe Payments Europe Ltd, Irlande ; groupe américain) : encaissement des commandes, abonnements, et vérification d'identité des partenaires-vendeurs (KYC). Données : identité, coordonnées, données de paiement, pièces justificatives vendeurs. Serveurs principalement aux États-Unis (Amazon Web Services) : transfert hors UE encadré par les clauses contractuelles types, avec exposition aux lois d'accès américaines (CLOUD Act, FISA 702).
• Boxtal (SAS française, groupe La Poste) : achat d'affranchissement, étiquettes d'expédition, points relais et suivi. Données : nom, adresse de livraison, téléphone, email. Infrastructure Amazon Web Services (interface applicative en Irlande, diffusion via un réseau américain) — exposition indirecte au CLOUD Act.
• Sweego (MINDBAZ) (SAS française, Lille) : envoi et réception des emails du site (confirmation de commande, réinitialisation de mot de passe, messages reçus à notre adresse de contact). Données : email, nom, contenu du message. Serveurs en France, chez OVHcloud (Gravelines, Roubaix) et Scaleway.
• Infomaniak Network SA (société suisse, Genève) : hébergement de nos boîtes de réception (contact@, rgpd@ et les autres adresses de l'équipe). Les emails que vous nous envoyez y sont stockés. Données : votre adresse email, votre nom et le contenu de votre message. Serveurs en Suisse, pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat — hors portée du CLOUD Act américain.
• IGN (Institut national de l'information géographique et forestière) — opérateur public français, service Géoplateforme — : fond de carte du sélecteur de point relais, au moment du paiement. Le chargement des tuiles transmet à ce service votre adresse IP et la zone géographique affichée. Aucune donnée de compte ni de commande. Serveurs en France. Ce fond de carte n'est disponible que pour une adresse en France ; en dehors, seule la liste des points relais s'affiche, sans appel à un service cartographique.

Connexion via un compte externe (à votre initiative)

• Google et Meta (Facebook) (États-Unis) : leurs scripts de connexion ne sont chargés qu'au clic sur « Se connecter avec Google » ou « Se connecter avec Facebook ». Tant que vous ne cliquez pas, aucune donnée ne leur est transmise — pas même votre adresse IP — y compris si vous ouvrez la fenêtre de connexion pour vous identifier par email. Si vous cliquez, nous recevons votre email, votre nom et l'identifiant du compte, et le fournisseur sait de son côté que vous utilisez Petit d'Auvergne.

Vidéos intégrées (à votre initiative)

• YouTube (Google LLC) et Vimeo, Inc. (États-Unis) : certaines vidéos éditoriales sont hébergées chez eux. Le lecteur n'est chargé qu'après un clic de votre part sur la vignette : avant ce clic, aucune donnée ne leur est transmise, pas même votre adresse IP. Si vous lancez la lecture, ils reçoivent votre adresse IP, des informations sur votre navigateur et déposent leurs propres cookies, sous leur seule responsabilité. Transfert vers les États-Unis encadré par la décision d'adéquation « EU-US Data Privacy Framework » (Google) ou par les clauses contractuelles types (Vimeo). Nous utilisons le domaine youtube-nocookie.com, qui réduit le dépôt de cookies sans le supprimer.

Vérifications légales des partenaires-vendeurs

• recherche-entreprises.api.gouv.fr (DINUM, France ; serveurs OVHcloud à Gravelines) : contrôle du SIRET d'une candidature. Seul le SIRET est transmis.
• opendata.agencebio.org (Agence BIO, France) : contrôle de la certification biologique déclarée par un partenaire-vendeur. Seul le SIRET est transmis. Cette API est diffusée par Cloudflare, Inc. (États-Unis), qui voit donc les SIRET interrogés.
• data.ademe.fr (ADEME, France ; plateforme Koumoul hébergée chez OVHcloud) : contrôle des identifiants uniques REP (obligation loi AGEC). Seul l'identifiant déclaré est transmis.
• api-adresse.data.gouv.fr — Base Adresse Nationale (DINUM / Etalab, France) : suggestion d'adresses pendant la saisie d'une adresse de livraison, de facturation ou d'un dossier partenaire. Seul le texte que vous tapez dans le champ adresse est transmis. L'appel est effectué par notre serveur, pas par votre navigateur : votre adresse IP n'est pas transmise à ce service.

Notifications sur votre appareil

• Google (Firebase Cloud Messaging), Apple, Mozilla et Microsoft, selon le navigateur que vous utilisez : acheminement des notifications que vous avez explicitement acceptées. Une notification push ne peut techniquement pas être livrée autrement. Ces services reçoivent un identifiant d'appareil persistant, l'horodatage de l'envoi et le contenu chiffré de la notification. Google et Apple traitent ces données hors Union européenne. Refuser ou révoquer l'autorisation dans votre navigateur supprime entièrement ce traitement.

Outils internes de notre équipe

• GitHub (Microsoft) (États-Unis) : hébergement de notre code source. Aucune donnée personnelle d'utilisateur n'y est déposée.
• DB-IP City Lite (Eris Networks S.A.S., Perros-Guirec, France) : base de correspondance adresse IP → pays et région, embarquée sur nos serveurs. Aucune adresse IP n'est transmise à un tiers : la correspondance est calculée en mémoire puis l'IP est abandonnée. Nous n'en conservons que le code pays et, pour la France, le code de région. IP Geolocation by DB-IP — base diffusée sous licence Creative Commons Attribution 4.0.

Nous ne vendons, ne louons ni n'échangeons aucune donnée personnelle.

7. Si vos données nous ont été transmises par quelqu'un d'autre

Dans certains cas, nous traitons des données vous concernant que vous ne nous avez pas fournies vous-même. Conformément à l'article 14 du RGPD, voici lesquelles, d'où elles viennent et pourquoi :

• Salarié bénéficiaire d'une cagnotte d'entreprise — source : votre employeur ou votre comité social et économique, qui saisit votre nom et votre email pour vous attribuer une dotation. Données : nom, prénom, email professionnel, montant alloué. Finalité : vous envoyer le lien d'activation et créditer votre cagnotte. Base légale : exécution du contrat qui nous lie à votre employeur et notre intérêt légitime à honorer cette dotation.
• Destinataire d'un cadeau — source : la personne qui commande le cadeau, ou le titulaire de la liste de naissance visée. Données : nom et adresse de livraison, éventuellement email et message personnalisé pour une carte cadeau. Finalité : livrer la commande. Lorsque la commande vise une liste de naissance, votre adresse est masquée à la personne qui offre : elle ne la voit jamais.
• Personne suivant une liste de naissance ou une liste d'envies — source : le titulaire de la liste, qui vous en communique le lien ou le nom. Données : email, si vous demandez à être prévenu des ajouts.
• Partenaire invité par notre équipe — source : notre équipe, à partir d'informations publiques (registre des entreprises) ou d'un échange préalable. Données : nom, prénom, email, dénomination sociale, SIRET. Finalité : vous adresser une invitation à candidater. Vous pouvez demander la suppression immédiate de ces données.
• Photographe prestataire — source : notre équipe, qui vous inscrit à son carnet de photographes pour vous confier une prestation. Données : nom, coordonnées, informations de facturation. Finalité : organiser la prestation et son règlement.

Dans tous ces cas, vous disposez des mêmes droits qu'à la section 5 — rgpd@petitdauvergne.fr — y compris celui de nous demander de supprimer des données que vous ne nous avez jamais confiées.

8. Cookies

Petit d'Auvergne ne dépose aucun cookie de suivi : les cookies posés par nos pages sont strictement nécessaires au service (session, paiement) et exemptés de consentement. Deux exceptions, toutes deux déclenchées par un clic de votre part et jamais avant : le lecteur vidéo tiers et la connexion via un compte externe. Voir le détail sur la page Cookies.

9. Sécurité

Mots de passe hachés (argon2id), connexions HTTPS, JWT signés, pseudonymisation par hachage des adresses IP dans les logs applicatifs — à l'exception du journal d'identification imposé par la LCEN et des preuves d'acceptation d'attestation, décrits aux sections 2 et 4 —, segmentation rigoureuse des données entre les partenaires-vendeurs.

10. Mineurs et protection des enfants

Petit d'Auvergne est une marketplace dédiée aux produits pour enfants et à la famille. La création d'un compte est réservée aux personnes âgées d'au moins 15 ans — le seuil légal français du consentement autonome au traitement des données personnelles (art. 7-1 de la loi Informatique et Libertés, pris en application de l'art. 8 du RGPD). Nous ne collectons pas sciemment de données personnelles auprès de personnes de moins de 15 ans.

• Âge minimum : lors de l'inscription, l'utilisateur déclare avoir au moins 15 ans. Toute personne n'ayant pas atteint cet âge doit obtenir l'accord de son représentant légal avant toute utilisation.
• Aucun ciblage publicitaire des mineurs : notre plateforme n'utilise pas de cookies de suivi ni de publicité comportementale.
• Signalement : si vous pensez qu'un mineur a créé un compte sans autorisation parentale, écrivez-nous à rgpd@petitdauvergne.fr afin que nous puissions supprimer les données concernées.

11. Modifications

Cette politique peut évoluer. Les modifications majeures vous seront notifiées par email et seront publiées ici avec un nouveau numéro de version.