Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données est Petit d'Auvergne, dont les coordonnées figurent sur la page Mentions légales.

Une personne dédiée répond à toutes vos questions sur vos données et traite vos demandes (section 5) : rgpd@mail.petitdauvergne.fr.

À toutes fins utiles : la désignation d'un délégué à la protection des données (DPO) n'est obligatoire que pour certains organismes limitativement énumérés — autorités publiques, suivi systématique à grande échelle, traitement à grande échelle de données sensibles (Art. 37 à 39 RGPD). Notre activité n'entre dans aucun de ces cas ; l'adresse ci-dessus reste votre interlocuteur pour tout.

2. Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement de la marketplace :

• Compte utilisateur : email, prénom, mot de passe (haché). Le prénom est celui qui s'affiche sur le site et par lequel nous nous adressons à vous — libre à vous d'en choisir un autre que votre prénom d'état civil, rien ne le vérifie. Le nom n'est demandé qu'aux comptes professionnels (candidature partenaire-vendeur), où il engage juridiquement.
• Commandes : adresses de livraison/facturation, historique d'achat.
• Liste d'attente d'ouverture : email et prénom, les deux obligatoires — rien d'autre, et aucun compte n'est créé. Le prénom ne sert qu'à personnaliser l'annonce et, comme partout ailleurs sur le site, rien ne vérifie qu'il s'agit de votre prénom d'état civil. Ces données servent uniquement à vous prévenir de l'ouverture de la boutique. Vous pouvez demander votre retrait à tout moment (section 5), et la liste est de toute façon supprimée après l'annonce (section 4).
• Jeu concours d'ouverture : si — et seulement si — vous cochez la case prévue à cet effet en vous inscrivant à la liste d'attente, votre email et votre prénom servent en plus à vous faire participer au tirage au sort. Aucune donnée supplémentaire n'est collectée : c'est la même inscription, avec une finalité de plus. Cette case est facultative et n'est jamais cochée d'avance — ne pas la cocher n'empêche en rien d'être prévenu de l'ouverture. La base légale est votre consentement, que vous pouvez retirer à tout moment (section 5) ; le retirer vous sort du tirage sans vous retirer de la liste d'attente. Si vous êtes tiré au sort, nous vous écrivons à cette adresse pour vous remettre votre lot. Les conditions du jeu figurent dans son règlement.
• Partenaires-vendeurs : informations légales de l'entreprise (SIRET, raison sociale). La vérification d'identité (KYC) imposée par la réglementation financière est réalisée par Stripe, qui collecte et conserve les pièces justificatives sur ses propres serveurs : nous ne les recevons ni ne les stockons, nous n'en connaissons que le résultat (vérifié / en attente / refusé).
• Logs applicatifs : événements techniques avec adresse IP pseudonymisée par un hachage à clé secrète, jamais l'IP en clair. Le haché reste stable pour une même adresse, ce qui nous permet de bloquer une origine abusive sans jamais conserver l'adresse elle-même. Pour les statistiques de visite (section 4), la clé change chaque jour : d'un jour à l'autre, plus aucun rapprochement n'est possible.
• Logs d'identification LCEN : par exception à la ligne précédente, la loi nous impose de conserver l'adresse IP en clair pour les actions de création de contenu (inscription, connexion, message, avis, demande partenaire/B2B). Cette trace (IP brute + user-agent + identifiant de compte) est conservée 365 jours dans une table dédiée, à accès administrateur restreint, et n'est communiquée que sur réquisition judiciaire (Art. 6-II LCEN, décret n° 2021-1362).
• Preuve d'acceptation d'une attestation de certification (vendeurs uniquement) : lorsqu'un partenaire-vendeur atteste sur l'honneur qu'un produit respecte une norme, nous horodatons son acceptation et conservons son adresse IP en clair comme élément de preuve. Cette trace est conservée aussi longtemps que l'attestation elle-même reste opposable ; elle n'est pas soumise à la purge automatique de 365 jours du journal LCEN.
• Professionnels signalés par un partenaire-vendeur : nos partenaires-vendeurs disposent d'un espace privé, réservé aux professionnels référencés chez nous, sur lequel ils peuvent nous signaler un atelier ou un professionnel qui n'est pas encore présent sur la plateforme, afin que nous prenions contact avec lui. Nous enregistrons alors le nom de l'atelier, le métier exercé, la commune et le département, les coordonnées professionnelles transmises (adresse électronique, numéro de téléphone, adresse d'un site ou d'une page professionnelle) et le contexte indiqué par le partenaire-vendeur. Ces informations ne sont pas collectées auprès de la personne concernée : elles nous sont communiquées par un tiers. Elles ne sont visibles que de notre équipe et du partenaire-vendeur qui nous les a transmises ; elles n'apparaissent jamais sur l'annonce visible par les autres partenaires-vendeurs, ni sur aucune page publique. Nous informons la personne concernée, conformément à l'article 14 du RGPD, lors de notre première prise de contact et au plus tard dans le mois suivant l'enregistrement de ses coordonnées ; cette information mentionne l'identité de la boutique qui nous l'a signalée. Si nous ne l'avons pas contactée dans ce délai d'un mois, ses coordonnées sont automatiquement supprimées. Seules les coordonnées le sont : l'annonce publiée par le partenaire-vendeur, qui ne les a jamais contenues, reste en ligne. À défaut, elles sont conservées douze mois à compter du dernier échange. Toute personne peut s'opposer à cette prospection à tout moment, par un lien présent dans chacun de nos messages ou en nous écrivant. L'opposition est immédiate et définitive : ses coordonnées sont supprimées et nous ne conservons qu'une empreinte chiffrée, sans valeur lisible, dont l'unique fonction est d'empêcher qu'elles soient à nouveau enregistrées, même par un autre partenaire-vendeur.
• Questions posées aux participants d'une prestation : lorsque vous réservez une prestation (atelier, cours, séance), le partenaire-vendeur peut vous demander, pour chaque place, quelques informations utiles à son déroulement : un prénom, un âge, un choix pratique. Il ne peut vous demander ni votre nom de famille, ni une date de naissance, ni vos coordonnées, ni une photographie. S'il le souhaite, nous vous proposons aussi, après votre commande, un champ unique pour signaler une allergie, un régime alimentaire ou un besoin particulier. Nous le traitons comme une donnée de santé. Ce champ n'est jamais obligatoire, il n'est proposé que pour vous-même ou pour un enfant mineur sur lequel vous exercez l'autorité parentale, et il est conservé chiffré.
• Diagnostic des erreurs techniques : lorsqu'une page rencontre une erreur, votre navigateur nous transmet, avec l'erreur, ses 30 dernières actions sur le site : les pages consultées (sans leurs paramètres, les liens personnels masqués), le libellé des boutons et des liens cliqués, et les échanges avec nos serveurs (leur adresse, leur durée, leur résultat). Jamais ce que vous saisissez dans un champ, ni le contenu de vos messages ou de vos demandes. Un identifiant technique, tiré au hasard pour chaque échange, permet de rapprocher l'erreur des journaux de nos serveurs. Lorsqu'un échange échoue de notre côté, nos serveurs conservent aussi sa chronologie technique (les étapes de son traitement et leur durée), sans aucune des valeurs que vous avez transmises.
• Prévention des abus d'achat : pour chaque compte, le nombre de commandes payées, de commandes ayant fait l'objet d'une rétractation et de contestations de paiement ouvertes auprès d'une banque (information que nous recevons de notre prestataire de paiement, Stripe, et de la banque), ainsi que les constats faits sur un retour (article retourné utilisé, incomplet ou remplacé par autre chose, colis vide).

3. Bases légales

• Exécution du contrat (Art. 6.1.b RGPD) : compte, commandes, messagerie, préparation d'un envoi groupé.
• Obligation légale (Art. 6.1.c) : factures (10 ans), identité légale des partenaires-vendeurs — SIRET, raison sociale, nom du représentant légal, et données de la déclaration fiscale annuelle DAC7 — (10 ans après la fin de la relation), logs d'identification LCEN (1 an, Art. 6-II + décret n° 2021-1362).
• Consentement (Art. 6.1.a) : inscription à la liste d'attente d'ouverture. Vous le donnez en validant le formulaire, et vous pouvez le retirer à tout moment — le retrait vaut suppression immédiate de votre adresse.
• Intérêt légitime (Art. 6.1.f) : sécurité, prévention de la fraude, logs pseudonymisés, diagnostic des erreurs techniques.
• Prévention des abus d'achat (Art. 6.1.f) : afin de prévenir la fraude et le détournement du droit de rétractation, nous comptons, pour chaque compte et sur douze mois glissants, le nombre de commandes payées, de commandes ayant fait l'objet d'une rétractation et de contestations de paiement ouvertes auprès d'une banque. Lorsque ces nombres atteignent les seuils indiqués à l'article 5 bis des Conditions générales d'utilisation, le compte est signalé à notre équipe. Aucune décision n'est prise automatiquement : une personne examine le dossier et décide, le cas échéant, de suspendre les nouvelles commandes pour douze mois au plus. La décision vous est notifiée avec ses motifs et vous pouvez la contester gratuitement. Ces données ne sont transmises à aucun tiers. Le dossier d'une décision est conservé cinq ans à compter de celle-ci, en accès restreint. Vous pouvez exercer votre droit d'opposition (Art. 21), sauf motif légitime impérieux tenant à la prévention de la fraude.
• Prévention du contournement de la plateforme (Art. 6.1.f) : afin de garantir la sécurité des transactions et de prévenir les paiements hors-site, nous analysons automatiquement le contenu des messages de la messagerie interne et des emails envoyés depuis nos adresses-relais, à la recherche d'indices (coordonnées bancaires, invitations à régler en dehors du site). Cette analyse ne donne lieu à aucune décision automatisée (Art. 22) : aucun message n'est bloqué et vous n'êtes pas notifié. Les contenus présentant un indice sont conservés 90 jours maximum, à accès strictement réservé à notre équipe pour revue manuelle, puis supprimés. Par exception, lorsqu'un signalement porte sur un indice grave (coordonnées bancaires) et qu'il a été effectivement examiné par notre équipe, il est conservé 12 mois à compter de sa création : le message constaté constitue alors l'unique élément de preuve d'un manquement, notamment en cas de litige de paiement ultérieur. Les signalements classés sans suite sont supprimés à 90 jours. Vous pouvez exercer votre droit d'opposition (Art. 21), sauf motif légitime impérieux tenant à la prévention de la fraude. Cette analyse s'appuie sur le modèle décrit à la section 8.
• Prise de contact avec des professionnels signalés par nos partenaires-vendeurs (Art. 6.1.f) : développer un réseau de professionnels locaux. La mise en balance nous est favorable parce que nous n'utilisons que des coordonnées professionnelles, pour une proposition relevant directement de l'activité de la personne, et parce que le droit d'opposition s'exerce à tout moment, en un clic, avec effet immédiat et définitif.
• Consentement explicite (Art. 9.2.a et 6.1.a) : information relative à une allergie, un régime alimentaire ou un besoin particulier d'un participant à une prestation. Vous le donnez en cochant une case distincte, jamais cochée d'avance, et vous pouvez le retirer à tout moment depuis « Mes réservations » : l'information est alors supprimée immédiatement. Le retirer ne change rien à votre réservation.
• Exécution du contrat et intérêt légitime (Art. 6.1.b et 6.1.f) : réponses aux questions d'une prestation. Elles sont nécessaires à votre réservation lorsque vous y participez vous-même. Lorsque vous réservez pour une autre personne, elles relèvent de notre intérêt légitime et de celui du partenaire-vendeur à exécuter la réservation faite pour elle.

4. Durée de conservation

• Compte actif : durée de la relation contractuelle.
• Compte inactif : suppression après 3 ans sans connexion.
• Factures : 10 ans (obligation comptable, données anonymisées).
• Identité légale des partenaires-vendeurs : sont conservés dix ans, ce délai courant à compter de l'année suivant la dernière année déclarée à l'administration fiscale (CGI, art. 1649 ter D et annexe III, art. 344 G quindecies) : les données d'identification de l'entreprise (SIRET, raison sociale, adresse du siège) et le nom du représentant légal — informations publiques au registre national des entreprises, que nous devons pouvoir produire si un produit vendu sur la plateforme cause un dommage (directive UE 2024/2853) ; ainsi que les données exigées par notre obligation déclarative fiscale annuelle (dispositif DAC7 : date de naissance, adresse, numéro d'identification fiscale, lieu de naissance), que le droit à l'effacement ne peut pas écarter tant que cette obligation court. Ces données sont ensuite supprimées automatiquement. Les pièces d'identité de la vérification KYC sont collectées et conservées par Stripe, pas par nous : nous n'en gardons que le statut de vérification.
• Besoins en matières déclarés par un partenaire-vendeur : 24 mois à compter de la dernière mise à jour de la déclaration, puis suppression automatique. Finalité : recenser les besoins d'approvisionnement des partenaires-vendeurs afin d'étudier et, le cas échéant, d'organiser des achats groupés de matières et fournitures. Base légale : notre intérêt légitime (Art. 6.1.f) — vous déclarez précisément pour cela, et le traitement se fait à votre bénéfice. Ces déclarations ne sont visibles que de notre équipe : elles ne sont jamais communiquées aux autres partenaires-vendeurs sous une forme permettant de vous identifier, et le fournisseur ainsi que le prix d'achat que vous nous indiquez — tous deux facultatifs — ne sont restitués à aucun tiers, sous aucune forme, y compris agrégée. Vous pouvez en demander la suppression à tout moment, et elle est immédiate.
• Avis que vous laissez sur un article : ils restent affichés 5 ans à compter de leur dépôt. Passé ce délai — ou si vous les retirez — ils cessent d'être visibles et sont conservés 12 mois à des fins de preuve, puis supprimés définitivement. Un avis visé par un signalement encore en cours d'examen est conservé jusqu'à la clôture de celui-ci. Si vous demandez la suppression de votre compte, votre avis est retiré et son contenu effacé immédiatement. Le détail du contrôle et des délais figure dans notre rubrique « Avis clients ».
• Boutique d'un partenaire-vendeur dont l'abonnement a pris fin (résiliation ou non-renouvellement) : la boutique et son catalogue cessent d'être visibles du public dès la fin de l'abonnement, mais votre espace de travail est conservé 90 jours après cette date afin que vous puissiez reprendre votre abonnement et le retrouver en l'état. Passé ce délai sans renouvellement, nous supprimons automatiquement ce qui n'a plus d'utilité et qu'aucune obligation ne nous impose de garder : vos fiches restées en brouillon, votre journal de mouvements de stock, vos préréponses de messagerie et vos rappels de congés. Vous êtes prévenu par email 7 jours avant. Tout le reste suit les durées légales décrites dans cette section (factures 10 ans, identité légale et obligation déclarative fiscale, contrats), et vous pouvez à tout moment demander la suppression de votre compte (section 5).
• Liste d'attente d'ouverture : supprimée intégralement 14 jours après l'envoi de l'annonce d'ouverture, et dans tous les cas au plus tard 365 jours après votre inscription — y compris si l'ouverture est repoussée ou n'a pas lieu. Purge automatique.
• Participation et gains au jeu concours : votre participation disparaît avec la liste d'attente, à la ligne précédente. Une seule chose y survit : si vous avez été tiré au sort, nous conservons votre email, votre prénom et le montant de votre lot, le temps de pouvoir justifier qu'il vous a bien été attribué et remis. Le lien de réclamation, lui, cesse de fonctionner 60 jours après son envoi.
• Coordonnées d'un professionnel signalé, jamais contacté : 30 jours, puis suppression automatique.
• Coordonnées d'un professionnel signalé et contacté : 12 mois à compter du dernier échange.
• Empreinte chiffrée d'une opposition à la prospection : sans limitation de durée — elle est nécessaire pour honorer l'opposition, et c'est la seule chose que nous conservons.
• Annonce publiée sur l'espace réservé aux partenaires-vendeurs : durée choisie par son auteur (180 jours au maximum), puis suppression du contenu 12 mois après.
• Logs applicatifs : 14 jours (IP pseudonymisée).
• Chronologie technique d'un échange en erreur : 14 jours.
• Logs erreurs : 90 jours (IP pseudonymisée), y compris les dernières actions transmises avec une erreur.
• Logs d'identification LCEN : 365 jours (IP en clair, base PG dédiée, accès admin restreint, transmis uniquement sur réquisition judiciaire). Purge automatique au-delà.
• Statistiques de visite : 90 jours (identifiant de visite pseudonyme renouvelé chaque jour, jamais d'IP en clair).
• Adresses email en attente de validation (changement d'adresse, confirmation d'inscription) : 90 jours, purge automatique.
• Trace d'envoi des emails (expéditeur, destinataire, objet, identifiant technique — jamais le contenu du message) : 365 jours, purge automatique. Elle sert à prouver qu'un email a bien été envoyé et à détecter les tentatives de contournement.
• Notifications reçues dans votre espace : 90 jours (180 jours pour les notifications critiques), et au maximum les 200 plus récentes par compte.
• Archives d'export de vos données (Art. 20, voir section 5) : le lien de téléchargement est valable 7 jours ; l'archive est supprimée du stockage au plus tard 30 jours après sa génération.
• Coordonnées libres liées aux cartes cadeaux (nom et email du destinataire, message personnalisé) : effacées 12 mois après que la carte a été entièrement utilisée, remboursée ou expirée. Le montant et le statut sont conservés au titre de la comptabilité.
• Contenus signalés (prévention du contournement) : 90 jours, puis suppression automatique — 12 mois pour les seuls signalements graves (coordonnées bancaires) ayant fait l'objet d'un examen par notre équipe, au titre de leur valeur de preuve. Anonymisation immédiate en cas de suppression de votre compte, qui met aussi fin à cette conservation étendue.
• Traces de visite via un lien de parrainage : les empreintes techniques (adresse IP et navigateur, identifiant de visite) sont effacées 90 jours après le clic, une fois la période d'attribution close. La trace devenue anonyme est ensuite supprimée au bout de 25 mois, seul un total agrégé restant visible du partenaire-vendeur.
• Termes de recherche saisis sur le site : conservés de façon agrégée, sans lien avec un compte, et supprimés lorsque plus personne ne les a recherchés depuis 18 mois.
• Lorsque votre compte est supprimé ou anonymisé, nous conservons pendant 6 ans une trace minimale de l'opération (identifiant technique, date, fondement, périmètre effacé), sans aucune donnée d'identité, afin de pouvoir démontrer que la suppression a bien été exécutée.
• Les décisions prises sur les contenus préparés ou retouchés par notre équipe sont conservées 5 ans sans leurs commentaires.
• Réponses aux questions d'une prestation : l'information relative à une allergie, un régime ou un besoin particulier est supprimée 48 heures après la fin de la prestation. Les autres réponses le sont 30 jours après. Ces délais courent à compter de l'annulation ou du remboursement si la place est annulée. Par exception, si une médiation est ouverte sur la commande avant cette échéance, l'information relative au besoin particulier est conservée jusqu'à sa clôture, pour la constatation ou la défense de vos droits, puis supprimée. Les sauvegardes techniques, qui ne contiennent cette information que sous forme chiffrée, sont effacées à leur rotation.
• Prévention des abus d'achat : les comptages portent sur douze mois glissants. Un signalement que notre équipe classe sans suite, ou qu'elle n'a pas traité sous soixante jours, est effacé douze mois après sa clôture. Le dossier d'une décision de suspension des nouvelles commandes est conservé cinq ans à compter de cette décision, en accès restreint — y compris après la suppression de votre compte, pour la seule constatation, l'exercice ou la défense de droits en justice. Les informations de suspension portées par votre compte sont effacées à la fin de la suspension, et les traces de consultation du dossier par notre équipe au bout de douze mois.

Ces durées sont celles appliquées automatiquement par nos traitements de purge. Certaines données peuvent être conservées au-delà lorsqu'une obligation légale ou un contentieux en cours l'impose.

5. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès (Art. 15) : consulter vos données depuis votre compte. Si votre compte a fait l'objet d'un signalement ou d'une suspension des commandes, l'export de vos données contient le dossier correspondant (comptages, constats, décision), hors les traces internes de consultation.
• Rectification (Art. 16) : modifier vos informations personnelles.
• Effacement / droit à l'oubli (Art. 17) : supprimer votre compte depuis la page de suppression de compte.
• Portabilité (Art. 20) : depuis la rubrique « Zone sensible » de vos informations de compte, vous déclenchez vous-même l'export. Nous générons une archive au format JSON et vous envoyons par email un lien de téléchargement valable 7 jours ; l'archive est ensuite supprimée (voir section 4).
• Limitation (Art. 18) : demander le gel d'un traitement, par exemple le temps que nous vérifiions l'exactitude d'une donnée contestée.
• Opposition (Art. 21) : vous opposer à un traitement fondé sur notre intérêt légitime. Pour la prévention des abus d'achat, votre opposition suspend l'effet de la décision le temps de son examen ; une personne de notre équipe y répond sous un mois, et nous ne maintenons la suspension que si nous démontrons un motif légitime impérieux.
• Retrait du consentement (Art. 7.3) : lorsqu'un traitement repose sur votre consentement (notifications push, emails d'information, information relative au besoin particulier d'un participant à une prestation), vous pouvez le retirer à tout moment, sans que cela remette en cause la licéité de ce qui a été fait avant.
• Directives post-mortem (Art. 85 de la loi Informatique et Libertés) : vous pouvez nous indiquer des directives sur le sort de vos données après votre décès, et désigner la personne chargée de les exécuter. Ces directives peuvent être modifiées ou révoquées à tout moment.
• Réclamation CNIL : cnil.fr/plaintes.

Pour exercer ces droits, écrivez à rgpd@mail.petitdauvergne.fr.

6. Sous-traitants et autres destinataires

Pour fournir le service, nous faisons appel aux tiers ci-dessous. Pour chacun, nous indiquons la finalité, les catégories de données concernées et la localisation réelle des serveurs — et non le seul pays du siège social, qui ne dit rien de l'endroit où les données sont effectivement traitées.

Ces tiers ne relèvent pas tous du même régime :

• Les sous-traitants (hébergement, stockage, paiement, livraison, email, SMS) traitent des données pour notre compte et sur nos instructions : ils sont liés par un contrat de sous-traitance au sens de l'Art. 28 RGPD.
• Les autres destinataires — API publiques de l'administration, services de notification des navigateurs, réseaux de diffusion et ressources chargées directement par votre navigateur (fond de carte) — sont des responsables de traitement distincts, dont nous ne maîtrisons pas les conditions d'utilisation. Nous les listons ici parce qu'ils reçoivent des données, pas parce qu'ils travaillent pour nous.

Succession d'un partenaire-vendeur. Lorsqu'un partenaire-vendeur poursuit son activité sous une nouvelle société inscrite sur la Marketplace, les données nécessaires à l'exécution des cartes cadeaux et des obligations qu'elle reprend (nom et adresse email du porteur, solde et échéance de la carte) lui sont communiquées. Les personnes concernées en sont informées individuellement par email. Les échanges de messagerie ne sont pas transférés.

Prestations : responsabilité conjointe avec le partenaire-vendeur. Les réponses aux questions d'une prestation sont traitées conjointement par Petit d'Auvergne et le partenaire-vendeur qui organise la prestation (Art. 26 RGPD). Petit d'Auvergne fournit l'outil, recueille votre consentement, conserve les réponses de manière sécurisée et les supprime aux échéances ci-dessus. Le partenaire-vendeur, seul destinataire, les utilise pour préparer et animer la séance, et s'est engagé à détruire toute copie dans les mêmes délais. Nous sommes votre point de contact pour exercer vos droits, mais vous pouvez aussi les exercer auprès du partenaire-vendeur. Notre équipe n'accède pas à l'information relative au besoin particulier, sauf dans le cadre d'une médiation ouverte sur la commande.

Envois groupés. Lorsque des articles de plusieurs partenaires-vendeurs partent en un seul colis depuis un point d'envoi, le partenaire-vendeur qui prépare ce colis voit votre nom et votre adresse de livraison (ou votre point relais), et votre téléphone si le transporteur l'exige. Il les voit sur l'étiquette uniquement, jusqu'à la remise au transporteur. Il ne voit ni vos coordonnées email, ni le prix de vos articles. Il agit pour notre compte et sur nos instructions, en qualité de sous-traitant (Art. 28 RGPD), et s'est engagé à ne pas réutiliser ces données. Base légale : exécution du contrat (Art. 6.1.b). Les cadeaux envoyés au titulaire d'une liste de naissance ne sont jamais groupés.

Les transferts hors Union européenne reposent, selon le destinataire, sur les clauses contractuelles types de la Commission (décision 2021/914), sur la décision d'adéquation « EU-US Data Privacy Framework » du 10 juillet 2023 (Google, Meta) ou sur la décision d'adéquation Suisse. Les entreprises soumises au droit américain restent exposées aux lois d'accès des autorités des États-Unis (CLOUD Act, FISA 702), quel que soit le mécanisme retenu.

Hébergement et stockage

• Scalingo (SAS française, Strasbourg) : hébergement de l'application et des bases de données (PostgreSQL, Redis, moteur de recherche) — c'est-à-dire l'ensemble des données de compte, de commande, de messagerie et de catalogue. Serveurs situés en France (Île-de-France : Pantin et Magny-les-Hameaux), sur l'infrastructure de 3DS Outscale (groupe Dassault Systèmes). Entre votre navigateur et ces serveurs ne s'intercale aucun réseau de diffusion ni pare-feu applicatif américain : cette place revient à Bunny, société slovène décrite ci-dessous, sur ses seuls points de présence européens (les images du catalogue, elles, sont diffusées par le réseau français de Scaleway).
• Scaleway (SAS française, groupe Iliad) : stockage des fichiers (photos du catalogue, pièces jointes de la messagerie, justificatifs vendeurs, exports de données personnelles) et diffusion des images par son réseau Edge Services. Serveurs en Île-de-France, dans des centres de données exploités par OPCORE. Nos statistiques de visite sont auto-hébergées : elles sont calculées et stockées dans notre moteur de recherche (Scalingo/Outscale, France), et seules leurs archives froides sont déposées chez Scaleway. Aucun outil d'analyse tiers.
• Bunny (BunnyWay d.o.o., société slovène, Ljubljana) : diffusion du site et de son interface de programmation, filtrage des attaques (pare-feu applicatif) et absorption des surcharges. Ce service se place devant nos serveurs : il voit donc chaque requête que votre navigateur nous adresse, avec votre adresse IP, l'adresse demandée et les informations techniques de votre navigateur. Il ne conserve aucune page de votre espace personnel : seuls les fichiers publics et immuables (images, feuilles de style, scripts) sont gardés en mémoire chez lui. Sa zone de diffusion est limitée à l'Europe : aucune donnée ne quitte l'Union européenne par ce canal, y compris pour un visiteur situé sur un autre continent, qui est alors servi depuis un point de présence européen. Aucune clause contractuelle type n'est donc nécessaire, et l'entreprise n'est pas soumise au CLOUD Act.

Paiement, livraison, communication

• Stripe (contrat avec Stripe Payments Europe Ltd, Irlande ; groupe américain) : encaissement des commandes, abonnements, et vérification d'identité des partenaires-vendeurs (KYC). Données : identité, coordonnées, données de paiement, pièces justificatives vendeurs. Serveurs principalement aux États-Unis (Amazon Web Services) : transfert hors UE encadré par les clauses contractuelles types, avec exposition aux lois d'accès américaines (CLOUD Act, FISA 702).
• Boxtal (SAS française, groupe La Poste) : achat d'affranchissement, étiquettes d'expédition, points relais et suivi. Données : nom, adresse de livraison, téléphone, email. En cas de perte ou d'avarie d'un colis, la facture de la commande est transmise à Boxtal et, si le colis était assuré, à son assureur (Helvetia, par l'intermédiaire du courtier Marsh), pour instruire la réclamation. Infrastructure Amazon Web Services (interface applicative en Irlande, diffusion via un réseau américain) — exposition indirecte au CLOUD Act.
• Sweego (MINDBAZ) (SAS française, Lille) : envoi et réception des emails du site. À l'envoi : confirmation de commande, réinitialisation de mot de passe, notifications. À la réception : tout message que vous adressez à l'une de nos adresses de contact (contact@, rgpd@, support@, securite-produit@…) arrive chez Sweego, qui le transmet aussitôt à notre application ; le message est alors enregistré dans notre propre base de données, hébergée par Scalingo (France), où notre équipe le lit. Données : email, nom, contenu du message et pièces jointes. Serveurs en France, chez OVHcloud (Gravelines, Roubaix) et Scaleway.
• Infomaniak Network SA (société suisse, Genève) : hébergement des boîtes email internes de notre équipe, celles que nous utilisons pour notre correspondance hors du site (fournisseurs, prestataires, administrations). Le courrier que vous nous envoyez, lui, n'y est jamais stocké : les adresses de contact publiées sur le site sont reçues par Sweego puis conservées dans notre propre base de données, comme décrit ci-dessus. Serveurs en Suisse, pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat — hors portée du CLOUD Act américain.
• SMS Partner (NDA MEDIA) (SAS française) : envoi des codes de connexion à 6 chiffres, si tu choisis de protéger ton compte par SMS (option réservée aux partenaires-vendeurs et aux gestionnaires de compte entreprise). Aucun autre SMS ne t'est envoyé : ni alerte, ni notification, ni message commercial. Données : ton numéro de téléphone et le code envoyé. Serveurs en France (Aqua Ray, Ivry-sur-Seine) et en Suisse (Infomaniak, Genève) — la Suisse est reconnue par la Commission européenne comme offrant un niveau de protection adéquat.
• IGN (Institut national de l'information géographique et forestière) — opérateur public français, service Géoplateforme — : fond de carte du sélecteur de point relais, au moment du paiement. Le chargement des tuiles transmet à ce service votre adresse IP et la zone géographique affichée. Aucune donnée de compte ni de commande. Serveurs en France. Ce fond de carte n'est disponible que pour une adresse en France ; en dehors, seule la liste des points relais s'affiche, sans appel à un service cartographique.

Connexion via un compte externe (à votre initiative)

• Google et Meta (Facebook) (États-Unis) : leurs scripts de connexion ne sont chargés qu'au clic sur « Se connecter avec Google » ou « Se connecter avec Facebook ». Tant que vous ne cliquez pas, aucune donnée ne leur est transmise — pas même votre adresse IP — y compris si vous ouvrez la fenêtre de connexion pour vous identifier par email. Si vous cliquez, nous recevons votre email, votre nom et l'identifiant du compte, et le fournisseur sait de son côté que vous utilisez Petit d'Auvergne.

Vidéos intégrées (à votre initiative)

• YouTube (Google LLC) et Vimeo, Inc. (États-Unis) : certaines vidéos éditoriales sont hébergées chez eux. Le lecteur n'est chargé qu'après un clic de votre part sur la vignette : avant ce clic, aucune donnée ne leur est transmise, pas même votre adresse IP. Si vous lancez la lecture, ils reçoivent votre adresse IP, des informations sur votre navigateur et déposent leurs propres cookies, sous leur seule responsabilité. Transfert vers les États-Unis encadré par la décision d'adéquation « EU-US Data Privacy Framework » (Google) ou par les clauses contractuelles types (Vimeo). Nous utilisons le domaine youtube-nocookie.com, qui réduit le dépôt de cookies sans le supprimer.

Vérifications légales des partenaires-vendeurs

• recherche-entreprises.api.gouv.fr (DINUM, France ; serveurs OVHcloud à Gravelines) : contrôle du SIRET d'une candidature. Seul le SIRET est transmis.
• opendata.agencebio.org (Agence BIO, France) : contrôle de la certification biologique déclarée par un partenaire-vendeur. Seul le SIRET est transmis. Cette API est diffusée par Cloudflare, Inc. (États-Unis), qui voit donc les SIRET interrogés.
• api-adresse.data.gouv.fr — Base Adresse Nationale (DINUM / Etalab, France) : suggestion d'adresses pendant la saisie d'une adresse de livraison, de facturation ou d'un dossier partenaire. Seul le texte que vous tapez dans le champ adresse est transmis. L'appel est effectué par notre serveur, pas par votre navigateur : votre adresse IP n'est pas transmise à ce service.

Vérification de l'originalité d'une fiche produit (à notre initiative, au cas par cas)

• Staan — European Search Perspective (coentreprise de Qwant, France, et Ecosia, Allemagne ; index et serveurs en Europe, infrastructure OVHcloud) : lorsqu'une description d'article semble recopiée, un membre de notre équipe peut demander à ce moteur de recherche européen si ce texte existe déjà ailleurs sur le web.
  Ce que nous transmettons se limite à un extrait de quatorze mots de la description concernée, relu par la personne qui déclenche la recherche avant l'envoi. Aucune donnée de compte, aucune coordonnée, aucune adresse IP de visiteur n'est transmise. La vérification n'est jamais automatique : elle n'a lieu que sur une action explicite de notre équipe, article par article. Nous conservons l'extrait envoyé et la date pendant un an, afin de savoir si la vérification a déjà été faite.
  Une description d'article est rédigée par le partenaire-vendeur pour être publiée : elle ne comporte normalement pas de donnée personnelle. Si vous êtes partenaire-vendeur et que vous y avez inséré votre nom, celui-ci peut donc figurer dans l'extrait transmis.

Notifications sur votre appareil

• Google (Firebase Cloud Messaging), Apple, Mozilla et Microsoft, selon le navigateur que vous utilisez : acheminement des notifications que vous avez explicitement acceptées. Une notification push ne peut techniquement pas être livrée autrement. Ces services reçoivent un identifiant d'appareil persistant, l'horodatage de l'envoi et le contenu chiffré de la notification. Google et Apple traitent ces données hors Union européenne. Refuser ou révoquer l'autorisation dans votre navigateur supprime entièrement ce traitement.

Outils internes de notre équipe

• GitHub (Microsoft) (États-Unis) : hébergement de notre code source. Aucune donnée personnelle d'utilisateur n'y est déposée.
• DB-IP City Lite (Eris Networks S.A.S., Perros-Guirec, France) : base de correspondance adresse IP → pays et région, embarquée sur nos serveurs. Aucune adresse IP n'est transmise à un tiers : la correspondance est calculée en mémoire puis l'IP est abandonnée. Nous n'en conservons que le code pays et, pour la France, le code de région. IP Geolocation by DB-IP — base diffusée sous licence Creative Commons Attribution 4.0.

Nous ne vendons, ne louons ni n'échangeons aucune donnée personnelle.

7. Si vos données nous ont été transmises par quelqu'un d'autre

Dans certains cas, nous traitons des données vous concernant que vous ne nous avez pas fournies vous-même. Conformément à l'article 14 du RGPD, voici lesquelles, d'où elles viennent et pourquoi :

• Salarié bénéficiaire d'une cagnotte d'entreprise — source : votre employeur ou votre comité social et économique, qui saisit votre nom et votre email pour vous attribuer une dotation. Données : nom, prénom, email professionnel, montant alloué. Finalité : vous envoyer le lien d'activation et créditer votre cagnotte. Base légale : exécution du contrat qui nous lie à votre employeur et notre intérêt légitime à honorer cette dotation.
• Destinataire d'un cadeau — source : la personne qui commande le cadeau, ou le titulaire de la liste de naissance visée. Données : nom et adresse de livraison, éventuellement email et message personnalisé pour une carte cadeau. Finalité : livrer la commande. Lorsque la commande vise une liste de naissance, votre adresse est masquée à la personne qui offre : elle ne la voit jamais.
• Personne suivant une liste de naissance ou une liste d'envies — source : le titulaire de la liste, qui vous en communique le lien ou le nom. Données : email, si vous demandez à être prévenu des ajouts.
• Partenaire invité par notre équipe — source : notre équipe, à partir d'informations publiques (registre des entreprises) ou d'un échange préalable. Données : nom, prénom, email, dénomination sociale, SIRET. Finalité : vous adresser une invitation à candidater. Vous pouvez demander la suppression immédiate de ces données.
• Photographe prestataire — source : notre équipe, qui vous inscrit à son carnet de photographes pour vous confier une séance photo chez un partenaire-vendeur (photographies de ses articles, destinées à sa boutique en ligne). Données : nom, coordonnées, informations de facturation. Finalité : organiser la prestation et son règlement.

Dans tous ces cas, vous disposez des mêmes droits qu'à la section 5 — rgpd@mail.petitdauvergne.fr — y compris celui de nous demander de supprimer des données que vous ne nous avez jamais confiées.

8. Intelligence artificielle

Nous utilisons un modèle d'intelligence artificielle pour quelques tâches précises. Cette section dit lesquelles, ce qu'il fait, et surtout ce qu'il ne fait pas.

Le modèle tourne sur nos propres serveurs. Il s'agit d'EmbeddingGemma-300m, un modèle ouvert publié par Google sous licence Gemma, que nous exécutons nous-mêmes sur notre infrastructure (hébergement décrit à la section 6). Nous ne le possédons pas : nous l'hébergeons. Aucun texte que vous écrivez n'est transmis à un service d'intelligence artificielle tiers — ni OpenAI, ni Google, ni aucun autre.

Ce qu'il fait, techniquement. Ce modèle ne rédige rien et ne répond à personne. Il transforme un texte en une suite de nombres qui en représente le sens, ce qui permet de comparer deux textes entre eux. C'est cette comparaison, et elle seule, qui alimente les usages ci-dessous.

Les usages qui touchent à vos données :

• Recherche dans l'aide : votre question est comparée à nos réponses pour afficher les plus proches. Elle n'est ni enregistrée, ni rattachée à votre compte.
• Messagerie et emails entrants : le contenu d'un message est comparé à des exemples types, pour proposer à notre équipe une réponse préparée et un rangement (sujet, priorité). La suggestion est affichée à une personne, qui décide.
• Prévention du contournement de la plateforme : décrite à la section 3.

Les usages qui ne portent sur aucune donnée personnelle : suggestion de mots-clés sur les fiches articles, suggestion du code de déclaration environnementale (filière REP), rapprochement d'articles pour repérer les manques de notre catalogue. Ils ne traitent que des descriptions d'articles.

Aucune décision n'est prise par la machine (Art. 22 RGPD). Dans tous les cas ci-dessus, le modèle produit une suggestion, affichée à une personne de notre équipe qui la retient ou l'écarte. Aucun message n'est bloqué, aucun compte n'est suspendu, aucun contenu n'est retiré et aucun prix n'est fixé sur la foi de ce modèle. Il n'établit aucun profil vous concernant.

La prévention des abus d'achat décrite à la section 3 ne fait intervenir aucun modèle : c'est un calcul arithmétique — un comptage de commandes, de rétractations et de contestations de paiement. Le signalement qu'il produit est affiché à une personne de notre équipe, qui examine le dossier et décide.

Ce que nous ne faisons pas : pas d'agent conversationnel, pas de génération de texte à partir de vos messages, pas d'entraînement d'un modèle sur vos données, pas de publicité ciblée.

9. Cookies

Petit d'Auvergne ne dépose aucun cookie de suivi : les cookies posés par nos pages sont strictement nécessaires au service (session, paiement) et exemptés de consentement. Deux exceptions, toutes deux déclenchées par un clic de votre part et jamais avant : le lecteur vidéo tiers et la connexion via un compte externe. Voir le détail sur la page Cookies.

10. Sécurité

Mots de passe hachés (jamais conservés en clair), connexions HTTPS, JWT signés, pseudonymisation par hachage des adresses IP dans les logs applicatifs — à l'exception du journal d'identification imposé par la LCEN et des preuves d'acceptation d'attestation, décrits aux sections 2 et 4 —, segmentation rigoureuse des données entre les partenaires-vendeurs.

11. Mineurs et protection des enfants

Petit d'Auvergne est une marketplace dédiée aux produits pour enfants et à la famille. La création d'un compte est réservée aux personnes âgées d'au moins 15 ans — le seuil légal français du consentement autonome au traitement des données personnelles (art. 7-1 de la loi Informatique et Libertés, pris en application de l'art. 8 du RGPD). Nous ne collectons pas sciemment de données personnelles auprès de personnes de moins de 15 ans.

• Âge minimum : lors de l'inscription, l'utilisateur déclare avoir au moins 15 ans. Toute personne n'ayant pas atteint cet âge doit obtenir l'accord de son représentant légal avant toute utilisation.
• Aucun ciblage publicitaire des mineurs : notre plateforme n'utilise pas de cookies de suivi ni de publicité comportementale.
• Signalement : si vous pensez qu'un mineur a créé un compte sans autorisation parentale, écrivez-nous à rgpd@mail.petitdauvergne.fr afin que nous puissions supprimer les données concernées.

12. Modifications

Cette politique peut évoluer. Les modifications majeures vous seront notifiées par email et seront publiées ici avec un nouveau numéro de version.