Politique de confidentialité

Dernière mise à jour : 2026-05-23

1. Responsable du traitement

Le responsable du traitement des données personnelles est [À COMPLÉTER — incorporation en cours], dont les coordonnées figurent dans les Mentions légales.

2. Contact

Pour toute question relative à la protection des données ou à l'exercice de vos droits, vous pouvez écrire à [À DÉFINIR — contact à publier avant ouverture commerciale].

En l'absence de Délégué à la Protection des Données (DPO) désigné, cette adresse remplit l'obligation de communication prévue à l'article 13 du RGPD.

3. Catégories de données traitées — état actuel du service

| Donnée | Provenance | Stockée ? | |---|---|---| | Requête d'adresse (BAN) | Saisie utilisateur | Cache RAM serveur — 1 heure, puis purge automatique. Pas de persistance disque. | | Requête statistique (latitude, longitude, rayon, type de bien, période) | Saisie utilisateur + URL | Non — traitée en transit uniquement | | Données d'audience agrégées (pays, navigateur, page consultée) | Plausible Analytics | Oui — agrégats anonymisés, 24 mois (voir § 7) |

3 bis. Traitements à venir — à partir de l'ouverture commerciale

Les traitements suivants ne sont pas encore actifs dans la version actuelle du service. Ils seront documentés et activés conjointement avec l'ouverture commerciale.

| Donnée | Provenance | Stockée ? | |---|---|---| | Email + référence d'achat | Saisie utilisateur au moment de l'achat | Oui — 13 mois après expiration du code | | Données de paiement | Stripe | VraiPrix agit en responsable conjoint pour la transaction ; Stripe agit en sous-traitant pour le compte de VraiPrix et en responsable autonome pour ses obligations propres (KYC, lutte anti-blanchiment, lutte contre la fraude — articles spécifiques au PSP). |

Test A/B des prix. L'éditeur peut, à des fins d'optimisation tarifaire, présenter à différents visiteurs des prix légèrement différents pour un même service. L'attribution d'un visiteur à un groupe de prix est déterministe et fondée sur un hachage HMAC-SHA256 de son adresse IP et de son agent utilisateur, sans cookie ni identifiant persistant. Les données conservées (hachage d'IP + chaîne user-agent + horodatage) sont pseudonymisées au sens du RGPD : elles ne permettent pas de ré-identifier directement un visiteur, mais leur combinaison pourrait théoriquement permettre une ré-identification probabiliste. Seules les statistiques agrégées (taux de conversion par variante) sont utilisées pour la prise de décision.

4. Bases légales

Intérêt légitime : mesure d'audience anonymisée via Plausible Analytics (sans cookie ni identifiant utilisateur).
Exécution du contrat : achat et délivrance du code de partage (à partir de l'ouverture commerciale).
Obligation légale : conservation des pièces comptables (article L123-22 du Code de commerce, 10 ans).
Obligation légale — traitements autonomes du prestataire de paiement : Stripe traite les données de paiement (transactions, IBAN, métadonnées d'identification) sous sa propre responsabilité au titre de ses obligations en matière de lutte contre le blanchiment d'argent et le financement du terrorisme (LCB-FT), de connaissance client (KYC) et de prévention de la fraude. Ces traitements relèvent de l'article 6 §1(c) du RGPD (obligation légale incombant au responsable). Une demande d'effacement adressée à VraiPrix n'éteint pas la conservation imposée à Stripe par ces réglementations.

5. Destinataires et sous-traitants

| Sous-traitant | Finalité | Localisation | |---|---|---| | OVH SAS | Hébergement | France | | Plausible Insights OÜ | Mesure d'audience | Allemagne (UE) | | Stripe Payments Europe Ltd | Paiement | Irlande (UE) |

Aucune donnée n'est transmise à un tiers à des fins commerciales.

6. Transferts hors Union européenne

Aucun transfert hors UE n'a lieu en version actuelle du service.

À partir de l'ouverture commerciale, Stripe peut router certaines opérations vers les États-Unis. Ces transferts s'appuient sur deux mécanismes complémentaires reconnus par la Commission européenne :

EU-US Data Privacy Framework (DPF) — Stripe Payments Europe Ltd est certifié au DPF, cadre adopté par décision d'adéquation de la Commission européenne du 10 juillet 2023.
Clauses contractuelles types (SCC) 2021/914 — appliquées en complément pour les flux non couverts par le DPF.

7. Durées de conservation

Requêtes BAN : 1 heure en cache RAM serveur, puis purge automatique. Aucune persistance.
Requêtes DVF : non conservées (traitement en transit).
Plausible (agrégats anonymisés) : 24 mois — Plausible ne propose pas de purge programmée automatique ; l'éditeur s'engage à effectuer une purge manuelle annuelle de tout agrégat dépassant cette durée.
Email et référence d'achat (à partir de l'ouverture commerciale) : 13 mois après l'expiration du code.
Pièces comptables : 10 ans (obligation Code de commerce, article L123-22).

8. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

Accès à vos données personnelles ;
Rectification des données inexactes ;
Effacement (« droit à l'oubli ») ;
Portabilité dans un format structuré ;
Limitation du traitement ;
Opposition à un traitement fondé sur l'intérêt légitime.

L'exercice de ces droits se fait par courrier électronique à l'adresse de contact ci-dessus. L'éditeur s'engage à répondre dans un délai d'un mois (article 12.3 du RGPD).

9. Réclamation auprès de la CNIL

Vous disposez du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — www.cnil.fr/fr/plaintes.

10. Sécurité

Les échanges entre votre navigateur et le service sont chiffrés en TLS. La seule donnée personnelle stockée côté serveur en version actuelle est le cache temporaire des requêtes d'adresse BAN (1 heure en RAM, sans persistance disque, voir § 3).

11. Mineurs

Le service est réservé aux personnes majeures, l'achat d'un code de partage étant soumis à la capacité juridique de contracter.

12. Décisions automatisées

Aucune décision automatisée au sens de l'article 22 du RGPD — produisant des effets juridiques ou affectant l'utilisateur de manière significative — n'est mise en œuvre par VraiPrix. Les médianes affichées sont des informations statistiques, non des décisions individuelles.