Politique de confidentialité

1. Qui est responsable du traitement ?

TODO_RAISON_SOCIALE (TODO_FORME_JURIDIQUE, SIRET TODO_SIRET, domicilié TODO_ADRESSE_COMPLETE) est responsable de traitement pour :

• Les candidatures à la beta déposées sur la page d'accueil
• Les comptes des commerçants utilisant la plateforme
• Les logs techniques nécessaires au fonctionnement et à la sécurité du service

Pour les données des participants aux jeux de roue (clients finaux des commerçants), SpinOpinion agit en qualité de sous-traitant du commerçant, qui reste le responsable du traitement. Les engagements associés sont décrits dans l'accord de sous-traitance (DPA) signé avec chaque commerçant.

2. Quelles données sont collectées et pourquoi ?

2.1. Candidature à la beta (formulaire de la page d'accueil)

• Données : nom, email, type de commerce, ville (optionnel), message libre (optionnel).
• Finalité : évaluer la candidature et recontacter le candidat pour l'accompagner dans l'onboarding.
• Base légale : intérêt légitime (art. 6-1-f RGPD) — la mise en relation commerciale à la demande du candidat.
• Durée de conservation : 24 mois après la réception (puis suppression).

2.2. Compte commerçant (après acceptation)

• Données : nom du commerce, email professionnel, adresse, SIRET, paramètres de la roue (lots, couleurs, logo), statistiques d'utilisation.
• Finalité : fournir le service SpinOpinion, facturation, support.
• Base légale : exécution du contrat (art. 6-1-b RGPD) et obligation légale pour les données comptables (art. 6-1-c RGPD).
• Durée : Pendant toute la durée du contrat, supprimé sur demande. Les pièces comptables sont conservées 10 ans conformément à la loi.

2.3. Participants aux jeux (clients finaux des commerçants)

• Données : prénom, email, lot obtenu, code du bon, horodatage de participation, empreinte IP (hachée et salée, non réversible).
• Finalité : faire fonctionner le jeu, envoyer le bon gagné, permettre la vérification en boutique, prévenir la fraude.
• Base légale : consentement du participant (case à cocher avant participation, art. 6-1-a RGPD) pour le jeu et l'envoi du bon.
• Durée : 36 mois après la dernière participation. Les bons sont conservés 6 mois après la date de validité du bon. Au-delà, les données sont anonymisées plutôt que supprimées pour préserver les statistiques agrégées.

2.4. Logs techniques

• Données : adresse IP (hachée), horodatage, URL consultée, code HTTP, user-agent.
• Finalité : sécurité du service, prévention de la fraude, diagnostic des incidents.
• Base légale : intérêt légitime (sécurité du service).
• Durée : 12 mois maximum.

3. À qui vos données sont-elles transmises ?

Vos données ne sont jamais vendues ni cédées à des tiers à des fins publicitaires. Elles ne sont partagées qu'avec les sous-traitants techniques strictement nécessaires au fonctionnement du service :

Transferts hors Union européenne : Vercel (hébergement du site) et Resend (envoi d'emails) sont des sociétés établies aux États-Unis. Les transferts sont encadrés par les clauses contractuelles types (CCT) adoptées par la Commission européenne en application de l'article 46-2-c du RGPD. Supabase traite les données dans sa région Frankfurt (UE).

4. Cookies et traceurs

SpinOpinion utilise uniquement des cookies strictement nécessaires à l'authentification des comptes commerçants et à la sécurité des sessions. Aucun cookie analytique, publicitaire ou de profilage n'est déposé. Conformément à la position de la CNIL (délibération n° 2020-091), ces cookies techniques ne requièrent pas de consentement préalable.

5. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données dans les cas prévus par le règlement.
• Droit d'opposition : vous opposer au traitement pour un motif légitime.
• Droit à la limitation : demander le gel d'un traitement contesté.
• Droit à la portabilité : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit de définir des directives post-mortem sur le sort de vos données.

Pour exercer l'un de ces droits, écrivez à contact@spinopinion.com en précisant votre demande. Une réponse vous sera apportée sous un mois (art. 12-3 RGPD).

Si vous estimez que le traitement de vos données n'est pas conforme, vous pouvez adresser une réclamation à la CNIL (3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

6. Sécurité

Les données sont stockées sur des serveurs sécurisés situés dans l'Union européenne (Frankfurt). Les accès administratifs sont protégés par authentification forte. Les adresses IP sont systématiquement hachées avec un sel cryptographique (HMAC-SHA256) avant d'être stockées. Les mots de passe des commerçants sont hachés avec l'algorithme bcrypt.

7. Modifications

La présente politique peut être modifiée pour refléter l'évolution du service ou de la législation applicable. La date de dernière mise à jour figure en tête de document. En cas de modification substantielle, les utilisateurs disposant d'un compte seront notifiés par email.

8. Contact

Pour toute question sur la présente politique ou sur le traitement de vos données : contact@spinopinion.com.