Politique de confidentialité
Ce que BazarBe collecte, pourquoi, pendant combien de temps, et comment reprendre la main dessus.
Dernière mise à jour :
1. Qui est responsable du traitement
BazarBe est un service qui surveille les annonces publiées sur Vinted et vous alerte lorsqu’une annonce correspond à vos critères. Le responsable du traitement au sens du règlement (UE) 2016/679 (« RGPD ») est l’éditeur du service, joignable à l’adresse privacy@bazarbe.live.
À compléter avant mise en ligne : dénomination sociale, forme juridique, numéro d’immatriculation (SIREN / BCE), adresse du siège social et nom du représentant légal. Ces mentions sont obligatoires et ne peuvent pas être devinées — elles doivent être renseignées par l’éditeur.
BazarBe n’est ni affilié à, ni sponsorisé par, ni exploité par Vinted UAB. « Vinted » est une marque de son titulaire, citée à titre de référence.
2. Quelles données nous collectons
Nous ne collectons que ce dont le service a besoin pour fonctionner. Aucune donnée n’est vendue, louée ou cédée à des fins publicitaires.
| Catégorie | Exemples | Finalité | Base légale | Conservation |
|---|---|---|---|---|
| Compte | adresse e-mail, mot de passe (haché, jamais en clair), nom et photo de profil si vous vous connectez avec Google | créer et sécuriser votre compte, vous authentifier, vous contacter | Exécution du contrat (art. 6.1.b) | durée du compte, puis 30 jours après suppression |
| Alertes et préférences | critères de recherche (marques, tailles, prix, mots-clés, marchés), groupes d’alertes, vendeurs bloqués, articles masqués | exécuter le service : surveiller Vinted selon vos critères | Exécution du contrat (art. 6.1.b) | durée du compte, puis 30 jours après suppression |
| Résultats d’alertes | annonces Vinted correspondant à vos alertes (titre, prix, photos, identifiant du vendeur) | afficher votre flux d’articles trouvés | Exécution du contrat (art. 6.1.b) | 90 jours glissants |
| Notifications push | jeton de notification Expo, plateforme (iOS / Android / web) | vous prévenir sur mobile quand une alerte se déclenche | Consentement, donné à l’activation des notifications (art. 6.1.a) | jusqu’à la désactivation des notifications ou la désinstallation de l’application |
| Facturation | identifiant client et identifiant d’abonnement Stripe, statut et échéance de l’abonnement, pays de facturation | gérer votre abonnement Premium | Exécution du contrat (art. 6.1.b) et obligation légale comptable (art. 6.1.c) | 10 ans pour les pièces comptables, conformément au code de commerce |
| Mesure d’audience | pages consultées, provenance, type d’appareil et de navigateur, identifiant aléatoire déposé par PostHog | comprendre quelles fonctionnalités servent et lesquelles gênent, pour décider quoi améliorer | Consentement, et uniquement lui (art. 6.1.a) — rien n’est collecté avant votre accord | 12 mois |
| Journaux techniques | adresse IP, horodatage, route appelée, code de réponse, erreurs applicatives | assurer la sécurité du service, détecter les abus, diagnostiquer les pannes | Intérêt légitime (art. 6.1.f) | 12 mois maximum |
Ce que nous ne collectons pas : vos identifiants Vinted, vos coordonnées bancaires (elles sont saisies directement chez Stripe et ne transitent jamais par nos serveurs), votre géolocalisation, vos contacts, et aucune donnée dite « sensible » au sens de l’article 9 du RGPD.
Nous n’utilisons aucune régie publicitaire et ne revendons rien. La seule mesure d’audience en place est PostHog, hébergé dans l’Union européenne, et elle ne démarre qu’après votre accord explicite : tant que vous n’avez pas répondu au bandeau, le script n’est même pas chargé et aucune requête ne part vers PostHog. Vous pouvez revenir sur ce choix à tout moment (section 8). Aucun profilage ni décision automatisée produisant des effets juridiques à votre égard n’est mis en œuvre.
3. D’où viennent ces données
La plupart proviennent directement de vous : ce que vous saisissez à l’inscription et en configurant vos alertes.
Les résultats d’alertes proviennent des annonces publiques de Vinted. Elles peuvent contenir des données relatives aux vendeurs (pseudonyme, identifiant public, note, pays). Nous les traitons sur la base de notre intérêt légitime à fournir un service de veille sur des contenus déjà publics, en les limitant à ce qui est nécessaire à l’affichage d’un résultat de recherche. Un vendeur qui souhaite que ses annonces n’apparaissent plus dans notre index peut nous écrire à privacy@bazarbe.live.
4. Qui a accès à vos données
En interne, l’accès est limité aux personnes qui exploitent le service, et uniquement pour l’administrer ou répondre à une demande de support.
En externe, nous faisons appel aux sous-traitants suivants, chacun lié par un contrat conforme à l’article 28 du RGPD :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVHcloud | hébergement des serveurs applicatifs et de la base de données | France (Union européenne) |
| Supabase (auto-hébergé) | authentification et base de données PostgreSQL | instance opérée par nos soins sur notre infrastructure OVHcloud — aucune donnée n’est envoyée au service géré Supabase |
| Stripe Payments Europe, Ltd. | paiement et gestion des abonnements | Irlande (Union européenne), avec transferts possibles vers Stripe, Inc. aux États-Unis encadrés par les clauses contractuelles types de la Commission européenne |
| Google Ireland Ltd. | connexion « Continuer avec Google » (OAuth), si vous l’utilisez | Irlande (Union européenne) |
| PostHog | mesure d’audience, uniquement si vous y avez consenti | Union européenne (région EU de PostHog Cloud) — aucun transfert vers la région américaine |
| Expo (Expo.dev / 650 Industries, Inc.) | acheminement des notifications push mobiles | États-Unis, encadré par les clauses contractuelles types de la Commission européenne |
| Fournisseur SMTP | envoi des e-mails transactionnels (confirmation, bienvenue, facturation) | Union européenne |
Vos données peuvent également être communiquées à une autorité administrative ou judiciaire lorsque la loi nous y oblige.
5. Transferts en dehors de l’Union européenne
L’hébergement et la base de données restent en France. Deux traitements peuvent impliquer un transfert hors UE : l’acheminement des notifications push (Expo, États-Unis) et, le cas échéant, certaines opérations de paiement (Stripe, Inc., États-Unis). Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne.
6. Combien de temps nous les conservons
Les durées figurent dans le tableau de la section 2. En résumé :
- Compte et alertes : tant que votre compte existe. À sa suppression, les données sont effacées sous 30 jours, le temps de purger les sauvegardes courantes.
- Résultats d’alertes : 90 jours glissants — au-delà, une annonce n’a plus d’intérêt.
- Journaux techniques : 12 mois.
- Pièces comptables : 10 ans, durée imposée par la loi et à laquelle une demande d’effacement ne peut pas déroger.
7. Vos droits
Le RGPD vous donne les droits suivants, que vous pouvez exercer à tout moment :
- Accès (art. 15) : obtenir une copie des données que nous détenons sur vous.
- Rectification (art. 16) : corriger une donnée inexacte.
- Effacement (art. 17) : supprimer votre compte et les données associées.
- Limitation (art. 18) : geler un traitement le temps d’une contestation.
- Portabilité (art. 20) : récupérer vos alertes et vos données de compte dans un format lisible par machine.
- Opposition (art. 21) : vous opposer à un traitement fondé sur notre intérêt légitime.
- Retrait du consentement (art. 7.3) : désactiver les notifications push, sans que cela remette en cause ce qui a été envoyé avant.
Écrivez à privacy@bazarbe.live depuis l’adresse associée à votre compte. Nous répondons dans un délai d’un mois, prolongeable de deux mois si la demande est complexe — auquel cas nous vous en informons. Nous pouvons demander une preuve d’identité en cas de doute raisonnable sur l’auteur de la demande.
Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL — cnil.fr/fr/plaintes — ou l’autorité de contrôle de votre pays de résidence.
9. Comment nous protégeons ces données
- Tout le trafic est chiffré en HTTPS (TLS).
- Les mots de passe sont hachés par notre service d’authentification ; nous ne pouvons ni les lire, ni les restaurer.
- L’accès aux données est cloisonné par utilisateur au niveau de la base de données (Row Level Security), et non seulement dans l’application.
- Les communications entre nos services internes sont authentifiées par certificats mutuels (mTLS).
- Les tentatives de connexion sont limitées en fréquence pour contenir les attaques par force brute.
- La base est sauvegardée quotidiennement, avec des sauvegardes chiffrées et à rétention limitée.
En cas de violation de données susceptible d’engendrer un risque élevé pour vos droits, nous notifions la CNIL dans les 72 heures et vous informons directement.
10. Mineurs
Le service n’est pas destiné aux personnes de moins de 15 ans. Si vous constatez qu’un compte a été créé par un mineur de moins de 15 ans sans l’autorisation du titulaire de l’autorité parentale, écrivez-nous : le compte sera supprimé.
11. Modifications de cette politique
Nous pouvons faire évoluer ce document. La date en haut de page indique la dernière révision. Toute modification substantielle — nouvelle finalité, nouveau sous-traitant, allongement d’une durée de conservation — vous sera signalée par e-mail ou dans l’application avant son entrée en vigueur.
12. Nous contacter
Questions relatives à vos données personnelles : privacy@bazarbe.live.
Questions générales ou support : contact@bazarbe.live — voir aussi la FAQ.