Politique de confidentialité

Le responsable de traitement est [À COMPLÉTER : identité du responsable de traitement], [À COMPLÉTER : adresse postale du responsable de traitement].

Pour toute question sur cette politique ou pour exercer vos droits, écrivez à [À COMPLÉTER : adresse e-mail de contact].

Délégué à la protection des données : [À COMPLÉTER : délégué à la protection des données, si désigné].

Un propriétaire crée un compte et tient une ou plusieurs listes. Un invité ouvre le lien d'une liste et réserve un cadeau, sans compte et sans inscription. Les données traitées et les bases légales ne sont pas les mêmes dans les deux cas.

Nous conservons votre adresse e-mail, le nom que vous indiquez ou que Google nous transmet, votre langue, la date de création du compte et la date de dernière connexion. Nous conservons également les sessions ouvertes et, si vous vous connectez par code, une empreinte du code à 6 chiffres : le code lui-même n'est jamais enregistré en clair et personne ne peut le relire. Il expire au bout de 10 minutes.

Une session ouverte est un jeton aléatoire, sa date de création, sa date d'expiration et le compte auquel elle appartient. Nous n'y enregistrons ni votre adresse IP, ni votre navigateur.

La connexion avec Google est facultative : l'autre chemin est un code à 6 chiffres envoyé à votre adresse e-mail. Si vous choisissez Google, nous enregistrons votre nom et votre adresse e-mail, et rien d'autre. Google nous transmet aussi l'adresse de votre photo de profil : nous la jetons sans l'enregistrer. Nous ne recevons ni mot de passe, ni contacts, ni quoi que ce soit d'autre de votre compte Google.

Nous ne demandons ni adresse postale, ni numéro de téléphone, ni date de naissance. Il n'existe aucun mot de passe dans ce produit : ni à choisir, ni à retenir, ni à nous faire fuiter.

Base légale : l'exécution du contrat qui nous lie lorsque vous créez un compte pour utiliser le service.

Pour chaque liste : un titre, une occasion, une date d'événement si vous en indiquez une, une adresse tirée au hasard, et les dates de création et de modification. Pour chaque article : un titre, une note libre si vous en écrivez une, un prix et une devise, l'adresse du produit chez le marchand, une image, le nom du marchand, une quantité et une position dans la liste.

Le contenu d'une liste est ce que vous y mettez. Si vous écrivez une information personnelle dans le titre ou dans une note, elle est stockée telle quelle. Évitez d'y écrire ce que vous ne voudriez pas voir apparaître chez les invités à qui vous envoyez le lien.

Base légale : l'exécution du contrat.

Quand un invité réserve un cadeau, nous enregistrons l'article concerné, une quantité, un statut, la date de la réservation, une date d'expiration, et le prénom que l'invité a éventuellement saisi. Le prénom est facultatif : la réservation fonctionne sans.

Aucune réservation n'est reliée à un compte utilisateur. L'invité est identifié par un jeton aléatoire déposé dans son navigateur, dont seule une empreinte cryptographique est enregistrée côté serveur. Cette empreinte sert uniquement à lui permettre de revenir annuler sa propre réservation. Nous ne pouvons pas en déduire son identité.

Base légale : l'intérêt légitime. L'intérêt poursuivi est le fonctionnement même du service demandé par l'invité, qui est d'indiquer aux autres invités qu'un cadeau est déjà pris. Le traitement est limité au strict nécessaire, ne demande aucune inscription, et l'invité peut supprimer sa réservation à tout moment depuis le même lien.

Pour chaque liste ouverte par un invité, nous conservons l'empreinte de son jeton, l'identifiant de la liste, la date de première visite et la date de dernière visite. Cela permet de retrouver ses réservations sur cette liste lorsqu'il y revient.

Base légale : l'intérêt légitime, pour la même raison que ci-dessus.

Se connecter est limité en nombre de tentatives, sinon un code à 6 chiffres finirait par être deviné et une adresse e-mail par être inondée de messages. Deux compteurs servent à cela, et ils ne servent qu'à cela.

Le premier compte les appels aux routes de connexion et d'inscription. Sa clé est votre adresse IP et la route appelée, sa valeur est un nombre, et il est tenu chez Upstash, une base de données Redis distincte de la nôtre. Chaque compteur s'efface de lui-même à la fin de sa fenêtre, une minute au maximum, sans qu'aucune tâche ait à le supprimer. Aucune adresse IP n'est enregistrée dans notre base de données : ouvrir une liste, réserver un cadeau ou annuler une réservation n'en écrit aucune, et les tables des réservations et des sessions d'invités n'ont pas de colonne pour en accueillir une. Ce compteur est la seule donnée que le produit crée lui-même à partir d'une adresse IP. Les journaux techniques de l'hébergeur en contiennent aussi, et sont décrits plus bas.

Le second limite à cinq le nombre de codes envoyés à une même adresse en une heure. Il enregistre, pour chaque code envoyé, une empreinte SHA-256 de l'adresse e-mail et l'heure de l'envoi. Ni l'adresse, ni le code ne sont enregistrés. Une empreinte n'est pas anonyme : elle reste rattachable à l'adresse dont elle est issue, et nous la traitons comme une donnée personnelle.

Base légale : l'intérêt légitime, à savoir la sécurité du service. Ces deux compteurs ne servent à aucun profilage, ne sont transmis à personne, et ne sont rapprochés ni de vos listes, ni de vos articles, ni des réservations.

Lorsque vous collez le lien d'un produit, nous lisons la page publique du marchand pour en extraire le titre, l'image et le prix, et nous conservons ce résultat quelque temps afin de ne pas interroger le marchand à chaque affichage. Ce cache contient des informations de catalogue, pas des données personnelles.

Base légale : l'exécution du contrat.

Trois cookies existent, et tous les trois sont strictement nécessaires au service que vous demandez. Ils sont donc exemptés de consentement au sens des lignes directrices de la CNIL, et aucune bannière ne vous les fait accepter.

• La session du propriétaire : déposée quand vous vous connectez, elle vous maintient authentifié. Cookie httpOnly, non accessible au code de la page.
• Le jeton d'invité d'une liste : déposé quand vous réservez un cadeau, il est propre à cette liste et sert uniquement à vous laisser revenir annuler votre réservation. Cookie httpOnly, valeur aléatoire, enregistrée côté serveur sous forme d'empreinte.
• La langue de l'interface (NEXT_LOCALE) : déposé quand vous choisissez le français ou l'anglais, il ne contient que ces deux lettres et sert à vous réafficher le site dans la langue que vous avez demandée. Première partie, conservé un an, aucun suivi et aucune lecture par un tiers.

• Aucune mesure d'audience, aucun outil de statistiques, aucun traceur publicitaire, aucun pixel de réseau social.
• Aucune publicité affichée sur le site.
• Aucune revente, location ou mise à disposition de vos données à un tiers à des fins commerciales.
• Aucun profilage et aucune décision automatisée produisant des effets juridiques à votre égard.
• Aucune indexation des pages de liste par les moteurs de recherche.

• Réservations et sessions d'invités : supprimées trente jours après la date de l'événement indiquée sur la liste. Si la liste n'a pas de date, elles sont supprimées au bout d'un an. La suppression est automatique, exécutée par une tâche programmée.
• Listes et articles : conservés tant que vous les gardez. Vous pouvez les supprimer à tout moment.
• Compte propriétaire : conservé jusqu'à la suppression du compte. Les sessions expirent d'elles-mêmes et les jetons de connexion à usage unique expirent en quelques minutes.
• Cache de lecture des pages produit : de quelques heures à quelques jours selon le marchand.
• Compteur par adresse IP : il s'efface de lui-même à la fin de sa fenêtre, une minute au maximum. Aucune tâche n'a à le supprimer, et il n'est pas enregistré dans notre base de données.
• Compteur par adresse e-mail : la tâche quotidienne supprime toute ligne dont l'envoi date de plus de 24 heures. Selon l'heure à laquelle la tâche passe, la durée réelle va donc jusqu'à environ 48 heures après le dernier code envoyé.
• Journaux techniques du serveur : tenus par l'hébergeur, ils contiennent l'adresse IP du visiteur, la date et l'adresse de la page demandée, pour la sécurité et le diagnostic. Cela vaut pour les propriétaires comme pour les invités. Douze mois au maximum. Nous ne les rapprochons ni d'un compte, ni d'une liste, ni d'une réservation.

La base de données est hébergée par Neon dans l'Union européenne, en Allemagne, région de Francfort. Les données de compte, de liste, d'article et de réservation ne quittent pas cette région.

L'application elle-même est hébergée par [À COMPLÉTER : nom, adresse et téléphone de l'hébergeur du site].

Trois prestataires techniques interviennent de façon limitée. Resend envoie les e-mails du produit et reçoit pour cela l'adresse du destinataire : la vôtre pour votre code de connexion, celle de la personne invitée lorsque vous invitez quelqu'un à co-gérer une liste. Microlink lit une page produit lorsqu'un marchand refuse notre propre lecture et ne reçoit que cette adresse de page. Upstash tient le compteur de connexion décrit plus haut et reçoit pour cela votre adresse IP et le nom de la route appelée, pour la durée du compteur et rien d'autre. Sa base est hébergée dans la région de Francfort (Allemagne), comme la nôtre. Aucun des trois ne reçoit le contenu de vos listes ni vos réservations.

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition, et de portabilité des données que vous nous avez fournies. Le droit d'opposition s'applique en particulier aux traitements fondés sur l'intérêt légitime, c'est-à-dire aux réservations d'invités.

Pour exercer un de ces droits, écrivez à [À COMPLÉTER : adresse e-mail de contact]. Nous répondons dans un délai d'un mois. Nous pouvons vous demander un élément permettant de vérifier qu'il s'agit bien de vous, sans conserver ce document au-delà de la vérification.

Si vous avez réservé un cadeau en tant qu'invité, le moyen le plus direct d'exercer votre droit d'effacement est d'annuler votre réservation depuis le lien de la liste : la ligne correspondante est supprimée.

Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

• Le service qui répond au propriétaire d'une liste n'a aucun droit de lecture sur la table des réservations, au niveau de la base de données elle-même. Un propriétaire ne peut donc pas apprendre qui a réservé ses cadeaux, même en cas d'erreur de programmation.
• Les jetons d'invités ne sont jamais stockés en clair : seule leur empreinte est conservée.
• Les cookies de session et de jeton d'invité sont httpOnly et transmis en HTTPS uniquement.
• L'adresse d'une liste est tirée au hasard sur une longueur qui la rend impossible à deviner, et n'est dérivée ni du titre, ni d'un numéro séquentiel.

Le service n'est pas destiné aux enfants de moins de quinze ans. Une liste peut concerner un enfant, mais elle est alors créée et tenue par un adulte, qui reste responsable de ce qu'il y écrit.

Cette politique peut évoluer si le service évolue. La date de dernière mise à jour figure en haut de la page. Un changement qui élargirait l'usage de vos données vous serait signalé avant d'être appliqué.