Politique de confidentialité

Politique de confidentialité

Version 1.1, applicable à compter de sa publication sur le Site. En cas de divergence entre les versions linguistiques, la version polonaise prévaut.

1. Responsable du traitement

Le responsable du traitement des données personnelles des utilisateurs du site Top Change (topchangemagic.com) est Mighty Little Steps spółka z ograniczoną odpowiedzialnością, ul. Gospodarcza 26, 20-213 Lublin, Pologne, KRS 0001108348, NIP 9462741095 (l'« Opérateur » ou « nous »). Pour toute question relative aux données personnelles, écrivez à contact@topchangemagic.com. L'Opérateur n'a pas désigné de délégué à la protection des données.

2. Origine des données

• de vous : lors de l'inscription, du remplissage du profil, de la demande de vérification de vendeur, de la publication d'annonces, de l'envoi de messages, des enchères, des évaluations, des signalements et des recours ;
• de votre compte Google, si vous vous connectez avec Google : adresse e-mail, nom et identifiant de compte ;
• d'autres utilisateurs : messages qui vous sont adressés, évaluations, signalements concernant vos contenus ;
• automatiquement de votre navigateur : adresse IP, données du navigateur et de l'appareil, horodatage des événements.

Si vous signalez un contenu sans compte, nous traitons l'adresse e-mail fournie et le contenu du signalement.

3. Données traitées

• données de compte : adresse e-mail, mot de passe (uniquement sous forme de hachage), nom d'utilisateur, nom affiché, pays, ville, présentation, liens vers les réseaux sociaux, langue, devise, paramètres de notification, clé de connexion à deux facteurs (chiffrée) ;
• données de vérification du vendeur : description, liens de profils, date et notes de l'appel, décision (visibles uniquement par l'Opérateur) ;
• contenus : annonces, photos (les métadonnées, y compris la localisation, sont supprimées avant l'enregistrement), messages, évaluations, signalements, recours ;
• données de transaction : déclarations d'achat, enchères et leurs montants, propositions de prix, statuts, dates, avertissements et décisions de modération ;
• données techniques : adresse IP et données du navigateur sous forme de hachage salé (uniquement pour détecter des comptes liés lors des enchères et les abus), journaux d'erreurs de l'application, journal des actions de l'administrateur ;
• consentements et acceptations : version et date d'acceptation des Conditions et de la Politique de confidentialité, déclaration de majorité, déclaration de vendeur particulier.

Nous ne collectons aucune donnée de carte bancaire ni de compte bancaire : les paiements ont lieu en dehors du Site.

4. Finalités et bases juridiques

| Finalité | Base juridique (RGPD) | | --- | --- | | Création et tenue du compte, publication d'annonces, messagerie, enchères, transactions, évaluations, notifications sur vos affaires | art. 6, par. 1, b) – exécution du contrat | | Vérification des vendeurs, détection des fraudes et des comptes liés, limites des nouveaux comptes, avertissements | art. 6, par. 1, f) – intérêt légitime de l'Opérateur et des utilisateurs (sécurité des échanges) | | Traitement des signalements et recours, motivation des décisions, point de contact, journal de modération | art. 6, par. 1, c) – obligations du règlement (UE) 2022/2065 (DSA) | | Assistant de publication et traductions automatiques (descriptions et photos d'annonces uniquement) | art. 6, par. 1, b) – exécution du contrat, à votre demande | | Notifications par e-mail autres que nécessaires (enchères suivies, recherches enregistrées, etc.) | art. 6, par. 1, a) – consentement donné dans les paramètres, révocable à tout moment | | E-mail de bienvenue et informations sur les modifications des Conditions ou du Site | art. 6, par. 1, b) – exécution du contrat | | Statistiques de fréquentation (sans cookies, sans identification des personnes), suivi des erreurs, sauvegardes, sécurité | art. 6, par. 1, f) – intérêt légitime | | Traitement des réclamations, défense et exercice de droits | art. 6, par. 1, f) – intérêt légitime | | Communication aux autorités et obligations déclaratives si la loi les impose à l'Opérateur (par ex. déclaration des plateformes numériques) | art. 6, par. 1, c) – obligation légale |

La fourniture des données de compte est volontaire mais indispensable à la création d'un compte. Si les règles relatives aux déclarations des opérateurs de plateformes numériques (DAC7) venaient à s'appliquer à l'Opérateur, nous demanderions séparément aux vendeurs les données supplémentaires exigées par la loi et en expliquerions la portée avant de les collecter.

5. Destinataires et sous-traitants

Autres utilisateurs. Sont publics : le nom d'utilisateur et le nom affiché, le pays, la ville, la présentation, les liens, le badge de vérification, les évaluations et leurs réponses, les annonces avec photos et l'historique anonymisé des enchères. L'autre partie à une transaction voit en outre vos messages et ce que vous y écrivez (par ex. une adresse de livraison). Votre adresse e-mail n'est pas montrée aux autres utilisateurs.

Sous-traitants agissant pour notre compte, dans le cadre de contrats de sous-traitance :

• Supabase (base de données, connexion, stockage des photos ; serveurs dans la région de Francfort, UE) ;
• Vercel (hébergement de l'application ; fonctions exécutées dans la région de Francfort) ;
• Resend (envoi d'e-mails ; région UE) ;
• Cloudflare (DNS, protection anti-robots Turnstile, routage du courrier entrant) ;
• Anthropic (modèle d'IA pour l'assistant de publication et les traductions ; ne reçoit que les descriptions et photos d'annonces, jamais les messages ni les données de compte ; le fournisseur n'utilise pas ces contenus pour entraîner ses modèles) ;
• Sentry (suivi des erreurs ; région UE) ;
• Plausible (statistiques de fréquentation sans cookies ; UE).

Google est responsable indépendant des données traitées lors de la connexion avec Google, selon sa propre politique de confidentialité.

Les autorités publiques ne reçoivent des données que sur le fondement de la loi, sur demande valable.

6. Transferts hors de l'Espace économique européen

Les données sont stockées dans l'Union européenne. Certains prestataires (Vercel, Cloudflare, Anthropic, Sentry, Google) sont établis aux États-Unis ; les transferts vers eux reposent sur la décision d'adéquation de la Commission européenne (EU-U.S. Data Privacy Framework) pour les prestataires certifiés et, à défaut, sur les clauses contractuelles types adoptées par la Commission européenne. Vous pouvez obtenir une copie des garanties en écrivant au point de contact.

7. Durées de conservation

• compte et profil : jusqu'à la suppression du compte ; le profil est ensuite anonymisé et vos annonces, messages et évaluations ne restent visibles pour l'autre partie, sans lien avec votre identité, que dans la mesure nécessaire à la clôture des affaires en cours ;
• enregistrements des transactions, déclarations et enchères, décisions de modération, avertissements et preuves d'acceptation des documents : 6 ans à compter de la fin de l'année de leur création (délai de prescription), sous forme anonymisée après suppression du compte ;
• signalements et recours avec la correspondance : 3 ans après la clôture ;
• données de vérification du vendeur (description, liens, notes d'appel) : jusqu'à la suppression du compte ;
• données techniques, hachages d'adresses et de navigateurs, journaux d'erreurs : 12 mois ;
• journal des actions de l'administrateur : 6 ans ;
• sauvegardes de la base de données : jusqu'à 7 jours.

8. Vos droits

Vous avez le droit d'accéder à vos données et d'en obtenir copie, de les faire rectifier ou effacer, de limiter le traitement, à la portabilité (un export JSON est disponible dans les paramètres du compte), de vous opposer au traitement fondé sur l'intérêt légitime et de retirer votre consentement à tout moment sans affecter la licéité du traitement antérieur. Adressez vos demandes au point de contact ; nous répondons sous un mois.

Vous pouvez introduire une réclamation auprès d'une autorité de contrôle : le Président de l'Office polonais de protection des données personnelles (Prezes UODO), ul. Stawki 2, 00-193 Varsovie, Pologne (uodo.gov.pl), ou l'autorité de contrôle du pays de votre résidence habituelle (en France, la CNIL).

9. Décisions automatisées

La restriction d'un compte après dépassement du seuil d'avertissements et les limites temporaires des nouveaux comptes sont des décisions prises automatiquement sur la base des événements de vos transactions. Elles sont nécessaires à l'exécution du contrat (sécurité des échanges entre utilisateurs). Vous êtes informé de chaque décision, pouvez exprimer votre point de vue et faire appel auprès d'un humain dans l'onglet « État du compte ». Les signaux automatiques relatifs aux contenus ou aux enchères suspectes ne masquent jamais à eux seuls un contenu ni ne bloquent un compte – la décision revient à un humain. Nous ne profilons pas les utilisateurs à des fins de marketing.

10. Sécurité

Les données transitent par une connexion chiffrée, les mots de passe ne sont conservés que sous forme de hachage, l'accès aux données de la base est restreint au niveau des lignes et les comptes administrateurs exigent une connexion à deux facteurs. Vous pouvez aussi activer la connexion à deux facteurs pour votre compte.

11. Mineurs

Le Site est réservé aux personnes majeures. Si nous apprenons qu'un compte appartient à un mineur, nous le supprimons.

12. Cookies

L'utilisation des cookies et mécanismes similaires est décrite dans la Politique relative aux cookies.

13. Modifications

Les modifications de la présente Politique sont publiées sur le Site avec un numéro de version et une date ; nous vous informons par e-mail des modifications importantes.