KidsConfetti
FR DE IT EN

Déclaration de protection des données de KidsConfetti

Version du [DATE] · Version française (texte faisant foi)

Cette déclaration explique quelles données personnelles KidsConfetti traite, pourquoi, à qui elles sont communiquées, combien de temps elles sont conservées et quels sont vos droits. Elle se fonde sur la loi fédérale sur la protection des données (LPD, en vigueur depuis le 1er septembre 2023) et son ordonnance (OPDo).

En bref : nous traitons le minimum de données nécessaire. Votre demande n'est envoyée qu'aux prestataires que vous choisissez, et seulement après votre confirmation par e-mail. Nous n'utilisons ni publicité, ni outils de suivi, ni cookies publicitaires, nous ne vendons aucune donnée. Le site et les données sont hébergés en Suisse. Les demandes sont supprimées après 24 mois.

1. Responsable du traitement

[NOM], entreprise individuelle « KidsConfetti », [ADRESSE], [NPA] Lausanne, Suisse
E-mail : hello@kidsconfetti.ch

Pour toute question sur la protection des données ou pour exercer vos droits, écrivez à cette adresse. Nous n'avons pas désigné de conseiller à la protection des données.

2. Quelles données traitons-nous, et pourquoi ?

2.1 Visite du site

  • Journaux techniques du serveur : lors de chaque visite, notre hébergeur enregistre automatiquement des données techniques (adresse IP, date et heure, page demandée, navigateur, code de réponse). Finalité : fonctionnement, sécurité, détection d'abus. Durée : [X jours – à vérifier auprès d'Infomaniak], puis suppression automatique.
  • Statistiques internes : nous comptons les vues de fiches et les clics vers les prestataires. L'adresse IP n'est jamais stockée en clair : elle est remplacée par une empreinte chiffrée à l'aide d'une clé secrète (HMAC ; pour IPv6, seul le préfixe réseau est utilisé). Finalité : savoir quelles fiches sont utiles, montrer aux prestataires des statistiques agrégées, détecter les abus. Durée : 24 mois.
  • Protection contre les abus : pour limiter le nombre de demandes, nous conservons brièvement une empreinte chiffrée de l'adresse IP et de l'adresse e-mail. Durée : 24 heures au maximum.
  • [Si activé] Contrôle anti-robots Cloudflare Turnstile : le formulaire de demande peut être protégé par Cloudflare Turnstile, qui analyse des données techniques du navigateur (dont l'adresse IP) pour distinguer humains et robots. Voir ch. 4 et 5.

2.2 Cookies

Nous utilisons un seul cookie technique (cookie de session) nécessaire pour sécuriser les formulaires (protection CSRF). Il est supprimé à la fermeture du navigateur ou après une courte période. Nous n'utilisons aucun cookie publicitaire, de mesure d'audience tiers ou de réseaux sociaux. [Si Turnstile est activé : Cloudflare peut utiliser des mécanismes techniques strictement nécessaires au contrôle anti-robots.]

2.3 Demandes des parents

Lorsque vous envoyez une demande, nous traitons :

  • votre nom, votre adresse e-mail et, si vous l'indiquez, votre numéro de téléphone ;
  • les détails de la fête : date, moment, localité, âge de l'enfant, nombre d'enfants, budget et votre message (tous facultatifs sauf date, moment et localité) ;
  • les prestataires choisis, la référence de la demande, la date d'envoi et une empreinte chiffrée de l'adresse IP (prévention des abus).

Finalités : vérifier que la demande vient bien de vous (confirmation par e-mail), la transmettre aux prestataires que vous avez choisis pour qu'ils vous répondent, vous envoyer un accusé de réception, pouvoir vous aider si un prestataire ne répond pas, prévenir les abus et établir des statistiques anonymisées.

Données concernant votre enfant : nous ne demandons ni le nom ni la photo de l'enfant, seulement son âge et le nombre d'enfants. N'indiquez pas d'informations de santé dans le message, sauf si c'est nécessaire (par exemple une allergie importante). Si vous le faites, vous consentez expressément à ce que cette information soit transmise aux prestataires choisis, uniquement pour préparer la fête. Vous pouvez retirer ce consentement à tout moment pour l'avenir (les prestataires ayant déjà reçu la demande doivent alors être contactés directement).

Transmission : rien n'est envoyé aux prestataires avant votre confirmation par le lien reçu par e-mail. Après confirmation, votre demande (y compris vos nom, e-mail et téléphone) est envoyée uniquement aux prestataires choisis, à l'adresse e-mail qu'ils ont indiquée ou, pour une fiche non revendiquée, à l'adresse e-mail professionnelle publiée sur leur site. Votre adresse e-mail est indiquée comme adresse de réponse pour qu'ils puissent vous répondre directement. KidsConfetti reçoit une notification interne contenant la date, la localité, l'âge, le nombre d'enfants et les prestataires choisis (sans vos coordonnées).

Responsabilité des prestataires : dès réception, chaque prestataire traite vos données sous sa propre responsabilité (responsable indépendant) et selon sa propre déclaration de protection des données. Nos conditions leur interdisent d'utiliser vos données pour de la publicité sans votre consentement.

Durée : une demande non confirmée est supprimée après 7 jours. Une demande confirmée est supprimée après 24 mois (pour pouvoir traiter des questions, réclamations ou abus liés à la demande). Les e-mails déjà envoyés aux prestataires restent dans leurs boîtes de réception, sous leur responsabilité.

2.4 Contact avec nous

Si vous nous écrivez (e-mail, signalement d'erreur), nous traitons vos coordonnées et le contenu du message pour vous répondre. Durée : tant que nécessaire pour traiter votre demande, au maximum 24 mois, sauf obligation légale de conservation.

2.5 Prestataires

  • Fiches non revendiquées : elles contiennent uniquement des informations professionnelles que le prestataire a lui-même rendues publiques, en général sur son site internet : nom commercial, catégorie, localité, site web, adresse e-mail et téléphone professionnels, offre et prix publiés, ainsi que la source et la date de vérification. Ces données peuvent concerner une personne physique (par exemple un indépendant). Finalité : présenter aux parents l'offre régionale et leur permettre de contacter le prestataire. Ce traitement repose sur notre intérêt prépondérant et celui des parents à disposer d'un aperçu de l'offre, et porte sur des données que la personne a rendues accessibles à tout un chacun (art. 30 al. 3 et 31 al. 1 LPD). Le prestataire peut s'y opposer à tout moment : nous supprimons alors la fiche (voir ch. 7).
  • Désinscription : chaque e-mail envoyé à un prestataire contient un lien de désinscription. Pour respecter ce choix durablement, nous conservons une empreinte chiffrée (hachage) de l'adresse e-mail, sans l'adresse en clair, aussi longtemps que nécessaire pour ne plus envoyer de messages.
  • Fiches revendiquées et comptes : adresse e-mail professionnelle, contenus publiés (textes, photos), historique des demandes reçues, liens de connexion à usage unique (valables une heure, supprimés 7 jours après expiration), journal de sécurité (24 mois).
  • Offres payantes : nom ou raison sociale, adresse de facturation, e-mail, offre choisie, historique des paiements et factures. Les données de carte ou TWINT sont traitées directement par Stripe ; KidsConfetti n'a pas accès aux données complètes de carte. Les pièces comptables sont conservées 10 ans (art. 958f CO).

3. Pas de profilage, pas de publicité

Nous ne procédons à aucun profilage, à aucune décision individuelle automatisée (art. 21 LPD), à aucune publicité ciblée et à aucun suivi entre sites. Nous ne vendons ni ne louons aucune donnée. Nous n'envoyons pas de newsletter sans votre consentement exprès.

4. Destinataires

Vos données ne sont communiquées qu'aux destinataires suivants, et uniquement dans la mesure nécessaire :

  • Prestataires choisis par vous (ch. 2.3), en tant que responsables indépendants ;
  • Infomaniak Network SA, Genève (Suisse) : hébergement du site, de la base de données et service d'e-mail, en tant que sous-traitant ; les données sont stockées en Suisse ;
  • Stripe (Stripe Payments Europe Ltd., Irlande, et sociétés du groupe Stripe, notamment aux États-Unis) : traitement des paiements des prestataires, comme sous-traitant et, pour la prévention de la fraude et ses obligations légales, comme responsable indépendant ;
  • [Si activé] Cloudflare, Inc. (États-Unis) : contrôle anti-robots Turnstile ;
  • conseillers soumis au secret (fiduciaire, avocat) si nécessaire ; autorités lorsque la loi nous y oblige ; en cas de reprise de la Plateforme, le successeur, qui serait lié par la présente déclaration.

Nos sous-traitants sont tenus contractuellement de traiter les données uniquement selon nos instructions et de les protéger de manière appropriée.

5. Communication à l'étranger

Les données de la Plateforme sont hébergées en Suisse. Des données peuvent être communiquées à l'étranger uniquement dans les cas suivants :

  • Stripe (paiements des prestataires) : Irlande (UE, niveau de protection adéquat reconnu par le Conseil fédéral) et États-Unis, où Stripe, Inc. est certifiée selon le Swiss-U.S. Data Privacy Framework, reconnu comme adéquat par le Conseil fédéral depuis le 15 septembre 2024 ; à défaut, sur la base de clauses contractuelles types reconnues par le PFPDT ;
  • [Si activé] Cloudflare : États-Unis, sur la même base ;
  • un prestataire situé hors de Suisse, si vous le choisissez : la transmission est alors nécessaire à la conclusion ou à l'exécution d'un contrat dans votre intérêt (art. 17 al. 1 let. b LPD).

6. Sécurité

Nous prenons des mesures techniques et organisationnelles appropriées : connexion chiffrée (HTTPS), hébergement en Suisse, accès administrateur protégé par double authentification, liens de connexion à usage unique, empreintes chiffrées au lieu d'adresses IP en clair, limitation des accès, suppression automatique selon les durées indiquées. Aucune transmission sur internet n'est toutefois totalement sûre. En cas de violation de la sécurité des données présentant un risque élevé, nous informons le PFPDT et, si nécessaire, les personnes concernées (art. 24 LPD).

7. Vos droits

Vous pouvez en tout temps, gratuitement et sans justification particulière :

  • demander si nous traitons des données vous concernant et en obtenir une copie (droit d'accès, art. 25 LPD) ; nous répondons en principe dans les 30 jours ;
  • faire rectifier des données inexactes ;
  • demander la suppression de vos données ou vous opposer à un traitement, sous réserve des obligations légales de conservation (par exemple les pièces comptables) ;
  • recevoir les données que vous nous avez fournies dans un format courant (portabilité, art. 28 LPD) ;
  • retirer un consentement pour l'avenir.

Pour cela, écrivez à hello@kidsconfetti.ch. Nous pouvons demander une preuve d'identité raisonnable (par exemple répondre depuis l'adresse e-mail concernée) pour éviter qu'un tiers obtienne vos données. Pour les données que les prestataires ont reçues avec votre demande, adressez-vous directement à eux ; nous vous aidons volontiers à les identifier.

Vous pouvez également déposer une dénonciation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, www.edoeb.admin.ch.

8. Enfants

La Plateforme s'adresse aux adultes (parents et professionnels). Nous ne collectons pas sciemment de données directement auprès d'enfants. Si un enfant nous a transmis des données, contactez-nous pour qu'elles soient supprimées.

9. Modifications

Nous pouvons adapter cette déclaration lorsque la Plateforme ou la loi évolue (par exemple lors de l'activation des paiements). La version en vigueur est publiée sur le site avec sa date. Les modifications importantes sont signalées aux prestataires inscrits par e-mail.

10. Langues

Cette déclaration existe en français, allemand, italien et anglais. En cas de divergence, la version française fait foi.

[NOM], [ADRESSE] – KidsConfetti – hello@kidsconfetti.ch – Version du [DATE]