Politique de confidentialité

Dernière mise à jour : 18 août 2026

OcThauPuce accorde une importance particulière à la protection des données de ses clients — d'autant que le service repose sur des photographies de famille, qui représentent très souvent des enfants. Cette politique explique quelles données sont traitées, pourquoi, combien de temps, et quels sont vos droits.

1. Responsable du traitement

Cindy TALBI, entrepreneur individuel (enseigne « OcThauPuce ») 3 rue du Moulin à Huile, 34140 Mèze, France SIREN 913 093 985 E-mail : octhaupuce@gmail.com Téléphone : 07 67 98 99 71

Délégué à la protection des données (DPO) : aucun DPO n'a été désigné. Cette désignation n'est pas obligatoire ici : l'activité ne consiste pas en un suivi régulier et systématique à grande échelle de personnes, ni en un traitement à grande échelle de données sensibles (article 37 du RGPD). Toute question relative aux données personnelles peut être adressée à l'adresse ci-dessus.

2. Données que nous traitons

2.1 Compte et session

Un identifiant de compte Firebase (uid), y compris pour une session invitée (anonyme) : le service peut être utilisé sans créer de compte, un identifiant technique étant alors attribué au navigateur.
Si vous créez un compte : votre adresse e-mail et, selon le mode de connexion choisi (Google, Apple, Facebook, lien par e-mail), les informations minimales transmises par ce fournisseur. Une adresse « Se connecter avec Apple » peut être une adresse relais privée ; nous la traitons comme toute autre.

2.2 Commande

Le nom que vous indiquez pour la remise du badge ;
votre numéro de téléphone, lorsqu'il est nécessaire (paiement au retrait, ou livraison en point relais) ;
le point relais que vous choisissez (adresse publique du commerçant, jamais la vôtre) ;
le message libre que vous pouvez joindre à votre commande ;
le détail de la commande, son montant, son statut, son numéro de suivi.

Nous ne demandons ni ne conservons aucune adresse postale personnelle. Le colis est adressé au point relais, ce qui est un choix de conception délibéré.

2.3 Photographies et badges

La photographie que vous téléversez ;
les images qui en sont dérivées : aperçu de cadrage, visuel circulaire final, vignette, fichier d'impression ;
les caractéristiques techniques calculées (zone du sujet, dimensions, qualité).

Une photographie de personne est une donnée à caractère personnel. Elle n'est une donnée sensible au sens de l'article 9 du RGPD que si elle est traitée pour identifier une personne de façon unique (biométrie), ce qui n'est pas le cas ici : le service utilise une détection automatique du sujet principal de l'image, sans reconnaissance faciale ni identification de personnes. Aucune donnée biométrique n'est produite ni conservée.

2.4 Notifications

Le jeton de notification de votre navigateur (Firebase Cloud Messaging) et la langue d'affichage, si vous acceptez d'être prévenu lorsque votre commande est prête. L'autorisation est demandée par votre navigateur et peut être retirée à tout moment dans ses réglages.

2.5 Données techniques

Journaux de connexion et de fonctionnement du service (adresse IP, horodatage, type de requête, codes d'erreur), produits par l'hébergeur et nécessaires à la sécurité et au diagnostic ;
un journal d'activité interne de votre commande (étapes de fabrication), destiné au suivi.

2.6 Paiement

Le paiement par carte est traité par SumUp. Nous ne recevons ni ne conservons aucune donnée de carte bancaire. Nous conservons uniquement la référence de la transaction, son statut et son montant.

3. Finalités et bases légales

Finalité	Données	Base légale (RGPD)
Créer et maintenir votre session / votre compte	identifiant, e-mail	Exécution du contrat — art. 6.1.b
Créer le badge à partir de votre photographie	photographie, images dérivées	Exécution du contrat — art. 6.1.b
Traiter, fabriquer et remettre votre commande	nom, téléphone, commande, point relais, message	Exécution du contrat — art. 6.1.b
Encaisser le paiement	référence de transaction, montant	Exécution du contrat — art. 6.1.b
Vous prévenir que votre commande est prête (notification web)	jeton de notification, langue	Consentement — art. 6.1.a (autorisation du navigateur)
Assurer la sécurité, prévenir la fraude et l'abus (quotas d'envoi)	journaux, identifiant	Intérêt légitime — art. 6.1.f
Répondre à vos réclamations, gérer un litige	données de commande	Intérêt légitime — art. 6.1.f
Respecter nos obligations comptables et fiscales	données de facturation	Obligation légale — art. 6.1.c

Aucune donnée n'est utilisée à des fins de prospection commerciale, de profilage ou de publicité. Aucune décision automatisée produisant des effets juridiques n'est mise en œuvre.

4. Durées de conservation

Donnée	Durée	Comment
Photographie d'origine téléversée et images intermédiaires	14 jours maximum	Suppression automatique des fichiers par l'hébergement (règle de cycle de vie) ; une création non terminée est également purgée au bout de 14 jours par un traitement automatique
Badge terminé (visuel circulaire, vignette)	Tant que vous le conservez dans votre espace	Vous pouvez le supprimer à tout moment depuis l'application ; la suppression efface aussi les fichiers associés
Compte et profil (nom, téléphone, favoris)	Tant que le compte existe	Supprimé sur demande à tout moment (voir §7). Aucune suppression automatique pour inactivité n'est pratiquée à ce jour
Commandes et pièces comptables	10 ans à compter de la clôture de l'exercice	Obligation légale (art. L. 123-22 du code de commerce)
Journaux techniques	12 mois
Jeton de notification	Jusqu'au retrait de l'autorisation ou à son invalidation par le navigateur

5. Destinataires et sous-traitants

Vos données ne sont ni vendues, ni louées, ni cédées. Elles sont accessibles :

au personnel de la boutique, pour fabriquer et remettre votre commande ;
aux prestataires techniques suivants, agissant en qualité de sous-traitants :

Prestataire	Rôle	Localisation des traitements
Google Ireland Limited / Google Cloud (Firebase Authentication, Firestore, Cloud Storage, Cloud Run, Firebase Hosting, Firebase Cloud Messaging)	Hébergement, authentification, base de données, stockage des images, notifications	Base de données et fichiers : europe-west9 (Paris) ; files de traitement : europe-west1 (Belgique) ; diffusion des pages : réseau mondial. Certaines fonctions d'authentification et de notification peuvent impliquer des traitements hors UE.
SumUp	Paiement en ligne par carte	SumUp Limited, Block 8, Harcourt Centre, Charlotte Way, Dublin 2, D02 K580, Irlande — établissement

agréé et supervisé par la Banque centrale d'Irlande. |

Boxtal et les transporteurs qu'il met en relation (Mondial Relay, Colis Privé)

Expédition en point relais

France / Union européenne

Transferts hors Union européenne : certains traitements réalisés par Google peuvent donner lieu à un transfert vers les États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification de Google au EU-U.S. Data Privacy Framework.

6. Photographies de mineurs

Les badges sont très souvent réalisés à partir de photographies d'enfants. La personne qui téléverse une photographie doit être titulaire de l'autorité parentale sur l'enfant représenté, ou avoir obtenu son accord. En téléversant une photographie, vous déclarez disposer de cette autorisation.

En France, la « majorité numérique » est fixée à 15 ans (article 45 de la loi n° 78-17 du 6 janvier 1978 modifiée) : en dessous de cet âge, un traitement fondé sur le consentement requiert l'accord conjoint du mineur et de son représentant légal. Le service n'est pas destiné aux mineurs de moins de 15 ans agissant seuls.

Les photographies transmises ne sont jamais publiées, ni utilisées à des fins de promotion, ni partagées avec des tiers autres que les prestataires techniques listés à l'article 5. À la demande d'un titulaire de l'autorité parentale, toute image représentant son enfant est supprimée sans délai.

7. Sécurité

Aucune image ne transite par nos serveurs applicatifs sans authentification : les envois se font directement vers un espace de stockage privé, au moyen d'un lien signé à usage unique, de courte durée, limité en taille et en type de fichier.
Les espaces de stockage sont privés, l'accès public y est bloqué.
Les règles d'accès à la base de données restreignent la lecture de vos images et de vos commandes à votre seul compte.
Les échanges sont chiffrés en transit (HTTPS/TLS) et les données sont chiffrées au repos par l'hébergeur.

8. Vos droits

Conformément au RGPD (articles 15 à 22) et à la loi « Informatique et Libertés », vous disposez des droits suivants : accès, rectification, effacement, limitation, opposition, portabilité, et du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci. Vous pouvez également définir des directives relatives au sort de vos données après votre décès.

Certains de ces droits s'exercent directement dans l'application : suppression d'un badge, suppression de votre compte, désactivation des notifications.

Pour toute autre demande, écrivez à octhaupuce@gmail.com ou à 3 rue du Moulin à Huile, 34140 Mèze. Une réponse vous sera apportée dans un délai d'un mois. Il pourra vous être demandé de justifier de votre identité en cas de doute raisonnable.

Vous pouvez introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — <https://www.cnil.fr/fr/plaintes>

9. Cookies et traceurs

Voir la politique relative aux cookies et traceurs (cookies.md).

10. Modifications

Cette politique peut être modifiée pour tenir compte d'évolutions légales ou techniques. La version applicable est celle publiée sur le site à la date de votre visite.