Politique de confidentialité

1. Qui est responsable de vos données ?

PocTag est le nom commercial de François-Xavier Chamant, entrepreneur individuel, SIREN 400 070 900, RCS Paris. Adresse : 138 avenue Victor Hugo, 75116 Paris.

Pour toute question sur vos données ou pour exercer vos droits : infos@poctag.com. Vous pouvez également écrire à l’adresse postale ci-dessus. Aucun compte PocTag n’est nécessaire pour nous contacter.

2. Pourquoi utilisons-nous vos données ?

Nous utilisons les données nécessaires aux fonctions que vous demandez. Les champs obligatoires sont indiqués lors de la collecte ; sans eux, la demande correspondante ne peut pas être traitée.

• Compte et sécurité : identité, e-mail, empreinte sécurisée du mot de passe, sessions et événements de connexion, pour fournir le service et protéger les comptes (contrat et intérêt légitime de sécurité).
• Fiches, brouillons, médias et supports : informations saisies, photos, réglages de visibilité et associations aux PocTags, pour exécuter le service. Les brouillons ne sont pas publiés automatiquement.
• Contacts et restitution d’objet : coordonnées et message volontaire du visiteur, transmis au titulaire et, lorsqu’il l’a configuré, au destinataire supplémentaire. Cette mise en relation repose sur l’intérêt légitime à permettre le contact ou la restitution demandée. Le message n’est pas publié sur la fiche.
• Localisation facultative : position ponctuelle et éventuel message associé, après les actions et le consentement explicites du visiteur. Aucune localisation continue.
• Commandes, accès payants, livraison et support : coordonnées, panier, commande, adresse postale et références de paiement, pour préparer et exécuter le contrat. Les pièces comptables et fiscales sont conservées au titre des obligations légales.
• Concours et partenariats : informations nécessaires à la participation ou à la relation demandée, sur une base contractuelle ou précontractuelle, selon leurs règles propres. Les candidatures ambassadeurs sont détaillées ci-dessous.
• Continuité et sécurité : journaux minimisés, alertes, sauvegardes et preuve technique des effacements, sur la base de l’intérêt légitime à protéger et restaurer le service sans réintroduire les données effacées.

Ne renseignez pas de données sensibles dans les réponses libres. Les candidatures ne sont pas utilisées pour une newsletter, une prospection automatique, une revente ou une décision entièrement automatisée.

3. Candidatures ambassadeurs

Le questionnaire recueille votre nom et prénom, votre adresse e-mail et sept réponses concernant votre profil, les usages envisagés, les supports, votre motivation, l’activation et vos retours d’expérience. Ces champs sont nécessaires à l’examen de la candidature. Aucun compte client n’est requis.

Votre démarche volontaire vise un éventuel partenariat avec PocTag : un Pack Trio et six mois d’accès offerts. Le traitement permet d’étudier votre candidature et de vous recontacter si vous êtes sélectionné, au titre des mesures précontractuelles prises à votre demande. Xavier sélectionne manuellement cinq ambassadeurs. Un statut de suivi et des notes internes complètent le dossier.

Seul Xavier, exploitant habilité, accède aux réponses dans l’Atelier. L’hébergeur intervient techniquement pour les conserver et les sauvegarder. Elles ne sont jamais publiées sur les fiches ni transmises à Stripe, à La Poste ou à Google Maps du seul fait de la candidature.

Le nom, l’e-mail, les réponses, les notes et le dossier de candidature sont supprimés six mois calendaires après réception, quel que soit le statut. Changer le statut ou les notes ne prolonge pas ce délai. Vous pouvez aussi demander un effacement anticipé. Les copies de sauvegarde suivent les règles de la section 7.

Une proposition éventuelle de partenariat est envoyée séparément par Xavier. Candidater ne crée ni compte, ni cadeau, ni abonnement. Supprimer la candidature ne supprime pas un compte, une commande, un cadeau ou un partenariat déjà établi : ces dossiers restent distincts.

Un journal technique de suppression est conservé 90 jours dans la base active : identifiants techniques du dossier et de sa demande, campagne, date, motif technique et échéance du journal. Il ne contient ni nom, ni e-mail, ni réponses, ni notes, ni adresse IP. Ces identifiants sont pseudonymisés, pas anonymes. Ce journal permet de réappliquer les effacements lors d’une restauration contrôlée. Ses copies de sauvegarde suivent elles aussi la section 7.

4. Fiches publiques et informations de tiers

Les informations autorisées à être visibles sont accessibles aux visiteurs du lien, du QR code ou du NFC. Vérifiez l’aperçu et les choix de visibilité avant publication. Les choix proposés peuvent varier selon le modèle. Le titulaire peut modifier les contenus et leur visibilité.

Si vous créez une fiche concernant un tiers, vous devez disposer de l’autorisation nécessaire et lui communiquer cette information avant publication. La source des informations est le titulaire qui les saisit. Pour un enfant ou une personne vulnérable, vérifiez l’autorité et l’intérêt de la personne concernée avant toute publication.

La personne concernée peut contacter PocTag pour exercer ses droits, sans créer de compte. Ne publiez pas d’information que vous souhaitez garder privée.

5. Qui peut recevoir vos données ?

Selon la fonction utilisée, les destinataires sont le titulaire du compte, son destinataire supplémentaire configuré, les visiteurs pour les seuls champs publics, les opérateurs PocTag habilités et les autorités légalement autorisées. Les prestataires interviennent uniquement pour les fonctions concernées :

• o2switch : hébergement des comptes, fiches, photos, commandes et candidatures ; acheminement des e-mails ; journaux et sauvegardes de l’hébergement.
• Stripe : e-mail client, références techniques de compte, commande et paiement, articles, montants et devise. Les informations de carte et les données techniques nécessaires au paiement sont traitées sur le service Stripe. Les réponses de candidature et les contenus libres des fiches ne sont pas envoyés à Stripe.
• La Poste : coordonnées nécessaires à l’acheminement du courrier ou du colis ; le suivi technique PocTag transmet le numéro de suivi à l’API La Poste, sans y ajouter les réponses de candidature ou les contenus de fiche.
• Google Maps : si un lien de localisation est ouvert, les coordonnées contenues dans l’URL et des données de connexion, dont l’adresse IP, sont transmises à Google. Un outil de sécurité de messagerie peut aussi analyser le lien. PocTag n’intègre pas de carte ou de SDK Google dans ce parcours. Google est responsable de ses propres traitements.

Les sauvegardes NAS UGREEN et l’impression Brother sont utilisées comme équipements contrôlés par l’exploitant. Aucun cloud de ces fabricants n’est utilisé pour ce circuit. Les e-mails envoyés passent également par le prestataire de messagerie de leur destinataire ; leur conservation dans sa boîte ne dépend pas de PocTag.

6. Hébergement et transferts hors de l’EEE

L’hébergement principal o2switch se situe en France. Ses obligations de sous-traitant sont décrites dans ses conditions contractuelles. La localisation de cet hébergement ne signifie pas que tous les destinataires externes traitent les données uniquement en France.

Stripe prévoit des transferts vers Stripe, LLC aux États-Unis et vers ses prestataires dans d’autres pays. Son accord de traitement et son avenant sur les transferts prévoient le cadre UE–États-Unis de protection des données lorsqu’il s’applique, puis les clauses contractuelles types européennes selon les conditions de cet avenant. Les services européens et américains peuvent avoir des rôles distincts de responsable de traitement ou de sous-traitant.

La Poste indique effectuer ses traitements dans l’Union européenne et pouvoir recourir, pour certaines prestations de service clients ou de maintenance, à des sous-traitants hors UE/EEE, avec clauses contractuelles types ou règles d’entreprise contraignantes. Les pays effectivement concernés par un envoi dépendent du service et de ses intervenants ; ils ne sont pas identifiés individuellement dans la documentation consultée. Voir les informations Colissimo et la politique La Poste.

Google traite des informations sur des serveurs dans plusieurs pays, notamment aux États-Unis. Google publie les cadres applicables à ses transferts : décisions d’adéquation, cadre UE–États-Unis pour Google LLC et clauses contractuelles types selon le transfert. Ce service reste facultatif et distinct de PocTag.

Ces garanties s’appliquent selon le destinataire et le traitement concernés ; elles ne constituent pas une promesse que toutes les données restent dans l’EEE. Pour obtenir des informations sur les garanties applicables à votre situation, contactez infos@poctag.com.

7. Combien de temps conservons-nous les données ?

La conservation dépend de la finalité. Les règles ci-dessous n’impliquent pas une suppression automatique et instantanée de chaque copie : certains traitements nécessitent une intervention de l’exploitant, et les sauvegardes ont leur propre cycle.

• Candidatures : six mois calendaires après réception. Journal technique des effacements : 90 jours en base active.
• Compte, fiches et brouillons : pendant la relation de service ou jusqu’à leur suppression demandée, sous réserve des données indispensables à une obligation légale ou à un litige. Le délai de deux ans d’inactivité retenu pour un compte ne débute qu’après la fin des relations contractuelles, sans accès, PocTag rattaché, commande, SAV, impayé ou litige actif. Une simple absence de connexion ne suffit pas.
• Contacts reçus : durée retenue de 12 mois après le dernier contact. Localisations ponctuelles : 30 jours d’accès au maximum ; leur effacement physique intervient lors du traitement de purge associé.
• Paniers et paiements abandonnés : durée retenue de 30 jours après expiration.
• Commandes, livraison, SAV et litiges : durée retenue de cinq ans après clôture ; factures et justificatifs comptables : dix ans après clôture de l’exercice.
• Journaux : durées retenues de 30 jours pour les journaux courants, six mois pour la sécurité, un an pour un incident, ou cinq ans en cas de contentieux documenté.
• Demandes relatives aux droits : preuve minimale de l’objet, des dates et de la suite donnée, pendant cinq ans ; les justificatifs d’identité ne sont pas conservés après vérification.
• Concours : effacement des données identifiantes et preuves individuelles pseudonymisées prévu au 30 avril 2027, indépendamment des données nécessaires aux comptes et commandes.
• Partenariats conclus : le dossier est distinct de la candidature et sert à gérer l’invitation, la remise des supports, l’accès offert et le suivi. Le dossier opérationnel est conservé pendant le partenariat, puis pendant une durée cible de 12 mois après sa fin. Les seules pièces nécessaires à une obligation légale, notamment comptable, ou à la défense de droits suivent leurs durées propres. La suppression de la candidature n’efface pas ce dossier.

Sauvegardes courantes : le collecteur NAS applique une rétention de 35 jours à ses générations ordinaires. Les copies gérées par o2switch suivent la rétention prévue par l’offre d’hébergement souscrite. Les données effacées de la base active peuvent donc subsister temporairement dans ces copies réservées à la récupération du service.

Archives exceptionnelles : les copies de sécurité conservées séparément lors d’une intervention ne sont pas couvertes par la purge de 35 jours du collecteur. Un inventaire identifie leur usage de récupération et leur échéance propre, avec une durée maximale de 90 jours pour les nouvelles copies exceptionnelles de données. Leur effacement demande un traitement distinct. Elles sont réservées à la récupération et ne doivent pas servir à réutiliser un dossier supprimé.

Avant remise en service d’une base restaurée, les effacements postérieurs à la sauvegarde et les échéances déjà dépassées doivent être réappliqués à partir d’un journal actuel fiable. Sans ce journal, ou si l’archive dépasse sa couverture, les candidatures restaurées doivent rester inaccessibles jusqu’au traitement contrôlé. La restauration ne prolonge pas les durées de conservation.

8. Cookies et stockage sur votre appareil

Les cookies nécessaires assurent les sessions, la protection des formulaires et la reconnaissance d’un appareil pendant 48 heures fixes après une vérification. Cette reconnaissance ne remplace pas le mot de passe ; elle peut être refusée sur un appareil partagé ou révoquée. Sa durée ne se prolonge pas automatiquement.

La session client expire après 30 minutes d’inactivité ou 12 heures au maximum. Les préférences et états utiles au service peuvent être conservés dans le navigateur, notamment pour éviter de réafficher immédiatement une annonce fermée. Les autorisations du navigateur restent nécessaires pour les fonctions qui les demandent.

Les polices sont hébergées localement. La campagne n’ajoute aucun traceur publicitaire ni outil tiers de mesure d’audience.

9. Vos droits

Selon la base légale et votre situation, vous disposez de droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Pour les traitements fondés sur l’intérêt légitime, vous pouvez vous opposer en raison de votre situation particulière. Vous pouvez retirer un consentement pour l’avenir, sans remettre en cause les traitements antérieurs licites.

Écrivez à infos@poctag.com ou à l’adresse postale indiquée en section 1. Pour une candidature, précisez l’adresse utilisée et l’objet de votre demande. Un justificatif complémentaire n’est demandé qu’en cas de doute raisonnable sur l’identité ; il n’est pas conservé après vérification.

Nous répondons dans un mois. Une prolongation motivée de deux mois est possible pour une demande complexe, en vous informant pendant le premier mois. Si une demande ne peut pas être satisfaite, le motif vous est expliqué. Vous pouvez adresser une réclamation à la CNIL.

10. Protection de vos données

Les accès sont limités aux personnes et services habilités. PocTag utilise des communications chiffrées, des protections contre les requêtes abusives et des sauvegardes contrôlées. Les candidatures sont séparées des comptes et des invitations. Aucune sécurité absolue ne peut être promise.

Une évolution substantielle de cette politique sera portée à votre connaissance. Elle ne modifie pas vos réglages de confidentialité, les informations de vos fiches ou les conditions de vos services.