Politique de confidentialite

1. Responsable du traitement

Responsable : Jemitilabz (structure en cours d'immatriculation)
Contact DPO : dpo@lestoilettes.com
Siege : France

2. Donnees collectees

Nous collectons les categories de donnees suivantes :

2 bis. Pieces d'identite et documents professionnels (KYC)

Pour valider une revendication d'etablissement (espace Pro), nous collectons :

• Document professionnel : extrait Kbis (France), HRB (Allemagne), Companies House (UK), VAT certificate (UE), business license (international) ou equivalent local.
• Piece d'identite officielle du dirigeant : carte nationale d'identite, passeport ou titre de sejour. Cette etape KYC (Know Your Customer) est imposee par la legislation anti-blanchiment et lutte contre le financement du terrorisme (LCB-FT, articles L561-2 et suivants du Code monetaire et financier en France ; equivalents EBA/AMLD6 dans l'UE).

Bases legales cumulatives :

• Obligation legale (RGPD art. 6.1.c) : verifier l'identite du dirigeant qui contracte un service B2B payant.
• Interet legitime (RGPD art. 6.1.f) : prevenir l'usurpation d'identite et la fraude commerciale. Une evaluation d'impact (LIA / DPIA) est tenue a disposition de la CNIL.
• Consentement explicite (RGPD art. 9.2.a) : pour le traitement specifique de la photo d'identite contenue dans le document. Vous acceptez ce traitement en uploadant le document via le formulaire de revendication.

Mesures de securite specifiques :

• Stockage dans Google Cloud Storage avec chiffrement au repos AES-256 et acces par cles signees temporaires (signed URLs).
• Acces restreint a une equipe vérification dediee (3 personnes max) avec MFA TOTP obligatoire et journalisation des consultations (audit log).
• Aucun transfert hors UE/EEE pour ces documents specifiques.
• Detection automatique des donnees sensibles non-pertinentes (numero de securite sociale, religion, opinions politiques) et masquage avant traitement.

Duree de conservation specifique aux documents KYC :

• Pendant la verification (j+0 a j+90 max) : conservation complete pour analyse, croisement INSEE/registres, et detection de fraude.
• Apres validation du claim : conservation 5 ans apres la fin de la relation contractuelle (obligation legale LCB-FT, article L561-12 CMF).
• Apres rejet du claim : suppression sous 90 jours, sauf demande explicite de conservation pour litige.
• Vous pouvez demander a tout moment l'effacement avant ces delais en cas de retrait de votre demande, sous reserve des obligations comptables et anti-fraude residuelles.

Vos droits specifiques KYC : outre les droits RGPD generaux (section 6), vous pouvez demander a voir l'historique d'acces a vos documents (qui les a consultes, quand, pourquoi) en ecrivant a dpo@lestoilettes.com. Reponse sous 30 jours.

3. Finalites du traitement

• Gestion des comptes et authentification
• Publication, affichage et moderation des avis
• Calcul des scores de reputation (Le Verdict)
• Geolocalisation des toilettes a proximite
• Prevention des abus, spam et faux avis (interet legitime)
• Envoi d'emails transactionnels (confirmation, alertes, reset password)
• Envoi de newsletters et communications marketing (avec consentement)
• Gestion des abonnements B2B et facturation
• Amelioration du service et analyse d'audience (avec consentement)

4. Destinataires des donnees

Vos donnees peuvent etre transmises aux prestataires suivants :

• Google Cloud Platform (hebergement, base de donnees) — UE
• Brevo (Sendinblue) (emails transactionnels et marketing) — France
• Stripe (paiements B2B) — certifie EU-US Data Privacy Framework
• Google Maps / Places (cartographie) — certifie EU-US DPF
• PostHog (analytics, si consentement) — UE (hebergement EU)
• Sentry (suivi d'erreurs, si consentement) — certifie EU-US DPF

Aucune donnee n'est vendue a des tiers. Les transferts hors UE sont encadres par des clauses contractuelles types (SCC) ou le EU-US Data Privacy Framework.

5. Duree de conservation

• Donnees de compte : duree de vie du compte + 3 ans apres suppression
• Avis publies : duree de vie du compte (anonymises apres suppression)
• Logs techniques : 12 mois maximum
• Donnees de facturation B2B : 10 ans (obligation comptable, art. L123-22 Code de commerce)
• Documents KYC (Kbis + piece d'identite) : 5 ans apres fin de la relation contractuelle (LCB-FT) ; 90 jours apres rejet du claim. Voir section 2 bis pour le detail.
• Cookies analytics : 13 mois maximum

6. Vos droits (RGPD)

Conformement aux articles 15 a 22 du RGPD, vous disposez des droits suivants :

• Droit d'acces : obtenir une copie de vos donnees
• Droit de rectification : corriger des informations inexactes
• Droit a l'effacement : demander la suppression de vos donnees
• Droit a la portabilite : recevoir vos donnees dans un format structure
• Droit d'opposition : refuser le traitement pour prospection commerciale
• Droit a la limitation : geler le traitement en cas de contestation
• Retrait du consentement : a tout moment pour les traitements fondes sur le consentement

Pour exercer vos droits : dpo@lestoilettes.com
Reponse sous 30 jours maximum. En cas de non-resolution, vous pouvez saisir la CNIL (Commission Nationale de l'Informatique et des Libertes) : www.cnil.fr

7. Cookies

LesToilettes.com utilise des cookies. La politique complete est detaillee dans notre politique de cookies. Un bandeau de consentement vous permet de gerer vos preferences a tout moment.

8. Securite

Nous mettons en oeuvre des mesures techniques et organisationnelles appropriees : chiffrement TLS en transit, chiffrement au repos des bases de donnees, hachage des mots de passe (bcrypt), controle d'acces, rate limiting, et journalisation des acces sensibles.

9. Protection des mineurs

Le service est destine aux personnes agees d'au moins 16 ans. Nous ne collectons pas sciemment de donnees concernant des enfants de moins de 16 ans. Si nous en avons connaissance, ces donnees seront supprimees dans les meilleurs delais.

10. Specificites par pays

Union Europeenne : RGPD (UE 2016/679) — tous les droits ci-dessus s'appliquent.

Royaume-Uni : UK GDPR — droits equivalents, autorite de controle : ICO (ico.org.uk).

Suisse : nLPD (loi federale sur la protection des donnees revisee) — droits equivalents, autorite : PFPDT.

Californie (USA) : CCPA/CPRA — droit de savoir, de supprimer, de refuser la vente (nous ne vendons pas vos donnees).