Déclaration de confidentialité

1. Les données que nous traitons

Compte et profil : adresse e-mail, nom d'utilisateur, nom affiché, localisation, avatar et préférence linguistique. Annonces : titres, descriptions, photos et codes produit que vous ajoutez.

Transactions : commandes, références de paiement et de remboursement (vos données de carte ou de compte restent chez le prestataire de paiement, jamais chez nous), adresses d'envoi et suivi, factures.

Messages : le contenu de vos conversations sur la plateforme, y compris un score de sécurité automatique (détection d'arnaques).

Vérification et sécurité : numéro de téléphone (OTP), statut de la vérification d'identité auprès du prestataire choisi (itsme/Stripe Identity — nous conservons le résultat, pas votre document), heures de connexion et adresses IP.

Fiscal (obligation légale, DAC7) : au-delà des seuils, également numéro de registre national ou de TVA, adresse et IBAN.

2. Finalités et bases juridiques

Exécution du contrat : compte, annonces, achat/vente, paiements, envoi, litiges et support.

Obligation légale : comptabilité et factures, déclaration DAC7 au fisc.

Intérêt légitime : prévention de la fraude et des arnaques, sécurité de la plateforme.

Consentement : uniquement lorsque requis ; vous pouvez le retirer à tout moment.

3. Avec qui nous partageons des données

Prestataires nécessaires au fonctionnement : prestataire de paiement (p. ex. Stripe ou Mollie), partenaire d'envoi (p. ex. Sendcloud ou bpost), prestataire d'identité (p. ex. itsme ou Stripe Identity), envoi d'e-mails (SMTP) et hébergement.

Services d'IA : pour des fonctions optionnelles comme la reconnaissance de photos et les suggestions de prix, le contenu de votre annonce peut être transmis au prestataire d'IA configuré ; les messages sont analysés localement pour détecter des schémas suspects.

Autorités : données vendeurs DAC7 au SPF Finances ; données aux autorités compétentes lorsque la loi l'exige.

Nous ne vendons jamais vos données et n'utilisons pas de traçage publicitaire.

4. Durées de conservation

Votre compte est conservé jusqu'à sa suppression. Les factures et données comptables sont conservées 7 ans (obligation légale) ; les déclarations DAC7 selon les délais légaux. Les journaux de connexion (IP) sont conservés de façon limitée à des fins de sécurité.

Requêtes IA : pour surveiller les coûts et la qualité, nous tenons un journal technique par requête IA (horodatage, modèle, tokens, coût, erreurs). Le texte envoyé est par défaut tronqué et expurgé des adresses e-mail, numéros de téléphone et numéros de compte ; des photos, nous ne conservons par défaut que leur nombre et leur taille, pas la photo elle-même. Ce journal n'est visible que par les administrateurs habilités et est effacé automatiquement après la durée de conservation configurée (30 jours par défaut).

Lors de la suppression du compte, vos données de profil sont anonymisées ; les données de transaction à conservation obligatoire subsistent, dissociées de votre identité dans la mesure du possible. Le journal IA est dissocié de votre identité et son contenu conservé est effacé.

5. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Sur votre page de profil, vous pouvez exporter vos données et supprimer votre compte ; pour toute autre demande, utilisez le formulaire de contact.

Vous pouvez adresser une plainte à l'Autorité de protection des données (autoriteprotectiondonnees.be).

6. Cookies

Nous n'utilisons que nos propres cookies fonctionnels : votre session (connexion) et votre choix de langue. Aucun cookie de traçage, de publicité ou d'analyse tiers n'est déposé et nous n'établissons aucun profil — nos statistiques de visite fonctionnent entièrement sans cookies. C'est pourquoi il n'y a pas de bannière cookies.

Une seule exception, au but précis : si vous arrivez via un lien d'invitation d'un autre membre (un lien contenant « ?ref= »), nous mémorisons uniquement le code de cette invitation afin de vous attribuer à la bonne personne en cas d'inscription. Ce cookie est limité à votre session de navigation (supprimé à la fermeture du navigateur), ne contient aucune donnée personnelle, n'est pas lisible par des scripts et n'est partagé avec personne. Si vous ne cliquez sur aucun lien d'invitation, il n'est jamais déposé.

7. Sécurité

Les mots de passe sont hachés (scrypt), la configuration sensible est chiffrée (AES-GCM), les connexions passent par HTTPS et chaque changement de statut ou d'argent est consigné dans un journal d'audit.