Politique de confidentialité

Responsable du traitement et contact

Le responsable du traitement est HADDAD Hocine, entrepreneur individuel exploitant Thizk, 5 rue Bayard, 38000 Grenoble, France. Les demandes relatives aux données personnelles peuvent être adressées à agencecashfelixviallet@gmail.com.

Aucun délégué à la protection des données n’est désigné à ce stade. Le point de contact ci-dessus reçoit directement les demandes d’accès, rectification, effacement, limitation, opposition et portabilité.

Données, finalités et bases légales

• Compte, coordonnées et préférences : création et exécution du contrat, sécurité et assistance.
• Identité, justificatif de domicile et IBAN : vérification, prévention de la fraude et obligations légales du prestataire de paiement.
• Annonces, photographies, EAN, numéros de série et localisation approximative : publication et exécution du service.
• Commandes, paiements, retraits, factures et litiges : exécution des contrats, obligations comptables, fiscales et défense des droits.
• Messages et avis liés aux commandes : exécution du service, confiance, modération et intérêt légitime de sécurité.
• Journaux techniques, adresse IP et actions critiques : sécurité, preuve, lutte contre la fraude et respect des obligations légales.
• Prospection électronique : consentement, ou intérêt légitime uniquement dans les cas permis par la loi, avec désinscription à tout moment.

Destinataires et sous-traitants

Les données sont accessibles aux seules personnes habilitées de Thizk et, selon le besoin, à OpenAI Sites pour l’exécution de l’application Web, à Supabase pour l’authentification, la base de données et le stockage dans la région technique Paris (eu-west-3), à Stripe pour les paiements et la vérification des vendeurs, et à OVHcloud pour le relais SMTP des e-mails d’authentification Thizk. Les transporteurs ne reçoivent les coordonnées nécessaires qu’après une commande et l’activation de leur connecteur. L’acheteur et le vendeur reçoivent uniquement les informations nécessaires à l’exécution de la commande.

OpenAI Ireland Ltd, Supabase Pte. Ltd. et Stripe peuvent recourir à leurs propres sous-traitants ou traiter certaines données hors de l’Espace économique européen selon leurs contrats et mécanismes de transfert applicables. Les administrations, autorités judiciaires, fiscales ou de contrôle peuvent recevoir des données lorsqu’une obligation légale ou une demande régulière l’impose.

Durées de conservation prévues

• Compte actif : pendant la relation contractuelle, puis suppression ou archivage selon les obligations applicables.
• Annonces publiques vendues ou expirées : retrait de l’affichage public quinze jours après la vente ou l’expiration ; conservation comptable sans images lorsque celles-ci ne sont plus nécessaires.
• Commandes, factures et pièces comptables : dix ans à compter de la clôture de l’exercice concerné.
• Contrats électroniques d’au moins 120 € : dix ans à compter de la livraison ou de l’exécution.
• Messages post-achat : douze mois, sauf conservation plus longue nécessaire à un litige ou une obligation légale.
• Justificatifs KYC : selon les durées imposées au prestataire de paiement et les obligations de lutte contre le blanchiment, puis suppression ou archivage protégé.
• Journaux de sécurité : durée proportionnée au risque, fixée dans le registre interne et prolongée uniquement en cas d’incident ou de contentieux.

Droits des personnes

Toute personne peut demander l’accès, la rectification, l’effacement, la limitation, l’opposition ou la portabilité lorsque ces droits sont applicables. Le verrouillage des données d’identité vérifiées n’empêche pas leur rectification : il impose seulement un contrôle administratif et, si nécessaire, un justificatif.

Une réponse est apportée en principe dans le délai d’un mois. En cas de doute raisonnable, une preuve d’identité limitée à ce qui est nécessaire peut être demandée. Une réclamation peut être déposée auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.

Décisions automatisées et sécurité

Les règles automatiques de détection de fraude, de blocage ou de notation servent à protéger la plateforme. Toute décision produisant un effet important doit être expliquée et pouvoir faire l’objet d’un réexamen humain.

Thizk applique la minimisation des données, la séparation des accès, la journalisation des actions critiques, des liens temporaires pour les exports et des sauvegardes. Aucun système ne pouvant garantir un risque nul, les incidents sont documentés et notifiés lorsque la loi l’exige.