Politique de confidentialité

1. Responsable de traitement

Le responsable de traitement est Flow Data, 11 boulevard de Reuilly, 75012 Paris, SIRET 98905472100018. Pour toute question relative à vos données personnelles, contactez : legal@rawpaperz.com.

2. Données collectées et finalités

Le service est réservé aux personnes âgées d'au moins 18 ans.

• Création de compte : email, prénom, mot de passe haché. Optionnel : identifiant de votre compte Google ou Apple si vous vous connectez avec lui (Apple peut vous attribuer une adresse relais privée).
• Création de calendrier ou d'album : vos photos BeReal et RealMojis, votre nom d'utilisateur BeReal, les dates de prise de vue, et des mesures calculées sur les photos (luminosité, netteté) pour vous suggérer les meilleures.
• Import par lien : le lien d'export BeReal que vous collez, pour terminer votre import automatiquement si BeReal ou nos serveurs l'interrompent, et pour vous aider si l'import échoue.
• Commande : adresse de livraison, téléphone, email. Le paiement est traité par Stripe. Aucune donnée bancaire n'est stockée par RawPaperz.
• Signalement d'un problème sur une commande : le motif, votre message, les photos que vous joignez, votre email, la commande et le produit concernés, pour traiter votre réclamation et en garder la trace en cas de litige. Les photos sont stockées de façon privée, sans leurs métadonnées (position GPS comprise), et transmises à notre support en pièces jointes.
• Invitation à donner un avis sur Trustpilot : quand votre commande est livrée, une copie de l'email de livraison peut être transmise à Trustpilot. Elle contient votre adresse email, votre numéro de commande, le nom du produit livré quand la commande arrive en plusieurs colis, et un lien vers la page de votre commande, accessible seulement une fois connecté à votre compte. Trustpilot vous envoie alors une invitation à laisser un avis sur leur site.
• Avis sur nos produits : votre note, votre commentaire et un nom affiché dérivé de votre adresse de livraison, publiés sur notre site après relecture.
• Rappel d'export BeReal : si vous le demandez, votre email et l'heure du rappel, pour vous prévenir quand BeReal a pu vous répondre. Sans compte, vous pouvez aussi laisser votre email pour ce rappel : il sert à un seul envoi, sans offre commerciale, et n'est rattaché à aucun compte.
• Newsletter : votre email, la date de votre inscription, le contexte dans lequel votre adresse a été collectée pour la première fois, et le code de bienvenue qui vous est réservé. Chaque email contient un lien de désinscription.
• Messages au support : votre email, votre message et nos réponses (formulaire de contact, emails), pour vous répondre.
• Notifications de l'application : si vous les autorisez, un identifiant technique de votre appareil, supprimé à la déconnexion.
• Journaux techniques : adresse IP, type de navigateur et date des requêtes adressées à nos serveurs, pour la sécurité et le diagnostic des pannes. Votre session de connexion est enregistrée sans adresse IP : date de création et date de dernière utilisation.
• Mesure d'audience : pages visitées (chemins génériques, sans paramètres), temps passé par page, étapes du parcours de création (import, éditeur, panier, paiement), type d'appareil (mobile/ordinateur), identifiant aléatoire de session (durée de vie : l'onglet). Si vous êtes connecté, ces données sont rattachées à votre compte. Réalisée en interne, sans outil tiers ni cookie. Jamais collectés : adresse IP à des fins de mesure, empreinte de navigateur, géolocalisation, contenu saisi, photos. Refus possible depuis la page Gestion des consentements.

3. Bases légales

• Création de compte et commande : exécution du contrat (article 6.1.b RGPD)
• Journaux techniques : intérêt légitime (article 6.1.f RGPD), sécuriser le service et diagnostiquer les pannes
• Rappel d'export BeReal : exécution du service que vous demandez (article 6.1.b RGPD)
• Newsletter : votre consentement (article 6.1.a RGPD), que vous pouvez retirer à tout moment par le lien de désinscription
• Avis sur nos produits : intérêt légitime (article 6.1.f RGPD), informer les futurs clients. Vous pouvez vous opposer aux demandes d'avis par le lien présent dans chaque email
• Messages au support : intérêt légitime (article 6.1.f RGPD), vous répondre et suivre nos échanges
• Signalement d'un problème : exécution du contrat (article 6.1.b RGPD), traiter votre réclamation, et intérêt légitime (article 6.1.f RGPD), garder une trace en cas de litige
• Lien d'export BeReal, terminer l'import automatiquement : exécution du service que vous demandez (article 6.1.b RGPD)
• Lien d'export BeReal, vous aider en cas d'échec d'import : intérêt légitime (article 6.1.f RGPD)
• Invitation Trustpilot : intérêt légitime (article 6.1.f RGPD), recueillir des avis sur nos produits. Vous pouvez vous y opposer à tout moment par email à legal@rawpaperz.com, et l'invitation de Trustpilot contient un lien pour ne plus en recevoir. Si vous vous êtes désinscrit de nos demandes d'avis, aucune copie n'est transmise.
• Mesure d'audience interne : intérêt légitime (article 6.1.f RGPD), dispositif sans cookie exempté de consentement (lignes directrices CNIL « mesure d'audience »), avec faculté d'opposition depuis la page Gestion des consentements

4. Durées de conservation

• Compte actif : tant que vous n'en demandez pas la suppression
• Photos BeReal et projets associés : supprimés 18 mois après votre dernière activité (import, modification d'un projet ou du panier, commande), après un email d'avertissement envoyé 30 jours avant. Se connecter ou consulter vos photos ne prolonge pas ce délai. Les références à ces photos conservées dans le récapitulatif d'une commande sont supprimées au même moment (seuls la facture et le fichier d'impression sont conservés)
• Commandes et factures : 10 ans (obligation comptable, article L123-22 Code de commerce)
• Fichier d'impression d'une commande : conservé tant que votre compte existe, pour une réimpression ou une réclamation, et supprimé avec votre compte
• Adresses de livraison enregistrées dans votre compte : conservées tant que votre compte existe, supprimées avec lui
• Journaux techniques du serveur : 30 jours au plus, chez notre hébergeur. Sessions de connexion : supprimées à la déconnexion ou après 90 jours sans utilisation
• Archive d'export BeReal que vous nous envoyez : supprimée dès la fin de l'import, et au plus tard sous 48 heures
• Lien d'export BeReal : 7 jours après son envoi, puis supprimé
• Rappel d'export BeReal : jusqu'à ce que vous le désactiviez ; une fois le rappel envoyé, sa copie est gardée jusqu'à la suppression de votre compte
• Rappel d'export demandé sans compte : votre adresse est effacée après l'envoi du rappel, et au plus tard 10 jours après votre demande
• Newsletter : jusqu'à votre désinscription. Ensuite, nous ne gardons que votre adresse et la date de désinscription, dans une liste qui sert seulement à ne plus vous écrire (votre adresse y entre aussi si vous signalez un de nos emails comme indésirable). Les traces techniques des emails déjà envoyés sont effacées au bout de 90 jours si vous n'avez pas de compte, et à la suppression de votre compte si vous en avez un. Le code de bienvenue, qui porte votre adresse, reste dans l'historique de nos codes promo. À la suppression de votre compte, ou à votre désinscription une fois le code utilisé ou expiré, votre adresse en est retirée : nous ne gardons qu'une empreinte de l'adresse, qui ne permet pas de la retrouver et sert seulement à ne pas attribuer un second code de bienvenue à la même adresse
• Avis publiés : tant qu'ils sont en ligne. À la suppression de votre compte, votre nom est retiré de vos avis
• Échanges avec le support : 3 ans après le dernier message
• Signalement d'un problème et ses photos : 2 ans après son envoi, puis supprimés. Ils sont supprimés avec votre compte, sauf litige de paiement sur la commande : jusqu'à 2 ans après sa clôture. La copie que reçoit notre support par email suit la durée des échanges avec le support
• Trace d'une invitation Trustpilot (numéro interne de commande et date) : 2 mois
• Mesure d'audience : données brutes de navigation supprimées après 13 mois ; seules des statistiques agrégées anonymes (sans aucun identifiant) sont conservées au-delà. Les données de navigation associées à un compte sont supprimées avec le compte

5. Sous-traitants

RawPaperz recourt aux sous-traitants suivants (les transferts hors Union européenne sont encadrés par les Clauses Contractuelles Types) :

• Stripe (États-Unis) : traitement des paiements
• Resend (société américaine, envoi depuis l'Irlande) : envoi des emails
• Vercel (société américaine, serveurs à Paris et réseau de diffusion mondial) : hébergement du site
• Railway (société américaine, serveurs aux Pays-Bas) : hébergement du serveur, de la base de données et de ses sauvegardes
• Cloudflare (États-Unis) : stockage des photos et fichiers d'impression (R2), nom de domaine, acheminement des emails que vous nous envoyez
• Gelato (Norvège, Espace économique européen) : impression et expédition des commandes, par ses imprimeurs partenaires en France et en Allemagne et par les transporteurs
• Sentry (société américaine, données en Allemagne) : suivi des erreurs du site, de l'application et du serveur, sans adresse IP, email ni contenu de vos requêtes (l'adresse de la page et des identifiants techniques peuvent y figurer)
• Google (États-Unis) : connexion avec Google (si vous l'utilisez), boîte de réception des messages envoyés au support
• Apple (États-Unis) : connexion avec Apple (si vous l'utilisez)
• Expo (États-Unis), avec Apple et Google : acheminement des notifications de l'application mobile
• IGN Géoplateforme (France) : suggestions d'adresse pendant la saisie de votre adresse de livraison
• Discord (États-Unis) : alertes internes de suivi des commandes (numéro et montant de commande, sans nom, email ni adresse ; identifiant technique du compte pour les alertes d'envoi d'email)
• Trustpilot (Danemark, Union européenne) : envoi des invitations à donner un avis. Un avis que vous publiez sur Trustpilot relève de leur politique de confidentialité

La mesure d'audience n'implique aucun sous-traitant dédié : les données de navigation restent dans notre base de données (hébergée par Railway, listé ci-dessus) et ne sont transmises à aucun outil d'analytics tiers.

6. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès et rectification : depuis votre compte (tableau de bord sur le site, onglet Compte dans l'application)
• Portabilité (export) : adressez votre demande par email à legal@rawpaperz.com
• Effacement : depuis Mes données personnelles, sur le site ou dans l'application. Tant qu'une commande, un paiement, une impression ou un import est en cours, la suppression n'est possible qu'une fois cette opération terminée.
• Opposition / limitation : par email à legal@rawpaperz.com
• Réclamation : auprès de la CNIL : cnil.fr/fr/plaintes

7. Cookies

Pour le détail des cookies utilisés, consultez notre Politique cookies.

8. Sécurité

RawPaperz met en œuvre des mesures techniques et organisationnelles pour protéger vos données : connexion HTTPS systématique, mots de passe hachés (argon2id), accès aux données restreint au strict nécessaire.

9. Modifications

En cas de modification substantielle de la présente politique, les utilisateurs ayant un compte actif seront informés par email.