Politique de confidentialité
Version 1.0 — 23 septembre 2026
État : première rédaction, non relue par un juriste. Les passages marqués [À VALIDER PAR LE JURISTE] signalent un point de droit que nous ne tranchons pas nous-mêmes.
Sommaire
- Qui est responsable de tes données
- Ce que nous collectons, pourquoi, et pour combien de temps
- Pipo : ce qui part chez notre prestataire d'IA
- Qui d'autre voit tes données
- Où sont hébergées tes données
- Ce que les autres utilisateurs voient de toi
- Tes droits
- Cookies et traceurs
- Sécurité
- Nous contacter
1. Qui est responsable de tes données
Le responsable de traitement est [micro-entreprise Loïc Barboso, SIRET à compléter], éditeur de BASTA COSÌ, joignable à contact@basta-cosi.fr.
Nous n'avons pas désigné de délégué à la protection des données : au vu de notre taille et de nos traitements, nous ne pensons pas y être tenus. Les demandes relatives aux données sont traitées à l'adresse ci-dessus. [À VALIDER PAR LE JURISTE — obligation ou non de désigner un DPO au regard du suivi régulier et systématique de personnes à grande échelle.]
2. Ce que nous collectons, pourquoi, et pour combien de temps
| Ce que nous traitons | Pourquoi | Base légale | Conservation |
|---|---|---|---|
| Compte : nom, prénom, email, mot de passe (chiffré), code postal, photo de profil, date d'inscription | Créer et tenir ton compte, t'identifier | Exécution du contrat | Durée du compte, puis 30 jours |
| Annonces : titre, description, photos, vidéos, prix, catégorie, état, poids, dimensions | Publier et faire fonctionner la place de marché | Exécution du contrat | Durée du compte ; une annonce vendue est conservée avec la commande |
| Commandes : articles, montants, commission, statut, dates | Exécuter la vente, gérer les litiges | Exécution du contrat | 10 ans (obligation comptable) |
| Adresses : livraison, expédition, facturation, téléphone | Livrer, émettre les étiquettes, joindre le destinataire | Exécution du contrat | Durée du compte ; l'adresse figurant sur une commande est conservée avec elle |
| Paiement : moyen de paiement, identifiants de transaction | Encaisser, rembourser | Exécution du contrat | Les données bancaires ne transitent pas par nos serveurs : elles sont traitées par Stripe |
| Vérification d'identité (KYC) : pièce d'identité, justificatifs | Obligation de lutte contre le blanchiment, virements | Obligation légale | Traitée et conservée par Stripe, pas par nous |
| Déclaration DAC7 : identité, adresse, numéro fiscal, IBAN ou identifiant de compte, nombre et montant des ventes | Déclaration annuelle à l'administration fiscale | Obligation légale | 10 ans |
| Messages entre utilisateurs | Permettre l'échange, instruire les litiges et les signalements | Exécution du contrat, intérêt légitime (sécurité) | Durée du compte ; 5 ans pour les messages liés à un litige |
| Avis et notes | Informer les acheteurs, tenir la réputation | Exécution du contrat | Durée du compte ; l'avis reste affiché de façon anonymisée si le compte est supprimé |
| Contenus soumis à Pipo : photos et textes d'annonce | Générer des suggestions d'annonce et de prix | Exécution du contrat, à ta demande | Voir § 3 |
| Notifications et emails : préférences, journal des emails envoyés et de leur sort (remis, rejeté) | T'informer, mesurer la délivrabilité, cesser d'écrire à une adresse qui rebondit | Exécution du contrat, intérêt légitime | 3 ans |
| Localisation approximative (code postal saisi, ou position si tu l'autorises) | Trouver les points relais proches, estimer les frais de port | Exécution du contrat, consentement pour la position précise | Non conservée après la recherche ; le code postal reste sur l'adresse |
| Journaux techniques : erreurs, appels aux services, adresse IP | Sécurité, diagnostic de panne | Intérêt légitime | 12 mois |
| Modération : signalements, décisions, motifs | Faire respecter les règles, traiter les recours | Intérêt légitime, obligation légale | 3 ans |
[À VALIDER PAR LE JURISTE — durées de conservation, en particulier messages et journaux, et qualification des bases légales retenues.]
3. Pipo : ce qui part chez notre prestataire d'IA
Quand tu utilises Pipo pour rédiger une annonce, estimer un prix ou préparer une réponse :
- les photos et les textes que tu lui soumets sont transmis à Anthropic, notre prestataire
d'intelligence artificielle, pour être analysés ;
- la réponse t'est rendue dans l'Application ; rien n'est publié sans ta validation ;
- nous conservons la suggestion produite le temps de te la présenter et, si tu la publies, elle
devient le contenu de ton annonce ;
- nous n'envoyons pas tes données personnelles de compte (email, téléphone, adresse) à ce
prestataire : seulement ce que tu soumets pour l'analyse.
Si tu ne veux pas qu'une photo soit transmise à un prestataire d'IA, ne l'envoie pas à Pipo : l'Application fonctionne sans lui.
4. Qui d'autre voit tes données
Nous ne vendons pas tes données. Nous faisons appel à des sous-traitants, chacun pour une raison précise :
| Prestataire | Ce qu'il traite | Pourquoi |
|---|---|---|
| Supabase | Base de données, comptes, fichiers | Hébergement de l'Application |
| Stripe | Paiements, pièces d'identité, comptes de versement | Encaissement, KYC, virements |
| Sendcloud et les transporteurs (Mondial Relay, Colissimo, Chronopost) | Nom, adresse, téléphone, email de l'expéditeur et du destinataire | Émettre les étiquettes, livrer, suivre le colis |
| Anthropic | Photos et textes soumis à Pipo | Analyse et suggestions |
| Resend | Adresse email, contenu des emails transactionnels | Envoi des emails |
S'y ajoutent les autorités administratives et judiciaires, lorsque la loi nous oblige à répondre (administration fiscale pour DAC7, réquisitions).
5. Où sont hébergées tes données
Nos données sont hébergées dans l'Union européenne (Supabase, région UE).
Certains prestataires sont établis hors de l'Union ou peuvent y traiter des données : Stripe, Anthropic, Resend. Ces transferts s'appuient sur les clauses contractuelles types de la Commission européenne, et le cas échéant sur les cadres d'adéquation applicables. [À VALIDER PAR LE JURISTE — recenser précisément les transferts hors UE de chaque prestataire, vérifier les garanties en vigueur à la date de publication et les mentionner.]
6. Ce que les autres utilisateurs voient de toi
- Ton profil public : prénom, première lettre du nom, photo, ville, note moyenne, avis
reçus, badge Pro le cas échéant.
- Ne sont jamais publics : ton email, ton téléphone, ton adresse exacte, tes moyens de
paiement, ton solde.
- Lors d'une transaction : le Vendeur reçoit l'adresse de livraison nécessaire à l'envoi ;
l'adresse d'expédition du Vendeur figure sur l'étiquette du colis, donc sur le paquet reçu par l'Acheteur.
7. Tes droits
Tu disposes des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité.
Dans l'Application :
- Réglages › Mes données › Télécharger mes données : export de tes données.
- Réglages › Supprimer mon compte : suppression sous 30 jours, sauf ce que la loi nous
oblige à conserver (facturation, DAC7).
- Réglages › Notifications › Emails : préférences d'emails ; un lien de désabonnement figure
au bas des emails non essentiels.
Pour toute autre demande : contact@basta-cosi.fr. Nous répondons sous un mois.
Tu peux introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris — cnil.fr).
8. Cookies et traceurs
L'application mobile ne dépose aucun cookie publicitaire, aucun traceur tiers, et ne fait pas de profilage publicitaire. Le stockage local sert uniquement à te garder connecté et à mémoriser tes préférences d'affichage.
Si un site web est ouvert plus tard, un bandeau de consentement sera mis en place et cette section sera mise à jour.
9. Sécurité
Mots de passe chiffrés, échanges en HTTPS, cloisonnement des accès en base de données par utilisateur, données bancaires et pièces d'identité confiées à Stripe sans transiter par nos serveurs, étiquettes d'expédition rangées dans un espace privé accessible seulement à leur destinataire.
En cas de violation de données susceptible d'engendrer un risque pour tes droits, nous informons la CNIL dans les 72 heures et, si le risque est élevé, nous te prévenons directement.
10. Nous contacter
contact@basta-cosi.fr — ou l'écran Aide de l'Application.
Document rédigé en interne. Version 1.0 du 23 septembre 2026, en attente de relecture juridique.