Politique de confidentialité
Comment Strikske traite vos données personnelles : quelles données, pourquoi, combien de temps, qui les traite et quels sont vos droits. Pour la Belgique et les Pays-Bas.
Dernière mise à jour : [PUBLICATIEDATUM]. Valable pour la Belgique et les Pays-Bas. En cas de différence, la version néerlandaise fait foi.
1. Qui est responsable ?
Strikske est créé et géré par Stijn Mertens, à titre privé. Strikske n’est pas (encore) une entreprise. Stijn est le responsable du traitement au sens du Règlement général sur la protection des données (RGPD).
Contact : Olenseweg 163, 2400 Geel, Belgique · e-mail : [CONTACT-EMAIL] (bientôt ; les coordonnées à jour figurent toujours sur la page Contact).
2. En bref
- Nous ne demandons que le nécessaire pour vos listes, votre famille et vos tirages au sort.
- Pas de publicité, pas de cookies de traçage, et nous ne vendons jamais de données.
- Le résultat du tirage au sort est chiffré : ni l’organisateur ni nous ne pouvons le lire.
- Les enfants de moins de 13 ans n’ont pas de compte, seulement un profil sous un parent.
- Vous pouvez toujours télécharger vos données et supprimer votre compte vous-même, via Compte et vie privée dans l’app.
3. Quelles données, pourquoi et combien de temps
| Partie | Données | Finalité | Base légale | Durée |
|---|---|---|---|---|
| Compte (Google ou e-mail + mot de passe) | Adresse e-mail ; avec Google aussi votre nom et le lien vers votre photo de profil ; votre mot de passe uniquement sous forme de hash irréversible ; date de création ; données techniques de connexion (heure, adresse IP) dans les journaux de Supabase. | Vous connecter et conserver vos listes. | Contrat (art. 6.1.b RGPD) | Jusqu’à la suppression de votre compte. Journaux de connexion : quelques jours, selon Supabase. |
| Listes et cadeaux | Titre, description, sections, cadeaux (nom, lien, prix, lien vers la photo, note), qui peut voir la liste. | Le service : créer, conserver et partager des listes. | Contrat | Jusqu’à la suppression de la liste ou du compte. |
| Famille et enfants | Par membre : prénom, nom (facultatif), emoji ou photo, mois de naissance (facultatif), s’il s’agit d’un enfant, et qui gère la famille. Codes de liaison uniquement sous forme de hash (valables 10 minutes). Tentatives de saisie d’un code (heure, réussie ou non), contre les abus. | Gérer à deux les listes au nom de vos enfants. | Contrat avec le parent ; intérêt légitime (sécurité) | Jusqu’à la suppression du membre, de la famille ou du compte. Les codes de liaison et tentatives sont supprimés automatiquement après 30 jours. |
| Réservations (aussi sans compte) | Le nom saisi, un hash de votre code de réservation (le code lui-même reste dans votre navigateur), l’heure, et votre compte si vous êtes connecté. | Éviter les doublons et permettre d’annuler. | Intérêt légitime (le vôtre et celui du propriétaire de la liste) | Jusqu’à l’annulation ou la suppression du cadeau ou de la liste. |
| Tirage au sort (lootjes) | Nom du groupe, thème, dates, budget, réglages ; par participant le prénom, le compte ou (pour les invités) un hash du code invité, des souhaits facultatifs ; exclusions (couples, « ne peut pas tirer ») ; qui a tiré qui, chiffré pour que même l’organisateur ne puisse pas le lire ; par série une empreinte illisible (hash) des tirages précédents pour éviter les répétitions. | Tirer au sort sans que personne ne voie le résultat. | Contrat (participants avec compte) ; intérêt légitime (invités) | Tout est supprimé automatiquement à la date de suppression du groupe (par défaut 30 jours après la fête, au maximum 1 an ; une tâche de nettoyage quotidienne s’en charge la nuit). Les empreintes des tirages précédents sont supprimées après 2 ans. |
| Clics vers les boutiques | Produit, boutique, liste ou cadeau d’origine, source, lien affilié ou non, heure. Pas votre adresse IP, votre compte ni de cookies. | Savoir quels liens sont utilisés et vérifier les commissions. | Intérêt légitime | 24 mois maximum. |
| Produits populaires | Un simple compteur par produit, pas qui l’a ajouté. | Montrer les produits populaires et les idées cadeaux. | Intérêt légitime | Tant que le produit est au catalogue. |
| Coller un lien | Le lien collé. Notre serveur charge la page pour remplir titre, photo et prix : la boutique voit notre serveur, pas vous. | Remplir un cadeau plus vite. | Contrat | Non conservé, sauf si vous enregistrez le cadeau. |
| Vérification du mot de passe | Votre navigateur envoie les 5 premiers caractères d’un hash du mot de passe à Have I Been Pwned pour vérifier s’il a fuité. Jamais le mot de passe lui-même. Ce service voit votre adresse IP. | Sécuriser votre compte. | Intérêt légitime | Nous ne conservons rien. |
| Visite et sécurité | À chaque visite, notre hébergeur traite des données techniques (adresse IP, navigateur, page demandée). La limitation des abus par adresse IP se fait uniquement en mémoire. | Fournir et sécuriser le site. | Intérêt légitime | Court, selon Vercel et Supabase (quelques heures à quelques jours). |
| Statistiques de visite | Vercel Web Analytics et Speed Insights : page (sans identifiants ni codes), site d’origine, pays, type d’appareil et navigateur, et vitesse de chargement. Visiteurs uniques via un hash à clé quotidienne, sans cookies. | Comprendre l’usage du site. | Intérêt légitime | Totaux uniquement ; le hash n’est plus reliable après 24 heures. |
| E-mails de compte (confirmation, mot de passe oublié) envoyés via Supabase. Si vous nous écrivez, nous conservons votre message et votre adresse. | Gérer votre compte ; répondre à votre question. | Contrat ; intérêt légitime | Le temps de traiter votre demande, 2 ans maximum. |
« Intérêt légitime » (art. 6.1.f RGPD) signifie que le traitement sert un but raisonnable et que nous avons vérifié qu’il touche peu votre vie privée. Vous pouvez toujours vous y opposer (point 7).
4. Enfants
Strikske n’est pas destiné aux comptes d’enfants de moins de 13 ans. Les enfants de moins de 13 ans n’existent sur Strikske que comme profil sous un parent : pas de connexion propre, pas de messages, et le parent gère le profil. Pour un enfant, la page famille publique n’affiche que le prénom, jamais de photo.
Un compte personnel est possible en Belgique dès 13 ans. Aux Pays-Bas, il faut l’accord d’un parent avant 16 ans. Si nous constatons qu’un compte appartient à un enfant de moins de 13 ans, nous le supprimons ou le transformons en profil sous un parent.
5. Avec qui nous partageons des données
| Partie | Pourquoi | Où | Garantie |
|---|---|---|---|
| Supabase Inc. | Base de données, connexion, e-mails de compte (sous-traitant) | Données stockées dans l’UE (Francfort, Allemagne). Société américaine ; un accès depuis les États-Unis est possible. | Contrat de sous-traitance avec clauses contractuelles types (CCT) de la Commission européenne |
| Vercel Inc. | Hébergement, fonctions serveur, statistiques (sous-traitant) | Réseau mondial ; fonctions serveur à Francfort. Société américaine. | Contrat de sous-traitance ; EU-US Data Privacy Framework et/ou CCT |
| Uniquement si vous vous connectez avec Google : confirme votre identité et nous transmet nom, e-mail et photo de profil | Google Ireland Ltd. pour l’EEE | Google en est lui-même responsable (règles de confidentialité de Google) | |
| Awin et boutiques partenaires | Uniquement si vous cliquez sur un lien affilié : Awin enregistre le clic et un éventuel achat pour attribuer la commission. Nous ne transmettons ni nom, ni e-mail, ni compte, seulement un code général comme « strikske-search ». | Awin AG (Allemagne) ; la boutique | Awin et la boutique en sont eux-mêmes responsables |
| Boutiques (photos de produits) | Les photos sont chargées directement depuis le serveur de la boutique, qui voit votre adresse IP et votre navigateur, mais pas la page d’origine. | Selon la boutique | Responsable indépendant |
| Have I Been Pwned | Vérification du mot de passe (voir ci-dessus) | Via Cloudflare | Ne reçoit qu’un fragment de hash, jamais votre mot de passe |
Nous ne partageons rien d’autre, sauf obligation légale. Les listes ne sont visibles que pour qui a le lien ; nous ne les faisons pas indexer par les moteurs de recherche.
6. Transferts hors de l’EEE
Supabase et Vercel sont des sociétés américaines. La base de données est dans l’UE, mais un accès depuis les États-Unis est possible. Ces transferts reposent sur l’EU-US Data Privacy Framework et/ou les clauses contractuelles types (art. 45 et 46 RGPD).
7. Vos droits
Droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, et retrait du consentement à tout moment (art. 15 à 21 RGPD).
- Beaucoup de choses se font dans l’app : modifier ou supprimer listes, cadeaux, sections et membres de la famille, annuler une réservation.
- Une copie de vos données (accès et portabilité) : dans l’app, allez dans Compte et vie privée (/app/account) et choisissez « Télécharger mes données ». Vous recevez immédiatement un fichier JSON avec votre profil, vos listes, cadeaux, sections, vos réservations, votre famille et les profils que vous gérez, et vos groupes de tirage au sort. Des autres, vous n’y voyez que ce que vous voyez déjà dans l’app ; le tirage des autres n’y figure jamais.
- Supprimer votre compte : sur la même page, avec « Supprimer mon compte ». Votre compte et vos données sont supprimés définitivement et immédiatement. Si quelqu’un d’autre gère la famille avec vous, les profils et listes de vos enfants restent chez cette personne ; sinon ils sont supprimés aussi. Vous quittez vos groupes de tirage au sort : seules les personnes concernées reçoivent un nouveau tirage et, si vous étiez organisateur, ce rôle passe à un autre participant. Les cadeaux que vous avez réservés chez d’autres restent réservés, sans votre nom, pour éviter les doublons. Les sauvegardes chez Supabase sont écrasées à l’issue de leur durée normale de conservation.
- Vous n’y arrivez pas, ou vous souhaitez autre chose (rectification, limitation, opposition) ? Contactez-nous via la page Contact. Réponse dans un délai d’un mois (art. 12.3 RGPD).
- Nous pouvons vous demander de confirmer qu’il s’agit bien de votre compte. Nous ne demandons jamais votre mot de passe.
8. Plainte
- Belgique : Autorité de protection des données (APD), rue de la Presse 35, 1000 Bruxelles, contact@apd-gba.be.
- Pays-Bas : Autoriteit Persoonsgegevens (AP), Postbus 93374, 2509 AJ Den Haag.
- Ou l’autorité de contrôle du pays de l’UE où vous vivez.
9. Sécurité
Tout passe par HTTPS. La base de données ne montre à chacun que ses propres données (row level security). Les codes de réservation, d’invité et de liaison ne sont conservés que sous forme de hash. Le résultat du tirage est chiffré. En cas de fuite de données présentant un risque, nous la signalons à l’autorité et, si le risque est élevé, à vous (art. 33 et 34 RGPD).
10. Cookies
Voir notre politique cookies : uniquement du stockage strictement nécessaire, pas de cookies de traçage, donc pas de bannière.
11. Pour les utilisateurs aux Pays-Bas
- Autorité de contrôle : l’Autoriteit Persoonsgegevens.
- Âge : aux Pays-Bas, l’âge du consentement d’un enfant est de 16 ans (art. 5 UAVG) ; entre 13 et 15 ans, un compte n’est possible qu’avec l’accord d’un parent. En Belgique : 13 ans (art. 7 de la loi du 30 juillet 2018).
- Cookies : article 11.7a de la Telecommunicatiewet, voir notre politique cookies.
12. Modifications
En cas de modification importante, nous l’annonçons sur le site et, si vous avez un compte, par e-mail, avant son entrée en vigueur.