Politique de Confidentialité
Applicable à compter du
Cette politique décrit la manière dont Blisterr SAS collecte, utilise et protège les données personnelles des utilisateurs de la plateforme. Elle est établie au regard du Règlement (UE) 2016/679 du Parlement européen (RGPD), notamment ses articles 12 à 14, et de la loi française Informatique et Libertés du 6 janvier 1978 modifiée.
1. Responsable du traitement
Le responsable du traitement est la société BLISTERR, SAS au capital de 1 000 €, RCS Bayonne 918 924 556, dont le siège est situé au 3 rue Denis Etcheverry, 64100 Bayonne, France.
Contact pour toute question relative à vos données personnelles : privacy@blisterr.com, ou par courrier postal à l’adresse du siège.
Lors d’un achat, le vendeur reçoit les données nécessaires à l’exécution de la commande (nom, adresse de livraison ou point relais, le cas échéant téléphone). Il les traite pour l’exécution de sa vente, en qualité de responsable de traitement distinct de Blisterr.
2. Données collectées
Données fournies par vous :
- identité et compte : nom, prénom, pseudo, date de naissance, adresse email, numéro de téléphone (vérifié par un code envoyé par SMS) ;
- adresses de livraison, points relais, moyen de paiement (la carte est saisie auprès de Stripe : Blisterr ne stocke aucun numéro de carte) ;
- pour les vendeurs : statut (particulier ou professionnel), SIRET, forme juridique, régime de TVA, catégories, liens de réseaux sociaux, vidéo de présentation, numéro d’identification fiscale (facultatif). Les pièces d’identité de la vérification (KYC) sont collectées par Stripe Connect ; Blisterr en reçoit le résultat ;
- contenus : peeks, lives (flux audio et vidéo, chat), commentaires, messages privés, avis, signalements, messages adressés au support.
Données générées par l’utilisation du service :
- transactions : commandes, paiements, wallet, factures, dettes, strikes, parrainages, participations aux giveaways ;
- interactions : consultations, likes, enchères, achats, items masqués, utilisées pour la personnalisation du fil (article 6) ;
- données techniques : adresse IP, type d’appareil, navigateur, système d’exploitation, journaux de connexion, jeton de notification push ;
- données de mesure d’audience (pages vues, interactions, enregistrements de sessions masqués, erreurs, paramètres de campagne), uniquement après votre consentement (voir la Politique cookies) ;
- le cas échéant, données de géolocalisation, uniquement avec votre consentement explicite et selon les paramètres de votre appareil.
3. Finalités, bases légales et durées de conservation
| Finalité | Base légale | Durée de conservation |
|---|---|---|
| Créer et gérer votre compte, vous authentifier (code de connexion par email ou SMS) | Exécution du contrat | Durée d’utilisation du compte ; suppression ou anonymisation 2 ans après la dernière interaction sur un compte inactif |
| Exécuter les ventes : commandes, paiements, wallet, livraison, parrainage, giveaways, support | Exécution du contrat | Durée de la relation, puis durées légales ci-dessous |
| Facturation, comptabilité et obligations fiscales, dont les obligations des plateformes (DAC7) | Obligation légale | 10 ans à compter de la transaction pour les données transactionnelles et les factures |
| Vérification d’identité des vendeurs, lutte contre la fraude et le blanchiment | Obligation légale (KYC) et intérêt légitime (prévention de la fraude) | 5 ans après la fin de la relation pour les données KYC |
| Sécurité de la plateforme, prévention des abus, journalisation, suivi des erreurs techniques de l’API | Intérêt légitime | 12 mois pour les journaux techniques et de sécurité |
| Modération des contenus, traitement des signalements et des recours (DSA) | Obligation légale et intérêt légitime | Le temps de l’examen, puis la durée de prescription applicable en cas de contentieux |
| Messagerie, commentaires, avis, chat des lives | Exécution du contrat | Tant que le contenu est publié, puis suppression ou anonymisation à la clôture du compte, sauf obligation légale |
| Lives : diffusion en direct, enregistrement et replays | Exécution du contrat | Le serveur de diffusion est détruit à la fin du live ; les replays sont conservés tant que le shop les met à disposition |
| Demandes adressées au support (formulaire de contact, email) | Exécution du contrat et intérêt légitime (traiter votre demande) | Le temps du traitement, puis la durée de prescription applicable en cas de contentieux |
| Recherche : historique de vos recherches récentes et journaux de requêtes | Intérêt légitime (fournir la recherche et en améliorer la pertinence) | Historique : 30 jours ; journaux de requêtes : 7 jours ; clics sur les résultats : 90 jours |
| Personnalisation du fil | Intérêt légitime (vous opposer : article 7) | Durée d’utilisation du compte |
| Notifications transactionnelles (email, push) | Exécution du contrat | Durée d’utilisation du compte |
| Communications marketing, le cas échéant | Consentement, retirable à tout moment | Jusqu’au retrait du consentement |
| Mesure d’audience, enregistrement de sessions masqué et suivi des erreurs (PostHog) | Consentement | Cookie : 12 mois maximum ; données : 25 mois maximum |
| Géolocalisation, le cas échéant | Consentement | Jusqu’au retrait du consentement |
Au terme de ces durées, les données sont supprimées ou anonymisées. Les cookies et traceurs sont détaillés dans la Politique cookies.
4. Destinataires et sous-traitants
Vos données sont accessibles aux équipes Blisterr habilitées, dans la limite de leurs fonctions, et aux prestataires suivants, liés à Blisterr par des engagements de confidentialité et de sécurité conformes au RGPD. Sauf indication contraire, ils interviennent en qualité de sous-traitants.
| Prestataire (pays) | Rôle | Données concernées | Transfert hors UE |
|---|---|---|---|
| OVH SAS (France) | Hébergement de la production : API, base de données, back-office | Toutes les données du service | Non |
| Hetzner Online GmbH (Allemagne) | Serveurs temporaires des lives, détruits à la fin de chaque live | Flux audio et vidéo des lives | Non |
| BunnyWay d.o.o. (Bunny.net) (Slovénie) | Stockage et diffusion des médias, replays, factures PDF | Photos, vidéos, factures | Non |
| Cloudflare, Inc. (États-Unis) | Hébergement du site vitrine, CDN, protection contre les attaques, DNS ; Turnstile (anti-spam du formulaire de contact) ; Stream (vidéo de démonstration) | Adresse IP, signaux techniques du navigateur | Oui (États-Unis) |
| Stripe Payments Europe, Ltd (Irlande) | Paiements par carte, comptes Stripe Connect et vérification d’identité des vendeurs | Données de paiement, identité des vendeurs | Possible vers Stripe, Inc. (États-Unis) |
| Brevo (France) | Emails transactionnels et de connexion ; réception des emails du support | Email, nom, contenu des messages | Non |
| SMS Partner (France) | Envoi des SMS de code de connexion | Numéro de téléphone | Non |
| Google LLC (États-Unis) : Firebase Cloud Messaging | Notifications push | Jeton d’appareil, contenu de la notification | Oui (États-Unis) |
| Sendcloud B.V. (Pays-Bas) | Tarifs, étiquettes d’expédition, points relais et suivi | Nom, adresse, téléphone du destinataire, poids du colis | Non |
| Transporteurs : La Poste / Colissimo, Mondial Relay, Chronopost (France) | Acheminement et suivi des colis (responsables de traitement pour la livraison) | Nom, adresse, téléphone du destinataire | Non |
| OpenAI (États-Unis) | Analyse automatisée du texte à des fins de modération (article 6) | Texte des descriptions, commentaires, messages privés, avis et messages de chat | Oui (États-Unis) |
| Google LLC (États-Unis) : Perspective API | Service de repli de la modération, lorsqu’il est activé | Texte soumis à modération | Oui (États-Unis) |
| Cohere Inc. (Canada) | Représentations numériques (embeddings) pour la recherche | Texte des items et requêtes de recherche | Oui (Canada) |
| PostHog (Union européenne, Francfort) | Mesure d’audience, enregistrement de sessions masqué et suivi des erreurs du site et de l’application, uniquement après votre consentement ; suivi des erreurs techniques de l’API | Pages vues, interactions, enregistrements masqués, erreurs ; pour l’API, erreurs techniques rattachées au compte concerné | Non (hébergement dans l’UE) |
| Pennylane (France) | Facturation électronique | Noms, adresses et montants des factures | Non |
| Mapbox (États-Unis) | Géocodage d’adresses en repli, lorsqu’il est activé | Adresses saisies | Oui (États-Unis) |
| Discord (États-Unis) | Communauté, support sur le serveur officiel et alertes opérationnelles (sans données bancaires) | Pseudo Discord, alertes techniques | Oui (États-Unis) |
| API publiques françaises (api-adresse.data.gouv.fr, recherche-entreprises.api.gouv.fr) | Autocomplétion d’adresses et recherche de SIRET | Adresse saisie, SIRET | Non |
Vos données peuvent aussi être communiquées aux autorités administratives et judiciaires lorsque la loi l’impose. En cas de restructuration (fusion, acquisition, cession d’activité), elles peuvent être transférées au repreneur, tenu aux mêmes obligations. Aucune donnée personnelle n’est vendue.
5. Transferts hors de l’Union européenne
Les données de la plateforme sont hébergées en France (OVH). Les lives sont diffusés depuis des serveurs temporaires hébergés en Allemagne (Hetzner).
Lorsqu’un prestataire est établi hors de l’Espace économique européen (États-Unis, Canada), le transfert est encadré par l’une des garanties suivantes : une décision d’adéquation de la Commission européenne (Canada, pour les organismes qu’elle couvre), les clauses contractuelles types (CCT) de la Commission européenne, ou le cadre Data Privacy Framework (DPF) lorsque le prestataire y est certifié, complétés au besoin par des mesures techniques (chiffrement en transit). Vous pouvez obtenir une copie des garanties applicables à un prestataire en écrivant à privacy@blisterr.com.
6. Décisions automatisées et profilage
Modération automatisée. Les annonces, commentaires, messages privés, avis et messages du chat de live sont analysés automatiquement dès leur publication, par un dictionnaire de termes interdits puis par un service d’intelligence artificielle opéré par un prestataire tiers (OpenAI, avec un service de repli). L’analyse porte sur le texte. Un contenu détecté peut être signalé à l’équipe ou masqué automatiquement ; l’équipe examine les contenus signalés ou jugés suspects.
Mesures automatiques. Certaines mesures sont appliquées sans intervention humaine : le strike en cas de non-paiement d’une enchère remportée, la dépublication d’un item ou le masquage d’un commentaire à partir de trois signalements distincts. Vous pouvez les contester et obtenir un réexamen par un membre de l’équipe en écrivant à support@blisterr.com (article 18 des CGU).
Personnalisation. La sélection personnalisée du fil repose sur un profil de goûts construit à partir de vos interactions. Elle n’a pas d’effet juridique à votre égard.
7. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- accès à vos données et obtention d’une copie ;
- rectification des informations inexactes ou incomplètes ;
- effacement, dans les cas prévus par la loi ;
- limitation du traitement ;
- portabilité, pour recevoir vos données dans un format structuré ou les transmettre à un autre opérateur ;
- opposition, notamment à la personnalisation du fil et au marketing direct ;
- retrait du consentement à tout moment, sans effet rétroactif ;
- définition de directives post-mortem sur le sort de vos données.
Pour exercer ces droits, écrivez à privacy@blisterr.com ou par courrier postal à BLISTERR, 3 rue Denis Etcheverry, 64100 Bayonne, France. Nous répondons sous un mois maximum, prolongé de deux mois si la demande est complexe. Nous pouvons vous demander un justificatif d’identité en cas de doute raisonnable.
Vous avez également le droit d’introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Paris, cnil.fr.
8. Mineurs
Blisterr est réservé aux personnes majeures (18 ans révolus). Nous ne collectons pas sciemment de données de personnes mineures. Si nous constatons qu’un compte appartient à un mineur, nous le supprimons avec les données associées. Si vous pensez qu’un mineur a créé un compte, écrivez à privacy@blisterr.com.
9. Sécurité
Blisterr met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données, étant précisé qu’aucune mesure de sécurité n’offre une protection absolue :
- accès aux données restreint aux personnes habilitées, dans la stricte limite de leurs fonctions ;
- chiffrement TLS des communications ;
- journalisation des opérations sensibles ;
- sauvegardes ;
- gestion des incidents, avec notification à la CNIL dans les 72 heures et information des personnes concernées en cas de violation de données présentant un risque.
L’obligation de confidentialité peut être levée lorsque les données sont entrées dans le domaine public sans manquement de Blisterr, lorsque vous y consentez expressément, ou lorsque la loi, une décision de justice ou une autorité compétente l’impose.
10. Cookies et traceurs
Blisterr utilise des cookies et technologies similaires pour faire fonctionner la plateforme et, avec votre accord uniquement, pour mesurer l’audience avec PostHog (mesure d’audience, enregistrement de sessions masqué et suivi des erreurs). Les traceurs, leurs finalités, leurs durées et la gestion du consentement sont détaillés dans la Politique cookies. Blisterr respecte le signal Do Not Track émis par votre navigateur.
11. Modifications
La présente politique peut être modifiée. La version applicable est celle en vigueur à la date du traitement concerné ; la date d’entrée en vigueur figure en tête du document. Les modifications substantielles sont notifiées par email ou via la plateforme.
12. Contact
- Email RGPD : privacy@blisterr.com
- Adresse postale : BLISTERR, 3 rue Denis Etcheverry, 64100 Bayonne, France.