Politique de confidentialité
Dernière mise à jour : 20 octobre 2026
Cette politique explique quelles données personnelles OpNow collecte, pourquoi, avec qui elles sont partagées, combien de temps elles sont conservées et comment exercer vos droits, conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
1. Responsable du traitement
Le responsable du traitement est VANNALDI (Entrepreneur Individuel), 6 Descente Crotti, 06300 Nice, France — SIRET 97817948900031 (SIREN 978179489). Contact : [email protected].
Compte tenu de l'effectif et de la nature des traitements, VANNALDI n'est pas tenue de désigner un Délégué à la protection des données (DPO). Toute demande relative à la protection des données peut être adressée au contact ci-dessus.
2. Données collectées
| Donnée | Quand / pourquoi |
|---|---|
| Adresse email | À l'inscription : création du compte, vérification par code (OTP), réinitialisation de mot de passe, emails de service. |
| Mot de passe | Stocké uniquement sous forme de hash bcrypt ; jamais conservé ni lisible en clair. |
| Localisation GPS (précise) | Avec votre autorisation, pour trouver les commerces et opportunités autour de vous. Vous pouvez la refuser ou la retirer dans les réglages de l'appareil ; la recherche manuelle reste possible. |
| Jeton FCM (notifications push) | Si vous activez les notifications : envoi des notifications via Firebase Cloud Messaging. |
| Identifiant d'appareil / environnement | Identifiant technique associé au jeton push et environnement (sandbox / production) pour acheminer correctement les notifications. |
| Statistiques d'usage (analytics) | Vues d'opportunités et événements d'usage, pour mesurer l'audience des offres et améliorer le Service. |
| Paiements (comptes professionnels) | Abonnements pro payés via Stripe. OpNow ne stocke pas vos numéros de carte ; elle conserve l'identifiant client Stripe, le statut de l'abonnement et les factures. |
| Contenus que vous créez | Avis, favoris, réservations, et pour les commerçants : fiche du commerce, photos, offres. |
| Données techniques et de sécurité | Adresse IP, journaux de connexion, tentatives de connexion (limitation de débit anti-abus). |
3. Finalités
- Fonctionnement du Service : compte, authentification, recherche géolocalisée, réservations, favoris.
- Personnalisation : résultats proches de vous, langue, rayon de recherche.
- Notifications : alertes liées à vos réservations et informations du Service (selon vos préférences).
- Modération et sécurité : lutte contre la fraude et les abus, journal d'audit des actions d'administration.
- Facturation : gestion des abonnements professionnels et obligations comptables.
- Amélioration du Service : statistiques agrégées d'usage.
4. Bases légales
- Exécution du contrat (CGU) : compte, réservations, abonnements, facturation.
- Consentement : géolocalisation précise, notifications push (retirable à tout moment dans les réglages de l'appareil ou de l'application).
- Intérêt légitime : sécurité, prévention de la fraude, mesure d'audience.
- Obligation légale : conservation des données de facturation.
5. Destinataires et sous-traitants
Vos données ne sont jamais vendues. Elles sont accessibles au personnel habilité d'OpNow et à nos sous-traitants :
| Destinataire | Rôle | Localisation |
|---|---|---|
| OVH (VPS) | Hébergement de l'API, de la base de données et des sauvegardes | France |
| Brevo | Envoi des emails transactionnels (code de vérification, réinitialisation) | France |
| Stripe | Paiement des abonnements professionnels (accord de traitement des données / DPA signé) | Irlande (UE) |
| Firebase / Google | Acheminement des notifications push (FCM) | États-Unis, encadré par le EU-US Data Privacy Framework et un DPA |
6. Durée de conservation
- Compte actif : tant que le compte existe.
- Suppression de compte : suppression logique immédiate (soft delete), puis effacement définitif au bout de 30 jours.
- Sauvegardes : conservées 30 jours puis détruites ; elles sont chiffrées (age). Les données supprimées disparaissent donc des sauvegardes au plus tard 30 jours après leur expiration.
- Jetons push : supprimés à la déconnexion ou à la suppression du compte.
- Données de facturation : conservées pendant la durée légale (10 ans pour les pièces comptables).
- Journaux techniques de sécurité : durée limitée à ce qui est nécessaire à la sécurité.
7. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité, ainsi que du droit de retirer votre consentement à tout moment et de définir des directives post-mortem.
Pour les exercer :
- dans l'application (compte connecté) :
- suppression du compte :
DELETE /users/me; - export de vos données (portabilité) :
GET /users/me/export; - par email : [email protected] (nous répondons sous un mois ; une pièce d'identité peut être demandée en cas de doute).
Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).
8. Cookies et stockage local
L'application mobile n'utilise pas de cookies. L'API ne dépose aucun cookie de suivi. Les informations de session (jeton d'authentification) sont stockées sur votre appareil dans le stockage sécurisé du système (Flutter Secure Storage : Keychain iOS / Keystore Android). Le panneau web d'administration et d'espace professionnel utilise uniquement un cookie de session strictement nécessaire à l'authentification.
9. Sécurité
- Chiffrement des échanges en TLS (HTTPS).
- Mots de passe hashés avec bcrypt.
- Jetons d'authentification JWT à durée de vie courte (2 heures).
- Limitation de débit contre les attaques par force brute.
- Double authentification (2FA) pour les comptes d'administration.
- Suppression logique puis effacement définitif ; sauvegardes chiffrées.
- Codes de vérification et jetons stockés sous forme de hash lorsque c'est possible ; journal d'audit des actions d'administration.
Aucun système n'étant infaillible, nous vous notifierons ainsi que la CNIL en cas de violation de données dans les délais légaux.
10. Mineurs
Le Service n'est pas destiné aux moins de 15 ans. Nous ne collectons pas sciemment de données concernant des enfants de moins de 15 ans ; si vous pensez qu'un mineur nous a transmis des données, contactez-nous pour qu'elles soient supprimées.
11. Transferts hors Union européenne
Les données sont hébergées en France. Seul Firebase / Google (notifications push) implique un transfert vers les États-Unis, encadré par le EU-US Data Privacy Framework et les clauses contractuelles du DPA de l'entreprise. Le contenu des notifications est limité au strict nécessaire.
12. Modifications
Cette politique peut évoluer. La date de dernière mise à jour figure en tête de page ; en cas de changement important, vous en serez informé dans l'application ou par email.
13. Contact
Pour toute question relative à vos données personnelles : [email protected].