Politique de confidentialité

Le responsable du traitement des données collectées sur Miracards est l'éditeur du site, identifié dans les mentions légales.

Responsable de traitement : à compléter

Adresse : à compléter

Contact pour toute question relative aux données : à compléter

Aucun délégué à la protection des données n'a été désigné, sa désignation n'étant pas obligatoire au regard de la nature et du volume des traitements réalisés.

Le tableau ci-dessous récapitule l'ensemble des traitements mis en œuvre. Aucune donnée n'est collectée en dehors de ce qui y figure.

Compte et authentification

• Données : adresse e-mail, mot de passe (stocké sous forme de condensat chiffré par Supabase Auth, jamais en clair), pseudonyme, identifiant public, date de création, date de dernière connexion, date de dernière activité sur le site, état de l'authentification à deux facteurs.
• Finalité : création et gestion du compte, connexion, sécurisation de l'accès.
• Base légale : exécution du contrat que constituent les conditions générales d'utilisation (art. 6.1.b du RGPD).

Profil public

• Données : pseudonyme, avatar, description, réglages de visibilité des onglets du profil.
• Finalité : affichage du profil et des collections auprès des autres membres, selon les réglages choisis.
• Base légale : exécution du contrat. Chaque onglet (collection, likes, wishlist, doublons) peut être rendu privé depuis les paramètres du profil.

Collection et listes personnelles

• Données : cartes possédées, likes, liste de recherche, doublons proposés à l'échange, rangements.
• Finalité : fonctionnalité principale du service — le suivi de collection.
• Base légale : exécution du contrat.

Place de marché

• Données : annonces (titre, description, prix, photographies, moyen de contact indiqué par le vendeur), boutique vendeur, panier, commandes et leur statut, moyen de paiement déclaré et lien de paiement transmis.
• Finalité : publication des annonces, mise en relation, suivi des commandes.
• Base légale : exécution du contrat.

Messagerie

• Données : contenu des messages échangés entre membres, pièces jointes images, horodatage, accusés de lecture, blocages.
• Finalité : permettre aux membres d'échanger au sujet d'une carte ou d'une transaction.
• Base légale : exécution du contrat. Les conversations privées ne sont pas lues de manière systématique ; elles ne sont consultées qu'en cas de signalement, et dans la seule mesure nécessaire à son traitement.

Assistance

• Données : demandes d'aide adressées à l'équipe (objet, contenu des messages, pièces jointes images, horodatage, état de lecture), et identité du membre de l'équipe qui répond.
• Finalité : traiter les demandes d'assistance et garder trace de ce qui a été répondu.
• Base légale : exécution du contrat. À la différence des conversations entre membres, ces échanges sont lus par l'équipe : c'est leur objet même.

Liaison d'un compte eBay (vendeurs)

• Données : identifiant du vendeur chez eBay, portées d'autorisation accordées, réglages de publication choisis, jetons d'accès et de rafraîchissement conservés chiffrés, horodatage de la dernière synchronisation.
• Finalité : publier les annonces du vendeur sur son compte eBay et récupérer les commandes correspondantes, à sa demande.
• Base légale : exécution du contrat, sur action volontaire du vendeur. La liaison est facultative : tant qu'elle n'est pas établie, aucune donnée ne circule vers eBay. Elle se rompt à tout moment depuis l'onglet Vente du profil, ce qui efface les jetons conservés.

Modération et sécurité

• Données : signalements et instantané du contenu signalé, décisions de modération, sanctions (suspension, bannissement) et leur motif, journal d'audit des événements sensibles (connexions réussies et échouées, verrouillages, changements d'adresse e-mail ou de mot de passe, activation ou retrait du 2FA, changements de rôle), adresse IP et agent utilisateur associés à ces événements, compteurs de limitation de débit.
• Finalité : prévention de la fraude et des abus, sécurité des comptes, traitement des signalements, preuve en cas de litige.
• Base légale : intérêt légitime du responsable de traitement et des membres à disposer d'un service sûr (art. 6.1.f du RGPD), ainsi qu'obligation légale de conservation des données d'identification prévue par la loi pour la confiance dans l'économie numérique.

Notifications sur le site

• Données : notifications générées par l'activité du compte, état de lecture. Des notifications push ne sont envoyées que si vous les avez explicitement autorisées dans votre navigateur.
• Finalité : information sur les messages reçus, les commandes et les décisions de modération.
• Base légale : exécution du contrat ; consentement pour les notifications push (art. 6.1.a du RGPD), révocable à tout moment depuis les réglages du navigateur.

E-mails transactionnels

• Données : adresse e-mail, pseudonyme et éléments nécessaires au message (référence de commande, lien de paiement transmis par le vendeur, aperçu d'un message reçu). L'envoi est assuré par le prestataire Resend.
• Finalité : vous prévenir des événements qui n'attendent pas votre prochaine visite sur le site — commande reçue, lien de paiement envoyé, nouveau message.
• Base légale : exécution du contrat (art. 6.1.b du RGPD). Il s'agit d'e-mails de service, non publicitaires : aucune newsletter, aucune prospection commerciale n'est envoyée.
• Opposition : ces envois se désactivent à tout moment depuis l'onglet Paramètres du profil. Les e-mails de sécurité (confirmation d'adresse, réinitialisation de mot de passe), envoyés par Supabase Auth, restent indispensables au fonctionnement du compte et ne peuvent pas être désactivés.

Mesure d'audience

• Données : pages consultées, provenance, type d'appareil et de navigateur, sous forme agrégée et anonyme. L'outil utilisé est Vercel Analytics : il ne dépose aucun cookie, ne crée aucun identifiant persistant et ne permet pas de suivre un visiteur d'un site à l'autre.
• Finalité : mesurer la fréquentation et améliorer le service.
• Base légale : intérêt légitime (art. 6.1.f du RGPD). Cette mesure d'audience relève des exemptions de consentement admises par la CNIL, ce qui explique l'absence de bandeau cookies.

Aucune donnée sensible au sens de l'article 9 du RGPD n'est collectée. Aucune décision automatisée produisant des effets juridiques, ni aucun profilage, n'est mis en œuvre. Vos données ne sont ni vendues, ni louées, ni transmises à des fins publicitaires.

Le site n'utilise aucun cookie publicitaire, ni aucun traceur tiers. Seuls sont déposés des cookies strictement nécessaires au fonctionnement du service, dispensés de consentement au titre de l'article 82 de la loi Informatique et Libertés :

Cookies de session Supabase Auth

maintiennent la connexion au compte entre deux pages. Supprimés à la déconnexion.

csrf-token

jeton anti-falsification de requête, protégeant les actions sensibles. Durée de vie : 2 heures.

Le navigateur peut également conserver localement des préférences d'affichage et les données du service worker nécessaires au fonctionnement hors ligne de l'application installable ; ces informations ne quittent pas votre appareil.

Les données ne sont accessibles qu'à l'éditeur, à l'équipe de modération dans la limite de ses missions, et aux prestataires techniques suivants, qui agissent en qualité de sous-traitants au sens de l'article 28 du RGPD :

Supabase, Inc. — Base de données, authentification et stockage

970 Toa Payoh North #07-04, Singapour 318992 — https://supabase.com

BunnyWay d.o.o. (Bunny.net) — Réseau de diffusion des images (CDN)

Cesta Komandanta Staneta 4A, 1215 Medvode, Slovénie — hébergement : Union européenne — https://bunny.net

Vercel Inc. — Hébergement de l'application et mesure d'audience (Vercel Analytics)

440 N Barranca Ave #4133, Covina, CA 91723, États-Unis — https://vercel.com

Resend, Inc. — Envoi des e-mails transactionnels (commande, lien de paiement, message reçu)

hébergement : États-Unis — https://resend.com

Services tiers reliés par le membre

Un vendeur peut relier son compte eBay depuis l'onglet Vente de son profil. Ce service n'agit pas pour le compte de l'éditeur mais pour le sien, sous ses propres conditions et sur un compte qui appartient au vendeur : il n'est donc pas un sous-traitant au sens de l'article 28, et figure ici à part.

eBay — Publication des annonces du vendeur sur son compte eBay et récupération des commandes correspondantes

hébergement : États-Unis — https://www.ebay.fr — conservé de notre côté : identifiant du vendeur chez eBay, portées autorisées, réglages de publication, jetons d'accès et de rafraîchissement chiffrés.

Tant qu'aucun compte n'est relié, aucune donnée ne part vers ces services. La liaison se rompt depuis le même écran.

Outils de supervision

Lorsqu'une erreur applicative ou une alerte de sécurité survient, un événement technique — page concernée, horodatage, identifiant de compte et adresse IP — peut être transmis aux outils suivants, dans la seule mesure où ils sont activés en production :

Sentry (Functional Software, Inc.) — Journalisation des erreurs applicatives

https://sentry.io

Canal d'alerte interne (Discord ou Slack) — Notification immédiate des alertes de sécurité à l'équipe

Canal interne réservé à l'équipe.

Ces événements ne contiennent jamais de mot de passe, de jeton d'authentification ni d'adresse e-mail complète. Ils sont conservés selon la politique de rétention de l'outil concerné, sans excéder un an.

Les données peuvent en outre être communiquées aux autorités judiciaires ou administratives lorsque la loi l'exige.

Transferts hors Union européenne

Certains de ces prestataires sont établis hors de l'Union européenne. Les transferts éventuels sont encadrés par les clauses contractuelles types de la Commission européenne et, pour les prestataires établis aux États-Unis, par leur certification au titre du cadre de protection des données UE–États-Unis lorsqu'elle est applicable. La région d'hébergement retenue pour la base de données figure dans les mentions légales.

Attention : les informations que vous publiez volontairement — pseudonyme, avatar, description, annonces, moyen de contact indiqué sur une annonce ou une boutique — sont visibles publiquement. N'y faites figurer que ce que vous acceptez de rendre public.

Compte, profil, collection, annonces

pendant toute la durée de vie du compte, puis supprimés lors de sa suppression.

Messages et conversations

jusqu'à leur suppression par les participants ou la suppression du compte. La suppression d'une conversation par un participant ne l'efface que de son côté.

Commandes

pendant la durée de vie du compte ; les commandes en cours sont supprimées avec lui.

Demandes d'assistance

pendant la durée de vie du compte, puis supprimées avec lui.

Jetons d'un compte eBay relié

jusqu'à la rupture de la liaison, la suppression du compte ou l'expiration du jeton de rafraîchissement chez eBay, selon ce qui survient en premier.

Signalements et décisions de modération

un an à compter de leur traitement, afin de pouvoir constater les récidives et justifier les sanctions prises.

Journal d'audit et de sécurité (dont adresses IP)

un an, conformément aux obligations de conservation des données d'identification.

Compteurs de limitation de débit

quelques minutes à quelques heures, selon la fenêtre de limitation.

Comptes inactifs

un compte resté inactif pendant trois ans peut être supprimé après information préalable envoyée à l'adresse e-mail associée.

Après suppression du compte, seules subsistent les traces du journal d'audit rendues nécessaires par les obligations légales et la défense d'un droit en justice, ainsi que les éléments d'un litige en cours.

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

Droit d'accès

obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.

Droit de rectification

corriger des données inexactes. Le pseudonyme, l'avatar, la description, l'adresse e-mail et le mot de passe se modifient directement depuis l'onglet Paramètres du profil.

Droit à l'effacement

supprimer votre compte et les données associées, depuis l'onglet Paramètres du profil (« Zone de danger »). L'opération est immédiate et définitive.

Droit à la portabilité

récupérer vos données dans un format structuré et lisible par machine. Un bouton Exporter mes données dans l'onglet Paramètres télécharge un fichier JSON contenant votre profil, votre collection, vos listes, vos annonces, vos commandes, vos conversations, vos demandes d'assistance et les réglages du compte eBay relié. Les secrets en sont exclus — condensat du mot de passe et jetons d'accès : les exporter n'apprendrait rien et en ferait une copie de plus.

Droit d'opposition et de limitation

vous opposer à un traitement fondé sur l'intérêt légitime, ou en demander la limitation, pour des raisons tenant à votre situation particulière. Les e-mails transactionnels se désactivent directement depuis l'onglet Paramètres du profil, et la visibilité publique de chaque onglet du profil s'y règle également.

Directives post-mortem

définir des directives relatives au sort de vos données après votre décès.

Ces droits s'exercent depuis l'onglet Paramètres du profil, ou par e-mail auprès du responsable de traitement. Une réponse est apportée dans un délai d'un mois, prorogeable de deux mois en cas de demande complexe. Une pièce justificative d'identité peut être demandée en cas de doute sérieux sur l'identité du demandeur.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés : www.cnil.fr/fr/plaintes — CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

L'éditeur met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données : chiffrement des échanges (HTTPS), mots de passe stockés sous forme de condensats salés, authentification à deux facteurs disponible, politique de sécurité du contenu stricte, protection contre la falsification de requêtes, limitation du débit des actions sensibles, journalisation des événements de sécurité et cloisonnement des accès d'administration par rôle.

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en serez informé dans les meilleurs délais, conformément à l'article 34 du RGPD, et la CNIL sera notifiée dans les 72 heures.

L'inscription est réservée aux personnes âgées d'au moins 15 ans. Si vous constatez qu'un compte a été ouvert par un enfant plus jeune, signalez-le à l'adresse de contact : il sera supprimé et les données associées effacées.

La présente politique peut être mise à jour pour tenir compte d'une évolution du service ou de la réglementation. La date de dernière mise à jour figure en tête de page ; toute modification substantielle est portée à la connaissance des membres par notification sur le site.