OOGA et vos données
Cette politique s’applique à l’application OOGA pour mobile et tablette, à ses services de commande et de retrait en boutique, à son espace professionnel et au site vitrine ooga.app. Le site présente l’application et permet de nous contacter ; la connexion au compte s’effectue dans l’application.
JCorp, exploitant d’OOGA, est responsable des traitements décrits dans cette politique. Pour toute question ou demande concernant vos données : [email protected].
La boutique auprès de laquelle vous commandez utilise également les informations nécessaires à la préparation, au retrait et au suivi de votre commande. Elle est responsable de ses propres obligations commerciales et comptables.
Connexion avec Google
Si vous choisissez « Se connecter avec Google », Google transmet les informations de base permettant de vous identifier : l’identifiant de votre compte Google, votre adresse e-mail et les informations de profil autorisées, notamment votre nom et, lorsqu’elle est fournie, votre photo de profil.
OOGA utilise cette connexion pour créer ou retrouver votre compte, vérifier votre identité et préremplir votre nom et votre adresse e-mail. Votre numéro de téléphone et les autres renseignements demandés dans OOGA sont recueillis séparément auprès de vous.
OOGA ne reçoit pas votre mot de passe Google et ne demande pas l’accès à vos messages Gmail, à vos fichiers Google Drive, à vos contacts ni à votre agenda.
Le jeton d’identité fourni par Google est transmis à Supabase Auth pour vérifier la connexion et établir votre session OOGA. Les informations d’authentification et de profil associées au compte sont conservées dans les services Supabase utilisés par OOGA. Elles sont utilisées pour le fonctionnement de votre compte et ne sont pas vendues ni utilisées pour du ciblage publicitaire.
Les personnes intervenant pour la gestion du compte et les prestataires décrits ci-dessous peuvent traiter les données nécessaires à leurs missions. Un identifiant interne OOGA est également utilisé pour les notifications et le diagnostic de l’application ; ces fonctions ne nécessitent aucun accès supplémentaire à votre compte Google.
Vous pouvez retirer l’association à OOGA dans les connexions de votre compte Google. Ce retrait ne supprime pas à lui seul votre compte OOGA ni vos commandes : pour demander leur suppression, suivez la procédure de la section Suppression du compte.
Données dans l’application
- Compte et profil : identifiant OOGA, e-mail, prénom, nom, civilité, téléphone, rôle client ou professionnel et date de création du compte, selon votre parcours.
- Commandes : boutique, produits, panier, montant, créneau de retrait, statut et historique nécessaires au suivi de vos achats. Les professionnels disposent des informations utiles à leurs commandes et à leur activité.
- Paiement : Stripe traite les informations de carte. OOGA conserve des références Stripe et peut afficher des informations masquées sur le moyen de paiement : marque, quatre derniers chiffres et date d’expiration. Le numéro complet de carte et le cryptogramme ne sont pas stockés dans la base de comptes OOGA.
- Localisation : avec l’autorisation de votre appareil, votre position permet de proposer les boutiques à proximité. Des coordonnées de latitude et longitude ainsi qu’une zone géographique peuvent être enregistrées dans votre profil. Vous pouvez retirer cette permission dans les réglages de votre appareil.
- Notifications : identifiant d’abonnement aux notifications, identifiant OOGA et préférences utiles aux alertes de commande et aux nouvelles des boutiques suivies. Les autorisations de notification se gèrent dans les réglages de l’appareil.
- Utilisation et diagnostic : écrans consultés, événements tels que connexion, inscription, panier ou achat, identifiant interne, rôle, informations techniques sur l’appareil, erreurs et traces de plantage. Firebase Analytics et Crashlytics servent à comprendre l’utilisation du service et à corriger les dysfonctionnements.
Site et demandes de contact
Le formulaire du site recueille votre nom, votre e-mail, votre message et, si vous le renseignez, votre téléphone. Un e-mail envoyé directement à [email protected] nous transmet également son expéditeur, son contenu et ses éventuelles pièces jointes. Ces données servent à répondre à votre demande et à assurer son suivi.
Le site est hébergé sur Cloudflare. Son dispositif Turnstile vérifie les envois du formulaire pour limiter les abus. Ces services traitent des informations techniques de connexion, notamment l’adresse IP, les caractéristiques du navigateur et des signaux de sécurité. Resend assure l’acheminement des messages du formulaire et la réception des e-mails de support.
Les polices du site sont chargées depuis Google Fonts : cette connexion transmet à Google des informations techniques, dont l’adresse IP et les informations du navigateur. Les liens vers les stores et les réseaux sociaux vous conduisent vers des services soumis à leurs propres politiques.
Le site vitrine n’intègre pas les outils Firebase Analytics de l’application. Les protections techniques du site et les fonctions d’authentification de l’application doivent être distinguées des outils de mesure d’utilisation.
Usages et bases légales
- Créer et gérer le compte, authentifier l’utilisateur, traiter une commande et son paiement : exécution du service demandé et du contrat avec l’utilisateur, ou mesures précontractuelles prises à sa demande.
- Répondre aux demandes de contact et de support : mesures précontractuelles ou exécution du contrat lorsque la demande s’y rapporte ; intérêt légitime de JCorp à répondre aux autres sollicitations.
- Sécuriser le service, prévenir les abus et résoudre les incidents : intérêt légitime à maintenir un service fiable et à protéger les utilisateurs.
- Respecter les obligations de facturation, de comptabilité et les demandes légales : respect des obligations légales applicables.
- Géolocalisation facultative et communications promotionnelles soumises à accord : consentement, qui peut être retiré pour l’avenir.
La mesure d’utilisation sert à améliorer l’application. Les opérations de mesure ou d’accès aux informations de l’appareil qui nécessitent légalement un consentement sont soumises à cette exigence ; l’autorisation de recevoir des notifications ou d’utiliser la localisation ne vaut pas accord général pour les autres traitements.
Les renseignements nécessaires au compte et à la commande permettent de fournir ces services ; sans eux, les fonctions concernées ne peuvent pas être assurées. Le téléphone du formulaire de contact et les permissions facultatives sont distincts de ces renseignements nécessaires.
Destinataires et prestataires
Selon la fonction utilisée, vos données sont traitées par JCorp pour la gestion du service et du support, par la boutique concernée pour votre commande, et par les prestataires techniques suivants :
- Supabase : authentification, base de données du service et stockage des fichiers.
- Google : connexion Google lorsque vous la choisissez ; services Firebase pour la mesure d’utilisation, le diagnostic et la configuration technique ; Google Fonts sur le site.
- Stripe : paiement, gestion des références de paiement et prévention de la fraude liée aux transactions.
- OneSignal : gestion et acheminement des notifications de l’application.
- Resend : envoi des e-mails transactionnels, dont les codes et messages relatifs au compte, et traitement des messages de contact.
- Cloudflare : hébergement et protection du site, contrôle anti-abus du formulaire.
Les informations transmises dépendent du service rendu : une boutique n’a pas besoin de votre mot de passe ou du jeton de connexion Google pour préparer une commande. Les données peuvent également être communiquées aux autorités ou conseils compétents lorsque la loi ou la défense d’un droit l’exige. JCorp ne vend pas vos données personnelles.
Durées de conservation
- Compte et données de connexion Google : pendant l’existence du compte et pour fournir les services associés, puis suppression sur demande, sous réserve des données dont la conservation reste nécessaire pour une obligation légale ou un litige.
- Demandes de contact et de support : au maximum 24 mois après le dernier échange. Les éléments nécessaires à une obligation légale ou à un litige peuvent être conservés séparément pendant la durée correspondante.
- Commandes et paiements : pendant leur traitement et le suivi de la relation commerciale ; les justificatifs soumis à une obligation comptable sont archivés pendant la durée légale applicable, notamment dix ans pour les pièces comptables concernées.
- Localisation et préférences : pour fournir les fonctions associées au compte, jusqu’à leur mise à jour ou à leur suppression. Retirer une permission empêche les accès futurs correspondants mais n’efface pas automatiquement les données déjà enregistrées ; vous pouvez en demander l’effacement.
- Données techniques, de mesure et de diagnostic : selon les besoins d’analyse du fonctionnement, de résolution des incidents et de sécurité, et les paramètres de conservation des services concernés. Vous pouvez nous demander les durées applicables à vos données.
Lorsqu’une obligation impose de conserver certains documents après une demande de suppression, leur conservation est limitée à cette finalité. Les données supprimées du service actif peuvent subsister temporairement dans les sauvegardes jusqu’à leur remplacement selon le cycle de sauvegarde du prestataire.
Stockage, transferts et sécurité
Les données du compte sont stockées dans l’infrastructure Supabase utilisée par OOGA. Les autres prestataires traitent les données nécessaires à leurs propres fonctions. Leurs infrastructures et leurs équipes peuvent être situées dans plusieurs pays, y compris hors de l’Espace économique européen : cette politique ne signifie donc pas que toutes les données restent en France.
Les transferts hors de l’Espace économique européen relèvent des garanties prévues par le RGPD, telles qu’une décision d’adéquation ou les clauses contractuelles types applicables au service. Vous pouvez écrire à [email protected] pour obtenir des précisions sur la localisation de vos données et les garanties relatives aux prestataires concernés. Les conditions de traitement de Supabase et les informations de Firebase décrivent également leurs mécanismes de protection.
Les échanges avec les services en ligne utilisent des connexions chiffrées HTTPS. L’authentification du compte est assurée par Supabase Auth ; la connexion Google vérifie un jeton d’identité et ne communique pas le mot de passe Google à OOGA. Le formulaire du site vérifie l’origine des demandes et utilise Turnstile contre les envois abusifs. Le paiement est confié à Stripe.
Ne communiquez jamais votre mot de passe, vos codes à usage unique ou vos données complètes de carte dans un message de support. Signalez un accès suspect à [email protected].
Suppression du compte
Pour demander la suppression de votre compte OOGA et des données associées, envoyez un e-mail à [email protected] depuis l’adresse liée à votre compte, avec l’objet « Suppression de mon compte OOGA ».
JCorp traite la demande et peut vous demander les éléments strictement nécessaires pour vérifier qu’elle provient du titulaire du compte. Aucun mot de passe ni code de connexion n’est nécessaire dans cet échange. Les données du compte et de profil, y compris celles obtenues par la connexion Google, sont concernées par la demande.
Les documents dont la conservation est imposée par la loi, ou nécessaires au traitement d’un litige, ne sont pas nécessairement effacés immédiatement. Nous vous informons des exceptions applicables. Désinstaller OOGA ou retirer sa connexion dans Google ne remplace pas cette demande.
Vos droits
Dans les conditions prévues par le RGPD, vous disposez de droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition. Vous pouvez retirer un consentement pour l’avenir, sans remettre en cause les traitements déjà effectués licitement.
Pour les exercer, écrivez à [email protected] en précisant votre demande. Nous répondons en principe sous un mois. Si la complexité ou le nombre de demandes justifie une prolongation légale, nous vous en informons dans ce délai avec les raisons de cette prolongation. Une vérification d’identité proportionnée peut être nécessaire.
Vous pouvez également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).
Cette politique est mise à jour lorsque le service ou les usages des données évoluent. La date affichée en haut de page identifie sa version. Les changements importants concernant vos données sont portés à votre connaissance par un moyen adapté.