Qui est responsable ?
Pour ton compte Fish not cheap et le portail, le responsable du traitement de tes données est Sarah Chaland, entrepreneur individuel exerçant sous le nom commercial « Nemo & Dory », 62 cours Fauriel, 42100 Saint-Étienne, SIRET 947 839 627 00025.
Contact pour toute question sur tes données : contact@fishnotcheap.fr ou 06 21 03 21 82.
Chaque produit présenté sur le portail (Fish n’ post, Fish n’ feed…) a son propre site et sa propre politique de confidentialité. Pour les données que tu lui confies (commande, licence, progression…), le responsable est l’éditeur ou le vendeur de ce produit, désigné dans ses mentions légales : consulte sa politique.
Quelles données, pourquoi, sur quelle base ?
Ton compte Fish not cheap
- Données : nom (« Prénom ou nom », comme tu l’écris), email, mot de passe (choisi après la confirmation de ton email, stocké haché de façon irréversible : nous ne le connaissons pas), email vérifié ou non, date de création et date de dernière connexion, version et date des CGU acceptées (tu coches la case « 18 ans révolus et CGU » à l’inscription).
- Pourquoi : créer et sécuriser ton compte, te connecter, te permettre d’accéder aux produits depuis un seul endroit.
- Base : l’exécution du contrat (les conditions d’utilisation que tu acceptes en créant ton compte).
Vérification de ton email et sécurité de la connexion
- Données : ton email, un lien de vérification à usage unique (valable 24 h pour confirmer ton email, 1 h pour un mot de passe oublié), un compteur de tentatives de connexion gardé en mémoire pour limiter les tentatives abusives (effacé à l’arrêt du service). Le portail n’enregistre aucune adresse IP dans sa base de données. Comme tout site, le serveur web tient des journaux techniques (adresse IP, date, page demandée) pour la sécurité et le bon fonctionnement, conservés 14 jours, puis supprimés automatiquement.
- Pourquoi : t’envoyer le lien de confirmation, empêcher qu’on ouvre un compte avec ton email à ta place (le mot de passe ne se choisit qu’après avoir prouvé ton email), bloquer les tentatives de piratage.
- Base : l’exécution du contrat et notre intérêt légitime à sécuriser le portail.
Ouverture d’un produit et affichage de tes accès
- Données : quand tu ouvres un produit depuis le hub, le portail lui transmet un jeton signé, valable 60 secondes et utilisable une seule fois. Il contient ton email. Pour Pitch not cheap seulement, il contient aussi le premier mot du champ « Prénom ou nom » de ton compte (pas le reste, 40 caractères au plus), pour l’accueil « Salut … ». Les autres produits ne reçoivent que l’email.
- Le jeton passe dans l’adresse de la page du produit. Il figure donc dans les journaux techniques du serveur web de ce produit (adresse IP, date, adresse demandée), conservés 14 jours. Comme il ne vaut que 60 secondes et une seule fois, il est inutilisable ensuite, mais son contenu (ton email, et ton prénom pour Pitch not cheap) reste lisible dans ces journaux pendant ces 14 jours. Il peut aussi rester un instant dans l’historique de ton navigateur.
- Pour afficher « Accès ouvert » et tes autres accès dans le hub, le portail interroge aussi chaque produit (de serveur à serveur) avec un jeton signé qui contient ton email, dans un en-tête et non dans l’adresse. Le produit ne répond que l’état de ton accès et sa date de fin éventuelle.
- Pourquoi : que le produit te reconnaisse sans nouvelle connexion, et que tu voies d’un coup d’œil à quoi tu as accès.
- Base : l’exécution du contrat. Le produit vérifie ensuite, dans sa propre base, si tu as une licence : ces traitements-là relèvent de sa propre politique.
Journal « Passages »
- Données : ton compte, le produit ouvert, la date et l’heure.
- Pourquoi : aider au support (comprendre pourquoi un accès ne marche pas) et repérer un usage anormal du compte.
- Base : notre intérêt légitime à assurer le support et la sécurité. Tu peux t’y opposer par email.
Preuve de ton acceptation des CGU
- Données : quand un compte confirmé est supprimé, nous gardons une empreinte SHA-256 de ton email (un calcul irréversible, qui ne permet pas de relire l’email), la version des CGU acceptée, la date d’acceptation et la date de suppression. Pour un compte jamais confirmé, nous ne gardons rien.
- Pourquoi : pouvoir prouver, en cas de litige, que tu avais accepté les CGU.
- Base : notre intérêt légitime à garder une preuve pour nous défendre en justice. Durée : voir plus bas.
Échanges avec nous
- Données : tes emails et nos réponses.
- Pourquoi : répondre à tes questions, demandes d’aide et réclamations.
- Base : l’exécution du contrat, ou notre intérêt légitime à te répondre.
Ce qu’on ne fait pas. Le portail ne mesure pas l’audience pour l’instant. Il ne fait aucune décision automatisée à ton sujet, aucun profilage publicitaire, et n’envoie aucune newsletter ni prospection sans ton accord distinct. Les emails que tu reçois du portail sont ceux qui servent le compte (confirmation de l’email, mot de passe oublié, alertes de sécurité).
Combien de temps on garde tout ça ?
- Compte Fish not cheap : tant que ton compte existe. Si tu ne t’es pas connecté depuis 3 ans, nous t’envoyons un email de préavis. Si tu ne te reconnectes pas dans les 30 jours qui suivent, nous supprimons le compte. Te connecter suffit à le garder. Tu peux demander la suppression plus tôt, à tout moment.
- Compte jamais confirmé (email non vérifié) : supprimé après 30 jours.
- Journal « Passages » : 12 mois, puis effacement.
- Traces des tentatives de connexion : 12 mois, puis effacement.
- Preuve de l’acceptation des CGU : dans ton compte tant qu’il existe. Après la suppression d’un compte confirmé, l’empreinte de l’email, la version des CGU et la date sont gardées 5 ans (durée de prescription), puis effacées. Rien n’est gardé pour un compte jamais confirmé.
- Journaux techniques du serveur web (adresse IP, date, page demandée) : 14 jours sur le portail. Les journaux de chaque produit, qui peuvent contenir le jeton de passage, sont aussi gardés 14 jours.
- Emails échangés avec nous : 3 ans après notre dernier échange.
Ces durées sont appliquées automatiquement par le portail, qui efface ce qui a dépassé sa durée. Les données que les produits détiennent sur toi suivent leurs propres durées, indiquées dans leur politique.
Qui y a accès ?
Seule Sarah Chaland a accès à tes données de compte pour le support, ainsi que Vincent Marconnet, qui développe, héberge et administre le portail, quand une intervention technique l’exige et dans la stricte limite de celle-ci.
Les produits. Quand tu ouvres un produit, il reçoit ton email, dans le jeton de passage. Pitch not cheap reçoit en plus le premier mot de ton champ « Prénom ou nom ». Un produit reçoit aussi ton email quand le portail l’interroge pour afficher tes accès (et ne répond alors que l’état de ton accès). Un produit ne reçoit rien d’autre du portail : ni ton mot de passe Fish not cheap, ni ton journal de passages, ni les autres produits auxquels tu as accès. Fish n’ post et Fish n’ feed sont édités par Sarah Chaland. Pitch not cheap sera vendu par Quentin Martel, en tant qu’entrepreneur individuel (EI), SIRET 895 195 278 00024, 1 La Feuilletière, 42390 Villars : ce vendeur est distinct de Nemo & Dory. Il reçoit ton email et ton prénom pour te reconnaître et t’accueillir, et traite ensuite tes données (commande, paiement Stripe, contenu, enregistrements éventuels) sous sa propre responsabilité, selon sa propre politique de confidentialité. Pour la transmission de ton email et de ton prénom, le portail et ce vendeur agissent comme responsables de traitement distincts ou conjoints [À COMPLÉTER : qualification et répartition des rôles (art. 26 RGPD) à faire valider par un avocat avant la mise en ligne de ce produit].
Ils passent aussi par des prestataires qui travaillent pour nous (sous-traitants), selon nos instructions :
- Vincent Marconnet : hébergement, administration et maintenance du serveur et de la base de données.
- Hostinger International Ltd (Chypre) : fourniture du serveur privé virtuel sur lequel tourne le portail. Le serveur est situé en France.
- Sendinblue SAS / Brevo (France) : envoi des emails du compte (confirmation de l’email, mot de passe oublié, alertes de sécurité). Données hébergées dans l’Union européenne.
Le portail n’utilise aucun service tiers de mesure, de publicité ni de réseau social. Les polices d’écriture sont hébergées sur notre propre serveur.
Le portail ne traite aucun paiement : celui-ci se fait sur le site de chaque produit, via Stripe, selon la politique de ce produit.
On ne vend, ne loue et ne prête jamais tes données à qui que ce soit.
Tes données quittent-elles l’Europe ?
Non, pas pour le portail : le serveur est situé en France et nos prestataires sont établis dans l’Union européenne. Si cela change, nous le préciserons ici avec les garanties prévues par le RGPD (clauses contractuelles types, cadre de protection des données UE–États-Unis). Le paiement de chaque produit passe par Stripe, dont les transferts éventuels sont décrits dans la politique du produit.
Tes droits
Tu peux à tout moment demander à accéder à tes données, les rectifier, les effacer, en limiter l’utilisation, t’opposer à leur traitement (notamment au journal des passages), les récupérer dans un format lisible (portabilité) et retirer ton consentement quand le traitement en repose. Tu peux aussi nous dire ce que tu veux qu’on fasse de tes données après ton décès.
Écris-nous à contact@fishnotcheap.fr. On te répond sous 72 h ouvrées et, en tout cas, dans le mois prévu par la loi. On peut te demander de confirmer ton identité si on a un doute.
Pour les données détenues par un produit, tu peux aussi t’adresser directement à son éditeur (voir sa politique) ; si tu nous écris, nous t’indiquons à qui t’adresser.
En cas de désaccord, tu peux saisir la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).
Et si cette politique change ?
On la mettra à jour ici, avec la date en tête de page. Si un changement important te concerne (un nouveau produit, un nouveau destinataire), on te prévient par email.
Comment on protège tes données
Connexion chiffrée (HTTPS), mots de passe hachés de façon irréversible (scrypt), email vérifié par un lien, jetons de passage signés, valables 60 secondes et à usage unique, déconnexion qui coupe les sessions sur tous les appareils, base de données accessible uniquement depuis notre serveur, accès à l’administration réservé à l’équipe.