Politique de confidentialité

Cette politique décrit les traitements de données personnelles réalisés par Mes Fleuristes sur le site mesfleuristes.fr, l’application web et les applications iOS et Android, conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 dite « Informatique et libertés ». Des versions courtes vous sont présentées au moment de la collecte : à l’inscription, à la création d’une demande, à l’autorisation des notifications et à la revendication d’une fiche.

1. Responsable du traitement

Le responsable du traitement est CZSYN SAS, éditrice de Mes Fleuristes, société par actions simplifiée au capital de 1 000 €, RCS Marseille 933 357 071, 69 rue du Rouet, 13008 Marseille.

Le référent pour les données personnelles est le président de la société, joignable à confidentialite@mesfleuristes.fr ou par courrier à l’adresse du siège. Aucun délégué à la protection des données n’est obligatoire au regard de l’article 37 du RGPD ; la question est réexaminée à chaque changement d’échelle du service.

Pour les données des clients directs qu’un fleuriste saisit lui-même dans son agenda, ses commandes manuelles, ses notes et ses invitations, Mes Fleuristes agit en qualité de sous-traitant du fleuriste, qui en est le responsable de traitement.

2. Données traitées selon votre situation

Particuliers

Données de compte : prénom, nom facultatif, adresse e-mail, mot de passe haché ou identifiant de connexion Apple ou Google, numéro de téléphone mobile vérifié.
Demandes : occasion, style, budget, date, mode de remise, commune et adresse de livraison ou de prestation, message, photos d’inspiration, liens d’inspiration.
Propositions reçues, réservations, conversations et photos échangées, avis déposés.
Préférences : favoris, rappels d’occasions, adresses enregistrées, réglages de notification, consentements.
Données techniques : jetons de notification, version de l’application, journaux de sécurité, adresse IP et port source lors de la publication d’un contenu.

Fleuristes et membres d’équipe

Identité et coordonnées professionnelles, rôle dans l’équipe.
Informations légales de l’établissement : dénomination, forme juridique, SIRET, adresse, médiateur de la consommation.
Contenu de la fiche : description, photos, horaires, zones, prestations, tarifs indicatifs.
Abonnement, factures, historique des déblocages et des crédits.
Informations fiscales exigées par la déclaration DAC7 : dénomination ou nom et prénom, date et lieu de naissance pour un entrepreneur individuel, adresse, numéro fiscal ou SIREN, numéro de TVA.
Justificatif d’identité en cas de vérification manuelle, détruit dès la décision.

Clients directs des fleuristes

Nom, téléphone, e-mail et notes saisis par le fleuriste dans son agenda ou ses commandes manuelles. Mes Fleuristes les traite pour le compte du fleuriste.

Représentants d’établissements issus de la base Sirene

Pour les fiches non revendiquées : SIRET, enseigne ou dénomination, adresse de l’établissement, date de création, catégorie juridique. Aucun nom de dirigeant n’est importé. Voir la section 10.

Visiteurs du site

Données de mesure d’audience anonymes collectées par notre outil Umami, sans cookie ni identifiant persistant. Voir la page Cookies et traceurs.

3. Finalités, bases légales et durées de conservation

Comptes et authentification : exécution du contrat. Durée du compte ; suppression après trois ans sans connexion, avec un préavis par e-mail, puis archivage légal décrit à la section 8.
Demandes, diffusion, déblocages et propositions : exécution du contrat. Anonymisation trois ans après la clôture de la demande. Les photos d’inspiration sont supprimées douze mois après la clôture.
Vérification du téléphone et unicité du numéro : exécution du contrat et intérêt légitime de prévention de la fraude. Codes conservés vingt-quatre heures ; numéro conservé pendant la vie du compte.
Messagerie : exécution du contrat. Trois ans après le dernier message de la conversation ; anonymisation côté auteur à la suppression d’un compte.
Réservations et agenda : exécution du contrat pour le particulier ; sous-traitance pour les éléments saisis par le fleuriste. Trois ans après la date du rendez-vous.
Avis vérifiés : exécution du contrat pour le dépôt, intérêt légitime d’information des consommateurs pour la publication. Cinq ans après la prestation.
Vérification et traçabilité des professionnels : intérêt légitime de fiabilité du service et application volontaire de l’article 30 du règlement sur les services numériques. Durée du compte puis cinq ans ; justificatifs d’identité détruits dès la décision.
Abonnements, facturation et comptabilité : exécution du contrat et obligation légale (article L123-22 du Code de commerce). Dix ans.
Déclaration DAC7 : obligation légale (articles 1649 ter A à 1649 ter E du Code général des impôts). Dix ans.
Lutte contre la fraude, l’extraction de données et liste de blocage : intérêt légitime. Scores et événements conservés treize mois ; empreintes de la liste de blocage conservées trois ans après la sanction.
Modération, signalements, litiges, exposés des motifs, recours et support : obligation légale (articles 16 et 17 du règlement sur les services numériques) et intérêt légitime de défense en justice. Trois ans après la clôture.
Notifications push, e-mails et SMS transactionnels : exécution du contrat. Le jeton de notification est enregistré après votre autorisation et supprimé dès qu’il est invalide ou à la déconnexion ; historique conservé douze mois.
E-mails d’aide à l’usage : intérêt légitime, désactivables par catégorie. E-mails d’inspiration : consentement, recueilli par un interrupteur désactivé par défaut. Jusqu’au retrait ; preuve du consentement conservée cinq ans.
Prospection des fleuristes par courrier, e-mail et téléphone : intérêt légitime. Trois ans après le dernier contact ; liste d’opposition conservée tant que l’établissement figure dans Sirene.
Annuaire des fiches non revendiquées : intérêt légitime. Jusqu’à la revendication, l’opposition ou la fermeture constatée dans Sirene.
Mesure d’audience : intérêt légitime, exemptée de consentement. Vingt-cinq mois au plus.
Statistiques internes du service : intérêt légitime, avec un identifiant pseudonymisé. Treize mois, puis agrégats anonymes.
Suivi des erreurs techniques : intérêt légitime de sécurité. Quatre-vingt-dix jours, adresses IP non stockées.
Exercice de vos droits : obligation légale. Cinq ans après la clôture de la demande, pour la preuve de notre réponse.
Traçabilité des contributeurs de contenus : obligation légale (article 6 de la loi pour la confiance dans l’économie numérique). Un an ou cinq ans selon la donnée (section 8).
Invitations envoyées par un fleuriste à ses clients : sous-traitance pour le compte du fleuriste. Coordonnées effacées après l’envoi, empreinte conservée pour la liste de désinscription.
Parrainage entre fleuristes : exécution du contrat. Durée des comptes concernés.
Journal des acceptations et des consentements : obligation de preuve. Durée de la relation plus cinq ans (article 2224 du Code civil).

Nous ne demandons aucune donnée sensible. Pour une demande liée à un deuil, nous vous invitons à ne pas indiquer de convictions religieuses ni d’informations de santé qui ne sont pas nécessaires à la commande. Aucune statistique n’est tirée du texte libre de vos demandes.

4. Ce que voient les fleuristes

Avant déblocage, les fleuristes prévenus de votre demande voient son contenu sans vos coordonnées : occasion, style, budget, date, photos d’inspiration, message dont les numéros, e-mails et adresses sont masqués, ainsi que la commune, l’arrondissement et une distance approximative. Ils ne voient ni votre nom, ni votre téléphone, ni votre adresse exacte.

Après déblocage, le fleuriste obtient votre prénom, votre numéro de téléphone et, pour une livraison, votre adresse. Huit fleuristes au plus peuvent débloquer une même demande, dix pour une demande urgente. Chaque consultation de vos coordonnées est enregistrée et la liste des fleuristes y ayant eu accès est consultable dans le détail de votre demande.

Le fleuriste retenu reçoit les informations nécessaires à l’exécution de la commande, y compris le nom et l’adresse du destinataire d’une livraison. Le destinataire n’est jamais contacté par Mes Fleuristes.

Un fleuriste qui débloque une demande devient responsable du traitement des coordonnées obtenues. Nos conditions lui interdisent de les utiliser pour de la prospection sans votre consentement et de les céder, et l’obligent à les effacer à votre demande.

5. Destinataires

Vos données sont accessibles à l’équipe de Mes Fleuristes dans la limite de ses missions, aux fleuristes concernés dans les conditions décrites ci-dessus, et à nos sous-traitants listés à la section 6. Apple et Google agissent en responsables distincts lorsque vous utilisez leurs services de connexion ou d’achat intégré. Les autorités peuvent obtenir des données sur réquisition, dont l’authenticité est vérifiée.

Nous ne vendons ni ne louons aucune donnée. Nous ne travaillons avec aucune régie publicitaire, aucun courtier en données et aucun service d’analyse tiers.

6. Sous-traitants et transferts hors de l’Union européenne

L’hébergement des données est situé dans l’Union européenne. Chaque sous-traitant est lié par un contrat conforme à l’article 28 du RGPD.

IONOS SARL (France, groupe IONOS SE, Allemagne) : hébergement des serveurs de production et de sauvegarde, dans un centre de données de l’Union européenne.
ZeptoMail, Zoho Corporation B.V. (Pays-Bas) : envoi des e-mails transactionnels depuis son centre de données européen. Des clauses contractuelles types encadrent les accès de support depuis l’extérieur de l’Union.
OVHcloud, OVH SAS (Roubaix, France) : envoi des SMS de vérification et d’alerte, données traitées en France.
Twilio Ireland Limited (Irlande) : envoi des SMS en secours uniquement, lorsque notre fournisseur principal est indisponible. Le transfert vers Twilio Inc. (États-Unis) est couvert par le cadre de protection des données UE–États-Unis et par ses règles d’entreprise contraignantes.
Google (Firebase Cloud Messaging, Google Cloud Pub/Sub) : acheminement des notifications push et des notifications d’achats Google Play. Transfert couvert par le cadre UE–États-Unis et des clauses contractuelles types. Une notification ne contient ni nom, ni téléphone, ni texte de message, seulement un libellé générique.
Apple (Apple Push Notification service) : acheminement des notifications sur iOS.
Stripe Payments Europe Limited (Irlande) : paiement des abonnements web des fleuristes. Stripe agit en responsable distinct pour ses obligations de lutte contre la fraude et le blanchiment. Transfert vers Stripe Inc. couvert par le cadre UE–États-Unis et des clauses contractuelles types. Aucune donnée de carte ne transite par nos serveurs.
Apple Distribution International et Google Commerce Limited (Irlande) : responsables distincts pour les achats intégrés et la connexion avec Apple ou Google.
Sentry, Functional Software Inc. : suivi des erreurs techniques, dans sa région de données européenne (Francfort), sans stockage des adresses IP. Cadre UE–États-Unis et clauses contractuelles types pour les accès résiduels.
Maileva (groupe La Poste, France) : impression et envoi des courriers adressés aux fleuristes. Le fichier d’adresses est supprimé après l’envoi.
Services publics : API Adresse pour l’autocomplétion des adresses et API Sirene de l’INSEE pour la vérification des établissements. Aucune donnée de particulier n’est envoyée à l’INSEE.

Les fonds de carte proviennent d’un extrait OpenStreetMap hébergé sur nos propres serveurs : aucune position ni zone consultée n’est transmise à un serveur de cartes tiers.

7. Sécurité

Nous appliquons des mesures adaptées au risque : chiffrement des échanges, mots de passe hachés, chiffrement des sauvegardes et des données les plus sensibles, cloisonnement des accès à la base de données, authentification forte des administrateurs, journal d’audit des accès sensibles, test d’intrusion avant l’ouverture du service. Ces mesures sont revues chaque année.

En cas de violation de données présentant un risque, nous la notifions à la CNIL dans les soixante-douze heures après en avoir pris connaissance et nous vous informons sans délai si le risque est élevé.

8. Archivage légal et sauvegardes

La loi pour la confiance dans l’économie numérique et le décret n° 2021-1362 du 20 octobre 2021 nous imposent de conserver les données permettant d’identifier les personnes qui publient des contenus. À chaque création, modification ou suppression d’une fiche, d’une photo, d’une demande, d’une proposition, d’un message ou d’un avis, nous conservons pendant un an l’identifiant du contenu, la nature de l’opération, sa date, l’identifiant du compte, l’adresse IP et le port source.

À la suppression d’un compte, l’identité civile collectée (nom, prénom ou dénomination, adresses, e-mail, téléphone) est archivée cinq ans ; les pseudonymes, identifiants de connexion et données de paiement un an. Ces archives sont chiffrées avec une clé distincte, exclues des exports et des écrans de support, et consultées uniquement par le président sur réquisition judiciaire ou administrative, chaque consultation étant journalisée.

Les suppressions atteignent nos sauvegardes par rotation, en douze mois au plus. En cas de restauration, les suppressions intervenues depuis la sauvegarde sont réappliquées avant toute remise en service.

9. Décisions automatisées

Certaines décisions sont prises automatiquement pour protéger le service :

le score anti-fraude calculé sur une demande ;
le refus automatique d’une demande qui dépasse le seuil de ce score ;
le gel d’une demande signalée ;
la suspension conservatoire d’un compte en cas d’extraction massive de données ;
la suspension de l’accès aux demandes d’un fleuriste qui n’a pas fourni les informations exigées par la déclaration DAC7.

Ces décisions reposent sur des critères objectifs : répétition anormale de demandes, numéro déjà signalé, volume de consultations inhabituel, informations fiscales manquantes après relances. Chacune est motivée et accompagnée d’un bouton « Demander un réexamen » traité par une personne, conformément à l’article 22 du RGPD. Aucune sanction définitive, comme un bannissement ou une perte de crédits, n’est prononcée sans validation humaine.

10. Données issues de la base Sirene

Pour présenter aux particuliers les fleuristes de leur ville et proposer aux professionnels un service gratuit, Mes Fleuristes crée des fiches à partir de la base Sirene de l’INSEE, publiée sous Licence Ouverte 2.0 : SIRET, enseigne ou dénomination, adresse de l’établissement et date de création. Aucun nom de dirigeant n’est importé. La source et la date de mise à jour figurent sur chaque fiche.

La fiche d’un entrepreneur individuel se rattache à une personne physique. La base légale est notre intérêt légitime, apprécié au regard du caractère public de ces données, de l’information du public et de la possibilité de s’opposer simplement. Les établissements dont la diffusion est restreinte à la demande de l’entrepreneur ne sont jamais importés. La fiche d’un entrepreneur individuel n’est publiée qu’après l’envoi d’un courrier d’information, dans le mois qui suit l’import.

Vous pouvez vous opposer à la publication d’une fiche, la faire corriger ou la revendiquer sans fournir de pièce d’identité, depuis la page Données publiques, avec le code de votre courrier ou avec votre SIRET, une adresse e-mail et une déclaration sur l’honneur. La fiche est retirée à la génération suivante du site et le SIRET n’est plus jamais réimporté.

11. Données transmises par Apple ou Google

Lorsque vous utilisez « Continuer avec Apple » ou « Continuer avec Google », nous recevons votre identifiant auprès de ce service, votre adresse e-mail, éventuellement relayée de façon privée par Apple, et votre nom si vous acceptez de le partager.

12. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et libertés).

Comment les exercer : depuis l’écran « Mes données » de l’application (export, rectification, suppression), par e-mail à confidentialite@mesfleuristes.fr ou par courrier au siège.
Délai : nous répondons dans un délai d’un mois, prolongeable de deux mois pour une demande complexe ; vous en êtes alors informé dans le premier mois.
Identité : une demande faite depuis votre compte connecté ou depuis l’adresse e-mail de votre compte suffit. Une pièce d’identité n’est demandée qu’en cas de doute raisonnable, puis détruite.
Accès et portabilité : l’export contient vos données dans un fichier structuré, avec la liste des boutiques ayant consulté vos coordonnées et les catégories de destinataires.
Effacement : la suppression de votre compte efface ou anonymise vos données, sauf celles que la loi nous oblige à conserver (factures, déclaration DAC7, archivage légal, litige en cours), ce que notre réponse précise. Les boutiques qui avaient débloqué vos demandes sont informées de votre effacement et doivent effacer les coordonnées qu’elles auraient copiées.
Opposition : immédiate et sans motif pour la prospection ; procédure de la section 10 pour les fiches Sirene ; examen au cas par cas pour les autres traitements fondés sur l’intérêt légitime.
Limitation : pendant l’examen d’une contestation, votre compte et les données concernées sont gelés.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.

13. Mineurs

Le service est réservé aux personnes majeures pour les particuliers. Un compte signalé comme tenu par un mineur est supprimé après vérification. Les comptes d’équipe des fleuristes sont ouverts dès seize ans pour les apprentis.

14. Cookies et traceurs

Nous n’utilisons aucun cookie publicitaire ni traceur tiers. Les détails figurent sur la page Cookies et traceurs.

15. Mise à jour de cette politique

Cette politique peut évoluer avec le service. La date de la version en vigueur et l’historique des versions figurent en tête de cette page. Toute modification importante vous est signalée par e-mail ou dans l’application.