Politique de confidentialité
1. Responsable du traitement
Blooms Coffee Club GmbH
An der Frauenkirche 18, 01067 Dresden
Représenté par: Hakan Özgür, Geschäftsführer
hello@7-labs.de
2. Présentation de COFFEE+
COFFEE+ est un projet de Blooms : une personne reçoit un café en quantité limitée, puis choisit une seule autre personne. Certaines campagnes proposent aussi un contingent public limité. L’application gère codes, liens, délais, acceptations, choix suivant, annulations et retraits.
3. Données traitées
Selon l’usage : nom et prénom ; e-mail et, si activé, mobile ; campagne, codes, statuts et dates ; origine publique/invitée et lien d’invitation ; retrait ; étapes internes du pilote (ouverture, acceptation, partage, clics WhatsApp/copie) ; réponses volontaires ; statut d’envoi ; données de session et de sécurité. La langue choisie est conservée pour les pages et e-mails.
4. Accès au site et journaux serveur
L’accès traite les données techniques nécessaires : IP, heure, URL, statut de transmission, navigateur et système, pour fournir le site, analyser les erreurs et prévenir les attaques. Base : RGPD art. 6(1)(f), fonctionnement sûr et stable. L’hébergeur peut conserver des journaux pour une durée limitée, prolongée en cas d’incident de sécurité.
5. Session nécessaire
Une session PHP nécessaire associe les codes, sécurise les formulaires, reconnaît les invités connectés et protège l’administration. Aucun cookie de suivi analytique, publicitaire ou social n’est utilisé. La session conserve aussi la langue choisie.
6. Ouverture et vérification des invitations
L’ouverture d’un lien ou la saisie d’un code traite code, campagne, échéance et session pour vérifier existence, validité et non-utilisation. Base : RGPD art. 6(1)(b) pour la fonction demandée ; art. 6(1)(f) pour sécurité et prévention des abus.
7. Inscription ou acceptation
L’inscription publique enregistre nom et e-mail, vérifié par lien. La réservation est provisoire et libérée à expiration sans confirmation. Une invitation personnelle conserve les champs de campagne, statut, date et lien avec l’invitant. Base : RGPD art. 6(1)(b) pour fournir le bénéfice ; 6(1)(f) pour éviter doubles retraits, abus et dépassements.
8. Choix d’une autre personne
Le choix d’une autre personne crée une invitation avec code, invitant, activation, échéance et statut. Le destinataire n’est généralement nommé qu’à l’acceptation, où le lien est enregistré. COFFEE+ peut fournir un texte avec prénom et lien. L’utilisateur choisit le destinataire.
9. E-mails de confirmation
Si la collecte d’e-mail et la confirmation sont activées, l’adresse sert à confirmer acceptation/retrait et transmettre lieu, date, instructions et liens de campagne. Base : RGPD art. 6(1)(b). Acceptation, refus ou annulation peuvent informer l’invitant si son e-mail et la fonction existent ; ces messages servent uniquement le processus d’invitation.
10. Rappels facultatifs
Les rappels supplémentaires exigent un consentement exprès et volontaire selon RGPD art. 6(1)(a), révocable à tout moment pour l’avenir par lien de désinscription. Refus ou retrait n’affecte pas un Coffee+ confirmé. L’adresse n’est pas utilisée pour une publicité étrangère à la campagne.
11. Retrait et enregistrement
Le personnel autorisé peut chercher le participant dans la liste et confirmer le retrait. Statut et date sont conservés pour réaliser le bénéfice et empêcher les retraits multiples. Base : RGPD art. 6(1)(b), et 6(1)(f) pour sécurité et preuve.
12. Prévention des abus
Des limites protègent les opérations sensibles : codes erronés répétés et échecs administrateur. L’application conserve un hash SHA-256 de l’IP, l’opération, le nombre d’essais et un éventuel blocage, sans IP durable en clair. Base : RGPD art. 6(1)(f), protection du système, des bénéfices et comptes contre attaques automatisées et abus.
13. Hébergement et envoi d’e-mails
Site, base et envoi d’e-mails utilisent ALL-INKL.COM – Neue Medien Münnich, propriétaire René Münnich, Hauptstraße 68, 02742 Friedersdorf. Le prestataire traite les données techniques et personnelles pour hébergement et messagerie, avec contrat RGPD art. 28 lorsqu’il agit comme sous-traitant. Aucun transfert intentionnel de données de participants hors UE/EEE n’est prévu actuellement.
14. Liens externes et réseaux sociaux
Des liens web/sociaux peuvent figurer sur les pages ou dans les e-mails, sans charger de plugins ou pixels dans COFFEE+. Seul le clic quitte COFFEE+ ; la politique du prestataire externe s’applique alors.
15. WhatsApp
COFFEE+ n’envoie pas lui-même de messages WhatsApp. « Envoyer avec WhatsApp » ouvre WhatsApp avec texte et lien préparés. L’utilisateur choisit le destinataire et envoie sur place. Les informations de confidentialité WhatsApp s’appliquent ensuite.
16. Destinataires et accès autorisés
L’accès est réservé aux personnes ayant besoin des données pour administration, pilotage, assistance ou retrait. Blooms est responsable de ses campagnes. Pour un opérateur externe distinct, les rôles seraient fixés selon les décisions réelles sur finalités et moyens essentiels, non le seul contrat : sous-traitant, responsable indépendant ou conjoint. Une sous-traitance exige un contrat RGPD art. 28.
17. Analyse interne du pilote, sans traçage publicitaire
Les journaux internes produit/pilote enregistrent ouverture, début d’acceptation, vue et clics de partage, liés à la campagne et à l’invitation/l’invité existants, sans IP dans cette table ni profil publicitaire. Les réponses volontaires sur refus ou absence de choix sont associées si nécessaire. Base : RGPD art. 6(1)(f), tester et améliorer le pilote, détecter incompréhensions et interruptions. Aucun service d’analyse externe, traçage publicitaire, pixel social, profilage intercampagnes ou décision exclusivement automatisée à effet juridique ou significatif selon art. 22.
18. Conservation
Les données de participation, invitation et retrait sont conservées selon les besoins de campagne, analyse, sécurité et gestion. Suppression normale au plus tard 30 jours après la campagne, sauf obligation légale ou droits en justice. Dans le MVP, la suppression est administrative. Un instantané CSV peut être archivé avant remise à zéro, sous les mêmes limites de finalité et suppression. Les sessions finissent normalement avec le navigateur ; journaux uniquement le temps nécessaire. La langue est supprimée lorsque la fiche invité n’existe plus.
19. Informations obligatoires
Les champs obligatoires permettent d’attribuer et retirer correctement un Coffee+. Sans eux, la fonction n’est pas utilisable. Les renseignements facultatifs et rappels ne conditionnent pas l’acceptation.
20. Droits des personnes
Sous les conditions du RGPD : accès, rectification, effacement, limitation et portabilité. Un traitement selon art. 6(1)(f) peut faire l’objet d’une opposition selon les conditions légales. Le consentement peut être retiré à tout moment pour l’avenir. Demandes : hello@7-labs.de. Une vérification raisonnable d’identité peut éviter une divulgation non autorisée.
21. Droit de réclamation
Vous pouvez saisir une autorité de protection des données. Pour les responsables privés en Saxe, l’autorité généralement compétente est Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden ; post@sdtb.sachsen.de.
22. Sécurité des données
Les mesures techniques et organisationnelles comprennent sessions serveur, protection CSRF, requêtes préparées, hachage des mots de passe administrateur et limites de tentatives. Elles sont contrôlées et adaptées au développement et à l’usage réel.
23. Modification de cette notice
Cette notice est adaptée en cas de changement important des fonctions, destinataires, prestataires, bases légales ou rôles. La version publiée dans COFFEE+ est celle applicable.