Politique de confidentialité

Qui est responsable de vos données ?

Le responsable du traitement est RAPAILLE CONSULTING SRL (Wishivo), société à responsabilité limitée, Rue Allende 98 boîte A, 7021 Mons, Belgique ; numéro d’entreprise 0645.672.283 ; TVA BE0645672283.

Pour toute question sur vos données : privacy@wishivo.com.

Quelles données traitons-nous ?

Nous ne collectons que ce qui sert au service.

• Compte : votre adresse e-mail (la connexion se fait par lien magique, sans mot de passe), et, si vous les indiquez, un nom affiché et votre langue.
• Listes : titre, description, type et date de l’événement, articles (titre, note, lien, prix, quantité, photo facultative) et adresses de livraison que vous saisissez. Les photos facultatives des articles sont effacées à la suppression de l’article, de la liste ou du compte.
• Bénéficiaires : un prénom facultatif et une indication facultative (par exemple une taille). Nous ne demandons ni date de naissance, ni genre, ni photo de l’enfant.
• Invités qui réservent un cadeau : nom, adresse e-mail, quantité réservée, message facultatif et, s’ils le choisissent, leur accord pour être nommés à l’organisateur. Aucun compte n’est nécessaire pour réserver.
• Connexion avec Google (facultative) : si vous choisissez « Continuer avec Google », Supabase Auth enregistre votre adresse e-mail, le nom et l’avatar (URL de la photo) et l’identifiant de votre compte Google, et le fait que vous vous connectez par ce fournisseur. Nous ne lisons ni vos contacts, ni votre agenda, ni vos autres données Google. Ces informations figurent dans l’export de vos données et sont supprimées avec votre compte.
• Invitations : l’adresse e-mail de la personne que vous invitez à rejoindre une liste.
• Événement de groupe : toutes les personnes qui ont le lien de l’événement voient les listes rattachées, avec les prénoms ; les co-organisateurs sont prévenus par e-mail lors d’un rattachement.
• Données techniques : les cookies strictement nécessaires décrits plus bas, et les journaux techniques de nos hébergeurs, nécessaires à la sécurité et au bon fonctionnement.
• Protection contre les abus : lors d’une demande de lien de connexion (et d’un export de données), nous conservons au plus 24 heures une empreinte irréversible de votre adresse IP et de votre adresse e-mail (jamais les valeurs elles-mêmes) pour limiter le nombre de demandes.

Les enfants et les bénéficiaires

Une liste de naissance ou d’anniversaire peut concerner un enfant. Nous appliquons la minimisation : le prénom est facultatif, nous ne demandons ni date de naissance ni genre, et aucune photo n’est obligatoire.

Les données d’un bénéficiaire ne sont visibles que des membres de la liste et de ceux qui reçoivent le lien de partage. Elles sont supprimées avec la liste.

Pourquoi, et sur quelle base légale ?

Chaque finalité repose sur une base légale du RGPD.

• Fournir le service (compte, listes, réservations, e-mails de confirmation et d’invitation) : exécution du contrat.
• Montrer à l’organisateur le nom d’un invité, et seulement après la date de l’événement ou selon le réglage choisi par l’organisateur : consentement de l’invité, case décochée par défaut et retirable en annulant sa réservation ou en écrivant à privacy@wishivo.com.
• Sécuriser le service et prévenir les abus : intérêt légitime.

La surprise

Le bénéficiaire et les organisateurs ne voient jamais qui a réservé quoi, sauf si l’invité a donné son accord et si l’organisateur a activé la révélation (après l’événement ou immédiatement). L’adresse e-mail d’un invité n’est jamais montrée à l’organisateur.

Combien de temps conservons-nous les données ?

Nous ne gardons pas les données plus longtemps que nécessaire.

• Compte et listes : tant que votre compte existe. Vous pouvez le supprimer à tout moment, ce qui supprime vos listes (ou les transmet à un co-organisateur).
• Comptes inactifs : nous enregistrons la date de votre dernière activité ; si vous ne vous êtes pas connecté et n’avez rien modifié pendant 24 mois, nous vous prévenons par e-mail, puis votre compte est supprimé 30 jours plus tard (sauf connexion de votre part) avec votre profil, vos envies, les listes dont vous êtes le seul organisateur, vos invitations et vos préférences, et vos réservations et participations d’invité sont anonymisées.
• Nom, adresse e-mail et message des invités : effacés (anonymisés) au plus tard 6 mois après la date de l’événement ou l’archivage de la liste ; pour une liste sans date jamais archivée, à la suppression de la liste ou du compte. La quantité réservée est conservée sans donnée personnelle.
• Adresses e-mail des invitations : effacées au plus tard 30 jours après l’acceptation, ou 30 jours après l’expiration d’une invitation non acceptée (une invitation est valable 7 jours), et dans tous les cas à la suppression de la liste ou du compte.
• Suppression du compte : immédiate. Vos réservations d’invité sont anonymisées, y compris celles faites avec votre adresse sans être connecté.
• Sauvegardes : notre base de données est hébergée chez Supabase, dont nous utilisons l’offre gratuite. Nous ne garantissons ni l’existence ni la durée de conservation de sauvegardes. Des données supprimées peuvent subsister dans une sauvegarde éventuelle jusqu’à son remplacement par notre hébergeur, sans délai garanti ; si une sauvegarde devait être restaurée, nous supprimerions de nouveau les données des personnes qui ont demandé leur effacement.

Qui reçoit les données ?

Nous faisons appel à des sous-traitants, liés par contrat. Nous ne vendons aucune donnée.

• Supabase : base de données et authentification, données hébergées dans l’Union européenne (région eu-west-3, Paris). Supabase est une société américaine : voir « Transferts hors Union européenne ».
• Vercel (prestataire américain) : hébergement de l’application.
• Resend (prestataire américain) : envoi des e-mails (liens de connexion, confirmations, invitations) et stockage de la liste d’attente.
• Cloudflare (Turnstile) (prestataire américain) : vérification anti-robot sur les formulaires de connexion, de réservation et de liste d’attente. Le script et le contrôle sont chargés depuis challenges.cloudflare.com seulement à la première interaction avec le formulaire ; Cloudflare reçoit les informations techniques de votre navigateur (dont votre adresse IP) pour distinguer un humain d’un robot. Aucun cookie n’est posé sur Wishivo. Cloudflare peut, depuis son propre domaine (challenges.cloudflare.com), utiliser des cookies ou un stockage techniques strictement nécessaires au fonctionnement du contrôle ; ils ne sont pas posés sur Wishivo.
• Google : si vous choisissez la connexion avec Google, Google reçoit la demande de connexion (et sait que vous utilisez Wishivo) ; son traitement est régi par sa propre politique de confidentialité.

Transferts hors Union européenne : prestataires américains (Vercel, Resend, Cloudflare, Supabase) couverts par le Data Privacy Framework UE–États-Unis et/ou les clauses contractuelles types de la Commission, prévues dans leurs DPA.

Vos droits

Vous avez le droit d’accéder à vos données, de les rectifier, de les effacer, de limiter leur traitement, de vous y opposer, de les récupérer dans un format réutilisable, et de retirer votre consentement.

Vous pouvez en exercer deux tout de suite, sans nous écrire, depuis la page Mon compte : télécharger toutes vos données (fichier JSON) et supprimer votre compte.

Pour les autres droits, ou si vous n’avez pas de compte (invité qui a réservé), écrivez-nous au contact indiqué plus bas.

Vous pouvez aussi introduire une réclamation auprès de l’autorité de protection des données : l’Autorité de protection des données (Belgique) ou la CNIL (France).

Cookies

Wishivo n’utilise que des cookies strictement nécessaires au service. Ils ne demandent pas de consentement, c’est pourquoi il n’y a pas de bannière.

• sb-…-auth-token : cookie technique de connexion (Supabase), posé quand vous confirmez votre connexion. Il est inaccessible aux scripts de la page (HttpOnly) et expire 90 jours après votre dernière activité ; supprimé à la déconnexion et à la suppression du compte.
• sb-…-code-verifier : cookie technique temporaire utilisé pendant certaines connexions (Supabase), pour les sécuriser. Il expire au bout de 10 minutes.
• wsh-session : indice sans aucune donnée (valeur « 1 ») qui permet d’afficher le bon en-tête aux personnes connectées. Même durée que la connexion ; supprimé à la déconnexion.
• NEXT_LOCALE : mémorise votre langue (français, néerlandais ou anglais). Un an.

Aucun cookie de mesure d’audience, de publicité ou de réseau social n’est utilisé. Si cela change, nous demanderons votre accord avant de les poser.

Contact

Questions sur la vie privée : privacy@wishivo.com. Autres questions : contact@wishivo.com. Courrier : RAPAILLE CONSULTING SRL, Rue Allende 98 boîte A, 7021 Mons, Belgique. Voir aussi nos mentions légales.