Politique de confidentialité

En vigueur au 1er novembre 2026

La présente politique décrit la manière dont Reposted (le « Service ») traite vos données personnelles, conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée.

1. Responsable du traitement

Hicham Bounouh EI (entrepreneur individuel), nom commercial Reposted — Siège (domiciliation) : 8 bis rue Abel, 75012 Paris — contact@reposted.fr — SIREN 109 944 942.

Aucun délégué à la protection des données (DPO) n'est désigné, la désignation n'étant pas obligatoire au regard de l'activité. Pour toute question relative à vos données : contact@reposted.fr.

2. Données que nous traitons

2.1 Données de compte

Adresse e-mail, mot de passe (stocké haché, jamais en clair ; voir l'article 4 pour la vérification des mots de passe compromis), jeton technique de l'extension (lui aussi stocké haché côté serveur — jamais en clair — et révocable à tout moment depuis votre profil, ce qui invalide immédiatement l'accès de l'extension), rôle (utilisateur / administrateur), dates de création, de mise à jour et de dernière connexion, préférences (par ex. réglage d'espacement des republications, suppression de l'annonce d'origine après repost, notifications de synchronisation).

2.2 Données de connexion à la plateforme tierce

Lorsque vous liez votre compte Vinted via l'extension : identifiant technique public du compte (member id), pseudonyme, nom affiché, URL du profil, URL de l'avatar, statut de vérification et horodatages associés. Nous ne collectons ni ne stockons vos identifiants de connexion (e-mail / mot de passe) à la plateforme tierce. L'extension agit dans votre propre session de navigateur, avec vos droits. Aucun cookie ni jeton de session Vinted n'est transmis à nos serveurs : ils restent dans votre navigateur, utilisés uniquement par les requêtes que l'extension y effectue pour votre compte.

2.3 Contenu de vos annonces

Titre, description, prix, marque, catégorie, sous-catégorie, type, taille, état, couleur, matière, genre, liens des photos, URL de l'annonce source et identifiant de l'annonce, nombre et historique de republications.

2.3.1 Statistiques de vos annonces

Lors de chaque synchronisation de votre dressing (automatique, une fois par jour, ou à votre demande), l'extension lit sur Vinted, pour vos propres annonces uniquement, le nombre de vues, le nombre de favoris et le statut réservé / vendu, et les envoie au Service. Nous conservons la dernière valeur avec l'annonce, la date à laquelle la vente a été détectée, et un relevé horodaté des vues et favoris (au plus un par heure et par annonce, ainsi qu'à chaque republication), afin d'afficher dans votre tableau de bord l'évolution de vos annonces et l'effet des republications. Aucune donnée sur les autres membres de Vinted (identité des visiteurs, des personnes ayant mis l'annonce en favori ou des acheteurs) n'est lue ni transmise : Vinted ne fournit que des compteurs.

Moment de la synchronisation automatique. Pour lancer la synchronisation du jour au moment où vous utilisez votre navigateur (plutôt qu'à heure fixe, de jour comme de nuit), l'extension transmet au Service, au plus une fois par jour, l'heure de votre première activité dans Chrome entre 7 h et 22 h (une fenêtre qui passe au premier plan ou un changement d'onglet), ainsi que le fuseau horaire de votre navigateur. Aucune adresse de page, aucun titre d'onglet ni aucun contenu n'est lu ou transmis. Cette heure ne sert qu'à planifier la synchronisation ; elle est remplacée chaque jour par la suivante.

2.3.2 Montant de vos ventes (historique du porte-monnaie Vinted)

Pour afficher vos revenus réels (et non le seul prix affiché de l'annonce), l'extension consulte, lorsqu'une de vos annonces est détectée comme vendue, l'historique de votre porte-monnaie Vinted (lignes de type « Vente », du mois de la vente au mois en cours, jusqu'à 13 mois lors de la première synchronisation d'un nouveau compte). Cette lecture se fait dans votre navigateur, avec votre propre session Vinted, et le rapprochement entre une ligne « Vente » et votre annonce (par son titre) est fait localement, par l'extension. Seuls sont envoyés au Service, pour chaque annonce vendue concernée, le montant encaissé et la date de la vente. Les autres lignes et informations du porte-monnaie (achats, retraits, solde, coordonnées bancaires, identité de l'acheteur) ne sont ni transmises ni conservées. Si aucun montant n'est retrouvé après deux tentatives, l'extension n'insiste plus et le prix de l'annonce sert d'estimation. Vous pouvez corriger le montant d'une vente à la main dans le tableau de bord.

2.4 Données de planification et d'exécution

Dates programmées, récurrence, statut des planifications et des lots de republication, étape d'avancement et, en cas d'échec, la cause. Les erreurs sont enregistrées sous forme de codes normalisés (ex. « accès refusé par Vinted », « session Vinted expirée », « champ taille à vérifier ») : nous ne conservons ni le contenu brut des réponses de Vinted (pages d'erreur, messages), ni les traces techniques de l'extension, ni l'adresse des pages Vinted consultées.

2.4.1 Copie de l'annonce avant republication

Pour republier une annonce sans jamais laisser deux annonces identiques en ligne, l'ancienne annonce est supprimée avant la publication de la nouvelle. Juste avant cette suppression, l'extension enregistre une copie de l'annonce : titre, description, prix, catégorie, marque, taille, état, matières, couleurs, format du colis, adresses des photos sur la plateforme tierce et fichiers des photos (vos propres photos, dans la meilleure qualité proposée par la plateforme tierce, telles quelles — elles ne sont recompressées que si un fichier dépasse 2 Mo —, avec leur taille et leur empreinte de contrôle). Cette copie sert uniquement à publier la nouvelle annonce et, si la publication échoue, à restaurer votre annonce à votre demande.

• Les fichiers photos sont conservés dans l'extension (stockage local de votre navigateur) et sur notre serveur jusqu'à la confirmation de la republication : ils sont supprimés dès que la nouvelle annonce est confirmée en ligne. En cas d'échec ou d'annonce « à restaurer », ils sont conservés 30 jours au plus ; ceux d'un repost interrompu avant toute suppression sont purgés au bout de 24 heures.
• Le texte de la copie et ses métadonnées (sans fichier) sont conservés 30 jours.
• Lorsque la suppression de l'annonce d'origine est désactivée dans vos réglages, les photos ne sont envoyées à notre serveur que pour constituer la copie d'origine décrite ci-dessous (2.4.1 bis).

2.4.1 bis Copie d'origine des photos de chaque annonce

Une plateforme de vente recompresse les photos qu'elle reçoit. Si chaque republication repartait de la photo déjà recompressée lors de la republication précédente, la qualité baisserait à chaque fois. Pour l'éviter, lors de la première republication d'une annonce, nous conservons sur notre serveur une copie d'origine de ses photos (les fichiers de la copie décrite en 2.4.1, avec leur taille, leurs dimensions, leur empreinte et les identifiants des photos sur la plateforme tierce). Les republications suivantes de cette annonce réutilisent ces fichiers, tant que vous n'avez pas changé les photos de l'annonce sur la plateforme tierce ; si vous les changez, vos nouvelles photos remplacent la copie d'origine.

• Finalité : préserver la qualité de vos photos lors des republications (exécution du contrat, art. 6.1.b RGPD). Les fichiers ne sont ni analysés, ni partagés, ni utilisés à une autre fin ; ils ne sont accessibles qu'à votre compte (extension liée).
• Durée : jusqu'à la suppression de l'annonce dans Reposted ou de votre compte (effacement immédiat), et au plus 90 jours après la dernière republication de l'annonce. Plafond de stockage par compte : au-delà, aucune nouvelle copie d'origine n'est conservée (la republication fonctionne comme avant). Ces fichiers ne sont pas inclus dans les sauvegardes techniques.

2.4.2 Journal des reposts

Chaque republication et chacune de ses étapes sont inscrites dans un journal horodaté, non modifiable (chaque ligne porte l'empreinte de la précédente) : déclencheur (action manuelle, planification que vous avez créée — avec sa date de création —, reprise automatique, restauration), réglages en vigueur (délai entre reposts, suppression de l'annonce d'origine), numéros de l'ancienne et de la nouvelle annonce sur la plateforme tierce, résultat de chaque étape (code neutre en cas d'échec) et déclenchement éventuel d'un garde-fou (plafond technique, « pause de sécurité »). Ce journal vous permet de prouver et de comprendre ce qui a été fait en votre nom ; il est consultable et exportable (CSV, JSON) depuis votre tableau de bord et figure dans l'export de vos données.

2.5 Données de facturation et d'abonnement

Offre souscrite, périodicité (mensuelle / annuelle), statut de l'abonnement, dates d'échéance, identifiants client et abonnement chez notre prestataire de paiement (Stripe), historique des factures (montants, dates, numéros), motif de résiliation et commentaire éventuels que vous choisissez de renseigner. Les données de votre carte bancaire sont collectées et conservées uniquement par Stripe (certifié PCI-DSS) ; nous n'y avons pas accès.

2.5.1 Preuves de la commande et de la rétractation

Pour pouvoir prouver, en cas de contestation, ce que vous avez accepté et demandé, nous conservons :

• à chaque souscription : l'offre et la périodicité choisies, la version datée des CGV acceptée, les cases cochées et le texte exact de la demande de démarrage immédiat du service, la date et l'heure, votre adresse IP et le type de navigateur (user-agent), les références de la session de paiement et de l'abonnement Stripe, et la date d'envoi de l'e-mail de confirmation du contrat ;
• en cas de rétractation : vos prénom, nom et adresse e-mail tels que déclarés, l'adresse IP, le canal utilisé (espace client ou lien reçu par e-mail), les dates de conclusion du contrat et de la rétractation, les montants payés, dus et remboursés avec le détail du calcul, l'état du remboursement et la date de l'accusé de réception. Le lien personnel de rétractation envoyé par e-mail n'est conservé que sous forme d'empreinte, jusqu'à son expiration.

Ces éléments servent uniquement de preuve (conclusion du contrat, consentements, exercice du droit de rétractation et calcul du remboursement). Ils sont conservés 5 ans après la fin du contrat (délai de prescription de droit commun) ; si vous supprimez votre compte avant ce terme, ils sont pseudonymisés (adresse IP, navigateur, nom, prénom et e-mail effacés ; rattachement à un identifiant aléatoire) jusqu'à la fin de ce délai.

2.6 Journaux d'activité

Événements horodatés reflétant les actions réalisées via le Service (liaison du compte, planifications, republications, ventes détectées, stock, succès et échecs — ces derniers avec un code d'erreur neutre —, changements d'offre, etc.), afin d'assurer le support et la traçabilité. Aucun diagnostic technique détaillé n'y est enregistré.

2.7 Données techniques

Journaux de connexion au serveur, adresse IP, type de navigateur (user-agent), cookies strictement nécessaires (voir article 7). Ces éléments sont générés automatiquement lors de l'accès au Service. En cas d'erreur de l'application, nous enregistrons aussi un rapport d'erreur (message et trace technique, page ou adresse appelée, identifiant interne du compte concerné) afin de corriger le problème. Des compteurs temporaires associés à une adresse IP ou à une adresse e-mail limitent le nombre de tentatives (connexion, inscription, messages) pour prévenir les abus.

Les alertes techniques envoyées à l'équipe (par exemple : serveur indisponible, échec d'une sauvegarde, rétractation ou opération de paiement à traiter, annonce « à restaurer », « pause de sécurité ») passent par la messagerie Telegram, un service établi hors de l'Union européenne que nous utilisons sans contrat de sous-traitance ni garanties de transfert spécifiques (voir articles 4 et 5). C'est pourquoi elles sont réduites au strict signalement : les alertes de supervision du serveur et des sauvegardes ne contiennent aucune donnée personnelle ; les autres ne portent qu'un identifiant interne tronqué (du compte, du repost ou de la rétractation), un code d'anomalie et un lien vers notre interface d'administration, accessible uniquement après connexion. Les alertes d'activité (nouvelle inscription, nouvel abonnement, inscription sur la liste d'attente, résiliation) portent en outre l'offre et la périodicité concernées, le mode de paiement (test ou réel) et, au plus, le nom d'un fournisseur de messagerie grand public (par exemple « •••@gmail.com ») ; la partie de l'adresse qui vous identifie, ainsi que tout domaine personnel ou professionnel, est toujours masquée. Votre nom, votre adresse e-mail, les montants payés ou remboursés, les références de paiement et le contenu de vos annonces n'y figurent pas : l'équipe les consulte dans l'interface d'administration, hébergée dans l'Union européenne.

2.8 Données de prévention de l'abus de l'essai gratuit

Nous conservons le fait qu'un essai gratuit a été accordé pour une adresse e-mail et pour un identifiant technique de compte de plateforme tierce donnés, afin d'empêcher le cumul d'essais gratuits. Lorsque vous supprimez votre compte, cette information n'est plus conservée qu'en empreinte cryptographique non réversible (HMAC-SHA256 avec une clé secrète du serveur) : l'adresse e-mail et l'identifiant ne sont plus lisibles, mais une nouvelle inscription avec les mêmes éléments reste reconnue comme ayant déjà bénéficié de l'essai.

2.9 Extension Chrome — permissions demandées et usage

L'extension navigateur demande les permissions techniques suivantes. Chacune est limitée au strict nécessaire pour faire fonctionner le Service, et n'est jamais utilisée à d'autres fins (revente de données, publicité, mesure d'audience) :

L'extension ne demande pas la permission « onglets » (tabs, retirée en version 0.12.0) : elle ne lit ni le titre ni l'adresse des onglets ouverts en dehors des sites ci-dessus, et Chrome n'affiche pas l'avertissement « Lire votre historique de navigation ».

Exécution des reposts : les republications, y compris planifiées, se font dans un onglet Vinted visible — un onglet Vinted que vous avez déjà ouvert, ou à défaut un onglet « Reposted » ouvert dans votre fenêtre sans vous faire changer d'onglet, refermé à la fin de la série — jamais dans une fenêtre cachée. Une notification signale le début des reposts planifiés, et l'interrupteur « Exécuter les reposts planifiés » de la page d'options de l'extension permet de les suspendre à tout moment (les planifications restent alors en attente).

Ce que l'extension ne fait jamais : elle ne lit ni ne transmet vos identifiants de connexion Vinted (e-mail / mot de passe), n'accède à aucun site autre que Vinted et le Service, et ne collecte aucune donnée de navigation en dehors de ce qui est strictement nécessaire aux fonctionnalités ci-dessus.

2.10 Support (messagerie d'aide)

Lorsque vous écrivez au support (page « Support », bulle de discussion du tableau de bord ou lien « Besoin d'aide ? » de l'extension), nous traitons le texte de vos messages, les images que vous joignez, votre adresse e-mail et des informations techniques de votre compte utiles au diagnostic (offre, état de la liaison Vinted et de l'extension, origine du message — site ou extension, et page de l'application le cas échéant, jamais l'adresse d'une page Vinted —, navigateur). Ces données sont enregistrées sur notre serveur (Union européenne) et conservées pour le suivi de votre demande (voir la durée « Données de gestion des demandes » ci-dessous).

Relais par Telegram (hors UE). Pour recevoir vos messages et y répondre rapidement, l'équipe Reposted les reçoit sur la messagerie Telegram (groupe privé de l'équipe). Telegram est un service établi hors de l'Union européenne, dans des pays qui ne bénéficient pas d'une décision d'adéquation de la Commission européenne ; nous l'utilisons dans le cadre de ses conditions générales, sans contrat de sous-traitance (art. 28 RGPD) ni garanties de transfert spécifiques (ni clauses contractuelles types, ni certification). Nous limitons donc ce qui y est relayé : le texte de vos messages et les images jointes (nécessaires pour vous répondre), le numéro et l'objet du ticket, un identifiant court (par ex. « Compte 1a2b3c » ou « Visiteur #4d5e ») et les informations techniques de diagnostic ci-dessus (offre, date d'inscription, état — et non identité — de la liaison Vinted et de l'extension, navigateur). Votre adresse e-mail, votre nom et votre pseudo Vinted ne sont pas transmis à Telegram ; ils restent sur notre serveur et dans notre interface d'administration. Évitez d'écrire dans vos messages des informations dont l'équipe n'a pas besoin (coordonnées bancaires, mots de passe, etc.). Ce relais repose sur l'exécution du contrat (art. 6.1.b RGPD) et sur notre intérêt légitime à organiser le support (art. 6.1.f) ; le transfert lui-même est effectué parce qu'il est nécessaire au traitement de la demande que vous nous adressez (art. 49.1.b RGPD).

Alternative sans Telegram : si vous ne souhaitez pas que votre message transite par Telegram, écrivez-nous plutôt par e-mail à support@reposted.fr (ou contact@reposted.fr) ; votre message est alors reçu dans la boîte e-mail de l'Éditeur (voir article 4) et n'est pas relayé sur Telegram. Vous pouvez à tout moment demander la suppression de votre historique de support en écrivant à contact@reposted.fr ou directement dans la conversation ; il est aussi effacé automatiquement si vous supprimez votre compte : immédiatement de notre base, et 7 jours après la suppression du compte sur la messagerie Telegram, sauf conservation justifiée (litige, obligation légale) (voir article 8). Si vous avez écrit sans être connecté, votre demande est supprimée automatiquement 90 jours après sa fermeture (de notre base et de la messagerie Telegram).

Écrire sans être connecté. Le support sans compte est réservé aux questions générales (avant inscription) et aux problèmes de connexion ; pour une question sur un compte, connectez-vous. Si l'adresse e-mail indiquée correspond à un compte Reposted, aucune réponse ne vous est affichée ni envoyée tant que vous n'avez pas prouvé contrôler cette adresse — en saisissant le code à 6 chiffres qui lui est envoyé (valable 15 minutes, 5 essais) ou en vous connectant au compte — et aucune information de compte n'est jamais communiquée dans une demande sans compte. Les e-mails de réponse contiennent un lien de suivi personnel, valable 7 jours et désactivé à la fermeture de la demande, qui n'affiche que la conversation (adresse e-mail masquée). Le bouton « Ce n'est pas moi » du ticket efface le cookie du support de l'appareil. Pour prévenir les abus, le nombre de demandes sans compte est limité (3 par jour et par adresse e-mail, 5 par jour et par connexion).

2.11 Extension Chrome — usage limité des données

L'utilisation et le transfert des informations reçues par l'extension Reposted respectent la politique relative aux données utilisateur du Chrome Web Store, y compris les exigences d'usage limité (Limited Use). Concrètement, les données que l'extension lit ou envoie (sections 2.2, 2.3, 2.3.1, 2.3.2 et 2.9) :

• sont utilisées uniquement pour fournir et améliorer la fonctionnalité unique de l'extension — gérer, synchroniser, planifier et republier vos propres annonces Vinted, et afficher leurs statistiques et vos revenus dans votre tableau de bord — telle qu'elle est décrite sur la fiche du Chrome Web Store et dans l'interface ;
• ne sont jamais vendues ;
• ne sont jamais utilisées ni transférées à des fins publicitaires, qu'il s'agisse de publicité personnalisée, reciblée ou fondée sur vos centres d'intérêt ;
• ne sont jamais utilisées ni transférées pour évaluer votre solvabilité ou à des fins de prêt ;
• ne sont transférées à des tiers que dans la mesure nécessaire pour fournir ou améliorer cette fonctionnalité (nos sous-traitants techniques listés à l'article 4, tenus à la confidentialité), pour respecter la loi applicable, pour protéger contre les logiciels malveillants, le spam, l'hameçonnage ou toute autre fraude ou abus, ou dans le cadre d'une fusion, d'une acquisition ou d'une cession d'actifs, après avoir recueilli votre consentement exprès préalable ;
• ne sont pas lues par un être humain, sauf : avec votre consentement exprès pour des données précises (par exemple lorsque vous écrivez au support et nous demandez d'examiner une annonce ou une republication), lorsque c'est nécessaire à la sécurité (enquête sur un abus ou un incident), pour respecter la loi, ou lorsque les données sont agrégées et anonymisées et utilisées pour le fonctionnement interne du Service (statistiques d'usage globales).

2.12 Mesure d'audience (pages vues du site)

Pour savoir quelles pages du site sont consultées (vitrine, documentation, guides, pages légales, pages de l'application), nous utilisons GoatCounter, un outil de mesure d'audience libre que nous hébergeons nous-mêmes sur notre propre serveur (sous-domaine stats.reposted.fr) : aucune donnée n'est transmise à un tiers.

• Aucun cookie et aucun traceur n'est déposé ou lu sur votre appareil ; aucun identifiant n'est attribué à votre navigateur ni à votre compte.
• Données enregistrées, agrégées par page et par jour : chemin de la page consultée (sans paramètres d'adresse ni fragment ; les pages contenant un lien à usage unique — réinitialisation de mot de passe, rétractation, liaison de l'extension — et l'administration ne sont jamais comptées, et les numéros d'annonces sont masqués), site d'origine du lien suivi (nom de domaine seul), type de navigateur et de système, largeur d'écran, langue du navigateur et pays. Le pays est déduit de l'adresse IP au moment de la requête.
• Votre adresse IP n'est pas conservée : elle n'est ni enregistrée en base ni écrite dans les journaux de ce service. Elle sert uniquement, en mémoire, à déterminer le pays et à compter une visite unique sur la journée (empreinte irréversible à sel renouvelé chaque jour, jamais stockée).
• Aucun croisement avec les données de votre compte, aucun suivi d'un site à l'autre, aucune publicité, aucun profilage : les résultats sont des statistiques agrégées, utilisées à la seule fin de mesurer la fréquentation et d'améliorer le Service. Sur l'application, seules les pages vues sont comptées (pas les appels techniques, ni l'activité de l'extension).
• Opposition : la mesure n'est pas déclenchée si votre navigateur envoie le signal Do Not Track ou Global Privacy Control. Vous pouvez aussi la désactiver (ou la réactiver) sur ce navigateur en ouvrant ce lien : un message confirme le choix (mémorisé localement dans votre navigateur, sans être transmis).

Cette mesure poursuit la finalité strictement limitée de mesure d'audience, avec les garanties ci-dessus (données agrégées, durée de conservation limitée, information et opposition possibles) : elle remplit les conditions de la CNIL pour les mesures d'audience exemptées de recueil du consentement. Elle repose sur notre intérêt légitime (art. 6.1.f du RGPD).

2.13 Liste d'attente (bêta sur invitation)

Pendant la phase de bêta, l'accès à l'abonnement est ouvert progressivement. Si vous demandez à être prévenu(e) (« Me prévenir »), nous enregistrons votre adresse e-mail (celle de votre compte), l'offre et la périodicité que vous visiez, la date de votre demande et son statut (en attente, invité(e)), ainsi que les dates d'envoi des e-mails correspondants. L'équipe peut aussi ajouter elle-même une adresse pour inviter directement une personne qui en a fait la demande. Ces données servent uniquement à vous envoyer l'e-mail d'invitation (« Ta place sur Reposted est prête ») et/ou un e-mail unique d'ouverture lorsque le Service est ouvert à tous ; elles ne sont pas utilisées à d'autres fins de prospection. Vous pouvez demander à être retiré(e) de la liste à tout moment (contact@reposted.fr) ; l'inscription est effacée automatiquement avec votre compte.

3. Finalités et bases légales

Nous n'effectuons pas de prospection commerciale sans votre consentement préalable, ni de profilage produisant des effets juridiques à votre égard.

4. Destinataires et sous-traitants

Vos données sont accessibles à l'Éditeur et, dans la stricte mesure nécessaire, aux prestataires suivants agissant en qualité de sous-traitants :

• Hébergement : Oracle France SAS (Oracle Cloud Infrastructure) — 6 avenue de Messine, 75008 Paris, France.
• Paiement et facturation : Stripe Payments Europe, Limited (Irlande) et ses affiliés.
• Envoi d'e-mails transactionnels (vérification d'adresse, réinitialisation de mot de passe, informations sur l'abonnement, réponses du support) : Resend (Plus Five Five, Inc., États-Unis) — adresse e-mail du destinataire et contenu des messages.
• Messagerie du support et alertes techniques : Telegram (Telegram Messenger Inc. et ses entités affiliées, établies hors de l'Union européenne). Telegram n'est pas lié à l'Éditeur par un contrat de sous-traitance : nous utilisons ce service dans le cadre de ses conditions générales, sans engagement contractuel spécifique sur le traitement de vos données ni garanties de transfert (voir article 5). Il reçoit les messages envoyés au chat du support et leurs pièces jointes, identifiés par un identifiant court et non par votre adresse e-mail (voir 2.10), ainsi que les alertes techniques de l'équipe, réduites à un identifiant interne tronqué, un code d'anomalie et un lien vers l'interface d'administration — sans nom, e-mail, montant ni contenu d'annonce (voir 2.7) — et les alertes d'activité (inscription, abonnement, liste d'attente, résiliation : offre, périodicité, identifiant tronqué, au plus le nom d'un fournisseur de messagerie grand public, jamais l'adresse elle-même). Pour éviter Telegram, écrivez à support@reposted.fr.
• Sauvegardes hors serveur : Backblaze, Inc. — stockage, dans un centre de données situé dans l'Union européenne (Amsterdam, Pays-Bas), de copies de sauvegarde chiffrées avant envoi (Backblaze ne dispose pas de la clé de déchiffrement), supprimées au bout de 30 jours.
• Nom de domaine et redirection des e-mails : OVH SAS (France) — gestion DNS du domaine reposted.fr et redirection des messages envoyés à contact@reposted.fr et support@reposted.fr.
• Boîte de réception des e-mails : les adresses contact@reposted.fr et support@reposted.fr sont des redirections (OVH) vers la boîte Gmail de l'Éditeur, fournie par Google (Google Ireland Limited pour les utilisateurs européens, et Google LLC, États-Unis). Les messages que vous nous adressez par e-mail (adresse d'expédition, contenu, pièces jointes) y sont donc reçus et stockés, et peuvent être traités hors de l'Union européenne (voir article 5).

Vérification des mots de passe compromis. Lorsque vous choisissez un mot de passe, nous vérifions qu'il ne figure pas dans une fuite de données connue grâce au service Pwned Passwords (api.pwnedpasswords.com), selon une méthode dite de k-anonymat : seuls les 5 premiers caractères de l'empreinte cryptographique (SHA-1) du mot de passe sont envoyés, et la comparaison se fait sur notre serveur. Ni votre mot de passe, ni son empreinte complète, ni aucune donnée vous concernant (adresse e-mail, adresse IP de votre appareil) ne sont transmis à ce service.

Vos données peuvent également être communiquées aux autorités administratives ou judiciaires lorsque la loi l'impose.

Nous ne vendons pas vos données et ne les partageons pas à des fins publicitaires.

5. Transferts hors Union européenne

L'hébergement et le stockage principal sont réalisés au sein de l'Union européenne. Certains prestataires peuvent toutefois traiter des données hors de l'Union européenne :

• Stripe et Resend (établi aux États-Unis, qui achemine les e-mails transactionnels) : ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne prévues dans leurs accords de traitement des données et/ou par leur certification au titre du EU-U.S. Data Privacy Framework (c'est notamment le cas de Resend, dont l'accord de traitement prévoit les clauses contractuelles types et qui est certifié au titre de ce cadre).
• Google (Gmail), qui héberge la boîte e-mail de destination de contact@reposted.fr et support@reposted.fr : les messages peuvent être traités sur des serveurs situés hors de l'Union européenne, notamment aux États-Unis. Google LLC figure, à notre connaissance, parmi les entreprises certifiées au titre du EU-U.S. Data Privacy Framework, cadre reconnu par la décision d'adéquation de la Commission européenne du 10 juillet 2023 ; l'Éditeur utilise un compte Gmail aux conditions standard de Google, sans contrat négocié.
• Telegram (messagerie du support et alertes techniques) : ce transfert, vers des entités établies dans des pays sans décision d'adéquation, n'est couvert ni par des clauses contractuelles types, ni par le Data Privacy Framework, ni par un contrat de sous-traitance. Pour le limiter, l'Éditeur n'y relaie que ce qui est nécessaire pour vous répondre ou intervenir (voir 2.7 et 2.10 : texte et images de vos messages au support, identifiant court, informations techniques — jamais votre adresse e-mail, votre nom, vos montants ou le contenu de vos annonces). Le relais de vos messages repose sur l'article 49.1.b RGPD (transfert nécessaire au traitement de la demande que vous nous adressez). Si vous ne souhaitez pas que vos messages transitent par Telegram, écrivez à support@reposted.fr plutôt que d'utiliser le chat.

Une copie des garanties existantes (Stripe, Resend) peut être obtenue à contact@reposted.fr.

6. Durées de conservation

7. Cookies

Mesure d'audience : voir l'article 2.12 ; elle n'utilise aucun cookie ni traceur et est exemptée de consentement dans les conditions fixées par la CNIL.

Le Service dépose uniquement des cookies strictement nécessaires, exemptés de consentement (art. 82 de la loi Informatique et Libertés) :

Aucun cookie tiers, publicitaire ou de mesure d'audience n'est utilisé. Toute évolution serait précédée d'une mise à jour de la présente politique et, si requis, d'un recueil de consentement.

Mesure d'usage interne. Pour améliorer le Service, nous mesurons son usage à partir des seules étapes clés de votre utilisation (par exemple : e-mail vérifié, extension liée, première synchronisation, premier repost, planification créée, jour d'utilisation du tableau de bord), enregistrées sur nos propres serveurs. Cette mesure repose sur notre intérêt légitime (art. 6.1.f RGPD), n'est consultée que sous forme de statistiques agrégées par l'Éditeur, ne fait appel à aucun tiers et ne dépose aucun cookie ; elle ne suit pas votre navigation page par page. Ces événements sont conservés 25 mois, figurent dans l'export de vos données et sont effacés avec votre compte ; vous pouvez vous y opposer en écrivant à contact@reposted.fr.

8. Vos droits

Vous disposez, dans les conditions prévues par le RGPD, des droits suivants :

• accès à vos données et information sur leur traitement ;
• rectification des données inexactes ou incomplètes ;
• effacement (« droit à l'oubli »), sous réserve de nos obligations légales de conservation ;
• limitation du traitement ;
• opposition au traitement fondé sur l'intérêt légitime, pour des raisons tenant à votre situation particulière ;
• portabilité des données que vous nous avez fournies ;
• retrait de votre consentement à tout moment, lorsque le traitement repose sur celui-ci ;
• définition de directives relatives au sort de vos données après votre décès.

8.1 Exercer vos droits en libre-service

Depuis votre espace, page Réglages › Mes données :

• Accès et portabilité — « Télécharger mes données » : vous obtenez immédiatement un fichier JSON (format structuré, couramment utilisé et lisible par machine) contenant l'ensemble des données personnelles associées à votre compte : profil, réglages, abonnement et historique de facturation, liaison Vinted, annonces, planifications, lots et tâches de republication, statistiques, stock, journal d'activité, journal des reposts et copies d'annonces conservées (dont la description des copies d'origine des photos : nombre, taille, dimensions, empreinte, dates), appareils/extension connectés, conversations avec le support (messages et liste des pièces jointes). Les mots de passe, jetons et identifiants de session — secrets d'authentification stockés uniquement sous forme d'empreinte — et les notes internes de l'équipe support ne sont pas inclus. Limité à 3 exports par heure.
• Effacement — « Supprimer mon compte » : après saisie de votre mot de passe et confirmation, votre compte est supprimé immédiatement et définitivement. Votre abonnement éventuel est résilié sur-le-champ, sans remboursement de la période entamée (CGV, art. 7.7) ; l'extension est déconnectée ; vos annonces, planifications, statistiques, journaux (dont le journal des reposts), copies d'annonces et leurs photos (copies d'origine comprises), réglages, liaison Vinted, sessions et conversations du support (pièces jointes comprises) sont effacés. Le fil correspondant dans notre messagerie de support (Telegram), qui ne mentionne jamais votre adresse e-mail, est marqué « compte supprimé », et l'historique des échanges sur notre messagerie de support est supprimé 7 jours après la suppression du compte, sauf conservation justifiée (litige, obligation légale). Un e-mail de confirmation vous est envoyé. Les annonces publiées sur la plateforme tierce ne sont pas modifiées.

Ce qui est conservé après la suppression, et pourquoi :

Le dossier client ouvert chez notre prestataire de paiement (Stripe) et l'historique de facturation qui y est rattaché (factures, paiements, remboursements) sont conservés pour la durée légale de conservation des pièces comptables (10 ans), au titre de nos obligations comptables et fiscales. En revanche, tous les moyens de paiement enregistrés (cartes bancaires) sont détachés de ce dossier et supprimés chez Stripe lors de la suppression du compte : aucun nouveau prélèvement ne peut plus être effectué. Stripe conserve en outre certaines données au titre de ses propres obligations légales. Les sauvegardes techniques de la base (et des images jointes au support) sont supprimées par rotation au bout de 30 jours : vos données effacées en disparaissent donc définitivement au plus tard 30 jours après la suppression.

8.2 Par e-mail

Ces droits peuvent aussi s'exercer auprès de contact@reposted.fr, en justifiant de votre identité si nécessaire. Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de complexité.

Vous pouvez introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des échanges (HTTPS), stockage des mots de passe sous forme hachée, cloisonnement des accès, principe du moindre privilège, journalisation, sauvegardes régulières. Aucune méthode de transmission ou de stockage n'étant sûre à 100 %, une sécurité absolue ne peut être garantie ; en cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, vous en seriez informé conformément à l'article 34 du RGPD.

10. Mineurs

Le Service est réservé aux personnes majeures. Nous ne collectons pas sciemment de données concernant des mineurs. Si vous estimez qu'un mineur nous a communiqué des données, contactez-nous à contact@reposted.fr pour leur suppression.

11. Modifications

La présente politique peut être modifiée pour tenir compte d'évolutions légales, techniques ou du Service. Toute modification substantielle vous sera notifiée par e-mail et/ou lors de la connexion. La date de dernière mise à jour figure en tête du document.

12. Contact

Hicham Bounouh EI (Reposted) — Siège (domiciliation) : 8 bis rue Abel, 75012 Paris — contact@reposted.fr — ou depuis le chat de la page Support du site.