Politique de confidentialité

1.Qui nous sommes

Donaraz est une plateforme de gifting omnicanale exploitée par Athom, société établie aux Pays-Bas. Les entreprises utilisent Donaraz pour mener des promotions de cadeaux, de cashback et de récompenses de bout en bout : la page de demande, la vérification du numéro de série, la validation, l’étiquette transporteur et les e-mails qui annoncent au client que sa récompense est en route.

Cette politique s’applique à donaraz.com, au tableau de bord Donaraz, à notre API et aux pages de demande publiques que nous hébergeons sur des sous-domaines donaraz.app et sur les domaines propres à nos clients. Vous pouvez nous contacter au sujet de tout point de cette politique à :

2.Responsable de traitement ou sous-traitant : ce qui vous concerne

Donaraz traite deux types très différents de données personnelles, avec des responsabilités distinctes. Lisez la partie qui vous concerne.

3.Les données que nous collectons

4.Comment nous utilisons vos données

Nous utilisons les données décrites ci-dessus pour :

• Faire fonctionner la plateforme et cloisonner strictement les données de chaque espace de travail
• Vous authentifier, appliquer les rôles et permissions et prendre en charge l’authentification à deux facteurs
• Vérifier les numéros de série et les preuves d’achat et bloquer les demandes en double ou frauduleuses
• Créer les étiquettes transporteur, suivre les colis et restituer le statut de livraison à l’entreprise
• Envoyer les e-mails transactionnels : demande reçue, validée ou refusée, expédiée, et mises à jour de suivi
• Traiter les abonnements et les versements et émettre les factures
• Restituer la performance d’une promotion à l’entreprise qui l’organise
• Fournir le support, analyser les erreurs et améliorer le produit
• Respecter nos obligations légales, fiscales et comptables

Nous ne vendons pas vos données personnelles, nous ne les partageons pas avec des régies publicitaires et nous n’utilisons ni vos contenus ni les données de demande pour entraîner des modèles d’IA.

5.Bases légales du traitement (RGPD)

Lorsque le RGPD s’applique, nous nous fondons sur les bases légales suivantes :

• Exécution d’un contrat : fournir la plateforme aux utilisateurs professionnels et traiter les demandes afin qu’une récompense promise puisse être remise
• Intérêts légitimes : sécuriser la plateforme, prévenir les demandes frauduleuses et en double, comprendre l’usage du produit et l’améliorer, et défendre nos droits en justice
• Obligation légale : conserver les factures et pièces comptables et répondre aux demandes légitimes des autorités
• Consentement : cookies non essentiels et e-mails marketing. Vous pouvez retirer votre consentement à tout moment, sans effet sur les traitements déjà réalisés

Lorsque nous traitons des données de demande en tant que sous-traitant, l’entreprise qui organise la promotion détermine la base légale et lui revient d’informer les demandeurs.

6.Avec qui nous partageons les données

Nous ne partageons des données personnelles que lorsque c’est nécessaire au fonctionnement du service, et toujours dans le cadre d’un contrat qui limite ce que le destinataire peut en faire.

7.Numéros de série, preuve d’achat et prévention de la fraude

Lorsqu’une promotion l’exige, nous vérifions le numéro de série ou la preuve d’achat soumis au regard des plages et listes téléversées par l’entreprise, et nous conservons la trace des numéros de série déjà utilisés afin qu’un même achat ne puisse pas être réclamé deux fois.

Cloudflare Turnstile, la limitation de débit et la détection de doublons protègent en outre les pages de demande contre les abus automatisés. Lorsqu’une demande est refusée, nous en conservons la trace afin que l’entreprise puisse traiter les contestations.

Ces contrôles filtrent les demandes ; ce ne sont pas des décisions finales. L’entreprise qui organise la promotion prend ou confirme la décision de valider ou de refuser une demande, de sorte qu’aucune décision produisant des effets juridiques n’est prise sur le seul fondement d’un traitement automatisé.

8.Durées de conservation

• Données de compte et d’espace de travail : tant que l’espace de travail est actif, puis supprimées dans les 30 jours suivant la clôture du compte
• Données de demande : pendant la durée indiquée par l’entreprise qui organise la promotion, augmentée des durées légales de conservation. À défaut d’instruction, notre durée par défaut est celle de la promotion plus 24 mois
• Historique des numéros de série utilisés : tant que la protection contre les demandes en double l’exige, et au maximum sept ans
• Preuves d’achat téléversées : supprimées en même temps que la demande à laquelle elles se rattachent
• Factures et pièces comptables : sept ans, conformément au droit fiscal néerlandais
• Journaux serveur et d’accès : 90 jours
• Analyse produit : pseudonymisée, jusqu’à 24 mois
• Sauvegardes : renouvelées en continu et entièrement purgées sous 90 jours

9.Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées à la sensibilité des données que nous détenons :

• Tout le trafic passe par HTTPS et les données sont chiffrées en transit
• Les mots de passe sont hachés avec bcrypt ; nous ne les stockons jamais en clair
• Les secrets d’authentification à deux facteurs et les identifiants transporteur et d’intégration stockés sont chiffrés au repos en AES-256
• Les cookies de session sont HTTP-only, Secure et limités par SameSite, et signés pour empêcher toute altération
• Le contrôle d’accès par rôles limite ce que chaque membre de l’équipe peut voir et faire dans un espace de travail
• Les fichiers téléversés sont privés et servis via des liens signés de courte durée plutôt que par des URL publiques
• Cloudflare Turnstile et la limitation de débit protègent les pages de demande et les points d’authentification
• L’accès du personnel aux données de production est limité au strict nécessaire pour le support et l’exploitation

Aucun système n’est parfaitement sûr. Si une violation touche vos données personnelles, nous en informerons l’autorité de contrôle et, lorsque cela est requis, les personnes concernées, dans les délais fixés par le RGPD.

10.Transferts internationaux

Notre application, notre base de données et notre stockage de fichiers sont hébergés dans l’Union européenne, les fichiers téléversés étant conservés à Amsterdam et l’analyse produit sur le EU Cloud de PostHog.

Certains prestataires, notamment Stripe et Cloudflare, peuvent traiter des données limitées en dehors de l’Espace économique européen. Le cas échéant, le transfert est couvert par une décision d’adéquation ou par les clauses contractuelles types de la Commission européenne, assorties de garanties complémentaires. Vous pouvez nous demander le détail des garanties applicables.

11.Vos droits

En vertu du RGPD et de textes équivalents, vous disposez du droit :

• D’accéder aux données personnelles que nous détenons sur vous et d’en recevoir une copie
• De faire rectifier des données inexactes ou incomplètes
• De faire effacer vos données, lorsqu’aucun fondement juridique ne nous impose de les conserver
• De recevoir vos données dans un format structuré et lisible par machine et d’en demander le transfert
• De faire limiter le traitement le temps qu’un litige sur l’exactitude ou la licéité soit tranché
• De vous opposer aux traitements fondés sur nos intérêts légitimes
• De retirer votre consentement à tout moment, lorsque le traitement repose sur celui-ci

Écrivez à [email protected] pour exercer l’un de ces droits. Nous répondons sous 30 jours. Si votre demande porte sur une réclamation que vous avez déposée, contactez également l’entreprise qui organise la promotion, puisqu’elle est responsable de ces données. Vous avez aussi le droit d’introduire une réclamation auprès de votre autorité de contrôle ; aux Pays-Bas, il s’agit de l’Autoriteit Persoonsgegevens.

12.Enfants

Le tableau de bord Donaraz est un outil professionnel et ne s’adresse pas aux enfants. Nous ne collectons pas sciemment, via nos propres services, de données personnelles de personnes de moins de 16 ans. Si une promotion vise des mineurs, l’entreprise qui l’organise est responsable de recueillir un consentement parental valide et de respecter les exigences locales supplémentaires.

Si vous pensez qu’un enfant nous a communiqué des données personnelles, écrivez à [email protected] et nous les supprimerons sans délai.

13.Modifications de cette politique

Nous mettons cette politique à jour lorsque nos traitements évoluent. Pour les modifications substantielles, nous prévenons au moins 14 jours à l’avance par e-mail ou via un message dans le tableau de bord. La date figurant en haut de cette page indique toujours la dernière révision, et poursuivre l’utilisation du service après l’entrée en vigueur d’une modification vaut acceptation de la version mise à jour.

14.Contact

Pour toute question de confidentialité, toute demande relative à vos données ou le détail des garanties appliquées aux transferts internationaux, contactez-nous à [email protected] ou par courrier :