Politique de confidentialité

Art. 1 · Objet et champ d'application

1.1
La présente politique de confidentialité (ci-après la « Politique de confidentialité ») décrit la manière dont les données personnelles des Membres et des visiteurs du site heidiss.ch et de l'application mobile Heidiss (ci-après ensemble la « Plateforme ») sont traitées.

1.2
Elle est établie conformément à la loi fédérale sur la protection des données (LPD) et à son ordonnance (OPDo). Elle fait partie intégrante des Conditions générales de vente, dont les termes définis s'appliquent également ici.

Art. 2 · Responsable du traitement

Le responsable du traitement est ICILIA SA, société anonyme de droit suisse exploitant la Plateforme sous le nom Heidiss, rue des Marbriers 4, 1204 Genève (ci-après « Heidiss »). Toute question relative à la protection des données peut être adressée à contact@heidiss.ch.

Art. 3 · Catégories de données traitées

3.1 Données de compte
L'adresse email du Membre et les codes de connexion à usage unique envoyés à cette adresse. Si le Membre se connecte avec Apple, Google ou Facebook, ce service transmet à Heidiss son adresse email et son nom, ainsi que sa photo de profil pour Google et Facebook ; Heidiss n'utilise que l'adresse email. Avec Apple, le Membre peut masquer son adresse : Apple transmet alors une adresse relais qui lui fait suivre les emails d'Heidiss. Aucun mot de passe n'est enregistré.

3.2 Données de profil
Le prénom, le nom, le nom d'utilisateur, la date de naissance, l'adresse, le NPA et la localité, le numéro de natel, la photo de profil et les préférences du Membre.

3.3 Dressing et Annonces
Les photos, descriptions et prix des Annonces, la présentation et la photo de couverture du dressing, ainsi que les brouillons.

3.4 Données d'utilisation
Les coups de cœur, les Membres suivis, les recherches sauvegardées, les offres, les Commandes et leurs étapes, ainsi que les avis.

3.5 Échanges
Les messages rédigés dans la messagerie, les signalements émis ou reçus et les photos jointes à une réclamation relative à une Commande.

3.6 Données techniques
L'adresse IP, le type d'appareil et de navigateur ainsi que l'heure des connexions, enregistrés par les prestataires d'hébergement pour assurer le fonctionnement et la sécurité de la Plateforme. Si le Membre accepte les notifications dans l'app, Heidiss enregistre l'identifiant de son téléphone, qui sert uniquement à lui envoyer ces notifications. Cet identifiant est effacé dès que le Membre se déconnecte de l'app ou que son téléphone ne reçoit plus les notifications.

3.7 Caractère obligatoire
L'adresse email, le nom d'utilisateur, la date de naissance, le numéro de natel, le NPA et la localité sont nécessaires à l'ouverture d'un compte. La date de naissance permet de vérifier que le Membre a 18 ans révolus. Le numéro de natel permet à Heidiss de joindre le Membre en cas de litige ou pour protéger son compte. Le prénom, le nom et l'adresse sont nécessaires pour envoyer et recevoir un colis. Pour recevoir le produit de ses ventes, le Vendeur fournit en outre au Prestataire de paiement les informations nécessaires à la vérification de son identité. À défaut, les fonctions correspondantes ne sont pas accessibles. Les autres données sont facultatives.

Art. 4 · Accès des tiers aux données

4.1 Données visibles des Membres
Seuls les Membres connectés ont accès au nom d'utilisateur, à la photo de profil et à la photo de couverture, au dressing et à ses Annonces, à la présentation du dressing, aux avis reçus et à la note du Membre, ainsi qu'au NPA et à la localité, sauf si le Membre choisit de les masquer. Hors connexion, seules les vignettes des Articles sont visibles : photo, marque, taille, prix et, sauf si le Membre les masque, NPA et localité, sans le nom ni la photo du Vendeur.

4.2 Données communiquées dans le cadre d'une Commande
En cas d'envoi par la Poste, le Vendeur a accès au nom, prénom et à l'adresse de l'Acheteur aux seules fins de l'expédition. En cas de remise en main propre, les Membres échangent par la messagerie les informations nécessaires au rendez-vous.

4.3 Données privées
En dehors des données décrites aux art. 4.1 et 4.2, aucune donnée du profil d'un Membre n'est accessible aux autres Membres, notamment son adresse email, sa date de naissance, son numéro de natel, son adresse et ses préférences. La base de données est configurée pour en refuser la lecture à tout autre Membre.

Art. 5 · Finalités du traitement

Heidiss traite les données personnelles aux fins suivantes :

• ouvrir, sécuriser et gérer le compte du Membre, et permettre sa connexion ;
• publier les Annonces et le dressing, et présenter les Articles situés à proximité ;
• exécuter les Commandes : offres, paiement, envoi ou remise, validation, versement et remboursement ;
• adresser au Membre les communications relatives à ses Commandes, à ses offres et à son compte, ainsi que celles qu'il a choisies dans ses préférences ;
• traiter les réclamations, les signalements et les demandes adressées au support Heidiss ;
• prévenir la fraude, les contrefaçons et les abus, et faire respecter les Conditions générales de vente ;
• respecter les obligations légales, notamment comptables.

Heidiss ne vend ni ne loue les données personnelles et ne les transmet à aucun annonceur. Les photos et descriptions des Annonces peuvent être reprises dans la communication d'Heidiss, y compris sur ses réseaux sociaux, sans le nom d'utilisateur du Membre, dans les conditions de l'art. 17 des Conditions générales de vente. Le Membre peut s'y opposer à tout moment par email à l'adresse contact@heidiss.ch.

Art. 6 · Prestataires et communication à l'étranger

6.1 Sous-traitants
Heidiss fait appel aux prestataires suivants, qui traitent les données pour son compte et selon ses instructions, à l'exception des contrôles que la loi impose au Prestataire de paiement pour son propre compte :

• un prestataire de base de données, de stockage des photos et de connexion ; serveurs situés en Suisse ;
• un prestataire de sauvegarde des photos ; serveurs situés en Suisse ;
• un prestataire d'hébergement de la Plateforme ; serveurs situés en Allemagne ;
• Stripe : paiements, remboursements et versements ; entité contractante Stripe Payments Europe, Limited, Irlande ;
• un prestataire d'envoi des emails ; serveurs situés en Suisse ;
• Apple transmet les notifications de l'app aux iPhone. Une notification contient le nom d'utilisateur de l'expéditeur et le début de son message, ou l'objet de l'email et le titre de l'Article ;
• un prestataire de mesure d'audience sans cookie ; données agrégées, qui ne permettent pas d'identifier le visiteur ;
• un prestataire de vérification automatique des photos et des textes des Annonces, afin de détecter les contenus inappropriés ; entité établie en France ; serveurs situés dans l'Union européenne, au Canada ou aux États-Unis ;
• un prestataire de protection contre les robots, utilisé à la connexion ; serveurs situés dans le monde entier ;
• un prestataire de détection des erreurs techniques ; serveurs situés dans l'Union européenne (Allemagne) ; les rapports d'erreur ne contiennent ni adresse IP, ni cookies, ni contenu saisi par le Membre.

6.2 Communication à l'étranger
Lorsque des données sont traitées hors de Suisse, elles le sont dans un État dont la législation assure un niveau de protection adéquat selon le Conseil fédéral, ou moyennant les garanties prévues par la loi, telles que les clauses contractuelles types (art. 16 LPD). Un risque ne peut être entièrement exclu, notamment en cas de demande d'accès émanant d'une autorité étrangère.

Art. 7 · Paiements

7.1
Le paiement est traité par le Prestataire de paiement. Heidiss n'a accès ni au numéro de carte ni au compte TWINT de l'Acheteur. Heidiss conserve uniquement les références du paiement, le moyen de paiement choisi et les montants, aux fins du suivi de la Commande.

7.2
Pour la liaison du compte de paiement du Vendeur, le Prestataire de paiement vérifie l'identité de celui-ci et conserve l'IBAN et les pièces d'identité en qualité de responsable du traitement, conformément à ses obligations légales. Heidiss n'y a pas accès. Ce traitement est régi par la déclaration de protection des données du Prestataire de paiement.

Art. 8 · Messagerie et signalements

8.1
Les messages sont conservés sur les serveurs de la Plateforme afin de permettre leur consultation par les participants. Ils ne font pas l'objet d'un chiffrement de bout en bout. Heidiss n'en prend pas connaissance, sous réserve des art. 8.2 et 8.3.

8.2
Par exception, lorsqu'un participant signale une discussion, Heidiss consulte uniquement cette discussion, aux seules fins du traitement du signalement.

8.3 Contrôle automatique et conservation des messages

Contrôle avant envoi
Chaque message rédigé par un Membre est analysé automatiquement sur les serveurs de la Plateforme avant d'être envoyé à son destinataire. Ce contrôle est effectué par les systèmes informatiques d'Heidiss, sans transmission du contenu des messages à un prestataire externe de modération.

Contenus recherchés
Le contrôle automatique vise à détecter les éléments suivants :

• les coordonnées personnelles, notamment les numéros de téléphone, les adresses email et les adresses postales ;
• les liens vers des sites internet ou des plateformes externes ;
• les noms d'autres plateformes de vente, de messageries ou de réseaux sociaux ;
• les propositions visant à effectuer un paiement ou à conclure une vente en dehors d'Heidiss.

Blocage des messages
Lorsqu'un message contient un élément détecté par le système de contrôle, il est refusé et n'est pas transmis à son destinataire. L'auteur ne peut donc pas utiliser la messagerie d'Heidiss pour transmettre les éléments ou propositions interdits par les Conditions générales de vente.

Conservation des messages refusés
Les messages bloqués sont conservés pendant une durée de 30 jours à compter de leur refus, puis supprimés à l'expiration de ce délai, sous réserve d'une obligation légale de conservation.

Accès aux messages par Heidiss
Les messages refusés ne sont pas consultés systématiquement par une personne. Heidiss peut toutefois accéder à leur contenu lorsque la messagerie de leur auteur est suspendue, afin d'examiner les messages ayant entraîné cette suspension, d'apprécier la nature et la gravité du manquement et de déterminer les suites à donner. Cet accès est limité à cette finalité.

8.4
L'identité de l'auteur d'un signalement n'est pas communiquée au Membre signalé.

Art. 9 · Communications d'Heidiss

9.1
Les communications relatives au compte, aux offres et aux Commandes font partie intégrante du service. Les autres communications, telles que les nouveautés d'un Membre suivi, les baisses de prix ou les alertes de recherche, sont réglables dans les préférences du compte. Dans l'app, elles peuvent aussi être envoyées par notification, si le Membre l'accepte ; il peut les désactiver dans les préférences du compte ou dans les réglages de son téléphone.

Art. 10 · Cookies

10.1
La Plateforme utilise exclusivement des cookies nécessaires à son fonctionnement :

• le cookie de session, qui maintient la connexion du Membre ;
• le cookie « Ton achat t'attend », qui conserve pendant une heure l'Article en cours d'achat ;
• le cookie de connexion, qui garde l'adresse email saisie pendant 30 minutes, le temps de taper le code reçu ;
• le cookie de langue, qui garde la langue choisie par le visiteur pendant un an.

10.2
Aucun cookie de publicité ou de réseau social n'est utilisé. La Plateforme mesure sa fréquentation (pages consultées, provenance des visites) au moyen d'un outil sans cookie, qui ne permet pas d'identifier le visiteur. Tout cookie de publicité ou de réseau social introduit ultérieurement pourra être refusé.

Art. 11 · Traitements automatisés

11.1
Certaines règles des Conditions générales de vente s'appliquent automatiquement à l'échéance des délais qu'elles prévoient, par exemple l'annulation d'une vente non envoyée dans le délai ou l'envoi de rappels. Ces règles ne constituent pas des décisions fondées sur l'évaluation d'aspects personnels.

11.2
Heidiss ne procède à aucun profilage et ne prend aucune décision individuelle automatisée au sens de l'art. 21 LPD, telle que la fermeture d'un compte ou le retrait d'une Annonce sans examen humain. Seuls le masquage provisoire d'une Annonce signalée pour un contenu inapproprié, ou retenue par la vérification automatique des photos et des textes, et la suspension de la messagerie pendant trois jours, après trois messages refusés sur une période de sept jours, interviennent automatiquement, dans l'attente d'un examen par Heidiss.

Le Membre peut demander un réexamen de la suspension de sa messagerie par une personne de l'équipe Heidiss en écrivant à contact@heidiss.ch.

Art. 12 · Durée de conservation

Les données personnelles sont conservées pendant les durées suivantes :

• compte, profil, Annonces et messages : pendant la durée d'existence du compte ;
• messages refusés par le contrôle automatique : 30 jours ;
• après la suppression du compte : effacement dans un délai de 30 jours, y compris dans les sauvegardes, au fur et à mesure de leur renouvellement ;
• données d'une Commande constituant des pièces comptables (montants, dates, moyen de paiement, Articles) : 10 ans, conformément à l'art. 958f CO ;
• discussions liées à une réclamation et signalements : pendant la durée d'existence du compte ;
• données techniques des prestataires d'hébergement : selon les durées propres à ces prestataires.

Art. 13 · Sécurité des données

13.1
Heidiss prend des mesures techniques et organisationnelles appropriées pour protéger les données personnelles (art. 8 LPD). Les échanges avec la Plateforme sont chiffrés. La connexion s'effectue par un code à usage unique, ou par le compte Apple, Google ou Facebook du Membre, sans mot de passe. La base de données limite chaque lecture aux données que la personne connectée est autorisée à consulter, ligne par ligne et colonne par colonne. L'accès d'administration est réservé à l'exploitant de la Plateforme.

13.2
Aucun système n'étant infaillible, Heidiss annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) toute violation de la sécurité des données entraînant vraisemblablement un risque élevé, et en informe les Membres concernés lorsque cela est nécessaire à leur protection (art. 24 LPD).

Art. 14 · Droits des personnes concernées

14.1
Toute personne concernée dispose des droits suivants, dans les limites prévues par la loi :

• droit d'accès aux données la concernant (art. 25 LPD) ;
• droit de rectification des données inexactes ; la plupart peuvent être modifiées directement dans Mon profil ;
• droit à l'effacement, exercé notamment par la suppression du compte depuis Mon profil, sous réserve des obligations légales de conservation ;
• droit de s'opposer à un traitement et de retirer un consentement donné ;
• droit à la remise ou à la transmission des données dans un format électronique courant (art. 28 LPD).

14.2
Les demandes sont adressées à contact@heidiss.ch. Heidiss peut demander une preuve d'identité. Heidiss répond dans un délai de 30 jours, gratuitement. La personne concernée peut en outre s'adresser au PFPDT (www.edoeb.admin.ch).

Art. 15 · Données de tiers

Le Membre qui communique des données relatives à un tiers, notamment une photo représentant une autre personne ou l'adresse de livraison d'un tiers, s'assure au préalable du consentement de celui-ci.

Art. 16 · Liens vers des sites tiers

La Plateforme contient des liens vers des sites tiers, tels que le suivi des envois de la Poste. Ces sites sont soumis à leurs propres règles de protection des données, dont Heidiss ne répond pas.

Art. 17 · Modification de la Politique de confidentialité

Heidiss peut modifier la Politique de confidentialité, notamment en cas de changement de prestataire. La version en vigueur est celle publiée sur la Plateforme, dont la date figure en tête. Toute modification importante est notifiée par email ou par un message dans Mes messages au moins 30 jours à l'avance.