Politique de confidentialité
Cette politique explique quelles données personnelles Maleda traite, pourquoi, combien de temps, avec qui, et comment exercer vos droits. Elle respecte le règlement général sur la protection des données (RGPD) et la directive « ePrivacy ».
Contact pour toute question : contact@maleda.eu.
Qui est responsable de quoi
Maleda (l’éditeur MALEDA SAS, 17 rue de la caserne, 57710 Aumetz, France) agit dans deux rôles différents :
- Maleda est responsable de traitement pour les comptes des commerçants, la facturation, la sécurité du Service, l’annuaire, la vérification des adresses et des entreprises, le programme de parrainage et les visiteurs du site principal.
- Le commerçant est responsable de traitement pour les données de ses propres clients : réservations, commandes, abonnés à ses notifications (« cloche »). Maleda est alors son sous-traitant et ne les traite que sur ses instructions, dans le cadre de l’accord de sous-traitance.
Si vous êtes le client d’un commerce, c’est donc d’abord ce commerce qui décide de l’usage de vos données ; ses coordonnées figurent sur la page « Informations légales » de son site.
Les personnes concernées
- Les visiteurs de Maleda et des sites des commerces, qui cherchent un commerce ou consultent un site.
- Les clients des commerçants : personnes qui réservent un rendez-vous, passent une commande à retirer ou s’abonnent aux notifications d’un commerce.
- Les commerçants et leurs collaborateurs qui utilisent l’Espace commerçant.
- Les parrains : commerçants, professionnels ou simples particuliers qui participent au programme de parrainage, et les filleuls, commerçants qui ont créé leur compte à l’aide d’un code de parrainage.
Maleda s’adresse à des professionnels et n’est pas conçue pour des enfants. Elle ne collecte pas sciemment de données d’enfants de moins de 16 ans ; si vous pensez qu’un enfant nous a transmis des données, écrivez-nous.
Données, finalités, bases légales et durées
Les durées ci-dessous sont celles que Maleda applique. Au-delà, les données sont supprimées ou rendues anonymes, sauf obligation légale de les conserver.
Les commerçants (Maleda est responsable de traitement)
| Données | Finalités | Base légale | Durée |
|---|---|---|---|
| Adresse e-mail, nom (facultatif), langue, pays, version et date d’acceptation des conditions | Créer et gérer le compte, vous identifier, vous écrire à propos de votre abonnement | Contrat (art. 6.1.b) | Durée du contrat, puis suppression sous 30 jours |
| Informations du commerce : nom, adresse, téléphone, numéro d’entreprise (SIRET, TVA…), métier, horaires, absences, produits, prix, allergènes saisis par le commerçant, textes, photos, coordonnées GPS déduites de l’adresse | Créer et publier le site et la fiche d’annuaire, trier les résultats « autour de moi » | Contrat ; intérêt légitime de présenter les commerces dans l’annuaire (art. 6.1.f) | Durée du contrat, puis suppression sous 30 jours |
| Lien et code de connexion (seules les empreintes SHA-256 sont conservées), nombre d’essais | Vous authentifier sans mot de passe | Contrat ; intérêt légitime de sécurité | Valables 15 minutes, à usage unique, 5 essais ; les empreintes expirées sont supprimées lors de l’entretien quotidien |
| Session de connexion (empreinte du jeton, date d’expiration) | Maintenir la connexion | Contrat | 30 jours au plus ; supprimée à la déconnexion |
| Abonnement : pays, devise, périodicité, options, montant, état, fin de période, identifiants Stripe (client, abonnement), évènements de paiement | Facturer, gérer l’abonnement et sa résiliation, tenir la comptabilité | Contrat ; obligation légale | Pièces comptables et factures : 10 ans (art. L. 123-22 du code de commerce) |
| Assistant : nombre de demandes du mois (le texte des demandes n’est pas conservé) | Fournir l’Assistant et plafonner son usage | Contrat | Durée du contrat |
| Réseaux sociaux (option) : identifiant de la page ou du compte, jeton d’accès chiffré, publications préparées | Publier en votre nom, à votre demande | Contrat | Jusqu’à la déliaison du compte ou la fin du contrat |
| Vérification de l’adresse et de l’entreprise : adresse et ville du commerce, numéro d’entreprise (SIREN/SIRET, numéro de TVA), pays et coordonnées obtenus, résultat de la vérification et date | Vérifier que l’adresse existe et que l’entreprise existe auprès de registres officiels ; déterminer le pays (prix applicable, langue du site) ; prévenir la fraude | Contrat ; intérêt légitime de fiabilité de l’annuaire et de lutte contre la fraude (art. 6.1.f) | Résultat conservé pendant la durée du contrat, puis suppression sous 30 jours ; aucune autre copie des données reçues des registres |
| Parrain : nom (facultatif), adresse e-mail, pays, code de parrainage, identifiant du compte Stripe Connect, commissions (montants, monnaie, état), versements, informations fiscales communiquées | Gérer sa participation au programme de parrainage, calculer et verser les commissions, répondre à ses obligations comptables et fiscales, prévenir la fraude | Contrat (conditions de parrainage) ; obligation légale ; intérêt légitime (lutte contre la fraude) | Durée de la participation au programme ; pièces comptables : 10 ans |
| Filleul (côté parrainage) : lien interne avec son parrain, date de création du compte, montants des paiements d’abonnement servant de base de calcul, état | Attribuer et calculer la commission du parrain ; détecter l’auto-parrainage et la fraude | Contrat ; intérêt légitime de faire fonctionner le programme et de le protéger de la fraude | Durée du compte du filleul et du droit à commission, puis pièces comptables : 10 ans |
| Messages que vous nous envoyez | Répondre à vos demandes | Intérêt légitime | 3 ans après le dernier échange |
Les visiteurs (Maleda est responsable de traitement)
| Données | Finalités | Base légale | Durée |
|---|---|---|---|
| Langue et pays choisis (cookies « maleda-lang » et « maleda-country ») | Afficher le site dans votre langue, les tarifs et les résultats de votre pays | Intérêt légitime ; cookie demandé par vous et strictement nécessaire | 1 an |
| Code du parrain mémorisé (cookie « maleda-ref »), posé seulement si vous arrivez par un lien de parrainage | Rattacher un parrain à votre compte si vous en créez un dans les 30 jours | Consentement lorsqu’il est requis, à défaut intérêt légitime de rémunérer le parrain : voir la politique de cookies | 30 jours |
| Pays déduit du réseau (en-tête Cloudflare) et langue du navigateur | Choisir une langue et un pays par défaut | Intérêt légitime | Non conservés |
| Position « autour de moi », arrondie à 1 km environ (cookie « maleda-geo ») | Trier les commerces par distance | Consentement : vous cliquez sur « autour de moi » puis acceptez la demande du navigateur | Cookie d’au plus 1 heure, jamais enregistré côté serveur (voir plus bas) |
| Position approximative déduite de l’adresse IP par Cloudflare | Trier les commerces à proximité lorsque vous n’avez pas partagé votre position | Intérêt légitime | Non conservée |
| Journaux techniques : adresse IP, date et heure, adresse demandée, navigateur | Sécurité, prévention des abus, diagnostic, obligation légale de l’hébergeur | Intérêt légitime ; obligation légale | [À COMPLÉTER : durée effective des journaux du serveur, 12 mois au plus] |
Les clients des commerçants (le commerçant est responsable de traitement, Maleda est sous-traitant)
| Données | Finalités | Base légale | Durée |
|---|---|---|---|
| Réservation : nom, e-mail, téléphone (facultatif), prestation, date et heure, langue, état, empreinte du lien d’annulation, acompte (montant, état, identifiants de paiement) | Enregistrer le rendez-vous ; envoyer l’e-mail de confirmation, le rappel de la veille et l’annulation ; prévenir le commerçant ; gérer l’acompte | Exécution du contrat ou mesures précontractuelles prises à votre demande (art. 6.1.b) | Fixée par le commerçant. Recommandation de Maleda : suppression ou anonymisation 12 mois après la date du rendez-vous |
| Commande à retirer : nom, e-mail, téléphone (facultatif), note, articles et quantités, prix, créneau de retrait, numéro de commande, état | Préparer la commande, vous prévenir, gérer l’annulation | Exécution du contrat (art. 6.1.b) | Fixée par le commerçant. Recommandation de Maleda : 12 mois après le retrait |
| Abonnement à la cloche : adresse technique d’abonnement de votre navigateur (« endpoint »), clés de chiffrement du navigateur, langue. Ni nom ni e-mail | Envoyer les notifications du commerce auxquelles vous vous êtes abonné | Consentement (art. 6.1.a) : vous acceptez la demande d’autorisation du navigateur | Jusqu’au désabonnement, ou jusqu’à ce que le navigateur révoque l’abonnement |
| Paiement de l’acompte (via Stripe Connect) | Encaisser l’acompte au profit du commerçant | Exécution du contrat (art. 6.1.b) | Conservation par Stripe et le commerçant selon leurs obligations comptables et légales ; Maleda ne conserve que l’état du paiement et ses identifiants |
Les réservations et commandes sont en outre visibles par le commerçant concerné, dans son Espace commerçant et dans les e-mails que Maleda lui envoie. Aucun autre commerçant n’y a accès : les données sont cloisonnées par commerce.
Le commerçant est libre de fixer la durée de conservation de ces données, dans le respect du RGPD et du droit applicable à son activité. Maleda lui recommande de les supprimer ou de les anonymiser 12 mois après le rendez-vous ou le retrait, sauf obligation légale contraire (par exemple comptable).
Ce que Maleda ne fait pas
- Aucun cookie publicitaire, aucun traceur de mesure d’audience tiers, aucun profilage commercial.
- Aucune vente de données.
- Les avis Google ne sont jamais copiés dans notre base : seul l’identifiant de l’établissement est conservé.
Destinataires et sous-traitants ultérieurs
Vos données sont accessibles aux personnes habilitées de Maleda, au commerçant concerné pour ses propres clients, et aux prestataires suivants, qui n’agissent que pour fournir le Service :
| Prestataire | Rôle | Données concernées | Localisation |
|---|---|---|---|
| [À COMPLÉTER : nom de l’hébergeur] | Hébergement du serveur, de la base de données, des photos et des sauvegardes | Toutes les données du Service | [À COMPLÉTER : pays d’hébergement] |
| Stripe Payments Europe, Ltd. | Paiement des abonnements et des acomptes, versement des commissions de parrainage aux parrains (Stripe Connect) ; agit aussi comme responsable de traitement pour ses obligations propres (vérification d’identité, lutte contre la fraude) | E-mail du commerçant ou du parrain, montants, identifiants ; la carte bancaire, les coordonnées bancaires et les pièces d’identité sont saisies uniquement chez Stripe | Irlande ; transferts possibles vers les États-Unis |
| Resend | Envoi des e-mails (codes de connexion, confirmations, rappels, annulations) | Adresse du destinataire et contenu du message | États-Unis [À COMPLÉTER : confirmer la région d’envoi] |
| Google (Google Ireland Limited, Google LLC) | Connexion Google (adresse e-mail vérifiée uniquement), cartes et Street View intégrés, avis Google | Pour la connexion : adresse e-mail ; pour Street View : adresse IP du visiteur et adresse du commerce | Irlande ; États-Unis |
| Anthropic | Modèle d’intelligence artificielle de l’Assistant (facultatif, si activé) | Texte de la demande (500 caractères au plus), noms des produits, date du jour ; aucune donnée de client | États-Unis |
| Cloudflare, Inc. | DNS, réseau de diffusion (CDN), protection contre les attaques | Adresse IP et requêtes des visiteurs | États-Unis ; réseau mondial |
| Base Adresse Nationale (DINUM, Etalab) | Vérification des adresses situées en France | Adresse et ville du commerce, jamais celles des clients | France |
| Photon (service de recherche fondé sur OpenStreetMap) | Vérification des adresses situées hors de France | Adresse et ville du commerce, jamais celles des clients | Allemagne (Union européenne) [À COMPLÉTER : confirmer l’instance Photon utilisée] |
| Annuaire des entreprises (API Recherche d’entreprises, DINUM) / base SIRENE (Insee) | Vérification de l’existence d’une entreprise française | Numéro SIREN ou SIRET du commerce | France |
| VIES (Commission européenne) | Vérification des numéros de TVA intracommunautaires | Numéro de TVA du commerce | Union européenne |
| OpenStreetMap (Nominatim) | Géocodage de l’adresse d’un commerce (obtenir ses coordonnées) | Adresse et ville du commerce, jamais celles des clients | Royaume-Uni |
| Meta Platforms Ireland Limited | Publication sur Facebook et Instagram (option, si le commerçant relie sa page) | Contenu publié choisi par le commerçant, jetons d’accès | Irlande ; États-Unis |
Maleda peut aussi communiquer des données aux autorités lorsque la loi l’exige. Les sous-traitants ultérieurs sont liés par un contrat conforme à l’article 28 du RGPD ; la liste est tenue à jour dans l’accord de sous-traitance.
Transferts hors de l’Union européenne
Certains prestataires (Stripe, Google, Anthropic, Cloudflare, Resend, Meta) peuvent traiter des données aux États-Unis. Ces transferts reposent sur la décision d’adéquation de la Commission européenne du 10 juillet 2023 (cadre de protection des données UE–États-Unis) lorsque le destinataire y est certifié, ou à défaut sur les clauses contractuelles types de la Commission, complétées au besoin de mesures supplémentaires. Le Royaume-Uni (OpenStreetMap) bénéficie d’une décision d’adéquation. [À COMPLÉTER : confirmer, pour chaque prestataire, la certification au cadre UE–États-Unis ou la signature des clauses contractuelles types]
Les services de vérification d’adresse et d’entreprise (Base Adresse Nationale, annuaire des entreprises, VIES, Photon) sont situés dans l’Union européenne : aucun transfert hors Union n’en résulte.
Vous pouvez obtenir une copie des garanties applicables en écrivant à contact@maleda.eu.
Vérification de l’adresse et de l’entreprise
Lorsqu’un commerçant s’inscrit ou modifie l’adresse de son commerce, Maleda interroge des sources publiques : la Base Adresse Nationale (France) ou Photon, fondé sur OpenStreetMap (autres pays), pour confirmer l’adresse et en obtenir le pays et les coordonnées ; l’annuaire des entreprises (base SIRENE) pour une entreprise française, et VIES pour un numéro de TVA européen, pour confirmer l’existence de l’entreprise. Les requêtes ne contiennent que l’adresse du commerce et le numéro d’entreprise, jamais de donnée de client.
Le pays de l’adresse vérifiée détermine le prix applicable ; l’adresse détermine aussi la langue du site du commerce. Si le commerçant change d’adresse pour un autre pays, le prix est recalculé. Ces traitements sont automatisés mais ne produisent pas de décision définitive à votre égard : en cas d’échec ou d’incohérence, une personne examine la situation et vous pouvez nous écrire à contact@maleda.eu pour contester le résultat.
Programme de parrainage
Le programme de parrainage est décrit dans les conditions du programme de parrainage. Maleda est responsable de traitement des données qu’il implique.
Ce que voit le parrain. Le parrain ne voit de ses filleuls que des informations anonymisées : métier, ville, date du parrainage, statut et montant des commissions. Il ne reçoit jamais leur nom, le nom du commerce, leurs coordonnées ni aucune donnée de leur site ou de leurs clients. Maleda peut regrouper ou masquer ces informations lorsqu’elles permettraient d’identifier un filleul.
Ce que sait le filleul. À la création de son compte, le filleul est informé qu’il a été parrainé et qu’un parrain perçoit une commission calculée sur ses paiements d’abonnement, sans accès à ses données ni effet sur son prix. Il peut s’opposer au traitement qui le concerne et exercer ses droits auprès de contact@maleda.eu ; l’opposition ne remet pas en cause le prix ni son abonnement, mais Maleda examine alors si le rattachement au parrain doit continuer à produire une commission.
Versement et vérifications. Les commissions sont versées par Stripe Connect : les coordonnées bancaires et les pièces d’identité du parrain sont recueillies et contrôlées par Stripe, qui agit sous sa propre responsabilité ; Maleda n’en reçoit que le statut du compte et son identifiant. Maleda peut recouper automatiquement certains éléments (adresse e-mail, compte de paiement, adresse) pour détecter l’auto-parrainage ou la fraude ; aucune sanction n’est prise sans examen par une personne.
Vos droits et comment les exercer
Vous disposez des droits suivants sur vos données : accès, rectification, effacement, limitation du traitement, portabilité, opposition (notamment aux traitements fondés sur l’intérêt légitime) et retrait de votre consentement à tout moment, sans effet sur ce qui a été fait auparavant. En France, vous pouvez aussi définir des directives sur le sort de vos données après votre décès.
Si vous êtes client d’un commerce, adressez votre demande en premier lieu à ce commerce, qui est responsable de ces données : ses coordonnées figurent sur la page « Informations légales » de son site. Vous pouvez aussi écrire à contact@maleda.eu : nous transmettrons votre demande au commerçant et l’assisterons pour y répondre.
Dans les autres cas (compte commerçant, visiteur), écrivez à contact@maleda.eu. Nous pouvons vous demander de justifier de votre identité. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes (avec information préalable).
Pour retirer votre position, cliquez de nouveau sur « autour de moi » ; pour vous désabonner de la cloche, utilisez les réglages de notifications de votre navigateur ; pour effacer les cookies, utilisez les réglages de votre navigateur.
Réclamation auprès d’une autorité
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l’autorité de protection des données de votre pays de résidence, de votre lieu de travail ou du lieu de la violation.
- En France : Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.
- Au Luxembourg : Commission nationale pour la protection des données (CNPD), 15 boulevard du Jazz, L-4370 Belvaux, cnpd.lu.
- Dans les autres États membres : liste des autorités tenue par le Comité européen de la protection des données.
Nous vous invitons à nous contacter d’abord, pour tenter de résoudre le problème.
Sécurité
Maleda met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :
- chiffrement des échanges (HTTPS) ;
- connexion sans mot de passe : liens et codes à usage unique, courte durée, nombre d’essais limité, seules les empreintes sont conservées ;
- jetons d’accès aux réseaux sociaux conservés chiffrés (AES-GCM) ;
- cloisonnement strict des données par commerce : chaque requête est limitée au commerce concerné, déterminé par le serveur ;
- contrôle des entrées côté serveur, limitation du nombre de demandes de connexion ;
- photos ré-encodées et débarrassées de leurs métadonnées (position GPS comprise) ;
- sauvegardes quotidiennes de la base, conservées 14 jours ;
- journalisation des accès et des erreurs, accès limités aux personnes habilitées.
En cas de violation de données susceptible d’engendrer un risque pour vos droits, Maleda la notifie à l’autorité compétente dans les 72 heures lorsqu’elle en est responsable, et vous informe lorsque le risque est élevé.
Décisions automatisées et intelligence artificielle
Maleda ne prend aucune décision produisant des effets juridiques ou vous affectant de manière significative sur le seul fondement d’un traitement automatisé (article 22 du RGPD).
L’Assistant destiné aux commerçants propose des modifications de leur site à partir d’une demande écrite ou dictée ; un humain les confirme : les changements simples et réversibles sont annulables d’un clic, les autres exigent une confirmation. Selon la configuration du Service, l’Assistant utilise des règles intégrées ou un modèle d’IA d’Anthropic (voir les conditions d’utilisation). Le texte des demandes n’est pas conservé par Maleda.
Position et recherche « autour de moi »
La recherche « autour de moi » est facultative. Lorsque vous cliquez dessus, votre navigateur vous demande l’autorisation de partager votre position. Si vous acceptez, la latitude et la longitude sont arrondies à environ 1 kilomètre, puis placées dans un cookie de votre navigateur (« maleda-geo ») qui expire après une heure au plus.
Ce cookie est lu par le serveur pour calculer la distance qui vous sépare des commerces et trier les résultats. Votre position n’est jamais enregistrée côté serveur : ni en base de données, ni dans des fichiers conservés. Vous pouvez l’effacer à tout moment en cliquant de nouveau sur « autour de moi » ou en supprimant le cookie.
Sans votre partage, nous pouvons utiliser la position approximative de votre connexion (ville ou région), fournie par Cloudflare, uniquement pour trier les résultats ; elle n’est pas conservée.
Dictée vocale
L’Assistant offre une dictée vocale aux commerçants. Elle utilise la reconnaissance vocale intégrée à votre navigateur : l’audio est traité par l’éditeur du navigateur (par exemple Google pour Chrome, Apple pour Safari), selon ses propres conditions, avant que le texte transcrit soit envoyé à Maleda. Maleda ne reçoit ni ne conserve d’enregistrement audio. Vous pouvez à tout moment saisir votre demande au clavier à la place.
Modification de cette politique
Nous pouvons modifier cette politique, par exemple si un nouveau prestataire est ajouté. La date de mise à jour figure en tête du document. En cas de changement important, les commerçants sont prévenus à l’avance, comme prévu dans les conditions d’utilisation.