Politique de Confidentialité

ParrainGo s'engage à protéger votre vie privée et vos données personnelles. Cette politique de confidentialité explique comment nous collectons, utilisons, stockons et protégeons vos informations conformément au Règlement Général sur la Protection des Données (RGPD).

Le responsable du traitement des données personnelles est :

• Raison sociale : KODELIO, SASU au capital de 1 000 €
• Siège social : 58 rue de Monceau, CS 48756, 75380 Paris Cedex 08, France
• SIRET : 930 626 841 00025
• RCS : Paris 930 626 841
• Contact :  support@parraingo.fr

Délégué à la protection des données (DPO) : KODELIO n'est pas tenue de désigner un DPO et n'en a pas désigné. Pour toute question relative à la protection de vos données, vous pouvez contacter directement le responsable du traitement à l'adresse ci-dessus.

Nous collectons les données suivantes :

3.1 Données d'inscription

• Email
• Nom d'utilisateur
• Mot de passe (hashé avec Argon2id)
• Code de parrainage (optionnel)

3.2 Données de profil

• Avatar (optionnel)
• Biographie (optionnelle)
• Préférences de notification

3.3 Données d'utilisation

• Offres de parrainage publiées
• Messages échangés
• Votes et interactions
• Logs de connexion et de sécurité (IP, user agent, actions sensibles)
• Données techniques liées au diagnostic des erreurs applicatives et au suivi des performances
• Données de mesure d'audience agrégées : page consultée, page de provenance, type d'appareil, navigateur, langue, pays et actions clés du parcours — sans cookie ni identifiant permanent (voir article 9.2)

3.4 Données OAuth

Si vous vous connectez via Google, Facebook ou Apple, nous recevons votre email et identifiant unique. Nous ne stockons pas vos mots de passe OAuth.

3.5 Données de paiement

Les paiements sont traités par Stripe. ParrainGo conserve les informations nécessaires au suivi des abonnements, achats de crédits, factures et remboursements éventuels (montant, statut, identifiants Stripe, date et historique de paiement). Les données complètes de carte bancaire ne sont pas stockées par ParrainGo.

3.6 Notifications push

Si vous activez les notifications push, nous collectons l'endpoint de notification fourni par votre navigateur et les clés techniques nécessaires à l'envoi des notifications. Cette souscription peut être supprimée à tout moment depuis vos paramètres.

3.7 Alerte de disponibilité d'un code (sans compte)

Sur la page d'une marque qui ne propose encore aucun code, vous pouvez demander à être prévenu de la publication du premier code. Nous collectons alors uniquement votre adresse email et la marque concernée, sans création de compte. Cette adresse sert exclusivement à vous envoyer un seul email d'alerte pour cette marque : elle n'alimente ni la newsletter, ni aucune autre communication. Chaque email contient un lien de désinscription en un clic, qui supprime immédiatement la demande.

Vos données sont utilisées pour :

• Créer et gérer votre compte
• Fournir les services de la plateforme
• Communiquer avec vous (notifications, support)
• Gérer les abonnements, achats de crédits, paiements et factures
• Améliorer nos services et corriger les erreurs techniques
• Mesurer l'audience du site et améliorer les parcours
• Respecter nos obligations légales
• Prévenir la fraude et les abus

4.1 Synthèse des principaux traitements

Le traitement de vos données repose sur :

• Contrat : exécution du service ParrainGo et des offres payantes
• Consentement : newsletter, notifications push, traceurs non essentiels
• Intérêt légitime : sécurité, prévention fraude, modération, support et mesure d'audience du site (statistiques agrégées, sans cookie ni traceur persistant)
• Obligation légale : facturation, comptabilité, réponse aux autorités

Vos données peuvent être partagées avec les sous-traitants suivants, agissant pour le compte de KODELIO et liés par contrat de sous-traitance conforme à l'article 28 du RGPD :

• OVH SAS (France) : hébergement de l'application et de la base de données. Données traitées dans l'Union européenne.
• Stripe Payments Europe Ltd (Dublin, Irlande) : traitement des paiements d'abonnement. Données traitées dans l'UE ; certains traitements peuvent être transférés aux États-Unis (voir article 11).
• Resend, Inc. (San Francisco, États-Unis) : envoi d'emails transactionnels (vérification, notifications). Transfert hors UE encadré (voir article 11).
• Cloudflare, Inc. (siège : San Francisco, États-Unis) : stockage des médias (Cloudflare R2) et CDN. Les données sont stockées en Europe de l'Ouest (région WEUR). Cloudflare étant une société américaine, des garanties complémentaires s'appliquent en cas d'accès depuis les États-Unis (voir article 11).
• Functional Software, Inc. (Sentry) (San Francisco, États-Unis) : diagnostic des erreurs et suivi des performances du frontend et du backend. Données minimisées dans la mesure du possible. Transfert hors UE encadré (voir article 11).
• Services de notification push des navigateurs (selon votre navigateur : Apple, Google, Mozilla ou fournisseur équivalent) : acheminement technique des notifications push uniquement si vous les activez.

La mesure d'audience du site n'implique aucun sous-traitant : la solution utilisée est hébergée sur notre propre infrastructure, en France (voir article 9.2). Aucune donnée d'audience ne quitte notre serveur.

Nous ne vendons jamais vos données personnelles à des tiers. Vos données peuvent également être communiquées en cas de réquisition d'une autorité judiciaire ou administrative, dans les conditions prévues par la loi.

• Compte actif : données conservées tant que votre compte existe
• Compte supprimé : anonymisation immédiate de vos données personnelles dès la demande de suppression (email, nom d'utilisateur, mot de passe, avatar, biographie, données OAuth, paramètres 2FA et de notification sont supprimés ou remplacés par des valeurs anonymes). Les contenus partagés (offres) sont désactivés puis définitivement supprimés sous 30 jours.
• Logs d'audit (incluant adresse IP, user-agent, actions sensibles, consentements, exports et exercice des droits) : conservation 2 ans à des fins de sécurité, de preuve et conformément à l'intérêt légitime de prévention des abus.
• Données de facturation : conservation 10 ans conformément à l'article L.123-22 du Code de commerce
• Abonnements push : conservation jusqu'à désinscription, révocation par le navigateur ou suppression du compte.
• Alertes de disponibilité d'un code : conservation jusqu'à votre désinscription, possible en un clic depuis chaque email. Une fois l'alerte envoyée, l'enregistrement est conservé avec sa date d'envoi dans le seul but de ne pas vous écrire une seconde fois pour la même marque, et reste supprimable par le même lien.
• Messages : conservation tant que la conversation existe. En cas de suppression de compte, les messages peuvent être conservés sous forme rattachée à un utilisateur supprimé afin de préserver la conversation de l'autre participant.
• Données de mesure d'audience : conservation 13 mois maximum, puis suppression automatique. Ces données sont agrégées et ne permettent pas de vous réidentifier.
• Données de prospection commerciale : 3 ans à compter du dernier contact

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : Obtenir une copie de vos données
• Droit de rectification : Corriger vos données inexactes
• Droit à l'effacement : Supprimer votre compte et données
• Droit d'opposition : Refuser certains traitements
• Droit à la portabilité : Recevoir vos données (JSON/CSV)
• Droit de limitation : Limiter le traitement

Pour exercer vos droits, contactez support@parraingo.fr. Réponse sous 30 jours maximum.

ParrainGo utilise les cookies décrits ci-dessous. Conformément à l'article 82 de la loi Informatique et Libertés et aux recommandations de la CNIL, seuls les cookies strictement nécessaires au fonctionnement du site sont déposés sans votre consentement.

9.1 Cookies essentiels (sans consentement)

• Cookie d'authentification (JWT, httpOnly, sécurisé), durée : 15 minutes (access token) / 7 jours (refresh token)
• Cookie CSRF (XSRF-TOKEN), protection anti-CSRF, durée : session
• Préférences d'affichage (mode sombre / clair, cookie ou stockage local), durée : 1 an

9.2 Mesure d'audience (sans cookie, sans consentement)

ParrainGo mesure la fréquentation de son site avec Umami, une solution libre que nous hébergeons nous-mêmes sur notre propre infrastructure, en France, chez OVH. Aucune donnée d'audience n'est transmise à un prestataire tiers, ni utilisée à des fins publicitaires, ni revendue.

Cette mesure est conçue pour être la moins intrusive possible :

• aucun cookie n'est déposé et aucun identifiant permanent n'est stocké sur votre appareil ;
• votre adresse IP n'est pas conservée : elle sert uniquement, de manière transitoire, à calculer une empreinte technique anonyme et à déterminer un pays ;
• cette empreinte est renouvelée chaque jour : il n'est pas possible de vous suivre d'un jour sur l'autre ;
• aucun suivi entre sites : les données ne sont ni recoupées avec d'autres traitements, ni rapprochées d'autres sources ;
• les paramètres présents dans les adresses des pages (codes de parrainage, jetons, etc.) sont retirés avant enregistrement.

Sont enregistrées : la page consultée, la page de provenance, le type d'appareil, le navigateur, la langue, la résolution d'écran, le pays, ainsi que quelques actions clés du parcours (création d'un compte, publication d'une offre, affichage d'un code, démarrage d'un paiement). Aucune de ces données ne permet de vous identifier : ni votre email, ni votre nom d'utilisateur, ni aucun identifiant de compte n'y figure.

Ce traitement repose sur notre intérêt légitime à connaître l'audience de notre site et à en améliorer le fonctionnement. Compte tenu des garanties ci-dessus, il relève des solutions de mesure d'audience que la CNIL exempte de consentement préalable. Les données d'audience sont conservées 13 mois maximum, puis supprimées automatiquement.

9.3 Vous opposer à la mesure d'audience

Vous pouvez vous y opposer à tout moment, de deux façons :

• activer le signal « Ne pas me pister » (Do Not Track / Global Privacy Control) dans les réglages de votre navigateur : nous le respectons automatiquement ;
• utiliser le bouton ci-dessous, qui enregistre votre refus dans ce navigateur.

Ce refus est enregistré dans ce navigateur uniquement : il devra être renouvelé sur vos autres appareils, ou si vous effacez les données de navigation.

9.4 Autres traceurs

Sentry sert à diagnostiquer les erreurs et à suivre les performances de l'application. Aucun enregistrement ni rejeu de session n'est activé. En dehors des cookies essentiels (article 9.1) et de la mesure d'audience décrite ci-dessus, ParrainGo ne dépose aucun pixel marketing, aucun traceur publicitaire et aucun outil de suivi tiers. Si un tel outil était activé ultérieurement, il serait soumis à votre consentement préalable lorsque la loi l'exige.

Vous pouvez configurer votre navigateur pour bloquer ou supprimer les cookies. Le blocage des cookies strictement nécessaires peut toutefois empêcher l'authentification ou certaines fonctionnalités de sécurité.

Nous mettons en œuvre des mesures de sécurité techniques et organisationnelles :

• Chiffrement HTTPS (TLS 1.3)
• Hashage des mots de passe (Argon2id)
• Cookies httpOnly sécurisés
• Authentification 2FA optionnelle
• Sauvegardes régulières
• Audits de sécurité

Certaines de vos données peuvent être transférées hors de l'Union européenne, principalement vers les États-Unis, dans le cadre des prestations techniques décrites à l'article 6. Ces transferts sont encadrés par les garanties suivantes :

• Resend, Inc. (États-Unis) : transfert encadré par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne (décision 2021/914).
• Cloudflare, Inc. : les données R2 sont stockées en Europe de l'Ouest (WEUR), donc résidence des données dans l'UE. Cloudflare étant établie aux États-Unis, un accès distant depuis les États-Unis reste théoriquement possible et est encadré par le Data Privacy Framework (DPF) UE-États-Unis et les Clauses Contractuelles Types.
• Functional Software, Inc. (Sentry) (États-Unis) : transfert encadré par les Clauses Contractuelles Types et politique de minimisation/anonymisation des données envoyées.
• Stripe Payments Europe Ltd est établie en Irlande (UE) ; les transferts éventuels vers Stripe Inc. (États-Unis) sont encadrés par le DPF et les CCT.

Vous pouvez obtenir une copie des garanties applicables sur simple demande à support@parraingo.fr.

ParrainGo n'effectue pas de décision entièrement automatisée produisant des effets juridiques ou vous affectant de manière significative au sens de l'article 22 du RGPD.

Certains traitements automatisés sont toutefois mis en œuvre pour le bon fonctionnement du service :

• Visibilité des offres : diminution automatique de la visibilité au fil du temps, sans intervention humaine, n'affectant que l'affichage des offres publiées.
• Limitation de débit (rate-limiting) sur les actions sensibles : refus temporaire et automatique d'une action, sans conséquence durable.

Vous disposez du droit de demander une intervention humaine, d'exprimer votre point de vue et de contester toute décision en écrivant à support@parraingo.fr.

Cette politique peut être modifiée. Les changements significatifs vous seront notifiés par email au moins 30 jours avant leur prise d'effet.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• Adresse : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Site web :  www.cnil.fr

Pour toute question sur la protection de vos données personnelles : support@parraingo.fr