Politique de Confidentialité

1. Cadre juridique

La présente politique est établie en application du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (ci-après « RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés ».

2. Responsable du traitement

Le service Get5Stars est édité et exploité par WRITE, SAS au capital de 1 000 € — siège social : 58 rue de Monceau, 75008 Paris — SIRET 930 541 164 00016.
Délégué à la Protection des Données (DPO) : bonjour@get5stars.app.

3. Données des marchands (B2B)

Get5Stars collecte et traite en qualité de responsable de traitement (art. 4, 7° RGPD) les données suivantes concernant ses clients professionnels :

• Identification & compte : nom d'usage ou nom commercial, adresse e-mail et mot de passe (stocké sous forme de hash via Firebase Authentication) — pour la création et l'administration du compte.
• Personnalisation : logo, couleurs de marque, nom d'expéditeur, langue, URL publiques Google et Trustpilot renseignées par le Client — pour le paramétrage du Service.
• Paiement & facturation : identifiant client Stripe et historique d'abonnement uniquement. Les données de carte bancaire ainsi que toute information de facturation (raison sociale, adresse, TVA, SIREN) éventuellement saisies au paiement sont collectées et conservées exclusivement par Stripe Payments Europe Limited en sa qualité de responsable de traitement pour ces données. Get5Stars n'y accède pas et ne les héberge pas. Les factures émises par Stripe restent toutefois accessibles via le portail de facturation pendant la durée légale de conservation comptable (art. L.123-22 du Code de commerce).
• Intégrations e-commerce : nom de domaine de la boutique connectée (Shopify ou WooCommerce) et jetons d'accès API associés — pour le fonctionnement des intégrations.
• Journalisation technique : adresses IP, user-agents et horodatages d'actions — pour la sécurité et la lutte anti-fraude.

4. Données des consommateurs finaux (B2C)

S'agissant des données des clients finaux des marchands, Get5Stars agit en qualité de sous-traitant (art. 4, 8° et art. 28 RGPD) selon les instructions documentées du Client. Les données traitées sont :

• adresse email, prénom, nom, numéro de commande, date d'achat — pour l'envoi de sollicitations d'avis post-achat ;
• contenu des avis (note, texte libre, pièces jointes éventuelles) — stocké pour le compte du marchand qui en demeure propriétaire.

5. Bases légales

• Exécution du contrat (art. 6.1.b RGPD) : création de compte, fourniture du Service, facturation du Client B2B.
• Intérêt légitime du marchand (art. 6.1.f RGPD) : sollicitation d'avis post-achat, sous réserve du respect de la Directive (UE) 2019/2161 (Omnibus) imposant la vérification d'achat.
• Obligations légales (art. 6.1.c RGPD) : conservation comptable, réponse aux réquisitions judiciaires.
• Consentement (art. 6.1.a RGPD) : uniquement pour les cookies non essentiels et les éventuelles communications marketing directes.

6. Durées de conservation

7. Destinataires et sous-traitants

Get5Stars s'appuie sur les sous-traitants techniques ci-dessous, tous liés par un accord de traitement (DPA) conforme à l'article 28 RGPD :

• Vercel Inc. (États-Unis) — hébergement applicatif. Transfert encadré par les Clauses Contractuelles Types (CCT) et le EU-US Data Privacy Framework.
• Amazon Web Services EMEA SARL (Luxembourg) — base de données et stockage, résidence des données dans l'Union européenne (région eu-west-3).
• Stripe Payments Europe Limited (Irlande) — traitement des paiements.
• Resend Inc. (États-Unis, CCT + EU-US DPF) — envoi des emails transactionnels.
• Functional Software Inc. (Sentry) (États-Unis, CCT + EU-US DPF) — supervision d'erreurs applicatives.

8. Transferts hors Union européenne

Certains sous-traitants hébergent leurs services aux États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne (décision 2021/914) et, le cas échéant, par la certification des sous-traitants au EU-US Data Privacy Framework.

9. Mesures de sécurité

Get5Stars met en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD) :

• chiffrement AES-256 au repos et TLS 1.3 en transit ;
• authentification à deux facteurs obligatoire pour les accès administrateurs ;
• sauvegardes quotidiennes chiffrées avec test de restauration ;
• revues de sécurité annuelles et tests d'intrusion externes ;
• cloisonnement des environnements de production et de développement.

10. Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD, toute personne dont les données sont traitées dispose des droits suivants :

• droit d'accès (art. 15) ;
• droit de rectification (art. 16) ;
• droit à l'effacement, dit « droit à l'oubli » (art. 17) ;
• droit à la limitation du traitement (art. 18) ;
• droit à la portabilité (art. 20) ;
• droit d'opposition (art. 21) ;
• droit de définir des directives post-mortem (art. 40-1 LIL).

Ces droits s'exercent par courrier électronique à bonjour@get5stars.app. Get5Stars s'engage à répondre sous un délai d'un mois, prorogeable de deux mois en cas de complexité particulière (art. 12.3 RGPD). Toute personne dispose du droit d'introduire une réclamation auprès de la CNIL.

11. Cookies et traceurs

Get5Stars n'utilise que des cookies strictement nécessaires au fonctionnement du Service (session, préférences de langue) dispensés de consentement au sens de l'article 82 de la loi Informatique et Libertés. Aucun cookie publicitaire ni traceur tiers n'est déposé.

12. Violations de données

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, Get5Stars notifiera la CNIL dans un délai maximal de 72 heures (art. 33 RGPD) et informera sans délai les personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé (art. 34 RGPD).

13. Contact

Délégué à la Protection des Données : bonjour@get5stars.app
Adresse postale : WRITE, à l'attention du DPO, 58 rue de Monceau, 75008 Paris, France.
Autorité de contrôle : CNIL, 3 place de Fontenoy, 75007 Paris — www.cnil.fr.