Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via le site lutzio.com et l'application mobile Lutzio est [À COMPLÉTER : raison sociale et forme juridique], dont le siège est situé [À COMPLÉTER : adresse du siège] (« Lutzio »).

Pour toute question relative à vos données personnelles : contact@lutzio.com.

2. Données collectées

Lutzio collecte uniquement les données nécessaires au fonctionnement du service :

• Compte visiteur : adresse email, nom d'affichage, favoris, avis et notes publiés.
• Compte exposant : email, informations du profil public (nom d'enseigne, activité, description, photos) et données de gestion saisies dans l'application (ventes, dépenses, produits, événements).
• Espace organisateur : email, informations de la structure, fiches d'événements, messages échangés avec les exposants.
• Messages et interactions : messages envoyés aux exposants via les fiches publiques, candidatures aux événements, signalements.
• Données techniques : cookies strictement nécessaires (authentification, préférence de langue), journaux techniques et données de diagnostic d'erreurs.
• Newsletter : adresse email, sur inscription volontaire uniquement.

Le site n'utilise pas de cookies publicitaires ni de traceurs à des fins de ciblage.

3. Finalités et bases légales

Les traitements reposent sur les bases légales suivantes :

• Exécution du contrat : création et gestion des comptes, fonctionnement de l'annuaire, du calendrier, de la messagerie et des outils de gestion exposant.
• Obligations légales : conservation des données comptables et de facturation, traitement des signalements LCEN.
• Intérêt légitime : sécurité du service, prévention des abus (limitation de débit, anti-spam), statistiques d'utilisation agrégées.
• Consentement : newsletter et notifications push de l'application, activables et désactivables à tout moment.
• Consentement : publication d'un profil public exposant sur la plateforme, activable et réversible depuis l'application.

4. Partage des données

Lorsqu'un visiteur contacte un exposant via sa fiche publique, son nom et son adresse email sont transmis à l'exposant destinataire afin qu'il puisse lui répondre. Ces coordonnées peuvent ensuite figurer dans les outils de suivi de clientèle de cet exposant.

Les informations qu'un exposant ou un organisateur choisit de rendre publiques (fiche, produits, événements, participations) sont visibles de tous les visiteurs du site et référençables par les moteurs de recherche.

Lutzio ne vend ni ne loue aucune donnée personnelle à des tiers.

5. Sous-traitants et destinataires techniques

Lutzio s'appuie sur des sous-traitants techniques, qui traitent les données pour son compte et sous ses instructions :

• Supabase (base de données, authentification, stockage de fichiers) — hébergement des données : [À COMPLÉTER : région d'hébergement à confirmer].
• Vercel (hébergement du site web) — États-Unis, transferts encadrés (voir article 7).
• Stripe (paiement des abonnements) — traite les données bancaires ; Lutzio n'y a jamais accès.
• Resend (envoi des emails transactionnels).
• Brevo (envoi de la newsletter).
• Upstash (protection anti-abus et limitation de débit).
• Sentry (diagnostic des erreurs techniques).
• hCaptcha — Intuition Machines (protection anti-robots sur certains formulaires).
• OpenStreetMap / Nominatim (géocodage des adresses d'événements).
• Google Firebase (notifications push de l'application mobile).

La liste à jour des sous-traitants peut être obtenue sur demande à l'adresse indiquée à l'article 1.

6. Durées de conservation

Les données sont conservées pendant les durées suivantes :

• Données comptables des exposants (ventes, dépenses, exports) : 10 ans — obligation légale comptable.
• Profil exposant ou visiteur après demande de suppression : 30 jours de réversibilité, puis purge irréversible.
• Commandes e-commerce : 10 ans sous forme anonymisée — obligation légale e-commerce.
• Avis et notes : durée de vie de l'événement noté ; conservés de façon dissociée après suppression du compte de leur auteur.
• Messages de contact adressés à un exposant : durée du compte exposant destinataire.
• Favoris visiteur : durée du compte visiteur, purge dans les 30 jours suivant la suppression.
• Journaux techniques (diagnostic, sécurité) : selon les politiques de rétention des sous-traitants concernés.
• Statistiques de scan des QR codes : données anonymes, sans limite de durée.

7. Transferts hors Union européenne

Certains sous-traitants (notamment Vercel, Stripe, Sentry, Intuition Machines, Google) sont susceptibles de traiter des données hors de l'Union européenne, en particulier aux États-Unis.

Ces transferts sont encadrés par les mécanismes prévus par le RGPD : décision d'adéquation (dont le cadre de protection des données UE-États-Unis, le cas échéant) ou clauses contractuelles types de la Commission européenne.

8. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :

• droit d'accès : obtenir une copie des données vous concernant ;
• droit de rectification : faire corriger des données inexactes ;
• droit à l'effacement : demander la suppression de vos données, dans les limites des obligations légales de conservation ;
• droit à la limitation du traitement ;
• droit d'opposition, notamment à la newsletter (lien de désinscription présent dans chaque email) ;
• droit à la portabilité : un export de vos données est disponible depuis votre compte.

Pour exercer ces droits : contact@lutzio.com. Une réponse vous sera apportée dans un délai d'un mois.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (cnil.fr).

9. Sécurité

Les données sont protégées par des mesures techniques et organisationnelles adaptées : chiffrement des échanges (HTTPS), cloisonnement des données par compte au niveau de la base de données, contrôle d'accès strict et limitation de débit sur les points d'entrée publics.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, la CNIL et les personnes concernées seront notifiées dans les conditions prévues par le RGPD.

10. Évolution de la présente politique

La présente politique peut être mise à jour, notamment en cas d'évolution du service ou de la liste des sous-traitants. La version applicable est celle publiée sur cette page, avec sa date de mise à jour.