YourPoste — Politique de Confidentialité

Dernière mise à jour : 16 octobre 2026 · Version en vigueur depuis le : 16 octobre 2026 · Première publication : 4 mai 2026

Politique de confidentialité, expliquée simplement

Nous ne collectons que ce qui est nécessaire au fonctionnement du service. Nous ne vendons pas vos données. Nous ne les utilisons pas à des fins de publicité tierce. Vous pouvez consulter, corriger ou supprimer vos données à tout moment. Nous respectons le Règlement (UE) 2016/679 (RGPD), la Loi organique espagnole 3/2018 (LOPDGDD) et la directive ePrivacy telle que transposée en Espagne.

1. Qui nous sommes (responsable du traitement)

• Responsable du traitement : POSTRAVELER, S.L.
• NIF : B-26947879
• Adresse : Calle Pintor Maella 11, 2º, puerta 8ª, 46023 Valencia, Espagne
• Contact : contact@yourposte.com (merci de préfixer les demandes liées à la protection des données par `[GDPR]` dans l'objet)

Délégué à la protection des données : non désigné. Nous avons évalué les critères de l'article 37 du RGPD et de l'article 34 de la LOPDGDD et conclu qu'une désignation formelle n'est pas obligatoire à notre échelle actuelle. Si cela change, nous en désignerons un et en informerons l'Agencia Española de Protección de Datos (AEPD).

2. Quelles données personnelles nous traitons

2.1 Données que vous fournissez

• Compte : nom complet, adresse e-mail, mot de passe (haché avec bcrypt / argon2)
• Profil : langue préférée, photo de profil (facultative), biographie (« à propos »), numéro de téléphone (facultatif), code de parrainage
• Commandes : description de l'article, villes de collecte et de livraison, dates, taille et poids, récompense proposée
• Voyages : villes de départ et de destination, dates de voyage, capacité
• Offres : récompense proposée, message à l'expéditeur
• Messages de messagerie : contenu textuel échangé avec les participants à un accord
• Codes OTP : codes à usage unique de confirmation de livraison
• Avis : notes et avis écrits sur d'autres utilisateurs
• Communications avec le support : messages et pièces jointes envoyés au support
• Vérification d'identité (facultative) : type et image de la pièce d'identité, image du selfie, statut, motif de refus — examinés manuellement par nos administrateurs

2.2 Données collectées automatiquement

• Appareil et techniques : navigateur, système d'exploitation, taille d'écran, version de l'application
• Utilisation (analytique propriétaire) : événements dans l'application (par exemple whatsapp_share, whatsapp_contact, copy_share, facebook_share), horodatages
• Authentification : horodatages de connexion, jetons de session
• Diagnostics d'erreurs : messages d'erreur, piles d'appel, URL, user-agent — limités et dédupliqués, utilisés pour détecter et corriger des bogues
• Adresse IP : stockée dans les journaux serveur ; utilisée pour la sécurité, la prévention de la fraude et la géolocalisation approximative
• Jetons de notifications push : external-id OneSignal + jetons d'appareil lorsque vous acceptez les notifications
• Assistant de chat IA (site web uniquement, facultatif) : si vous démarrez une conversation avec notre assistant — les messages que vous saisissez, la page où vous vous trouvez, votre langue et un identifiant aléatoire de session de chat
• Cookies et technologies similaires : voir la Section 11 et notre Politique de Cookies distincte

2.3 Données provenant de tiers

• Google (OAuth, facultatif) : nom, e-mail, ID Google, avatar, si vous choisissez de vous connecter avec Google
• App stores (Apple App Store, Google Play) : reçus d'installation de l'application et rapports de plantage lorsqu'ils sont disponibles
• Autres utilisateurs : notes et avis écrits à votre sujet, signalements concernant votre conduite, messages qui vous sont adressés

2.4 Données de non-utilisateurs issues de sources publiques (prospection B2B)

Pour identifier des partenaires commerciaux en vue d'une prise de contact professionnelle sur le corridor Espagne ↔ Maroc (restaurants, agents de voyage, transporteurs), nous pouvons traiter des informations de contact professionnel publiquement disponibles (e-mails professionnels génériques tels que info@restaurant.com, numéros de téléphone publiés, liens de contact de pages publiques). Ce traitement :

• Est limité aux informations de contact professionnel que les entreprises ont elles-mêmes rendues publiques
• Est utilisé pour des présentations professionnelles uniques au titre de l'exception B2B de l'article 21.2 de la LSSI-CE, avec une option de désinscription dans chaque message
• Ne vise pas des personnes physiques individuelles dont les coordonnées ne sont pas publiquement associées à un rôle professionnel
• Est soumis aux droits des personnes concernées décrits à la Section 9 ; toute personne ainsi contactée peut nous demander de supprimer son enregistrement en répondant à l'e-mail de présentation ou en écrivant à contact@yourposte.com

2.5 Données que nous ne traitons pas

Nous ne traitons pas de catégories particulières de données à caractère personnel au sens de l'article 9 du RGPD (santé, religion, opinions politiques, données biométriques aux fins d'identification unique, etc.). La vérification d'identité est effectuée par un examinateur humain et n'implique pas de comparaison faciale automatisée.

3. Finalités et bases juridiques

Nous traitons les données personnelles aux fins et bases légales suivantes (article 6 du RGPD) :

Retrait du consentement

Partout où le consentement est la base, vous pouvez le retirer à tout moment :

• E-mails marketing : désactiver dans Paramètres → E-mails → E-mails marketing, ou cliquer sur « Se désabonner » dans tout e-mail marketing
• Cookies / traceurs : cliquer sur « Paramètres des cookies » dans le pied de page pour rouvrir le bandeau
• Notifications push : désactiver dans Paramètres → Notifications
• Téléphone facultatif : le supprimer de votre profil

Le retrait n'affecte pas la licéité du traitement effectué avant celui-ci.

Décision automatisée

Nous ne prenons pas de décisions produisant des effets juridiques ou similairement significatifs vous concernant par des moyens exclusivement automatisés (article 22 du RGPD). La mise en relation par proximité est une aide au classement ; vous gardez le contrôle de chaque offre, acceptation et finalisation.

4. Destinataires de vos données

4.1 Autres utilisateurs de la Plateforme

• Les expéditeurs voient le nom d'affichage, la photo de profil, la note, l'itinéraire et les dates du voyage du voyageur
• Les voyageurs voient le nom d'affichage, la photo de profil, la note, les détails de commande, les villes de collecte et de livraison de l'expéditeur
• Au sein d'un accord, les deux parties échangent des messages via la messagerie de la Plateforme

Nous ne partageons jamais votre e-mail, adresse IP, identifiants ou numéro de téléphone avec d'autres utilisateurs, sauf si vous choisissez de les divulguer vous-même dans la messagerie.

4.2 Prestataires (sous-traitants ou responsables indépendants)

Tous les sous-traitants sont liés par des accords de traitement conformes à l'article 28 du RGPD. Vous pouvez demander une copie des CCT applicables à contact@yourposte.com.

4.3 Administrateurs

Le personnel autorisé de YourPoste peut accéder aux données de messagerie et de compte pour enquêter sur des incidents de sécurité, résoudre des litiges, prévenir la fraude, répondre à des demandes légales ou faire respecter nos Conditions. Les accès sont enregistrés et limités par rôle.

4.4 Autorités

Nous divulguerons des données aux tribunaux, à la police, aux douanes ou aux autorités fiscales lorsque la loi l'exige ou pour protéger la vie ou la sécurité. Nous vous en informerons sauf si la loi l'interdit.

4.5 Ce que nous ne faisons jamais

• Vendre vos données personnelles
• Partager vos données avec des annonceurs en dehors des traceurs tiers pour lesquels vous avez consenti
• Utiliser vos données pour vous profiler à des fins de ciblage publicitaire tiers au-delà du consentement donné dans le bandeau cookies
• Fournir vos données à des courtiers en données

5. Transferts internationaux de données (articles 44 à 49 du RGPD)

Vos données sont principalement stockées dans l'UE (Francfort). Certains sous-traitants ci-dessus sont établis aux États-Unis. Pour chaque transfert nous nous appuyons sur :

• les Clauses contractuelles types de l'UE (décision d'exécution 2021/914 de la Commission européenne), et
• le Cadre de protection des données UE-États-Unis lorsque le destinataire y est certifié

Le DPF reste en vigueur au moment de la rédaction. S'il était invalidé par une décision judiciaire, nous continuerions à nous appuyer sur les CCT et à appliquer des garanties supplémentaires. Vous pouvez demander des précisions à contact@yourposte.com.

6. Conservation

7. Sécurité

Les mesures incluent :

• Chiffrement en transit TLS 1.2+
• Chiffrement au repos (AES-256 via Supabase / AWS)
• Row-Level Security — chaque requête de base de données est restreinte aux permissions de l'utilisateur authentifié
• Gestion sécurisée des sessions via Supabase Auth, avec sessions de courte durée et rotation des refresh tokens
• Mots de passe hachés avec un algorithme moderne (bcrypt / argon2) ; pas de stockage en clair
• Contrôle d'accès basé sur les rôles pour le personnel, avec journalisation des accès
• Revue de sécurité périodique par rapport à l'OWASP Top 10
• Masquage automatisé des coordonnées hors plateforme dans les aperçus de notifications push pour la messagerie pré-accord — numéros de téléphone, e-mails, références WhatsApp, Instagram, Telegram sont masqués avant l'envoi du push, une mesure de privacy-by-design au titre de l'article 25 du RGPD
• Aucun stockage de données utilisateur sensibles dans le stockage local / de session du navigateur au-delà des jetons de session
• Plan de réponse aux incidents documenté

Aucun système n'est totalement sûr. Si vous suspectez un problème de sécurité, envoyez un e-mail à contact@yourposte.com avec `[Security]` en objet.

8. Violations de données personnelles (articles 33 et 34 du RGPD)

En cas de violation, nous :

• Évaluerons le risque pour les droits et libertés dans les 24 heures suivant la détection
• Notifierons l'AEPD dans les 72 heures lorsque la violation est susceptible d'engendrer un risque
• Informerons les utilisateurs concernés sans retard injustifié lorsque la violation est susceptible d'engendrer un risque élevé, en incluant une description en langage clair, les conséquences probables, les mesures d'atténuation et notre point de contact

9. Vos droits

Vous avez le droit :

• d'accéder à une copie de vos données personnelles (art. 15)
• de rectifier des données inexactes ou incomplètes (art. 16)
• à l'effacement (« droit à l'oubli »), sous réserve de nos obligations légales (art. 17)
• à la limitation du traitement (art. 18)
• à la portabilité dans un format structuré, couramment utilisé et lisible par machine (art. 20)
• de vous opposer au traitement fondé sur l'intérêt légitime (art. 21)
• de retirer votre consentement à tout moment, lorsque le traitement est fondé sur le consentement (art. 7(3))
• de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou similairement significatifs (art. 22). Nous ne procédons pas à de telles décisions.
• Droits post-mortem : en vertu de l'article 3 de la LOPDGDD, les personnes liées à un utilisateur décédé peuvent exercer les droits en son nom, sauf si le défunt s'y est opposé.

Comment exercer vos droits

• Envoyez un e-mail à contact@yourposte.com avec `[GDPR]` dans l'objet, depuis l'adresse associée à votre compte ; ou
• Utilisez les paramètres dans l'application lorsqu'ils sont disponibles (par exemple supprimer le compte, activer/désactiver les e-mails marketing, gérer les préférences cookies)

Nous pouvons demander une vérification d'identité raisonnable si nous avons des doutes sur votre identité. L'exercice de vos droits est gratuit, sauf demandes manifestement infondées ou excessives.

Nous répondons dans un délai d'un mois. Pour les demandes complexes ou nombreuses, nous pouvons le prolonger de deux mois supplémentaires, en vous en informant dans le premier mois.

Réclamations

Si vous n'êtes pas satisfait de notre réponse, vous pouvez déposer une réclamation auprès :

• de l'Agencia Española de Protección de Datos (AEPD) — <https://www.aepd.es> — C/ Jorge Juan 6, 28001 Madrid
• de l'autorité de contrôle de votre pays de résidence dans l'UE / EEE

10. Suppression du compte

Vous pouvez supprimer votre compte à tout moment depuis les Paramètres ou, si vous ne pouvez pas vous connecter, en écrivant à contact@yourposte.com depuis l'adresse associée à votre compte, avec `[GDPR]` dans l'objet ; nous pouvons vous demander de confirmer que le compte est bien le vôtre.

Un compte ne peut pas être supprimé tant qu'un de ses accords est en cours (ni finalisé, ni annulé, ni clôturé) : l'accord doit d'abord être finalisé ou annulé.

La suppression prend effet immédiatement dès que vous la confirmez et ne peut pas être annulée. Lors de la suppression :

• Votre compte de connexion (adresse e-mail, moyens de connexion, mot de passe), votre profil, vos documents et selfies de vérification d'identité, les données de votre mode de paiement, les photos que vous avez envoyées (photo de profil, photos de commandes, photos envoyées dans la messagerie), vos notifications, alertes de recherche, jetons push, liste de blocage, code de parrainage et les événements d'utilisation enregistrés sous votre compte sont supprimés
• Vos commandes et trajets actifs cessent d'être affichés, et les offres encore en attente de réponse sont clôturées
• Les commandes, trajets et offres que vous avez publiés, faits ou reçus, les accords auxquels vous avez participé avec leurs enregistrements de paiement, les litiges et signalements qui s'y rapportent, ainsi que les messages de messagerie que vous avez envoyés sont conservés, mais le lien avec votre compte est supprimé. Leur texte n'est pas réécrit ; vous pouvez nous demander d'en retirer des informations personnelles (Section 9). Nous les conservons parce qu'ils concernent aussi l'autre partie, parce que les registres d'accords et de paiements doivent être conservés à des fins comptables, légales et fiscales, et pour traiter les litiges et assurer la sécurité
• Les avis restent sous la mention « Ancien utilisateur » pour préserver l'intégrité des notes
• Les registres d'accord sont conservés jusqu'à 5 ans à des fins légales / fiscales
• Les sauvegardes sont écrasées dans les 30 jours
• Un court enregistrement indiquant que le compte a été supprimé est conservé (pendant 3 ans après la suppression, puis supprimé automatiquement ; voir Section 6). Il ne contient ni nom, ni adresse e-mail, ni numéro de téléphone, ni adresse postale, ni document (hormis ce que vous écrivez vous-même dans le commentaire facultatif) — uniquement l'ancien identifiant interne du compte (une suite de caractères aléatoire), les dates de création et de suppression du compte, le rôle, le pays de résidence et la langue indiqués sur le compte, les vérifications qui avaient été faites, le nombre de trajets, de commandes, d'offres et d'avis avec la note moyenne, si le compte avait déjà publié, reçu une offre ou conclu une transaction, le nombre de jours depuis sa dernière activité, et la raison que vous avez donnée en le supprimant, avec votre commentaire si vous en avez écrit un. Nous le conservons comme trace de la suppression du compte et pour nos propres statistiques sur les raisons des suppressions de compte

11. Cookies et technologies similaires

Nous utilisons des cookies, du stockage local et des technologies similaires en trois catégories :

1. Strictement nécessaires (pas de consentement requis) : session d'authentification Supabase, préférence linguistique, jeton CSRF, et l'enregistrement `yp_consent_v1` de votre choix de cookies lui-même

2. Analytique et performance (consentement requis) : analytique d'utilisation propriétaire écrite dans notre propre base de données

3. Marketing (consentement requis) : Pixel Facebook

Les notifications push web (OneSignal) ne relèvent pas du bandeau cookies : le script se charge avec la page, mais votre navigateur n'est enregistré pour le push — et lié à votre compte — qu'après votre autorisation dans l'invite de permission du navigateur. Voir la Politique cookies, section 4.3.

L'assistant de chat IA du site (Awareto) relève de la catégorie Analyse : il n'est jamais chargé si vous avez refusé les cookies d'analyse, et même après les avoir acceptés, il ne se charge que lorsque vous appuyez sur le bouton du chat. Il n'est jamais disponible lorsque vous êtes connecté, ni dans les applications iOS / Android. Voir la Politique cookies, section 4.2.

Un bandeau cookies apparaît lors de la première visite avec des boutons Accepter / Refuser / Personnaliser à importance égale, conformément au guide AEPD 2024 sur les cookies. Rien dans les catégories Analytique ou Marketing n'est chargé avant votre choix. Vous pouvez modifier votre choix à tout moment via le lien « Paramètres des cookies » dans le pied de page.

Détails complets dans notre Politique de Cookies distincte.

12. E-mails marketing

Lors de l'inscription, vous consentez à recevoir des e-mails liés au service (bienvenue, prise en main, actualités produit occasionnelles). Vous pouvez vous désinscrire à tout moment de trois façons :

• Bascule Paramètres → E-mails → E-mails marketing
• Lien de désinscription en un clic dans le pied de chaque e-mail marketing (RFC 8058), également exposé en tant que bouton « Se désabonner » natif dans Gmail, Apple Mail et Outlook
• Répondre à tout e-mail marketing par « unsubscribe », ou écrire à contact@yourposte.com

La désinscription est prise en compte dans un délai maximum de 24 heures. Les notifications liées aux accords (offres, messages, OTP, rappels de collecte) sont transactionnelles et ne sont pas affectées par la désinscription marketing.

13. Vérification d'identité

La Plateforme propose une étape facultative de vérification d'identité dans laquelle vous pouvez téléverser une pièce d'identité et un selfie. L'examen est effectué manuellement par nos administrateurs. Nous n'utilisons pas de comparaison biométrique automatisée, ce qui signifie que les données ne sont pas traitées comme des données biométriques de catégorie particulière au titre de l'article 9 du RGPD.

Conservation : voir Section 6. Vous pouvez demander la suppression à tout moment au titre de votre droit prévu à l'article 17, sous réserve des besoins de défense juridique en cours.

14. Enfants

YourPoste n'est pas destinée à être utilisée par des personnes de moins de 18 ans. Nous nous appuyons sur les déclarations effectuées lors de l'inscription. Selon la loi espagnole (article 7 de la LOPDGDD), l'âge du consentement numérique est de 14 ans, mais le seuil contractuel d'éligibilité pour YourPoste est de 18 ans. Si vous pensez qu'un mineur utilise la Plateforme, écrivez à contact@yourposte.com et nous enquêterons et supprimerons les données.

15. Modifications de la présente politique

Les modifications substantielles seront communiquées au moins 30 jours à l'avance par e-mail ou par notification dans l'application. La ligne « Dernière mise à jour » en haut de cette page indique la révision la plus récente. Les versions antérieures sont disponibles sur demande.

16. Contact

• Protection des données : contact@yourposte.com (merci d'inclure `[GDPR]` dans l'objet)
• Support général : contact@yourposte.com
• Signalements de sécurité : contact@yourposte.com (merci d'inclure `[Security]` dans l'objet)

POSTRAVELER, S.L.

NIF : B-26947879

Calle Pintor Maella 11, 2º, puerta 8ª

46023 Valencia, Espagne

17. Données du mode de paiement

Si vous recevez des paiements en tant que voyageur, vous pouvez enregistrer votre mode de paiement préféré sur votre profil. Nous ne collectons que les données minimales nécessaires pour effectuer le paiement.

17.1 Ce que nous stockons

• Choix du mode de paiement : virement bancaire ou PayPal.
• Nom du titulaire du compte : le nom légal du compte récepteur.
• Pour les virements bancaires : IBAN et (facultatif) BIC / SWIFT.
• Pour PayPal : l'adresse e-mail PayPal.
• Pays (ISO-2) du compte récepteur.
• L'horodatage de la dernière configuration du mode de paiement.

17.2 Où ces données sont stockées et qui peut les lire

Ces données sont stockées dans notre base de données gérée (Supabase) et chiffrées au repos. L'enregistrement complet n'est lisible que par vous (titulaire du compte) et par les administrateurs de YourPoste agissant dans leur rôle opérationnel pour faire fonctionner les paiements et résoudre les litiges. Les autres utilisateurs ne voient jamais votre IBAN ou e-mail PayPal complet — les vues d'administration internes affichent des valeurs masquées (ex. `ES...1234`).

17.3 Base légale

Exécution d'un contrat (art. 6(1)(b) RGPD) — pour vous verser les paiements dus en vertu de nos Conditions — et notre intérêt légitime à conserver des registres exacts à des fins de comptabilité et de résolution des litiges.

17.4 Conservation

Nous conservons les données de votre mode de paiement tant que votre compte est actif. Vous pouvez les mettre à jour à tout moment depuis la page Mes gains. Si vous supprimez votre mode ou votre compte, nous supprimons l'enregistrement actif mais pouvons conserver un historique des paiements passés (référence de transaction, montant, date) pendant la période comptable légalement requise (jusqu'à 6 ans selon le droit espagnol).

17.5 Vos droits

Les droits RGPD standard décrits à la section 9 s'appliquent — y compris l'accès, la rectification, l'effacement et la portabilité des données. Écrivez-nous à contact@yourposte.com pour les exercer.

*YourPoste — Vos données, vos droits, notre responsabilité.*