Politique de Confidentialité

1. Préambule

La présente Politique de Confidentialité décrit la manière dont Lunpy collecte, utilise, partage et protège les données personnelles des utilisateurs de sa plateforme. Elle est conforme au Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (« RGPD »), ainsi qu'à la loi Informatique et Libertés du 6 janvier 1978 modifiée.

2. Responsable du traitement

Le responsable du traitement des données personnelles collectées via la plateforme Lunpy est la société Lunpy, société par actions simplifiée (SAS) au capital de 1 000 €, immatriculée au Registre du Commerce et des Sociétés de Paris sous le numéro 104 993 464, dont le siège social est situé 173 rue de Courcelles, 75017 Paris.

Pour toute question relative à la présente politique ou à l'exercice de vos droits, vous pouvez nous contacter à l'adresse : contact@lunpy.fr.

3. Co-responsabilité de traitement avec les Prestataires

Pour le traitement des données nécessaires à la prise de rendez-vous, à l'achat de cartes cadeaux et au suivi de la relation commerciale, Lunpy intervient comme co-responsable de traitement avec les Prestataires partenaires, au sens de l'article 26 du RGPD.

Lunpy est responsable du traitement pour les opérations relatives au fonctionnement de la plateforme : compte utilisateur, sécurité, paiement, modération des contenus, statistiques agrégées.

Le Prestataire est responsable du traitement pour les opérations relatives à la prestation : gestion de la clientèle propre, fichier client, relation commerciale post-rendez-vous, communications marketing.

Vous pouvez exercer vos droits indifféremment auprès de Lunpy ou du Prestataire concerné. En cas de doute sur le destinataire de votre demande, contactez-nous à contact@lunpy.fr.

4. Catégories de données collectées

Lunpy collecte les catégories de données suivantes :

• Données d'identité : nom, prénom, date de naissance des Proches Bénéficiaires lorsque renseignée.
• Données de contact : adresse email, numéro de téléphone, adresse postale (lorsque requise pour la livraison d'une carte cadeau physique).
• Données de réservation : créneaux choisis, services réservés, historique des rendez-vous, préférences exprimées au Prestataire.
• Données de paiement : traitées exclusivement par notre prestataire de paiement Stripe. Lunpy ne stocke aucun numéro de carte bancaire complet ni de cryptogramme de sécurité. Seuls les identifiants techniques retournés par Stripe (Customer ID, Payment Intent ID) sont conservés pour la traçabilité comptable.
• Données de connexion et d'usage : adresse IP, agent utilisateur, horodatages des connexions, logs techniques (à des fins de sécurité et de diagnostic).
• Avis : note, commentaire, sous-notes laissés à la suite d'un rendez-vous, ainsi que la date du dépôt et l'éventuel motif de refus.
• Demandes de démonstration (professionnels, formulaire « Demander une démo ») : prénom, nom, adresse email professionnelle, numéro de téléphone, activité, moment de rappel souhaité et, si vous les indiquez, nom et taille de l'établissement et message.
• Cookies et traceurs : voir section « Cookies » ci-dessous.

5. Finalités et bases légales du traitement

Les données sont traitées pour les finalités suivantes :

• Création et gestion du compte utilisateur — Exécution du contrat (CGU).
• Prise de rendez-vous et achat de cartes cadeaux — Exécution du contrat.
• Traitement des paiements et facturation — Exécution du contrat + obligation légale comptable.
• Notifications transactionnelles (confirmations, rappels) — Exécution du contrat.
• Réponse aux demandes de démonstration des professionnels (vous rappeler et vous présenter Lunpy) — Mesures précontractuelles prises à votre demande.
• Newsletter et communications marketing Lunpy — Consentement.
• Communications marketing du Prestataire — Intérêt légitime du Prestataire ou consentement selon le cas.
• Modération des avis et signalements — Obligation légale (art. L.111-7-2 Code de la consommation, DSA).
• Sécurité, lutte contre la fraude — Intérêt légitime de Lunpy.
• Conservation comptable et fiscale — Obligation légale.
• Réponse aux demandes des autorités administratives ou judiciaires — Obligation légale.

6. Destinataires des données

Les données sont accessibles aux destinataires suivants :

• Équipes Lunpy autorisées : développement, support, modération, dans la limite stricte de leurs missions et soumises à une obligation de confidentialité.
• Prestataires partenaires : les données nécessaires à l'exécution d'une réservation sont transmises au Prestataire concerné (nom, prénom, email, téléphone, détails du rendez-vous, données du Proche Bénéficiaire le cas échéant). Aucune donnée n'est partagée avec un Prestataire chez lequel l'utilisateur n'a pas effectué de réservation.
• Sous-traitants techniques agissant pour le compte de Lunpy, encadrés par des contrats conformes à l'article 28 RGPD.
• Autorités administratives ou judiciaires sur demande légalement fondée.

7. Sous-traitants et transferts hors UE

Lunpy s'appuie sur les sous-traitants suivants pour fournir le service :

• Supabase Inc. (Singapour, États-Unis) — hébergement de la base de données et de l'authentification. Données encadrées par les Clauses Contractuelles Types (CCT) de la Commission européenne.
• Vercel Inc. (États-Unis) — hébergement de la plateforme web et CDN. Encadré par les CCT et adhésion au Data Privacy Framework.
• Stripe Payments Europe Limited (Irlande, UE) — traitement des paiements et plateforme Connect. Données traitées au sein de l'UE.
• Cloudflare Inc. (États-Unis) — protection anti-bot (Turnstile), accélération réseau. Encadré par les CCT et adhésion au Data Privacy Framework.
• Resend Inc. (États-Unis) — envoi d'emails transactionnels.
• Google Maps Platform (Google Ireland Limited) — affichage cartographique des Prestataires.

Pour les sous-traitants situés hors de l'Union Européenne, Lunpy s'assure qu'ils offrent un niveau de protection adéquat (Clauses Contractuelles Types, certifications, adhésion au Data Privacy Framework).

8. Durée de conservation

• Compte utilisateur : pendant toute la durée d'inscription, puis 3 ans après la dernière connexion (à des fins de prospection si consentement donné), puis archivage en base intermédiaire selon les obligations légales applicables.
• Réservations et factures : 10 ans à compter de la clôture de l'exercice comptable concerné (obligation comptable et fiscale, article L.123-22 Code de commerce).
• Paiements (Customer ID, Payment Intent ID) : 10 ans pour conformité aux obligations comptables et anti-blanchiment.
• Avis : durée de publication sur la plateforme, soit 15 ans maximum.
• Demandes de démonstration : 3 ans à compter du dernier contact. Elles sont conservées dans la messagerie électronique de l'équipe, qui reçoit aussi une simple alerte, sans aucune donnée personnelle, et ne sont pas enregistrées dans la base de données de la plateforme. Seule une empreinte de l'adresse e-mail, qui ne la contient pas en clair, y sert à limiter les envois répétés.
• Logs techniques : 12 mois maximum (sécurité, lutte contre la fraude).
• Cookies : durée variable selon le type de cookie, dans la limite de 13 mois pour les cookies de mesure d'audience.
• Données après suppression de compte : effacement dans un délai maximum de 30 jours suivant la demande, à l'exception des données dont la conservation est imposée par la loi (factures, traçabilité comptable).

9. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir la confirmation que vos données sont traitées et en obtenir une copie.
• Droit de rectification : faire corriger les données inexactes ou incomplètes.
• Droit d'effacement (droit à l'oubli) : demander la suppression de vos données, sous réserve des obligations légales de conservation.
• Droit à la limitation : demander la suspension provisoire du traitement.
• Droit d'opposition : vous opposer au traitement pour des raisons tenant à votre situation particulière, ou de manière absolue pour la prospection commerciale.
• Droit à la portabilité : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit de définir des directives post-mortem relatives à la conservation, à l'effacement et à la communication de vos données après votre décès.
• Droit de retirer votre consentement à tout moment lorsque le traitement est fondé sur le consentement.
• Droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, 75007 Paris (cnil.fr).

Pour exercer ces droits, contactez-nous à contact@lunpy.fr en précisant la nature de votre demande et en joignant un justificatif d'identité si nécessaire. Lunpy répond dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe.

10. Sécurité des données

Lunpy met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :

• chiffrement des communications via TLS 1.3 ;
• isolation multi-tenant des données via Row Level Security (Supabase) ;
• authentification forte côté administrateurs (mot de passe + facteur additionnel le cas échéant) ;
• journalisation des accès aux données sensibles (audit logs) ;
• politique de moindre privilège pour les accès internes ;
• sauvegardes régulières et testées ;
• protection anti-bot via Cloudflare Turnstile sur les formulaires publics ;
• politiques CSP (Content Security Policy) strictes pour limiter les risques d'injection.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, Lunpy en informe la CNIL dans les 72 heures et, si le risque est élevé, vous en informe directement.

11. Cookies et traceurs

La plateforme utilise les cookies suivants :

• Cookies strictement nécessaires : authentification, sécurité, préservation du panier de réservation. Ces cookies ne nécessitent pas de consentement.
• Cookies de mesure d'audience anonymisés : utilisés pour comprendre l'utilisation de la plateforme et l'améliorer, sans permettre d'identifier l'utilisateur. Ces cookies peuvent être désactivés depuis les paramètres de votre navigateur.
• Cookies tiers : aucun cookie publicitaire tiers n'est posé sans consentement explicite préalable.

12. Données des Proches Bénéficiaires

Lorsqu'un utilisateur renseigne un Proche Bénéficiaire (mineur ou adulte) pour effectuer une réservation pour son compte, il garantit avoir obtenu l'autorisation légale ou le consentement nécessaire. L'utilisateur est responsable d'informer le Proche Bénéficiaire du traitement de ses données par Lunpy et le Prestataire.

Concernant les mineurs : Lunpy ne traite directement aucun compte ouvert par un utilisateur de moins de 18 ans. Les données d'un mineur ne peuvent être collectées que via le compte d'un parent ou représentant légal en qualité de Proche Bénéficiaire.

13. Modification de la politique

La présente Politique de Confidentialité peut être modifiée pour refléter les évolutions légales, techniques ou organisationnelles de Lunpy. Les utilisateurs sont informés de toute modification substantielle via la plateforme ou par email. Les versions antérieures sont archivées et peuvent être communiquées sur demande à contact@lunpy.fr.

14. Contact

Pour toute question relative à la présente politique ou au traitement de vos données :

• Contact : contact@lunpy.fr
• Autorité de contrôle : Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07 — cnil.fr