Modèle à faire valider. Ce document est une base de travail rédigée pour Kropi. Complétez les passages surlignés et faites-le relire par un professionnel du droit avant la mise en ligne.
1. En bref
- Votre position sert uniquement à afficher les producteurs proches. Elle n’est jamais conservée.
- Nous ne vendons aucune donnée et nous n’affichons pas de publicité ciblée.
- Les statistiques transmises aux producteurs sont anonymes.
- Vous pouvez supprimer votre compte à tout moment depuis l’application : vos données sont effacées aussitôt, sauf ce que la loi nous oblige à garder (les factures).
2. Responsable du traitement
[Raison sociale], [adresse]. Pour toute question sur vos données : contact@kropi.fr. [Le cas échéant : coordonnées du délégué à la protection des données]
3. Données collectées et finalités
| Données | Pourquoi | Base légale | Durée |
|---|---|---|---|
| Position de l’appareil (si vous l’autorisez) | Afficher les producteurs autour de vous, calculer les distances | Consentement (autorisation du téléphone) | Non conservée : utilisée au moment de la recherche uniquement |
| E-mail, prénom, mot de passe (chiffré), type de compte, date d’acceptation des CGU | Créer et sécuriser votre compte, prouver votre accord aux conditions d’utilisation | Exécution du contrat (CGU) | Jusqu’à la suppression du compte (ou après 3 ans d’inactivité) |
| Connexion avec Apple ou Google (si vous la choisissez) : adresse e-mail (éventuellement masquée par Apple), prénom | Créer votre compte et vous connecter sans mot de passe | Exécution du contrat (CGU) | Jusqu’à la suppression du compte |
| Déverrouillage par Face ID, Touch ID ou empreinte digitale (si vous l’activez) | Protéger l’accès à votre compte sur votre téléphone | Consentement (activation dans l’application, désactivable à tout moment) | Rien n’est collecté : la reconnaissance est faite par votre téléphone, nous ne recevons jamais votre visage ni votre empreinte |
| Favoris | Retrouver vos producteurs ; avec un compte, recevoir les messages des fermes que vous aimez (une fois par semaine au plus, en notification) | Exécution du contrat ; vous pouvez couper ces messages à tout moment dans Mes informations | Stockés sur votre appareil, ou jusqu’à suppression du compte. La ferme ne voit jamais qui l’a en favori : elle ne connaît que leur nombre |
| Commandes : prénom, téléphone (facultatif), message au producteur, produits, lieu et jour de retrait, étapes de la commande | Transmettre la commande au producteur, vous tenir informé de son avancement, garder votre historique | Exécution du contrat (CGU) | Jusqu’à la suppression du compte ; la commande reste ensuite chez le producteur (sa comptabilité), sans votre nom ni votre téléphone |
| Panier en cours | Retrouver les produits choisis et les mettre de côté chez le producteur avant de commander | Exécution du contrat | Sans compte : sur votre appareil uniquement, 1 heure. Avec un compte : réservé 1 heure chez le producteur, puis effacé (commande passée, panier vidé ou heure écoulée) |
| Fiche producteur (nom, adresse, téléphone, photos…) | Présenter l’exploitation au public | Exécution du contrat | Durée de publication de la fiche |
| Données de facturation (producteurs) | Gérer l’abonnement, émettre les factures | Exécution du contrat, obligation légale | 10 ans (obligation comptable) |
| Statistiques des fiches : action (vue, itinéraire, appel, site, partage) et jour. Pour ne compter qu’une fois par personne et par jour : un identifiant d’appareil tiré au hasard et renouvelé chaque jour, l’identifiant de votre compte si vous êtes connecté, votre adresse IP hachée (rendue illisible par une clé secrète) | Fournir aux producteurs le nombre de visites de leur fiche, sans doublons ni gonflage, et améliorer le Service | Intérêt légitime | Identifiants et IP hachée : 48 heures au plus. Totaux par jour (sans aucune donnée sur vous) : 25 mois |
| Mesure d’audience du site kropi.fr : page vue ou bouton touché, site d’où vous venez (son nom seulement), type d’écran (téléphone ou ordinateur), jour | Savoir quelles pages sont lues et quels boutons servent, pour améliorer le site | Intérêt légitime (mesure d’audience exemptée de consentement) ; vous pouvez la refuser | Aucun cookie, aucun identifiant, aucune adresse IP conservée : seuls des totaux par jour, gardés 25 mois |
| Adresse IP hachée (rendue illisible par une clé secrète) | Limiter les abus : recherches de nouvelles zones, signalements, commandes, paiements | Intérêt légitime (sécurité du Service) | Quelques jours au plus |
| Vérification des producteurs : SIRET, informations publiques du registre des entreprises, justificatifs déposés (par exemple extrait Kbis, attestation MSA, pièce d’identité) | Vérifier que l’exploitation existe et que le demandeur en est responsable, éviter les usurpations | Exécution du contrat ; intérêt légitime (lutte contre la fraude) | Justificatifs effacés dès la décision de l’équipe, ou 14 jours après leur dépôt si la demande n’est pas envoyée ; seuls les membres de l’équipe y accèdent, par un lien valable 2 minutes, et chaque consultation est inscrite au journal. SIRET et décision conservés tant que la fiche existe |
| Compte de paiement du producteur (boutique) | Recevoir le paiement des commandes | Exécution du contrat | Identité et coordonnées bancaires sont collectées et vérifiées par Stripe, qui en est responsable ; nous ne gardons que l’identifiant du compte Stripe et son état, tant que la boutique existe |
| Signalements de fiches : motif, détails, votre compte si vous êtes connecté | Modérer les fiches, traiter les contenus illicites | Intérêt légitime ; obligation légale | Conservés pour la modération ; le lien avec votre compte disparaît s’il est supprimé |
| Producteurs suggérés : nom et coordonnées professionnelles publiques du producteur (commune, site, téléphone, e-mail), vos raisons, comment vous le connaissez, votre compte ; votre accord pour être recontacté | Ajouter de nouveaux producteurs à la carte, les contacter pour leur proposer une fiche, vous demander une précision si vous l’acceptez | Intérêt légitime | Visibles par notre équipe seulement (votre prénom, et votre adresse e-mail seulement si vous acceptez d’être recontacté). Un an après la décision de l’équipe, deux ans au plus ; le lien avec votre compte disparaît s’il est supprimé |
| Double authentification (si vous l’activez) : clé de l’application d’authentification, codes de secours (chiffrés) | Protéger l’accès à votre compte | Consentement (activation, désactivable) | Jusqu’à sa désactivation ou la suppression du compte |
| Avis sur une ferme où vous avez retiré une commande : note, commentaire, votre prénom (si vous choisissez de l’afficher), dates de l’avis et du retrait, réponse du producteur ; signalements d’avis (motif, détails, compte qui signale) | Publier des avis vérifiés (seuls les vrais clients peuvent noter), permettre au producteur de répondre, modérer les avis signalés | Exécution du contrat (CGU, article 8 ter) ; obligation légale (information sur les avis en ligne) | Public : la note, le commentaire, le prénom ou « Client vérifié » et les dates (jamais votre e-mail ni votre commande). L’équipe voit en plus le numéro de la commande qui prouve l’achat. Jusqu’à la suppression de l’avis ou du compte, et au plus 3 ans après sa dernière modification ; signalements : supprimés avec l’avis, ou un an après la décision de l’équipe |
| Niveaux et points : chaque action récompensée (type, date, référence de la fiche ou de la commande concernée), total des points, niveau, fêtes déjà vues | Afficher votre progression et votre historique de points, appliquer les limites (une fois par ferme, tant par jour) pour que les points restent justes | Exécution du contrat (CGU, article 8 bis) | Jusqu’à la suppression du compte. Visible par vous seul, sauf le niveau d’un producteur inscrit et vérifié, affiché sur la fiche de sa ferme (le niveau seul, sans les points ni leur détail) ; aucune incidence sur le classement des fermes ni sur les prix |
| Parrainage : votre code personnel, et le lien entre votre compte et celui de votre parrain ou de vos amis parrainés (date comprise) | Récompenser le parrainage, n’accepter qu’un parrain par compte, appliquer les limites, prévenir le parrain qu’un ami s’est inscrit avec son code | Exécution du contrat (CGU, article 8 bis) | Jusqu’à la suppression du compte de l’ami parrainé (si c’est le parrain qui supprime le sien, il ne reste que le fait que l’ami a déjà eu un parrain). Votre parrain ne voit ni votre nom ni votre adresse : seulement le nombre d’amis inscrits avec son code |
| Photo de profil (si vous en ajoutez une) | L’afficher sur votre profil | Exécution du contrat (vous choisissez de l’ajouter) | Jusqu’à ce que vous la retiriez ou supprimiez votre compte. Visible par vous seul : elle n’apparaît ni sur les fiches, ni dans les avis, ni chez les producteurs ; le fichier est rangé à une adresse impossible à deviner |
| Notifications dans l’application (commandes, vérification, avis) | Vous tenir informé | Exécution du contrat | Jusqu’à la suppression du compte |
| Messages envoyés à notre adresse de contact (e-mail, contenu, pièces jointes) | Vous répondre (aide, signalement, exercice de vos droits) | Intérêt légitime ; obligation légale pour les demandes sur vos données | Le temps de traiter votre demande, puis 3 ans au plus (preuve de la réponse). N’envoyez jamais de pièce d’identité ni de coordonnées bancaires par e-mail : la vérification des producteurs se fait uniquement dans l’application |
| Adresse e-mail pour les nouveautés (si vous cochez la case) | Envoyer au plus un e-mail par mois | Consentement | Jusqu’à désinscription |
4. Destinataires et sous-traitants
Vos données sont accessibles à notre équipe et à nos sous-traitants, strictement pour les besoins du Service :
- Supabase : hébergement de la base de données et authentification, serveurs à Paris (Union européenne) ;
- Services publics de l’État (API Recherche d’entreprises, Base Adresse Nationale) : vérification du SIRET et de l’adresse des producteurs, sans aucune donnée des autres utilisateurs ;
- Stripe : paiement des abonnements producteurs et des commandes, toujours payées en ligne (Stripe Connect). Pour ces paiements, Stripe traite vos données de carte en tant que responsable de traitement ; nous n’y avons jamais accès ;
- Apple et Google : paiement des offres producteurs achetées dans l’application iPhone ou Android (achat intégré), en tant que responsables de traitement pour ces paiements ; nous n’avons jamais accès à vos moyens de paiement ;
- RevenueCat (États-Unis, sous-traitant) : suit ces achats intégrés pour savoir quelle offre est active. Il reçoit l’identifiant technique de votre compte Kropi et l’historique des achats transmis par Apple ou Google (produit, dates, pays, prix), jamais votre nom, votre e-mail ni vos données de carte. Transfert encadré par les clauses contractuelles types de la Commission européenne ;
- Le producteur auprès duquel vous commandez : votre prénom, votre téléphone si vous le donnez, votre message et le contenu de la commande, pour la préparer et vous la remettre ;
- Google (Maps Platform) : affichage des cartes ;
- Google (Gmail) : réception des messages envoyés à notre adresse de contact ;
- Apple, Google, Waze : uniquement si vous lancez un itinéraire, qui s’ouvre alors dans leur application ;
- Apple et Google : uniquement si vous choisissez « Continuer avec Apple » ou « Continuer avec Google » ; ils nous confirment votre identité et nous transmettent votre adresse e-mail (et, pour Apple, votre prénom), jamais votre mot de passe ;
- [hébergeur du site vitrine].
Certains de ces prestataires peuvent transférer des données hors de l’Union européenne. Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis ou par les clauses contractuelles types de la Commission européenne.
5. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès. Vous pouvez retirer votre consentement à tout moment (localisation dans les réglages de votre téléphone, nouveautés via le lien de désinscription).
Pour exercer ces droits : contact@kropi.fr. Nous répondons sous un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL.
6. Suppression du compte
Vous pouvez supprimer votre compte à tout moment depuis l’application : Profil → Sécurité du compte → Supprimer mon compte. Avant de confirmer, l’application vous montre ce qui sera effacé. La suppression est immédiate et définitive. Vous pouvez aussi la demander par e-mail à contact@kropi.fr.
- Effacé aussitôt : votre compte (adresse e-mail, prénom, mot de passe, préférences), vos favoris et les « j’aime » qu’ils donnaient, votre photo de profil, vos points et votre niveau, votre code et vos liens de parrainage, vos avis sur les fermes et vos signalements d’avis, vos notifications, la double authentification et ses codes de secours ; pour un producteur, sa fiche (photos, marchés, statistiques) et ses demandes de vérification avec leurs justificatifs.
- Résilié aussitôt : l’abonnement d’un producteur, s’il en a un. Plus aucun prélèvement n’a lieu.
- Connexion avec Apple : si votre compte est relié à Apple et que vous le supprimez depuis l’iPhone, Apple vous demande de confirmer, puis nous lui demandons de retirer l’autorisation donnée à Kropi : l’application disparaît de la liste « Se connecter avec Apple » de votre compte Apple. Depuis le site ou un téléphone Android, vous pouvez la retirer vous-même dans les réglages de votre compte Apple.
- Commandes : celles en cours (à accepter, en préparation, prêtes) doivent d’abord être retirées ou annulées. Les commandes passées restent dans l’historique du producteur, sans votre nom ni votre téléphone ; pour un producteur, sa boutique et ses produits sont effacés, et ses ventes passées restent dans l’historique de ses clients, au nom de l’exploitation.
- Conservé : les factures, chez notre prestataire de paiement Stripe, pendant 10 ans (obligation comptable) ; les signalements de fiches et les producteurs que vous avez suggérés, sans lien avec vous, pour la modération et le suivi des fermes à ajouter ; le journal des décisions de notre équipe (vérifications, signalements), qui peut mentionner le nom d’une exploitation, à des fins de sécurité et de preuve, pendant [durée à fixer, par exemple 5 ans].
Les copies de sauvegarde de notre hébergeur s’effacent d’elles-mêmes [délai à vérifier selon l’offre Supabase souscrite, par exemple 7 jours]. Si votre exploitation figure aussi dans les données publiques de l’Agence Bio ou dans OpenStreetMap, elle peut continuer d’apparaître sur la carte comme fiche publique (voir la rubrique suivante) ; vous pouvez demander son retrait.
6 bis. Fermes affichées sans compte (fiches publiques)
Pour que la carte soit utile dès le premier jour, l’application affiche aussi des exploitations agricoles qui ne sont pas encore inscrites, à partir de deux sources publiques :
- l’Agence Bio : producteurs bio qui déclarent vendre aux particuliers (annuaire des professionnels du bio, publié sous Licence Ouverte 2.0), mis à jour chaque semaine ;
- OpenStreetMap : fermes, vignerons, apiculteurs… signalés par les contributeurs de cette carte libre (© contributeurs OpenStreetMap, licence ODbL), mis à jour chaque mois. Un lieu n’est affiché qu’après avoir vérifié, dans le registre public des entreprises (base Sirene de l’INSEE, consultée par l’API Recherche d’entreprises de l’État), qu’une entreprise du même nom, active et toute proche, exerce une activité agricole.
Ces fiches sont signalées « Pas encore inscrits » et indiquent leur source (et, pour l’Agence Bio, leur date de mise à jour).
Une exploitation connue seulement sous le nom de son exploitant (prénom et nom) et sans site web n’est pas affichée sur la carte. Nous pouvons alors l’appeler ou lui écrire, au numéro ou à l’adresse e-mail professionnels publiés par ces sources, pour lui proposer de créer sa fiche. Au premier contact, nous lui disons d’où viennent ses coordonnées ; elle peut s’opposer à tout nouveau contact (en répondant « STOP » à un e-mail, ou en nous le disant), et nous ne la recontactons plus. Ces informations (nom, commune, téléphone, adresse e-mail, produits, suivi des appels et date d’un rappel prévu) ne sont visibles que par notre équipe et sont effacées quand l’exploitation sort de ces sources.
- Données reprises : nom de l’exploitation (qui peut être celui de l’exploitant), commune et position, adresse du lieu de vente ou d’activité s’il est déclaré, téléphone et site s’ils sont publiés ; pour l’Agence Bio, les produits certifiés, l’organisme certificateur et le lien vers le certificat bio ; pour OpenStreetMap, les horaires d’ouverture s’ils y figurent. Jamais le nom du gérant ni l’adresse d’un siège social. Les numéros SIREN et SIRET servent seulement à vérifier l’activité, à éviter les doublons et à respecter les retraits : ils ne sont pas affichés, et rien d’autre n’est repris du registre des entreprises.
- Base légale : notre intérêt légitime à faire connaître les producteurs qui vendent en direct, à partir d’informations rendues publiques auprès de l’Agence Bio ou dans OpenStreetMap, et vérifiées dans le registre public des entreprises ; et à leur présenter notre service par téléphone ou par e-mail, en lien avec leur activité professionnelle.
- Durée : pour l’Agence Bio, tant que l’exploitation figure dans ces données avec une certification bio en cours (une fiche qui en sort disparaît à la mise à jour suivante, une semaine au plus) ; pour OpenStreetMap, tant que le lieu y figure et que l’entreprise reste active au registre (vérification au plus tous les 90 jours, mise à jour chaque mois).
- Vous êtes l’exploitant ? Vous pouvez revendiquer votre fiche gratuitement, ou nous demander de la retirer (lien « Signaler cette fiche » en bas de la fiche, ou par e-mail à contact@kropi.fr). Nous la retirons sous un mois au plus, et elle ne revient pas lors des mises à jour suivantes.
7. Cookies et mesure d’audience
Le site et l’application n’utilisent aucun cookie, ni publicitaire, ni de mesure d’audience, et aucun traceur tiers.
Mesure d’audience du site. Pour savoir quelles pages sont lues et quels boutons servent, le site kropi.fr compte les visites de façon anonyme : à chaque page vue ou bouton principal touché, il envoie à notre serveur l’adresse de la page, le nom du site d’où vous venez, le type d’écran et l’action. Rien qui permette de vous reconnaître : pas de cookie, pas d’identifiant, pas d’adresse IP conservée, pas de suivi d’une page à l’autre ni d’un jour à l’autre. Seuls des totaux par jour sont gardés, 25 mois au plus. Cette mesure respecte les conditions d’exemption de consentement de la CNIL ; un bandeau vous en informe à votre première visite et vous pouvez la refuser à tout moment.
Sur ce navigateur, la mesure de vos visites est actuellement : acceptée. Votre choix est gardé dans votre navigateur (stockage local). Si votre navigateur envoie le signal « Ne pas me suivre » (Do Not Track ou Global Privacy Control), aucune visite n’est comptée.
Seuls ces éléments sont enregistrés sur votre appareil, et ils sont exemptés de consentement :
- le jeton de session qui vous garde connecté (stockage local du navigateur ou de l’appareil) ;
- vos préférences (favoris, panier, introduction déjà vue, déverrouillage par Face ID ou empreinte, votre choix sur la mesure d’audience du site) ;
- un identifiant tiré au hasard, renouvelé chaque jour, qui sert uniquement à ne compter qu’une fois votre visite d’une fiche dans la journée (statistiques des producteurs, qui ne reçoivent que des totaux). C’est une mesure d’audience limitée à notre propre Service, conforme aux conditions d’exemption de la CNIL : elle ne permet pas de vous suivre d’un jour à l’autre ni sur d’autres sites.
Sur le site web, la carte est affichée par Google Maps : votre navigateur se connecte aux serveurs de Google, qui reçoivent votre adresse IP et la zone affichée.
Le site vitrine héberge lui-même ses polices de caractères, ses images et sa vidéo : la consultation de ses pages ne contacte aucun serveur tiers.
8. Sécurité
- Chiffrement : tous les échanges sont chiffrés (HTTPS). Les données sont chiffrées sur les serveurs de notre hébergeur (AES-256). Sur iPhone et Android, la session qui vous garde connecté est chiffrée, avec une clé rangée dans le coffre-fort du téléphone (trousseau d’Apple, Keystore d’Android).
- Mots de passe et codes : stockés sous forme chiffrée irréversible ; nous ne pouvons pas les lire. Les codes de secours de la double authentification aussi.
- Accès : des règles de sécurité au niveau de la base limitent chaque compte à ses propres données (un producteur ne modifie que sa fiche et ne voit que ses statistiques et ses commandes). Les justificatifs de vérification sont rangés dans un espace privé, jamais public.
- Équipe : l’accès à l’espace de l’équipe exige la double authentification ; ses décisions et chaque consultation d’un justificatif sont inscrites dans un journal qui ne peut pas être modifié.
- Paiements : vos données de carte sont saisies chez Stripe et ne passent jamais par nos serveurs.
En cas de violation de données présentant un risque pour vous, nous en informons la CNIL dans les 72 heures et, si le risque est élevé, les personnes concernées.
9. Modifications
Nous pouvons mettre à jour cette politique. La date en haut de page indique la dernière version. Toute modification importante vous est signalée dans l’application.