Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données est EF HOLDING, EURL (entreprise unipersonnelle à responsabilité limitée), dont le siège est situé 66 avenue Jean Falconnier, 01350 Culoz-Béon, France (RCS Bourg-en-Bresse 988 026 563), qui édite Mavys.

Délégué à la protection des données : dpo@mavys.fr.

2. Données que nous traitons

• Compte : nom, adresse email, photo de profil, mot de passe (chiffré).
• Espaces mémoire : informations sur la personne disparue, textes, photos, vidéos, enregistrements audio, frise de vie, commentaires, ainsi que le lieu de recueillement (adresse, emplacement et, si vous le relevez, position GPS).
• Proches invités : adresse email et rôle dans l'espace.
• Soutien des proches: nom, adresse email, message éventuel, choix d'anonymat et montant.
• Commandes de services : informations de la prestation et adresse de livraison.
• Paiements: montants, dates et références. Vos données de carte sont traitées directement par Stripe : nous n'y avons jamais accès.
• Espace professionnel: identité de l'agence, de ses collaborateurs et suivi des commissions.
• Preuves de consentement : date, version des CGV acceptée et choix exprimés avant un paiement.
• Données techniques: journaux de l'hébergeur (dont l'adresse IP), scans de QR code (navigateur et page d'origine, sans adresse IP) et statistiques d'usage internes.

3. Finalités et bases légales

Aucune donnée n'est vendue ni utilisée à des fins publicitaires, et aucune décision automatisée n'est prise à votre sujet.

4. Destinataires

• Les membres d'un espace mémoire, selon leur rôle ; et tout visiteurlorsque la famille rend l'espace public.
• L'agence partenairequi a créé l'espace, pour l'accompagnement et le calcul de sa commission. Elle ne voit ni vos paiements ni vos coordonnées bancaires.
• Le prestataired'une commande, pour les seules informations nécessaires à sa réalisation.
• Nos sous-traitants techniques, liés par contrat et agissant sur nos instructions :
  • Supabase Pte. Ltd. : base de données, authentification et stockage des fichiers (données stockées en France (AWS, région de Paris)).
  • Vercel Inc. : hébergement et diffusion du site (États-Unis et réseau mondial).
  • Stripe : paiements en ligne (Union européenne et États-Unis).
  • Amazon Web Services (Amazon SES) : envoi des emails (infrastructure AWS).
• Les autorités, uniquement sur demande légale.

5. Transferts hors de l'Union européenne

Les données des espaces mémoire sont stockées en France. Certains sous-traitants sont établis hors de l'Union européenne (États-Unis, Singapour) et peuvent y accéder pour les besoins du service. Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne (EU-US Data Privacy Framework) ou par les clauses contractuelles types de la Commission européenne.

6. Durées de conservation

• Compte et espaces mémoire : Tant que le compte ou l'espace est actif, puis 10 ans au plus après la dernière connexion ou la fin de la dernière période payée.
• Factures et pièces comptables : 10 ans, durée imposée par le Code de commerce.
• Preuves de consentement (CGV, renonciation) : 5 ans après l'achat, dans la limite de 10 ans.
• Soutiens des proches et commandes : 10 ans au plus après le paiement.
• Statistiques d'usage et scans de QR code : 10 ans au plus, sans adresse IP.
• Journaux techniques de l'hébergeur : Durée courte fixée par l'hébergeur, pour la sécurité du service.

Aucune donnée n'est conservée plus de 10 ans après la fin de la relation, sauf obligation légale contraire.

7. Personnes disparues et tiers

Le RGPD protège les personnes vivantes. Les informations publiées sur une personne disparue relèvent de la responsabilité de la famille, dans le respect dû à sa mémoire. La personne qui publie une photo ou un texte concernant un tiers vivant garantit disposer de son accord. Toute personne peut signaler un contenu la concernant à l'adresse du délégué à la protection des données.

Chacun peut définir des directives relatives au sort de ses données après son décès (article 85 de la loi Informatique et Libertés), en les adressant à dpo@mavys.fr.

8. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de retirer à tout moment un consentement donné.

• Depuis les paramètres de votre compte, vous pouvez exporter vos données (format JSON) et supprimer votre compte. La suppression anonymise votre profil (nom, email, photo) ; les souvenirs partagés dans un espace mémoire peuvent y rester, attribués à « Compte supprimé », car ils appartiennent aussi à la mémoire collective. Vous pouvez les supprimer au préalable, ou nous en demander la suppression.
• Pour toute autre demande : dpo@mavys.fr. Nous répondons dans un délai d'un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

9. Sécurité

Les communications sont chiffrées (HTTPS). L'accès aux données est cloisonné au niveau de la base (Row Level Security) : chacun n'accède qu'aux espaces dont il est membre. Les paiements sont confiés à Stripe, certifié PCI-DSS.

10. Cookies

Mavys n'utilise que des cookies techniques, nécessaires à votre connexion. Aucun cookie publicitaire ni de mesure d'audience n'est déposé, et aucun consentement n'est donc requis. Lors d'un paiement, Stripe dépose ses propres cookies sur sa page de paiement, pour prévenir la fraude.

11. Mineurs

Le service s'adresse aux personnes âgées d'au moins 15 ans. En dessous, l'accord d'un titulaire de l'autorité parentale est nécessaire.

12. Évolution de cette politique

Cette politique peut évoluer. La date de dernière mise à jour figure en haut de page. Voir aussi nos conditions générales de vente et nos mentions légales.