Politique de confidentialité

Le site spintrust.fr et le service SpinTrust sont édités par SpinTrust, entrepreneur individuel dont l'identité complète figure dans les mentions légales. Le point de contact unique pour toute question relative aux données personnelles est contact@spintrust.fr.

SpinTrust agit en qualité de responsable de traitement pour les traitements dont il détermine lui-même les finalités : la consultation du site, la mesure d'audience, les demandes de contact et de démonstration, la prospection commerciale adressée à des professionnels, la gestion des comptes professionnels, la facturation, la sécurité et la prévention de la fraude.

Pour les données des clients collectées à l'occasion des campagnes d'un commerçant — participation au jeu, remise du lot, contact laissé par le joueur —, c'est le commerçant qui décide de l'opération, de ses lots et de l'usage qu'il fait des contacts recueillis : il est responsable de ce traitement, et SpinTrust intervient comme sous-traitant pour son compte, dans les limites de ses instructions.

Certaines fonctionnalités mutualisées, comme le compte client commun au programme de fidélité ou le réseau Network+, conduisent l'éditeur et les commerçants concernés à déterminer ensemble certaines finalités. Ils agissent alors en responsables conjoints, chacun restant l'interlocuteur des personnes qu'il a recueillies.

• Aucun délégué à la protection des données n'a été désigné à ce jour ; les demandes sont traitées directement par l'éditeur.
• Une demande adressée à SpinTrust portant sur des données collectées par un commerçant lui est transmise sans délai, et la personne en est informée.

Les données traitées diffèrent selon que vous consultez le site, exploitez un compte professionnel ou participez à une campagne. Seules les données nécessaires à chaque situation sont collectées.

• Visiteur du site : pages consultées, date et provenance de la visite, empreinte technique dérivée de l'adresse IP et du navigateur. Cette empreinte est calculée par hachage à clé secrète : l'adresse IP elle-même n'est pas conservée dans les statistiques de consultation.
• Prospect : nom, société, adresse électronique, numéro de téléphone et description du besoin, lorsque vous remplissez le formulaire de contact ou demandez une démonstration.
• Professionnel démarché : dénomination et adresse de l'établissement, catégorie d'activité, note et nombre d'avis publics, adresse électronique et numéro de téléphone professionnels. Ces données ne sont pas recueillies auprès de vous : elles proviennent de sources professionnelles accessibles à tous, principalement les fiches d'établissement publiées sur Google Maps, les sites des enseignes et des résultats de recherche publics. Aucune donnée relative à la vie privée n'est collectée à ce titre, et aucun profilage n'est réalisé.
• Commerçant : adresse électronique, nom, téléphone, dénomination et adresse de l'établissement, numéro SIRET, mot de passe conservé sous forme d'empreinte, identifiant client du prestataire de paiement, dates de connexion et paramètres des campagnes.
• Joueur : adresse électronique, et selon la configuration de la campagne prénom, nom ou numéro de téléphone ; réponses au questionnaire de satisfaction lorsqu'il est proposé ; résultat de la partie, lot attribué et code de retrait associé.
• Joueur, données techniques : empreintes hachées de l'appareil, de l'adresse IP et du navigateur, utilisées pour appliquer les limites de participation et écarter les participations frauduleuses.
• Adhérent connecté : lorsque vous êtes identifié sur un espace membre, l'adresse électronique associée peut apparaître dans les statistiques de consultation destinées au service.
• Preuves de consentement : lorsque vous acceptez de recevoir des SMS ou d'être rattaché au réseau Network+, la date, l'adresse IP et le navigateur utilisés sont conservés en clair, car ils constituent la preuve de ce consentement.
• Journaux d'envoi : les envois d'e-mails et de SMS et les validations de lots au comptoir sont journalisés, afin de pouvoir établir qu'un message a bien été remis et qu'un lot n'a pas été retiré deux fois.

Chaque traitement poursuit une finalité déterminée et repose sur une base légale identifiée au sens du règlement général sur la protection des données.

Aucune décision produisant des effets juridiques n'est prise sur le seul fondement d'un traitement automatisé, et aucun profilage publicitaire n'est réalisé par l'éditeur en dehors de la mesure décrite dans la politique de cookies.

• Fournir le service, gérer le compte professionnel et exécuter les commandes d'activations : exécution du contrat.
• Permettre la participation au jeu, attribuer le lot et transmettre le code de retrait : exécution de la demande du joueur et du contrat conclu avec le commerçant.
• Envoyer à un particulier des messages commerciaux ou une lettre d'information : consentement, recueilli séparément et retirable à tout moment.
• Adresser à un professionnel, sur son adresse professionnelle et au sujet de son activité, une proposition de service : intérêt légitime de l'éditeur à faire connaître son offre, au sens de l'article 6.1.f du règlement, dans le cadre ouvert par l'article L34-5 du code des postes et des communications électroniques, qui n'impose pas le consentement préalable pour ce type de message. Chaque message identifie l'expéditeur, indique l'origine des données et rappelle comment s'y opposer.
• Mesurer l'audience du site et l'efficacité des campagnes publicitaires : consentement, exprimé dans le bandeau et modifiable depuis le pied de page.
• Prévenir la fraude, limiter les participations abusives et assurer la sécurité du service : intérêt légitime de l'éditeur et du commerçant à protéger l'opération.
• Améliorer le service au moyen de statistiques agrégées, qui ne permettent pas d'identifier une personne : intérêt légitime.
• Répondre à une demande de contact ou de démonstration : mesures précontractuelles prises à la demande de la personne.
• Établir la facturation, conserver les pièces comptables et répondre aux demandes des autorités : respect d'obligations légales.
• Conserver la preuve d'un consentement à la prospection : respect d'une obligation légale et intérêt légitime à pouvoir en justifier.

Le principe est simple : les données sont conservées le temps nécessaire à la finalité poursuivie et à la relation entretenue avec la personne concernée, puis supprimées ou anonymisées.

Le service dispose d'un mécanisme de purge technique paramétrable, dont les durées sont fixées par le responsable de traitement. À ce jour, en dehors des statistiques de consultation ci-dessous, aucune suppression automatique n'est activée : les données d'un compte et de ses campagnes sont conservées tant que la relation se poursuit. Elles sont effacées à la clôture du compte ou sur demande de la personne concernée, sous réserve des obligations légales de conservation.

Pour les comptes et leurs campagnes, il s'agit d'un choix assumé de conservation longue, et non d'un oubli ; cette page sera mise à jour dès que des durées automatiques seront mises en service. Les données de prospection adressée aux professionnels suivent en revanche une durée fixe, indiquée ci-dessous. Dans tous les cas, le droit à l'effacement s'exerce à tout moment à contact@spintrust.fr et est mis en œuvre sans frais.

• Statistiques de consultation des pages : au-delà de 90 jours, l'empreinte technique dérivée de votre adresse IP et de votre navigateur est effacée. Le simple comptage des pages vues, qui ne désigne alors plus personne, est conservé pour l'historique du commerçant.
• Choix relatif aux cookies : conservé 6 mois, puis la question vous est reposée.
• Cookie de langue : 12 mois. Cookies de mesure d'audience : 13 mois. Traceurs Meta : 3 mois.
• Codes de vérification envoyés par e-mail ou SMS : valables quelques minutes, puis inutilisables.
• Factures et pièces comptables : conservées conformément aux obligations légales applicables aux documents comptables.
• Preuves de consentement à la prospection : conservées le temps nécessaire pour en justifier, puis supprimées.
• Coordonnées d'un professionnel démarché : trois ans à compter du dernier contact, puis suppression.
• Opposition d'un professionnel : l'adresse concernée est inscrite sur une liste d'exclusion consultée avant chaque envoi. Seules les informations strictement nécessaires pour ne plus vous contacter y sont conservées, aussi longtemps que l'éditeur pratique la prospection.

Les données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins publicitaires. Elles sont accessibles à l'éditeur, dans la limite de ce que son intervention exige, au commerçant concerné pour ses propres clients, et aux prestataires techniques listés ci-dessous, qui agissent sur instruction et sont tenus à la confidentialité.

Un commerçant ne voit que les données rattachées à son établissement. Le compte client du programme de fidélité est en revanche commun à l'ensemble du réseau : un commerçant n'y accède que pour les clients qui ont consenti à être rattachés à son établissement, et les données ne sont pas rendues visibles à une enseigne concurrente.

Des statistiques agrégées, qui ne permettent d'identifier personne, peuvent être publiées ou communiquées à des fins d'illustration du service.

• Hostinger International Ltd — hébergement du site et du service ; les serveurs utilisés sont situés en France et la base de données est opérée sur une infrastructure gérée au sein de l'Union européenne.
• Hostinger — acheminement des e-mails transactionnels et des messages envoyés depuis le service, via son service de messagerie.
• Twilio — envoi des SMS et des codes de vérification, lorsque cette fonctionnalité est activée. Le prestataire reçoit le numéro de téléphone et le contenu du message.
• Stripe — traitement des paiements des commerçants. Les données de carte bancaire sont saisies et conservées chez le prestataire ; l'éditeur n'y a jamais accès.
• Google Ireland Ltd — mesure d'audience du site au moyen de Google Analytics, uniquement après consentement, et service reCAPTCHA de protection contre les robots, qui reçoit l'adresse IP lors de la soumission de certains formulaires et de la participation au jeu.
• Meta Platforms Ireland Ltd — mesure des campagnes publicitaires au moyen du pixel Meta, uniquement après consentement à la finalité marketing.
• Autorités administratives ou judiciaires, sur réquisition régulière et dans la seule limite de celle-ci.

L'hébergement du service et le stockage des données sont réalisés au sein de l'Union européenne. Les échanges avec les prestataires listés ci-dessus s'effectuent avec des entités établies dans l'Union lorsque celles-ci existent, notamment pour la mesure d'audience et la mesure publicitaire.

Certains de ces prestataires appartiennent toutefois à des groupes établis aux États-Unis et peuvent y transférer des données. Ces transferts sont encadrés soit par les clauses contractuelles types adoptées par la Commission européenne, soit par la décision d'adéquation relative au cadre de protection des données entre l'Union européenne et les États-Unis, selon la certification du destinataire.

Vous pouvez demander à contact@spintrust.fr des précisions sur les garanties applicables à un transfert déterminé.

L'éditeur met en œuvre des mesures techniques et organisationnelles proportionnées aux risques. Elles sont décrites ici sans embellissement : ce qui n'est pas mis en place n'est pas annoncé.

Les échanges avec le service sont chiffrés en transit. En revanche, les données ne font pas l'objet d'un chiffrement applicatif supplémentaire une fois enregistrées : leur protection au repos repose sur les mesures de l'hébergeur et sur le contrôle d'accès.

Aucun dispositif ne garantit une sécurité absolue. En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, l'éditeur notifie la Commission nationale de l'informatique et des libertés dans les délais prévus et informe les personnes concernées lorsque le risque est élevé. Les modalités de signalement d'une faille figurent sur la page Sécurité.

• Les mots de passe ne sont jamais conservés en clair : seule une empreinte calculée par une fonction de hachage adaptée est enregistrée.
• Les codes de vérification à usage unique sont conservés sous forme d'empreinte, expirent en quelques minutes et le nombre de tentatives est limité.
• Les adresses IP et navigateurs utilisés pour les statistiques et pour les limites de participation sont transformés en empreintes à clé secrète, non directement rattachables à une personne.
• Les sessions reposent sur des jetons révocables ; les cookies d'authentification ne sont pas lisibles par les scripts et sont restreints au site, avec une protection contre les requêtes intersites.
• L'accès aux données d'un établissement est vérifié à chaque requête, à partir des droits rechargés depuis la base.
• Le nombre de requêtes est limité et des contrôles anti-robot protègent la connexion, les formulaires et la participation au jeu.
• Les envois d'e-mails et de SMS ainsi que les validations de lots au comptoir sont journalisés à des fins de preuve et de détection d'anomalie.

Vous disposez d'un droit d'accès à vos données, de rectification, d'effacement, de limitation du traitement, d'opposition, ainsi que du droit à la portabilité des données que vous avez fournies. Vous pouvez également définir des directives relatives au sort de vos données après votre décès.

Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment, avec la même simplicité que celle avec laquelle vous l'avez donné. Ce retrait ne remet pas en cause la licéité du traitement effectué avant qu'il n'intervienne.

Ces droits s'exercent par un simple message à contact@spintrust.fr. Une réponse est apportée sous 24 heures ouvrées ; la demande est traitée dans le délai d'un mois prévu par le règlement, qui peut être prolongé de deux mois en cas de complexité, auquel cas vous en êtes informé. Une pièce justificative d'identité n'est demandée qu'en cas de doute raisonnable sur l'identité du demandeur, et elle est supprimée dès la vérification faite.

• Une demande portant sur les données collectées lors de la campagne d'un commerçant peut être adressée indifféremment au commerçant ou à l'éditeur, qui la lui transmet.
• Si vous estimez, après nous avoir saisis, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
• L'exercice de ces droits est gratuit et ne peut vous être opposé pour refuser la remise d'un lot déjà gagné.

Le service n'est pas conçu pour être utilisé par des mineurs de moins de quinze ans. L'ouverture d'un compte professionnel est réservée aux personnes majeures agissant dans le cadre de leur activité.

Lorsqu'un mineur de moins de quinze ans participe à une campagne, le consentement au traitement de ses données doit être donné ou autorisé par le titulaire de l'autorité parentale, à qui il appartient également de vérifier que le lot proposé lui convient.

Toute donnée concernant un mineur de moins de quinze ans qui aurait été collectée sans cette autorisation est supprimée dès que l'éditeur en a connaissance. Un signalement peut être adressé à contact@spintrust.fr.

Deux situations coexistent et ne suivent pas la même règle. Les messages commerciaux et les lettres d'information adressés à des particuliers — joueurs, clients d'un commerçant, visiteurs du site — ne sont envoyés qu'aux personnes qui les ont acceptés, au moyen d'une case décochée par défaut, distincte de toute autre acceptation. La participation à un jeu n'emporte jamais, à elle seule, acceptation de recevoir de la prospection.

L'éditeur adresse par ailleurs des propositions de service à des professionnels, sur leur adresse professionnelle et au sujet de leur activité, sans consentement préalable : l'article L34-5 du code des postes et des communications électroniques le permet, et le traitement repose sur l'intérêt légitime. Les coordonnées de l'établissement (dénomination, adresse, note et avis) proviennent de sa fiche Google publique ; l'adresse électronique, du site de l'enseigne ou d'un résultat de recherche public. Le premier message indique, quand elle est connue, d'où vient votre adresse ; il identifie aussi l'expéditeur et indique le moyen de vous opposer à ces propositions.

Vous pouvez vous opposer à tout moment à recevoir ces propositions, sans avoir à justifier votre demande. Vos coordonnées professionnelles sont conservées trois ans à compter du dernier contact, puis supprimées ; en cas d'opposition, seules les informations nécessaires pour ne plus vous contacter sont gardées sur la liste d'exclusion décrite ci-dessous.

Pour les envois destinés aux particuliers, chaque message comporte un lien de désinscription qui fonctionne en un clic, sans avoir à se connecter ni à justifier sa demande. Pour les envois adressés aux professionnels, il suffit de répondre au message ou d'écrire à contact@spintrust.fr. Dans les deux cas, l'opposition est enregistrée sur une liste d'exclusion consultée avant chaque envoi, afin d'être respectée durablement — y compris pour les envois ultérieurs d'un autre commerçant du réseau.

Les messages strictement nécessaires à l'exécution du service — confirmation d'une participation, transmission d'un code de retrait, information relative à un compte — ne constituent pas de la prospection et continuent d'être envoyés tant que le compte ou la campagne sont actifs.

Le site dépose un cookie technique destiné à mémoriser la langue d'affichage, exempté de consentement, ainsi que, après votre accord et lui seul, des cookies de mesure d'audience et des cookies de mesure publicitaire.

Chaque finalité se choisit séparément : vous pouvez accepter la mesure d'audience et refuser le marketing, ou l'inverse. Tant que vous n'avez pas accepté, aucun script de mesure n'est chargé.

Le détail des cookies — noms, éditeurs, finalités, durées — et les modalités de retrait du consentement figurent dans la politique de cookies, accessible depuis le pied de page.

Cette politique peut être modifiée pour tenir compte d'une évolution du service, d'un changement de prestataire ou d'une évolution réglementaire. La version applicable est celle publiée sur cette page, dont la date de dernière mise à jour figure en tête.

Une modification substantielle — nouvelle finalité, nouveau destinataire, changement de base légale — est portée à la connaissance des personnes concernées par un moyen adapté avant sa mise en œuvre, et un nouveau consentement est recueilli lorsque la loi l'exige.

Pour toute question relative à cette politique ou à l'usage de vos données, écrivez à contact@spintrust.fr.