Politique de confidentialité

1. Dispositions générales

La présente Politique de confidentialité (la « Politique ») définit les modalités de traitement et de protection des données personnelles des utilisateurs du site Wombato (le « Service »). Elle est conforme au droit applicable, en particulier :

• le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD),
• la loi polonaise du 10 mai 2018 sur la protection des données personnelles,
• la loi polonaise du 16 juillet 2004 sur les télécommunications.

2. Responsable du traitement

Le responsable du traitement de vos données personnelles est Kamil Grabowski, exerçant à l'adresse : ul. Bydgoska 6, 30-056 Kraków, Pologne, NIP: 6612220368, REGON: 260231175.

Adressez toute question relative au traitement des données personnelles à : support@wombato.com.

3. Catégories de données que nous traitons

Dans le cadre de la fourniture du service, nous traitons les catégories de données suivantes :

3.1. Données que vous fournissez

Données requises lors de la création d'un compte :

• nom affiché (pseudonyme),
• adresse e-mail,
• mot de passe (conservé uniquement sous forme de hachage cryptographique).

Données que vous fournissez volontairement lors de l'utilisation du service :

• photo de profil (avatar) et description du profil,
• lieux, avis, commentaires et enregistrements que vous ajoutez,
• photos.

Nous n'exigeons ni ne collectons votre numéro de téléphone ou votre date de naissance.

3.2. Données collectées automatiquement

• adresse IP,
• type de navigateur et système d'exploitation, informations sur l'appareil,
• date et heure de la visite, pages consultées, source du trafic (référent),
• localisation approximative fondée sur l'adresse IP (voir la section 4.8),
• coordonnées GPS - uniquement après votre action et votre consentement explicites (voir la section 4.7),
• données minimales de vérification anti-bot (protection des formulaires contre les bots) et diagnostics des erreurs de l'application traités sur notre propre serveur.

3.3. Données obtenues au moyen des cookies

Conformément à la Politique en matière de cookies distincte, nous traitons les données des cookies pour maintenir votre session, pour la sécurité et - uniquement avec consentement - pour l'analytique.

Nous ne proposons pas de connexion via des comptes de réseaux sociaux (Google, Facebook). L'inscription et la connexion se font uniquement par adresse e-mail, de sorte que nous n'obtenons pas de données auprès de fournisseurs d'identité externes.

4. Finalités et bases légales du traitement

4.1. Fourniture du service

Données : nom, e-mail, contenus, données d'abonnement. Base : art. 6, par. 1, point b) du RGPD (exécution d'un contrat). Finalité : gestion de votre compte, publication de vos contenus, gestion du forfait Pro.

4.2. Communication avec les utilisateurs

Données : e-mail. Base : art. 6, par. 1, point b) du RGPD. Finalité : réponse aux demandes, assistance technique, notifications concernant des changements importants.

4.3. Newsletter

Données : e-mail. Base : art. 6, par. 1, point a) du RGPD (consentement). Finalité : envoi de la newsletter (actualités, conseils, lieux mis en avant), expédiée en notre nom par un prestataire de services e-mail. Vous pouvez vous abonner sans compte. Vous pouvez retirer votre consentement dans les paramètres ou via le lien présent dans chaque message.

4.4. Analytique et optimisation

Données : IP, données du navigateur, statistiques d'utilisation. Base : art. 6, par. 1, point a) du RGPD (consentement aux cookies analytiques). Finalité : analyse du trafic et amélioration du service. Outils : Google Analytics (États-Unis, SCC), Microsoft Clarity (États-Unis, SCC - enregistrements de session et cartes de chaleur), PostHog (région UE) et notre propre instance Umami hébergée dans l'UE. Activés uniquement après consentement.

4.5. Respect des obligations légales

Base : art. 6, par. 1, point c) du RGPD. Finalité : comptabilité fiscale, tenue des registres, traitement des signalements de contenus illicites (DSA).

4.6. Exercice des droits

Base : art. 6, par. 1, point f) du RGPD. Finalité : faire valoir des droits et assurer le respect des conditions d'utilisation.

4.7. Géolocalisation GPS (sur votre action)

Données : coordonnées GPS. Base : art. 6, par. 1, point a) du RGPD (consentement). Finalité : enregistrement dans un lieu et recherche de lieux à proximité. Le consentement est recueilli par votre navigateur ou votre système lors de l'action concernée. Nous ne vous suivons pas en arrière-plan et ne conservons pas d'historique de localisation - la position est utilisée une seule fois pour exécuter votre action.

4.8. Localisation approximative à partir de l'adresse IP

Données : adresse IP, région approximative. Base : art. 6, par. 1, point f) du RGPD. Finalité : un premier ajustement de la langue/région et une recommandation de lieux à proximité. Nous déduisons la région à partir d'une base de géolocalisation locale fonctionnant sur notre serveur - votre adresse IP n'est pas transmise à un fournisseur externe. Vous disposez d'un droit d'opposition.

4.9. Protection contre les abus

Données : signaux de vérification minimaux. Base : art. 6, par. 1, point f) du RGPD. Finalité : vérifier que la connexion, l'inscription ou la réinitialisation du mot de passe est effectuée par un humain et non par un bot. Nous utilisons une solution anti-bot respectueuse de la vie privée qui ne vous suit pas entre les sites et ne constitue pas de profil publicitaire.

4.10. Cartes et recherche d'adresses

Base : art. 6, par. 1, point b) du RGPD. Finalité : affichage des cartes et recherche d'adresses. Les requêtes de géocodage transitent par notre serveur (proxy), de sorte que le fournisseur de cartes externe ne reçoit pas votre adresse IP.

4.11. Surveillance des erreurs

Base : art. 6, par. 1, point f) du RGPD. Finalité : diagnostiquer les erreurs et maintenir la stabilité du service. La surveillance fonctionne sur notre propre serveur dans l'UE - les données d'erreur ne sont pas transmises à un fournisseur externe.

4.12. Formulaire de contact

Données : e-mail, objet et contenu du message. Base : art. 6, par. 1, point a) du RGPD. Finalité : répondre à votre demande.

5. Durée de conservation des données

5.1. Données de compte

• Compte actif : pendant toute la durée de sa détention.
• Compte supprimé : les données personnelles sont effacées et la paternité des contenus publiés (lieux, avis, photos) est anonymisée immédiatement après la suppression. Les contenus anonymisés demeurent dans le Service en tant que ressource communautaire.

5.2. Données marketing et newsletter

Conservées jusqu'au retrait de votre consentement ; après le retrait, elles sont effacées ou anonymisées sans retard injustifié.

5.3. Données analytiques (avec consentement)

• Google Analytics : 26 mois à compter de la dernière interaction,
• Microsoft Clarity : 13 mois,
• PostHog / Umami (UE) : jusqu'à 12 mois,
• journaux de sécurité du serveur : 12 mois.

5.4. Données légales

• factures et documents comptables : pendant la période exigée par le droit fiscal,
• correspondance : jusqu'à 3 ans après la clôture du dossier.

6. Destinataires et transferts de données

6.1. Fournisseurs d'infrastructure

Pour faire fonctionner le Service, nous faisons appel à des prestataires de confiance qui traitent les données pour notre compte au titre d'accords de traitement des données (art. 28 du RGPD) :

• un fournisseur d'hébergement - avec des centres de données dans l'Union européenne,
• un fournisseur de CDN, de protection et de vérification anti-bot,
• un prestataire de services e-mail - messages transactionnels et newsletter (avec consentement),
• Paddle - gestion des paiements en tant que Merchant of Record ; c'est le vendeur figurant sur votre relevé, et nous ne recevons pas vos numéros de carte.

Nous fournissons la liste complète et à jour des sous-traitants sur demande à support@wombato.com. La surveillance des erreurs et les statistiques analytiques (ces dernières uniquement avec consentement) sont décrites aux sections 4.4 et 4.11.

6.2. Transferts hors de l'EEE

Avec votre consentement, les outils analytiques Google Analytics et Microsoft Clarity (États-Unis) peuvent transférer des données hors de l'Espace économique européen - sur la base des clauses contractuelles types de la Commission européenne (art. 46 du RGPD). Umami, PostHog et notre propre surveillance des erreurs fonctionnent dans l'UE - ces données ne quittent pas l'EEE.

6.3. Autres parties

Les données peuvent être communiquées aux organismes autorisés par la loi (par exemple les autorités publiques). Il n'y a aucun réseau publicitaire, aucun pixel de réseau social et aucun courtier en données. Nous ne vendons ni ne louons de données personnelles.

7. Vos droits

• Accès (art. 15 du RGPD) - confirmation et consultation de vos données ainsi qu'informations sur le traitement.
• Rectification (art. 16 du RGPD) - correction de données inexactes.
• Effacement (art. 17 du RGPD) - le « droit à l'oubli ».
• Limitation du traitement (art. 18 du RGPD).
• Portabilité des données (art. 20 du RGPD) - dans un format lisible par machine.
• Opposition (art. 21 du RGPD) - au traitement fondé sur un intérêt légitime ou à des fins de marketing.
• Retrait du consentement - à tout moment, sans affecter la licéité du traitement antérieur.

Pour exercer ces droits, écrivez à support@wombato.com. Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle - en Pologne, il s'agit du Président de l'Office de protection des données personnelles (UODO, uodo.gov.pl), et dans les autres pays de votre autorité locale de protection des données.

8. Sécurité des données

8.1. Mesures techniques

• connexions chiffrées (TLS),
• mots de passe conservés uniquement sous forme de hachage cryptographique,
• sauvegardes régulières,
• systèmes de surveillance de la sécurité,
• protection anti-bot sur les formulaires de connexion et d'inscription.

8.2. Mesures organisationnelles

• accès aux données restreint selon le principe du besoin d'en connaître,
• procédures internes de sécurité et de réponse aux incidents,
• accords de confidentialité avec tout sous-traitant.

9. Cookies

Les cookies essentiels (session, sécurité, vérification anti-bot, mémorisation de votre consentement) fonctionnent toujours et ne nécessitent pas de consentement. Les cookies analytiques (Google Analytics, Microsoft Clarity, PostHog, Umami) ne sont activés qu'après votre consentement et vous pouvez les refuser sans perdre aucune fonctionnalité. Nous n'utilisons pas de cookies publicitaires. Consultez la Politique en matière de cookies pour plus de détails.

10. Prise de décision automatisée

Nous ne prenons pas de décisions produisant des effets juridiques ou vous affectant de manière significative de façon similaire, fondées uniquement sur un traitement automatisé, y compris le profilage. Les sanctions de compte sont toujours décidées par un humain. Tout profilage à des fins de marketing requiert votre consentement explicite.

11. Données des mineurs

Le Service est destiné aux personnes âgées de 16 ans et plus. Nous ne collectons pas sciemment les données de personnes plus jeunes. Si vous pensez qu'un enfant nous a communiqué ses données, écrivez à support@wombato.com et nous les supprimerons rapidement.

12. Modifications de la présente politique

La présente politique peut être mise à jour au fur et à mesure de l'évolution du service. Nous annoncerons les changements importants au moyen d'une bannière dans le Service et, pour les utilisateurs connectés, également par e-mail. La version en vigueur est toujours disponible sur cette page, et la date de la dernière modification figure ci-dessus.

13. Contact et dispositions finales

Contact concernant les données personnelles : support@wombato.com, adresse : ul. Bydgoska 6, 30-056 Kraków, Pologne.

La présente politique est publiée en plusieurs langues. En cas de divergence, la version polonaise prévaut.