← Retour a SnapSpot Paris

Politique de Confidentialite

Derniere mise a jour : 22 octobre 2026

1. Introduction

La presente politique de confidentialite decrit comment SnapSpot Paris (ci-apres "nous", "notre" ou "la Plateforme") collecte, utilise, stocke et protege vos donnees personnelles lorsque vous utilisez notre service de mise en relation entre clients et photographes.

Nous nous engageons a respecter votre vie privee conformement au Reglement General sur la Protection des Donnees (RGPD - Reglement UE 2016/679) et a la loi Informatique et Libertes du 6 janvier 1978 modifiee.

2. Donnees collectees

2.1 Donnees que vous nous fournissez

Categorie	Donnees	Finalite
Compte utilisateur	Prenom, nom, adresse email ; mot de passe facultatif (hashe en scrypt, avec sel). Connexion possible sans mot de passe, par un code a usage unique envoye par email : valable 10 minutes, conserve chiffre, puis supprime apres usage ou expiration	Creation et gestion de votre compte
Photo de profil	Image uploadee (optionnel)	Personnalisation du profil, affichage dans l'application
Reservations	Date, heure, lieu, pack choisi, prix ; provenance de votre visite et pays (voir 2.4)	Execution du contrat de prestation, historique
Messages	Contenu des conversations entre client et photographe	Communication entre les parties, moderation en cas de litige
Avis	Note (1-5), commentaire textuel	Amelioration du service, confiance entre utilisateurs
Paiement	Les donnees de carte bancaire sont traitees directement par Stripe (nous ne stockons jamais vos numeros de carte)	Paiement securise des prestations

2.2 Donnees supplementaires pour les photographes

Categorie	Donnees	Finalite
Profil professionnel	Bio, specialites, langues, disponibilites	Presentation aux clients, recherche
Portfolio	Photographies, legendes	Vitrine professionnelle
Publications (Snappies)	Photos, legendes, tags, lieux	Feed communautaire, visibilite

2.3 Donnees collectees automatiquement

• Donnees de session : adresse IP, navigateur (User-Agent), date et heure de connexion — pour la securite du compte et la prevention des abus.
• Cookies d'authentification : un cookie de session, strictement necessaire, qui vous garde connecte (valable 7 jours, prolonge lorsque vous utilisez le service) et, le temps d'une connexion avec Google ou d'une double authentification, un cookie temporaire de quelques minutes. Ces cookies sont exempts de consentement selon les lignes directrices de la CNIL.

Nous n'utilisons aucun cookie publicitaire ni outil d'analyse tiers (pas de Google Analytics, pas de Meta Pixel). Notre mesure d'audience est faite maison et decrite ci-dessous.

2.4 Mesure d'audience (sans cookie)

Pour savoir combien de personnes visitent le site et par quel chemin elles arrivent, nous mesurons la frequentation nous-memes, sans outil d'analyse tiers et sans cookie.

• Ce qui est mesure : la page ou l'ecran consulte, certaines actions dans l'application (par exemple l'ouverture d'une reservation, une annulation, un changement de langue) avec leur contexte minimal (spot concerne, etape), le site d'origine eventuel (referent, parametres de campagne utm_*), le type d'appareil, le navigateur, le systeme d'exploitation et le pays, deduit de l'adresse IP au moment de la visite.
• Ce qui n'est jamais conserve : ni votre adresse IP, ni votre User-Agent complet. Pour distinguer deux visiteurs sur une meme journee, nous calculons une empreinte irreversible (SHA-256) a partir d'un sel secret qui change chaque nuit : l'empreinte du jour ne peut donc etre rapprochee ni de vous, ni de votre visite de la veille. Depuis le 9 aout 2026 cette empreinte n'est qu'un repli : le comptage s'appuie d'abord sur l'identifiant ss_vid decrit ci-dessous.
• Aucun cookie n'est depose, mais deux informations sont enregistrees dans la memoire locale de votre navigateur (localStorage) :
  • ss_vid — un numero tire au hasard, conserve 13 mois a compter de sa creation, puis remplace par un nouveau. Il ne derive d'aucune donnee vous concernant : ni adresse IP, ni compte, ni caracteristique de votre appareil. Il est transmis a notre serveur avec chaque mesure (page vue ou action) et enregistre avec elle : c'est ce qui permet de reconnaitre que deux visites faites des jours differents viennent du meme navigateur, donc de compter des personnes plutot que des passages, et de reconstituer le parcours d'une visite (suite des pages consultees) dans notre outil de statistiques.
  • ss_attribution — la provenance de votre premiere arrivee depuis un autre site ou un lien de campagne (site d'origine, parametres utm_*, page d'arrivee). Elle n'a pas de date d'expiration. Si vous reservez une seance, cette provenance est transmise a notre serveur et enregistree avec votre reservation, accompagnee du pays deduit de votre adresse IP, afin que nous sachions quelles actions de promotion conduisent a des reservations.
  Ces informations ne sont transmises qu'a notre serveur, jamais a un tiers ni a des fins publicitaires. Vous pouvez effacer ss_vid et ss_attribution a tout moment en vidant les donnees du site depuis votre navigateur.
• Vous opposer a la mesure : ouvrez https://snapspotparis.com/?ss_optout=1. Votre navigateur cesse immediatement d'envoyer les mesures de pages vues et d'actions, sur toutes les pages du site, et ce reglage est conserve. Pour revenir en arriere, ouvrez la meme adresse avec ?ss_optout=0.
• Duree de conservation : 25 mois pour les mesures, conformement a la recommandation de la CNIL pour la mesure d'audience ; au-dela, elles sont supprimees automatiquement. La provenance enregistree avec une reservation est conservee avec cette reservation (section 7).
• Base legale : interet legitime (Art. 6.1.f) — connaitre la frequentation de notre propre site et l'efficacite de nos actions de promotion. Nous considerons que la mesure d'audience releve de l'exemption de consentement prevue par la CNIL (usage uniquement statistique, pour notre seul compte, sans partage ni publicite) ; c'est pourquoi aucun bandeau ne vous est impose.
• Vos droits : les mesures ne contiennent ni votre nom, ni votre email, ni votre adresse IP, et nous ne pouvons pas les relier a votre compte. Pour exercer vos droits sur les mesures associees a votre navigateur, ecrivez-nous (section 8) en indiquant la valeur de ss_vid : sans elle, nous ne pouvons pas les retrouver. La provenance enregistree avec une reservation fait partie des donnees de cette reservation.

3. Bases legales du traitement

Traitement	Base legale (RGPD Art. 6)
Creation de compte, reservations, paiement, livraison des photos, communication	Execution du contrat (Art. 6.1.b)
Moderation des messages en cas de litige	Interet legitime (Art. 6.1.f) — securite des utilisateurs et resolution des litiges
Conservation des factures et donnees comptables	Obligation legale (Art. 6.1.c) — Art. L123-22 Code de commerce (10 ans)
Envoi d'emails transactionnels (confirmation, rappel)	Execution du contrat (Art. 6.1.b)
Notifications WhatsApp (confirmation, rappel, photos livrees) — numero de telephone fourni volontairement	Consentement (Art. 6.1.a) — case a cocher dediee, retirable a tout moment
Securite du compte et du service (IP, limitation du nombre de requetes, detection d'abus, suivi des erreurs techniques)	Interet legitime (Art. 6.1.f)

4. Moderation des conversations

En cas de litige, de signalement ou de comportement abusif, l'equipe de moderation de SnapSpot Paris peut acceder aux messages echanges entre un client et un photographe afin de resoudre le differend de maniere equitable.

Cet acces est :

• Limite aux administrateurs habilites ;
• Strictement necessaire a la resolution du litige ;
• Trace dans nos journaux internes (qui a accede, quand, pourquoi) ;
• Fonde sur notre interet legitime a assurer la securite et la confiance sur la plateforme.

En vous inscrivant, vous acceptez cette possibilite de moderation, qui est indispensable au bon fonctionnement du service.

5. Destinataires des donnees

Vos donnees personnelles sont accessibles uniquement a :

• L'equipe SnapSpot Paris (administration de la plateforme) ;
• Votre contrepartie dans une reservation (le client voit le nom/profil du photographe et inversement) ;

Elles sont traitees par les sous-traitants suivants, agissant pour notre compte :

Sous-traitant	Fonction	Localisation	DPA
Supabase Inc.	Base de donnees PostgreSQL	EU-West-3 (Paris, France)	DPA
Stripe Inc.	Paiements en ligne	USA (SCC signees)	DPA
Cloudflare Inc.	Stockage de fichiers (R2), sauvegardes	USA / UE (SCC signees)	DPA
Hostinger International Ltd	Hebergement serveur (VPS)	UE (Lituanie / France)	DPA
Google (Gmail SMTP)	Envoi d'emails transactionnels	USA (SCC signees)	DPA
Functional Software, Inc. (Sentry)	Suivi des erreurs techniques du serveur : description de l'erreur (message, route concernee, navigateur, identifiant interne du compte concerne, extraits des journaux techniques pouvant contenir une adresse email ou IP). Mots de passe, cookies, contenus des requetes et jetons d'acces sont masques avant l'envoi.	Donnees hebergees dans l'UE (Francfort, Allemagne) ; societe etablie aux USA (Data Privacy Framework, SCC)	DPA
Twilio Inc.	Envoi des notifications WhatsApp, uniquement si vous les avez activees : numero de telephone et contenu du message (noms, date, heure et lieu de la seance). Le message est ensuite achemine par WhatsApp (Meta).	USA (Data Privacy Framework, SCC)	DPA

Les sous-traitants bases aux Etats-Unis ont signe les Clauses Contractuelles Types (SCC) de la Commission europeenne, conformement a l'article 46 du RGPD, assurant un niveau de protection adequat de vos donnees.

Services tiers contactes directement par votre navigateur

Pour afficher certaines pages, votre navigateur telecharge des elements directement aupres de services tiers, qui recoivent donc votre adresse IP et les informations techniques de la requete (navigateur, page d'origine) :

• Google Fonts (Google) : polices d'ecriture, sur toutes les pages ;
• Cloudflare R2 : photos publiques (profils, portfolios, publications) et envoi des photos par les photographes ;
• jsDelivr : bibliotheques techniques de la carte ;
• OpenFreeMap : fonds de carte ;
• opendata.paris.fr et geo.api.gouv.fr : donnees geographiques publiques affichees sur la carte ;
• Open-Meteo : previsions meteo d'un spot (coordonnees du spot et date de la seance) ;
• Google (lh3.googleusercontent.com) : photo de profil d'un compte cree avec Google.

Services que vous choisissez d'utiliser

• Connexion avec Google : Google vous authentifie et nous transmet votre nom, votre adresse email et votre photo de profil.
• Paiement : vous saisissez vos coordonnees bancaires sur la page de paiement hebergee par Stripe.
• Notifications push : si vous les activez, elles transitent par le service de notification de votre navigateur (par exemple Google, Apple ou Mozilla), qui recoit leur contenu sous forme chiffree.
• Agendas : ajouter une seance a Google Agenda depuis un email transmet a Google les informations de la seance (photographe, date, lieu, formule) ; un photographe qui abonne un service d'agenda a son calendrier SnapSpot lui fait lire ses seances a venir (nom du client, date, lieu).

6. Transferts hors UE

Certaines donnees peuvent etre transferees en dehors de l'Espace Economique Europeen (EEE), exclusivement vers les sous-traitants et services listes ci-dessus. Ces transferts sont encadres par :

• Les Clauses Contractuelles Types (SCC) approuvees par la Commission europeenne ;
• Le EU-US Data Privacy Framework pour les sous-traitants certifies.

7. Duree de conservation

Donnees	Duree de conservation	Justification
Compte utilisateur actif	Tant que le compte est actif	Execution du contrat
Compte apres suppression	Anonymise immediatement, donnees comptables conservees 10 ans	Art. L123-22 Code de commerce
Telephone (notifications WhatsApp)	Jusqu'au retrait du consentement ou effacement du numero ; supprime a la suppression du compte	Consentement (Art. 6.1.a)
Photos de seance livrees	Tant que le compte est actif ; apres 12 mois d'inactivite : avertissement par email puis suppression 30 jours apres ; suppression immediate a la suppression du compte	Execution du contrat, minimisation des donnees
Messages	Supprimes a la suppression du compte	Droit a l'effacement
Donnees de session (IP, user-agent)	Jusqu'a expiration de la session	Securite
Factures / reservations	10 ans (anonymisees si compte supprime)	Obligation comptable legale
Sauvegardes chiffrees (R2)	30 jours glissants	Reprise apres sinistre

Lorsque le photographe livre vos photos par son propre service de galerie, ces photos sont hebergees par ce service, sous la responsabilite du photographe ; SnapSpot Paris n'en conserve que la date de livraison et, s'il vous a ete communique, le lien de la galerie (efface a la suppression de votre compte).

8. Vos droits

Conformement au RGPD, vous disposez des droits suivants sur vos donnees personnelles :

• Droit d'acces (Art. 15) : obtenir une copie de toutes les donnees que nous detenons sur vous. Exercable directement depuis votre profil > "Telecharger mes donnees".
• Droit de rectification (Art. 16) : corriger des donnees inexactes ou incompletes. Modifiable dans les parametres de votre profil.
• Droit a l'effacement (Art. 17) : demander la suppression de votre compte et de vos donnees personnelles. Exercable directement depuis votre profil > "Supprimer mon compte".
• Droit a la portabilite (Art. 20) : recevoir vos donnees dans un format structure, lisible par machine (JSON). Meme bouton que le droit d'acces.
• Droit d'opposition (Art. 21) : vous opposer a un traitement fonde sur l'interet legitime.
• Droit a la limitation (Art. 18) : demander la suspension du traitement de vos donnees dans certains cas.

Pour exercer vos droits, contactez-nous a : snapspotparis@gmail.com

Nous repondrons dans un delai maximum de 30 jours a compter de la reception de votre demande.

9. Securite des donnees

Nous mettons en oeuvre les mesures techniques et organisationnelles suivantes pour proteger vos donnees :

• Chiffrement en transit (HTTPS/TLS sur toutes les communications) ;
• Chiffrement au repos (base de donnees Supabase, sauvegardes Cloudflare R2) ;
• Hashage des mots de passe (scrypt avec sel, irreversible) ;
• Limitation du taux de requetes (rate-limiting) contre les attaques par force brute ;
• En-tetes de securite HTTP (Helmet.js : X-Frame-Options, X-Content-Type-Options, etc.) ;
• Row Level Security (RLS) activee sur toutes les tables de la base de donnees ;
• Acces administrateur restreint par role et authentification ;
• Sauvegardes automatiques quotidiennes avec retention de 30 jours.

10. Violation de donnees

En cas de violation de donnees personnelles susceptible d'engendrer un risque pour vos droits et libertes, nous nous engageons a :

• Notifier la CNIL dans un delai de 72 heures (Art. 33 RGPD) ;
• Vous informer dans les meilleurs delais si le risque est eleve (Art. 34 RGPD) ;
• Prendre toutes les mesures correctives necessaires.

11. Reclamation

Si vous estimez que le traitement de vos donnees ne respecte pas la reglementation, vous avez le droit d'introduire une reclamation aupres de la CNIL :

12. Modifications

Nous pouvons mettre a jour cette politique de confidentialite a tout moment. En cas de modification substantielle, nous vous en informerons par email ou par notification dans l'application. La date de derniere mise a jour figure en haut de ce document.