Version 1.15, dernière mise à jour le 03/11/2026
DRUP SASU, immatriculée au RCS de Meaux sous le numéro 106 291 768.
La présente Politique de Confidentialité décrit la manière dont DRUP collecte, utilise, conserve et protège les données personnelles des utilisateurs de la Plateforme.
Le responsable du traitement est DRUP SASU (106 291 768), 15 Cours Jacques Chaban-Delmas, 77500 Chelles, France.
Adresse électronique : contact [at] drup.fr
DRUP collecte les catégories de données suivantes :
Données d'identification : nom, prénom, adresse électronique. Le numéro de téléphone et l'adresse postale sont collectés pour la livraison : lors d'une commande pour l'acheteur, dans l'espace vendeur pour l'adresse d'expédition.
Données de compte : identifiant utilisateur, mot de passe haché, type de compte (particulier ou professionnel), date d'acceptation des conditions générales et de la déclaration d'âge, choix relatif aux courriers d'information, préférences de notification, et le cas échéant les paramètres de double authentification.
Données professionnelles : pour un compte professionnel, raison sociale, numéro SIRET, numéro de TVA intracommunautaire le cas échéant, adresse de l'entreprise, et date d'acceptation des conditions générales de vente des vendeurs professionnels. La raison sociale, le numéro SIRET et la ville de l'entreprise sont affichés sur les annonces du vendeur professionnel, pour l'information des acheteurs.
Données fiscales : pour un vendeur particulier dont les ventes dépassent les seuils de la déclaration annuelle à l'administration fiscale (au moins 30 ventes ou plus de 2 000 € dans l'année), numéro fiscal et date de naissance, demandés depuis son compte.
Données relatives aux transactions : annonces publiées, photographies des Produits, historique des achats et ventes, taux de commission appliqué, factures de commission émises au vendeur, informations relatives aux livraisons, litiges et réclamations, y compris les photographies jointes à un litige.
Données d'abonnement et d'options : pour un vendeur abonné à Drup Premium, professionnel ou particulier, la formule choisie, les dates de souscription, de fin d'engagement, de résiliation et, pour un particulier, sa demande de démarrage immédiat et sa rétractation, l'état de l'abonnement et la référence du client chez Stripe ; pour une option de mise en avant, l'option achetée, le créneau réservé le cas échéant et la référence du paiement. Le nombre d'affichages et de clics d'un article mis en avant est compté par jour et par article, sans être rattaché aux visiteurs.
Données d'offre d'achat : pour une offre d'achat sur un article du catalogue, son montant, le mode et l'adresse de livraison choisis avec les frais calculés à ce moment, la carte enregistrée pour son paiement (voir ci-dessous), les dates de l'offre et son issue (article emporté, offre retirée, caduque ou refusée), et l'échéance de la réponse du vendeur lorsque l'offre lui est soumise. Le vendeur reçoit le montant de la meilleure offre et ce qui lui reviendrait, jamais l'identité de son auteur.
Données d'alerte : les articles suivis et le seuil de prix choisi, les catégories dont l'Utilisateur suit les nouveautés, les recherches et filtres qu'il enregistre, l'inscription au récapitulatif hebdomadaire des ventes, et l'adresse électronique d'une personne sans compte qui demande à être prévenue du début d'une vente, avec la date de son consentement.
Données de paiement : les paiements sont traités par Stripe. DRUP ne reçoit que l'état d'avancement de la vérification du vendeur et les références des transactions. DRUP n'a accès à aucune coordonnée bancaire, ni numéro de carte, ni IBAN : elles sont saisies directement chez le prestataire de paiement. Pour une offre d'achat, DRUP connaît seulement la marque et les quatre derniers chiffres de la carte enregistrée, afin de la désigner à l'acheteur, et les références que Stripe lui attribue. Pour un paiement par virement, Stripe ouvre un compte client au nom de l'acheteur et lui attribue des coordonnées bancaires de réception et une référence : DRUP les conserve avec le montant attendu, pour les lui communiquer et suivre l'arrivée des fonds.
Données d'avis : la note et le commentaire qu'un acheteur donne au vendeur après une commande, leur date, et, lorsqu'un avis est masqué, le motif retenu. L'avis est publié sans le nom de l'acheteur.
Données de signalement : lorsqu'une personne signale une annonce, le motif choisi, son message, son adresse électronique et, si elle est connectée, son identifiant de compte.
Données de modération : lorsqu'un compte est suspendu, la date de la suspension, son échéance et son motif, qui est communiqué au titulaire du compte. L'équipe DRUP peut aussi tenir une note interne sur un compte, pour le suivi de ses échanges avec l'Utilisateur ; cette note ne lui est pas affichée.
Données techniques : adresse électronique et adresse IP associées à une session de connexion, et agent utilisateur du navigateur.
Données de diagnostic : lorsqu'une erreur technique survient, le message d'erreur, la page concernée, le navigateur utilisé et l'identifiant interne de l'utilisateur connecté sont enregistrés afin de permettre la correction. Ni le nom, ni l'adresse électronique, ni l'adresse IP, ni le contenu des formulaires ne sont transmis à cette occasion.
En dehors de ce cas, DRUP ne collecte pas de date de naissance. DRUP ne traite aucune donnée dite sensible au sens de l'article 9 du RGPD.
Les données personnelles sont collectées afin de :
| Traitement | Base légale |
|---|---|
| Compte, annonces, commandes, livraisons, litiges | Exécution du contrat |
| Offres d'achat et carte enregistrée pour leur paiement | Exécution du contrat (mesures prises à la demande de l'acheteur) |
| Abonnement Drup Premium, options de mise en avant | Exécution du contrat |
| Factures de commission, d'options et d'abonnement | Obligation légale |
| Conservation comptable des transactions, obligations fiscales | Obligation légale |
| Signalement d'une annonce et information de son auteur | Obligation légale (règlement européen sur les services numériques) |
| Suspension d'un compte et information de son titulaire | Exécution du contrat, obligation légale (règlement européen sur les services numériques) |
| Journal des actions de l'équipe DRUP sur les comptes et les commandes | Intérêt légitime |
| Prévention de la fraude, sécurité de la Plateforme | Intérêt légitime |
| Détection et correction des erreurs techniques | Intérêt légitime |
| Alertes de vente, alertes sur un article, une catégorie ou une recherche, récapitulatif hebdomadaire | Consentement, révocable à tout moment |
| Avis sur un vendeur : invitation, publication et modération | Intérêt légitime (informer les acheteurs sur le sérieux des vendeurs) |
| Questionnaire de satisfaction après une commande | Consentement, l'Utilisateur en faisant lui-même la demande |
Les données personnelles collectées par DRUP sont accessibles uniquement aux personnes habilitées dans le cadre de leurs fonctions. Elles peuvent être communiquées aux sous-traitants suivants :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVHcloud | Hébergement du site et de la base de données | France |
| Stripe | Paiements, vérification d'identité des vendeurs, versements | États-Unis et Irlande |
| Sendcloud | Expéditions, étiquettes et suivi des colis | Pays-Bas |
| Resend | Envoi des courriers électroniques automatiques | États-Unis |
| Pennylane | Tenue de la comptabilité : copie des factures émises par DRUP et des justificatifs d'achat | France |
| Infomaniak | Nom de domaine et messagerie | Suisse |
| Sentry | Collecte des erreurs techniques de la Plateforme | Allemagne, éditeur établi aux États-Unis |
Un destinataire supplémentaire intervient lorsque l'Utilisateur demande lui-même à donner son avis après un achat : Google, pour son programme Avis clients, établi en Irlande et aux États-Unis. Google n'agit pas comme sous-traitant de DRUP pour ce programme mais comme responsable de traitement indépendant : il reçoit l'adresse électronique de l'acheteur, la référence de sa commande, le pays et la date de livraison estimée, puis lui adresse le questionnaire, recueille sa réponse et la publie sous forme de note moyenne, sous sa propre responsabilité.
Elles peuvent également être communiquées aux transporteurs chargés d'acheminer les colis, ainsi qu'aux autorités administratives, judiciaires ou fiscales lorsque la loi l'exige.
DRUP ne vend pas les données personnelles de ses Utilisateurs à des tiers.
Les paiements réalisés sur la Plateforme sont traités par Stripe. Certaines données personnelles lui sont transmises afin de traiter les paiements, vérifier l'identité des vendeurs, lutter contre la fraude et satisfaire aux obligations réglementaires applicables aux services financiers.
Stripe collecte directement auprès des vendeurs, dans son propre parcours, les pièces d'identité et les coordonnées bancaires nécessaires aux versements. Ces informations ne transitent pas par DRUP et ne sont pas conservées par DRUP.
Pour une offre d'achat, l'acheteur saisit sa carte dans le formulaire sécurisé de Stripe et accepte qu'elle soit débitée en son absence si l'offre emporte l'article. Stripe la conserve sous un compte client ouvert à son nom. Aucun montant n'est débité ni bloqué à l'enregistrement de l'offre. Dès que l'offre prend fin, quelle qu'en soit l'issue, DRUP demande à Stripe de retirer la carte de ce compte client, qui est fermé lorsque l'acheteur supprime son compte DRUP.
L'abonnement Drup Premium et les options de mise en avant sont payés sur une page de paiement de Stripe, qui conserve le moyen de paiement du vendeur pour les échéances de l'abonnement. DRUP n'y a pas accès.
Lorsqu'un vendeur supprime son compte DRUP, DRUP demande à Stripe de fermer son compte de paiement dès que toutes ses ventes sont réglées, et met fin à son abonnement Drup Premium. Stripe conserve ensuite les données qu'il est légalement tenu de garder, selon sa propre politique de confidentialité.
Afin d'assurer l'expédition et le suivi des Produits, DRUP transmet aux transporteurs partenaires les données nécessaires à l'acheminement du colis : nom et prénom, adresse de livraison, numéro de téléphone lorsqu'il a été renseigné, ainsi que le point relais choisi le cas échéant. Aucune adresse électronique ne leur est communiquée. La recherche d'un point relais transmet le code postal et la ville de l'acheteur. La livraison choisie avec une offre d'achat n'est transmise au transporteur que si l'offre aboutit à une vente.
DRUP met en œuvre des mesures destinées à prévenir les fraudes et les utilisations abusives de la Plateforme : limitation du nombre de tentatives de connexion, limitation du nombre de réservations effectuées depuis une même origine sur une courte période, et conservation de journaux techniques. Les actions de l'équipe DRUP sur les comptes et les commandes (consultation de données personnelles, modération, intervention sur une commande) sont enregistrées dans un journal, avec l'adresse IP et le navigateur de l'opérateur, afin de pouvoir établir qui a consulté ou modifié une donnée.
Pour repérer une annonce publiée en double, recopiée ou supprimée puis reposée, DRUP conserve de chaque annonce, y compris après sa suppression, son texte et une empreinte numérique de chacune de ses photographies, qui ne permet pas de les reconstituer. Ces contrôles ne refusent jamais une annonce : une annonce qui ne les passe pas est examinée par une personne.
Aucune de ces mesures ne produit de décision automatisée au sens de l'article 22 du RGPD. En particulier, le prix affiché est identique pour tous les visiteurs : il ne dépend que de l'article et du temps écoulé, jamais de la personne qui le consulte.
Conformément aux articles 1649 ter A et suivants du Code général des impôts (directive européenne DAC7), DRUP déclare chaque année à l'administration fiscale les Utilisateurs qui ont réalisé au moins 30 ventes ou plus de 2 000 € de ventes au cours de l'année : identité, adresse, numéro fiscal et date de naissance pour un particulier, SIREN et numéro de TVA pour un professionnel, nombre de ventes et montants perçus par trimestre, commissions retenues. Chaque vendeur concerné reçoit une copie de ces informations avant le 31 janvier.
Le numéro fiscal et la date de naissance sont demandés au vendeur particulier concerné depuis son compte. Faute de réponse après deux relances et un délai de 60 jours, la loi autorise DRUP à suspendre ses versements jusqu'à leur réception.
Afin de répondre à l'administration fiscale, DRUP tient un registre des vendeurs et de leurs ventes (article 286 quinquies du Code général des impôts). L'identité d'un vendeur y est conservée 10 ans après sa dernière vente, y compris lorsque son compte est supprimé, à l'écart des données utilisées pour le fonctionnement de la Plateforme.
| Donnée | Durée de conservation |
|---|---|
| Compte utilisateur | Durée de vie du compte ; un compte sans connexion pendant 3 ans est supprimé, après un avertissement envoyé 30 jours avant |
| Session de connexion expirée | 30 jours |
| Jeton de vérification ou de réinitialisation | 7 jours après expiration |
| Commande payée | 10 ans, sous forme anonymisée après la suppression du compte |
| Facture de commission, d'option ou d'abonnement | 10 ans |
| Identité d'un vendeur, au registre des ventes | 10 ans après sa dernière vente, y compris après la suppression du compte |
| Numéro fiscal et date de naissance d'un vendeur | Durée de vie du compte, puis avec le registre des ventes |
| Copie de la déclaration annuelle adressée au vendeur | 10 ans |
| Adresse de livraison | 3 ans après la livraison, ou après sa saisie lorsqu'elle accompagnait une offre d'achat restée sans suite |
| Offre d'achat restée sans suite (retirée, caduque ou refusée) | 90 jours après sa fin |
| Offre d'achat ayant emporté l'article | Avec la commande qu'elle a permise |
| Suivi de colis | 1 an après la livraison |
| Réservation non aboutie | 90 jours |
| Litige clos | 5 ans, photographies supprimées après 1 an |
| Avis sur un vendeur | Durée de vie du compte de son auteur |
| Signalement d'une annonce | 1 an après son traitement |
| Texte et empreinte des photographies d'une annonce supprimée | 1 an après sa suppression |
| Motif et dates d'une suspension | Jusqu'à la levée de la suspension, puis dans le journal des actions de l'équipe DRUP |
| Journal des actions de l'équipe DRUP | 3 ans, adresse IP et navigateur effacés après 1 an |
| Rapport d'erreur technique | 30 jours |
| Inscription à une alerte ou au récapitulatif hebdomadaire | 3 ans sans interaction |
| Alerte sur un article vendu | 1 an après la vente |
| Preuve de désinscription | Conservée, afin de ne pas réinscrire la personne par erreur |
Les données nécessaires au respect d'une obligation légale, comptable ou fiscale, ou à la défense d'un droit en justice, sont conservées pendant la durée correspondante, sous forme anonymisée lorsque leur rattachement à une personne n'est plus nécessaire.
Conformément au RGPD, chaque Utilisateur dispose des droits d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition, de portabilité des données, et du droit de définir des directives relatives au sort de ses données après son décès.
Deux de ces droits s'exercent directement depuis l'espace personnel, sans démarche préalable :
La suppression du compte efface les données personnelles, y compris l'adresse électronique et le message des signalements effectués, et anonymise les commandes que DRUP doit conserver pour ses obligations comptables : les montants, dates et références subsistent, sans qu'ils puissent être rattachés à une personne.
L'exercice de certains droits peut être limité lorsque le traitement est nécessaire au respect d'une obligation légale, à l'exécution d'un contrat ou à la défense d'un droit en justice.
Toute demande relative aux données personnelles peut être adressée à contact [at] drup.fr. DRUP répond dans un délai d'un mois et pourra demander tout justificatif raisonnablement nécessaire afin de vérifier l'identité du demandeur.
Si un Utilisateur estime que ses droits ne sont pas respectés, il peut introduire une réclamation auprès de l'autorité de contrôle compétente. En France, il s'agit de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
DRUP met en œuvre des mesures techniques et organisationnelles destinées à assurer la sécurité, l'intégrité et la confidentialité des données personnelles : chiffrement des échanges, hachage des mots de passe et des jetons, cloisonnement des sessions entre la boutique et le back-office, sauvegardes chiffrées, hébergement en France, et suppression des métadonnées des photographies téléversées.
Aucun système ne pouvant garantir une protection absolue, les Utilisateurs restent responsables de la confidentialité de leurs identifiants et de la sécurité de leurs équipements.
DRUP dépose uniquement les cookies strictement nécessaires au fonctionnement de la Plateforme :
| Cookie | Finalité | Durée |
|---|---|---|
| Session d'authentification | Maintenir la connexion | 30 jours en boutique, 7 jours au back-office |
| Double authentification | Relier la saisie du code à la connexion en cours | Quelques minutes |
| Affichage du back-office | Mémoriser l'état de la barre latérale, pour les opérateurs | 7 jours |
Le navigateur garde aussi, sur l'appareil, les dernières recherches de l'Utilisateur, pour les lui reproposer, le thème d'affichage choisi, et le fait qu'il a déjà vu la présentation du fonctionnement de la Plateforme ou demandé à ne plus la voir. Ces informations ne sont pas transmises à DRUP et s'effacent avec les données du navigateur.
DRUP n'utilise aucun cookie publicitaire et aucun outil de mesure d'audience, et ne suit pas la navigation de ses Utilisateurs. Aucun bandeau de consentement n'est donc affiché, conformément à l'article 82 de la loi Informatique et Libertés.
Deux scripts tiers peuvent être chargés sur la Plateforme, chacun pour une finalité précise :
Aucun script tiers n'est chargé sur les pages de navigation ordinaires de la Plateforme.
L'outil de collecte des erreurs techniques ne dépose ni cookie ni identifiant persistant sur l'appareil, et n'observe pas la navigation : il ne transmet des informations qu'au moment où une erreur survient. Ne constituant pas un traceur, il n'entre pas dans le champ du consentement préalable.
Si DRUP venait à installer un outil de mesure d'audience nécessitant un consentement, un mécanisme de recueil et un gestionnaire de préférences seraient mis en place et la présente politique serait modifiée en conséquence.
Deux sous-traitants sont établis aux États-Unis : Stripe, pour les paiements, et Resend, pour l'envoi des courriers électroniques. Google, destinataire du questionnaire de satisfaction lorsque l'acheteur le demande, y est également établi.
Ces transferts reposent sur les clauses contractuelles types adoptées par la Commission européenne, complétées par les mesures techniques prévues dans les accords de sous-traitance conclus avec ces prestataires. Les données hébergées, c'est-à-dire les comptes, les annonces et les transactions, restent quant à elles en France.
Le cas de Sentry, qui collecte les erreurs techniques, est distinct : les données sont stockées et sauvegardées en Allemagne, dans l'espace européen retenu à l'ouverture du compte. L'éditeur étant établi aux États-Unis, ses équipes de support peuvent toutefois y accéder. Ce transfert repose sur les mêmes clauses contractuelles types, incluses dans l'accord de sous-traitance conclu avec ce prestataire.
La base de données fait l'objet de sauvegardes chiffrées quotidiennes, conservées au maximum six mois.
Une donnée supprimée à la demande d'un Utilisateur disparaît immédiatement de la base active, mais subsiste dans ces sauvegardes jusqu'à leur expiration. Ces sauvegardes ne sont utilisées qu'en cas d'incident, et la suppression est réappliquée après toute restauration.
DRUP se réserve le droit de modifier la présente Politique de Confidentialité, notamment pour tenir compte des évolutions légales et réglementaires ou pour améliorer les services proposés. La version applicable est celle publiée sur la Plateforme à la date de consultation.
Pour toute question relative à la présente Politique de Confidentialité ou au traitement des données personnelles : contact [at] drup.fr
DRUP SASU, 15 Cours Jacques Chaban-Delmas, 77500 Chelles, France.
La présente Politique de Confidentialité entre en vigueur à compter de sa mise en ligne sur la Plateforme DRUP.