Version 1.6, dernière mise à jour le 18/08/2026
DRUP SASU, immatriculée au RCS de Meaux sous le numéro 106 291 768.
La présente Politique de Confidentialité décrit la manière dont DRUP collecte, utilise, conserve et protège les données personnelles des utilisateurs de la Plateforme.
Le responsable du traitement est DRUP SASU (106 291 768), 15 Cours Jacques Chaban-Delmas, 77500 Chelles, France.
Adresse électronique : [[email:pbagnpg|qehc.se]]
DRUP collecte les catégories de données suivantes :
Données d'identification : nom, prénom, adresse électronique. Le numéro de téléphone et l'adresse postale sont collectés pour la livraison : lors d'une commande pour l'acheteur, dans l'espace vendeur pour l'adresse d'expédition.
Données de compte : identifiant utilisateur, mot de passe haché, préférences de notification, et le cas échéant les paramètres de double authentification.
Données professionnelles : pour un compte professionnel, raison sociale, numéro SIRET, numéro de TVA intracommunautaire le cas échéant, et adresse de l'entreprise.
Données relatives aux transactions : annonces publiées, photographies des Produits, historique des achats et ventes, informations relatives aux livraisons, litiges et réclamations, y compris les photographies jointes à un litige.
Données de paiement : les paiements sont traités par Stripe. DRUP ne reçoit que l'état d'avancement de la vérification du vendeur et les références des transactions. DRUP n'a accès à aucune coordonnée bancaire, ni carte, ni IBAN : elles sont saisies directement chez le prestataire de paiement.
Données techniques : adresse électronique et adresse IP associées à une session de connexion, agent utilisateur du navigateur, et empreinte de l'adresse IP lors d'une réservation effectuée sans compte.
Données de diagnostic : lorsqu'une erreur technique survient, le message d'erreur, la page concernée, le navigateur utilisé et l'identifiant interne de l'utilisateur connecté sont enregistrés afin de permettre la correction. Ni le nom, ni l'adresse électronique, ni l'adresse IP, ni le contenu des formulaires ne sont transmis à cette occasion.
DRUP ne collecte pas de date de naissance et ne traite aucune donnée dite sensible au sens de l'article 9 du RGPD.
Les données personnelles sont collectées afin de :
| Traitement | Base légale |
|---|---|
| Compte, annonces, commandes, livraisons, litiges | Exécution du contrat |
| Conservation comptable des transactions, obligations fiscales | Obligation légale |
| Prévention de la fraude, sécurité de la Plateforme | Intérêt légitime |
| Détection et correction des erreurs techniques | Intérêt légitime |
| Alertes de vente et alertes sur un article | Consentement, révocable à tout moment |
| Questionnaire de satisfaction après une commande | Consentement, l'Utilisateur en faisant lui-même la demande |
Les données personnelles collectées par DRUP sont accessibles uniquement aux personnes habilitées dans le cadre de leurs fonctions. Elles peuvent être communiquées aux sous-traitants suivants :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVHcloud | Hébergement du site et de la base de données | France |
| Stripe | Paiements, vérification d'identité des vendeurs, versements | États-Unis et Irlande |
| Sendcloud | Expéditions, étiquettes et suivi des colis | Pays-Bas |
| Resend | Envoi des courriers électroniques automatiques | États-Unis |
| Infomaniak | Nom de domaine et messagerie | Suisse |
| Sentry | Collecte des erreurs techniques de la Plateforme | Allemagne, éditeur établi aux États-Unis |
Un destinataire supplémentaire intervient lorsque l'Utilisateur demande lui-même à donner son avis après un achat : Google, pour son programme Avis clients, établi en Irlande et aux États-Unis. Google n'agit pas comme sous-traitant de DRUP pour ce programme mais comme responsable de traitement indépendant : il reçoit l'adresse électronique de l'acheteur, la référence de sa commande, le pays et la date de livraison estimée, puis lui adresse le questionnaire, recueille sa réponse et la publie sous forme de note moyenne, sous sa propre responsabilité.
Elles peuvent également être communiquées aux transporteurs chargés d'acheminer les colis, ainsi qu'aux autorités administratives, judiciaires ou fiscales lorsque la loi l'exige.
DRUP ne vend pas les données personnelles de ses Utilisateurs à des tiers.
Les paiements réalisés sur la Plateforme sont traités par Stripe. Certaines données personnelles lui sont transmises afin de traiter les paiements, vérifier l'identité des vendeurs, lutter contre la fraude et satisfaire aux obligations réglementaires applicables aux services financiers.
Stripe collecte directement auprès des vendeurs, dans son propre parcours, les pièces d'identité et les coordonnées bancaires nécessaires aux versements. Ces informations ne transitent pas par DRUP et ne sont pas conservées par DRUP.
Afin d'assurer l'expédition et le suivi des Produits, DRUP transmet aux transporteurs partenaires les données nécessaires à l'acheminement du colis : nom et prénom, adresse de livraison, numéro de téléphone lorsqu'il a été renseigné, ainsi que le point relais choisi le cas échéant. Aucune adresse électronique ne leur est communiquée. La recherche d'un point relais transmet le code postal et la ville de l'acheteur.
DRUP met en œuvre des mesures destinées à prévenir les fraudes et les utilisations abusives de la Plateforme : limitation du nombre de tentatives de connexion, limitation du nombre de réservations effectuées depuis une même origine sur une courte période, et conservation de journaux techniques.
Aucune de ces mesures ne produit de décision automatisée au sens de l'article 22 du RGPD. En particulier, le prix affiché est identique pour tous les visiteurs : il ne dépend que de l'article et du temps écoulé, jamais de la personne qui le consulte.
Conformément à la directive européenne DAC7, DRUP peut être tenue de transmettre à l'administration fiscale certaines informations relatives aux Utilisateurs réalisant des ventes : identité, adresse, numéro d'identification fiscale lorsqu'il est requis, nombre de transactions et montants perçus.
Ces informations sont collectées par le prestataire de paiement dans le cadre de la vérification des vendeurs, et transmises le cas échéant par son intermédiaire.
| Donnée | Durée de conservation |
|---|---|
| Compte utilisateur | Durée de vie du compte, puis 3 ans sans connexion |
| Session de connexion expirée | 30 jours |
| Jeton de vérification ou de réinitialisation | 7 jours après expiration |
| Commande payée | 10 ans, sous forme anonymisée après la suppression du compte |
| Adresse de livraison | 3 ans après la livraison |
| Suivi de colis | 1 an après la livraison |
| Réservation non aboutie | 90 jours |
| Litige clos | 5 ans, photographies supprimées après 1 an |
| Empreinte d'adresse IP d'une réservation | 3 mois |
| Rapport d'erreur technique | 30 jours |
| Inscription à une alerte | 3 ans sans interaction |
| Preuve de désinscription | Conservée, afin de ne pas réinscrire la personne par erreur |
Les données nécessaires au respect d'une obligation légale, comptable ou fiscale, ou à la défense d'un droit en justice, sont conservées pendant la durée correspondante, sous forme anonymisée lorsque leur rattachement à une personne n'est plus nécessaire.
Conformément au RGPD, chaque Utilisateur dispose des droits d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition, de portabilité des données, et du droit de définir des directives relatives au sort de ses données après son décès.
Deux de ces droits s'exercent directement depuis l'espace personnel, sans démarche préalable :
La suppression du compte efface les données personnelles et anonymise les commandes que DRUP doit conserver pour ses obligations comptables : les montants, dates et références subsistent, sans qu'ils puissent être rattachés à une personne.
L'exercice de certains droits peut être limité lorsque le traitement est nécessaire au respect d'une obligation légale, à l'exécution d'un contrat ou à la défense d'un droit en justice.
Toute demande relative aux données personnelles peut être adressée à [[email:pbagnpg|qehc.se]]. DRUP répond dans un délai d'un mois et pourra demander tout justificatif raisonnablement nécessaire afin de vérifier l'identité du demandeur.
Si un Utilisateur estime que ses droits ne sont pas respectés, il peut introduire une réclamation auprès de l'autorité de contrôle compétente. En France, il s'agit de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
DRUP met en œuvre des mesures techniques et organisationnelles destinées à assurer la sécurité, l'intégrité et la confidentialité des données personnelles : chiffrement des échanges, hachage des mots de passe et des jetons, cloisonnement des sessions entre la boutique et le back-office, sauvegardes chiffrées, hébergement en France, et suppression des métadonnées des photographies téléversées.
Aucun système ne pouvant garantir une protection absolue, les Utilisateurs restent responsables de la confidentialité de leurs identifiants et de la sécurité de leurs équipements.
DRUP dépose uniquement les cookies strictement nécessaires au fonctionnement de la Plateforme :
| Cookie | Finalité | Durée |
|---|---|---|
| Session d'authentification | Maintenir la connexion | 30 jours en boutique, 7 jours au back-office |
| Panier | Permettre de réserver un article avant d'avoir créé un compte | 30 jours |
| Affichage du back-office | Mémoriser l'état de la barre latérale, pour les opérateurs | 7 jours |
DRUP n'utilise aucun cookie publicitaire et aucun outil de mesure d'audience, et ne suit pas la navigation de ses Utilisateurs. Aucun bandeau de consentement n'est donc affiché, conformément à l'article 82 de la loi Informatique et Libertés.
Deux scripts tiers peuvent être chargés sur la Plateforme, chacun pour une finalité précise :
Aucun script tiers n'est chargé sur les pages de navigation ordinaires de la Plateforme.
L'outil de collecte des erreurs techniques ne dépose ni cookie ni identifiant persistant sur l'appareil, et n'observe pas la navigation : il ne transmet des informations qu'au moment où une erreur survient. Ne constituant pas un traceur, il n'entre pas dans le champ du consentement préalable.
Si DRUP venait à installer un outil de mesure d'audience nécessitant un consentement, un mécanisme de recueil et un gestionnaire de préférences seraient mis en place et la présente politique serait modifiée en conséquence.
Deux sous-traitants sont établis aux États-Unis : Stripe, pour les paiements, et Resend, pour l'envoi des courriers électroniques. Google, destinataire du questionnaire de satisfaction lorsque l'acheteur le demande, y est également établi.
Ces transferts reposent sur les clauses contractuelles types adoptées par la Commission européenne, complétées par les mesures techniques prévues dans les accords de sous-traitance conclus avec ces prestataires. Les données hébergées, c'est-à-dire les comptes, les annonces et les transactions, restent quant à elles en France.
Le cas de Sentry, qui collecte les erreurs techniques, est distinct : les données sont stockées et sauvegardées en Allemagne, dans l'espace européen retenu à l'ouverture du compte. L'éditeur étant établi aux États-Unis, ses équipes de support peuvent toutefois y accéder. Ce transfert repose sur les mêmes clauses contractuelles types, incluses dans l'accord de sous-traitance conclu avec ce prestataire.
La base de données fait l'objet de sauvegardes chiffrées quotidiennes, conservées au maximum six mois.
Une donnée supprimée à la demande d'un Utilisateur disparaît immédiatement de la base active, mais subsiste dans ces sauvegardes jusqu'à leur expiration. Ces sauvegardes ne sont utilisées qu'en cas d'incident, et la suppression est réappliquée après toute restauration.
DRUP se réserve le droit de modifier la présente Politique de Confidentialité, notamment pour tenir compte des évolutions légales et réglementaires ou pour améliorer les services proposés. La version applicable est celle publiée sur la Plateforme à la date de consultation.
Pour toute question relative à la présente Politique de Confidentialité ou au traitement des données personnelles : [[email:pbagnpg|qehc.se]]
DRUP SASU, 15 Cours Jacques Chaban-Delmas, 77500 Chelles, France.
La présente Politique de Confidentialité entre en vigueur à compter de sa mise en ligne sur la Plateforme DRUP.