La présente politique complète la politique de confidentialité de BDPokéCards pour l'utilisation de la marketplace.
1. Responsable du traitement
Vergasta Digital, Bruno Vergasta Paiva, Rue du Temple 5, 2610 St-Imier, Suisse. Contact : commandes@bd-pokecards.ch.
2. Données traitées
- Compte : nom, prénom, e-mail, téléphone, date de naissance (vérification de l'âge), pseudonyme et ses changements, adresses de livraison.
- Connexion avec Google ou Apple (si vous la choisissez) : nom, prénom, e-mail et identifiant de compte transmis par Google ou Apple, uniquement pour vous connecter. Avec Apple, l'e-mail peut être une adresse relais anonyme fournie par Apple. Votre mot de passe Google ou Apple ne nous est jamais transmis.
- Vendeurs : présentation, statut privé ou professionnel, raison sociale et IDE, localité de remise en main propre, moyens de paiement acceptés.
- Vérification d'identité des vendeurs : la pièce d'identité et le selfie sont transmis directement à Didit, qui compare le visage du selfie à la photo du document (données biométriques) et vérifie le document. BDPokéCards ne reçoit et ne conserve que le résultat (vérifiée, refusée ou en examen), l'identifiant de la vérification et sa date. En lançant la vérification, le vendeur consent à ce traitement ; sans lui, il ne peut pas vendre.
- Paiement en ligne : identifiant client Stripe, type et 4 derniers chiffres de la carte enregistrée, empreinte technique de la carte fournie par Stripe (pour détecter une même carte utilisée sur plusieurs comptes), identifiant et statut du compte Stripe du vendeur. Le compte bancaire et les informations exigées par la réglementation sont collectés et vérifiés directement par Stripe. Aucun numéro de carte complet n'est stocké par BDPokéCards.
- Paiement direct : titulaire du compte, IBAN et numéro TWINT indiqués par le vendeur, enregistrés de façon chiffrée.
- Contenus : annonces et photos, questions et réponses, messages, signalements, litiges et leurs photos, évaluations.
- Enchères : montants proposés, y compris le maximum secret, et adresse IP de l'offre.
- Traces : acceptation des conditions (version, date, adresse IP, navigateur), journal des actions importantes (adresse IP, navigateur), date de dernière activité.
3. Ce qui est public
Sont visibles par tous : le pseudonyme, la présentation, le statut professionnel et la raison sociale, les annonces, la localité de remise en main propre (numéro postal et localité, jamais l'adresse exacte), les questions et réponses, les évaluations, le nombre de ventes, la note, les badges et une indication approximative de la dernière activité. Dans l'historique des enchères, les pseudonymes sont partiellement masqués.
Ne sont jamais publics : le nom, l'adresse, l'e-mail, le téléphone, la date de naissance, le résultat de la vérification d'identité, les coordonnées de paiement et le maximum secret des enchères.
4. Données transmises entre membres
Après un achat, le vendeur reçoit le nom et l'adresse de livraison de l'acheteur, uniquement pour expédier l'article. Pour un paiement direct, l'acheteur reçoit le titulaire, l'IBAN et/ou le numéro TWINT du vendeur, uniquement pour le payer. En cas de retour, le vendeur communique son adresse de retour à l'acheteur dans le fil du litige. Toute autre utilisation de ces données est interdite.
5. Finalités
- exécuter les ventes, les paiements, les remboursements et les versements ;
- vérifier l'identité des vendeurs, assurer la sécurité et prévenir la fraude (plafonds d'engagement, détection des comptes liés, modération) ;
- traiter les problèmes, les litiges et les rétrofacturations, y compris la transmission de preuves (suivi, adresse, échanges) à Stripe et à la banque concernée ;
- facturer les frais de vente des ventes payées en direct ou en espèces ;
- envoyer les notifications liées à l'activité du membre, selon ses préférences ;
- respecter les obligations légales et comptables.
6. Décisions automatisées
Certaines mesures sont appliquées automatiquement : le calcul du plafond d'engagement pour les enchères, les sanctions après une enchère impayée (avertissement, suspension de 30 jours, exclusion à la troisième) et les blocages liés à une facture de frais en retard. Le résultat de la vérification d'identité est rendu par Didit ; un refus peut être suivi d'une nouvelle tentative. Les autres signaux de risque sont examinés par une personne. Tout membre peut demander qu'une décision automatisée le concernant soit réexaminée par une personne.
7. Prestataires
- Stripe (paiements en ligne et comptes vendeurs) : certaines données peuvent être traitées aux États-Unis, avec des garanties appropriées.
- Didit (vérification d'identité des vendeurs) : les documents, le selfie et les données biométriques sont traités et conservés par Didit selon sa propre politique de confidentialité, éventuellement hors de Suisse, avec des garanties appropriées.
- Google et Apple (connexion, si vous la choisissez) : ils confirment votre identité et nous transmettent les données indiquées ci-dessus, selon leur propre politique de confidentialité, éventuellement hors de Suisse.
- Infomaniak (hébergement et e-mails, Suisse).
- OpenAI (reconnaissance facultative d'une carte à partir d'une photo, lors de la création d'une annonce) : seule la photo de la carte est transmise, traitée aux États-Unis. Évitez qu'elle montre des informations personnelles.
- Cardmarket (prix de référence) : aucune donnée personnelle n'est transmise.
- Les transporteurs choisis par le vendeur reçoivent l'adresse de livraison.
Aucune donnée n'est vendue ni utilisée à des fins publicitaires.
8. Durée de conservation
Les données liées aux ventes (commandes, paiements, frais de vente, litiges, preuves et acceptations des conditions) sont conservées 10 ans, conformément aux obligations comptables suisses. Les coordonnées de paiement direct sont effacées lorsque le vendeur les retire. Si un compte est supprimé, le profil public et les annonces sont retirés ; les données de vente sont conservées pour la durée légale puis supprimées ou rendues anonymes.
9. Vos droits
Conformément à la loi fédérale sur la protection des données (nLPD), vous pouvez demander l'accès à vos données, leur rectification ou leur suppression (dans les limites légales), et vous opposer à un traitement. Écrivez à commandes@bd-pokecards.ch. Pour les documents d'identité transmis à Didit, vous pouvez aussi vous adresser directement à Didit. Vous pouvez également vous adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT).
10. Cookies
La marketplace n'ajoute aucun cookie de suivi : le panier de la marketplace est conservé dans le cookie de session déjà utilisé par le site. Lors d'un paiement ou d'une vérification d'identité, Stripe et Didit peuvent utiliser leurs propres cookies strictement nécessaires sur leurs pages. La case « Se souvenir de moi » ajoute un cookie de connexion, strictement nécessaire, qui vous garde connecté sur cet appareil. Le détail figure dans la politique de confidentialité de BDPokéCards.
Version 2.0 — en vigueur dès sa publication.