Confidentialité

Ce qui est conservé, et combien de temps

Les réponses au RSVP et le plan de table (si le couple l’utilise) sont conservés 90 jours après la date de ce mariage, puis effacés. L’invitation et les photos de l’album restent le temps de la formule achetée par le couple : 12 mois après le mariage avec Essentielle, 24 avec Complète et 36 avec Clés en main, ou plus si le couple la renouvelle. À la fin, l’invitation est retirée — son adresse n’affiche plus qu’une page de clôture, sans noms ni photos — et l’invitation, ses photos et l’album sont effacés. Le comptage des visites de chaque invitation (si le lien a été ouvert, si le sceau a été touché, et combien de fois) n’enregistre ni adresse IP ni navigateur. Les photos sont conservées sans les données internes de l’appareil (lieu et modèle) ; une vidéo, en revanche, les garde telles que le téléphone les a enregistrées, parfois avec le lieu.

Journal technique de l’hébergement. Chaque fois qu’une page de ce site est ouverte ou qu’une de ses photos est demandée, l’hébergeur (Vercel) enregistre la requête : l’adresse IP, le navigateur et ce qui est demandé, qui, s’il s’agit du lien d’une invitation, contient le code de ce groupe. Tout serveur web le fait ; cela sert à la sécurité du site et à trouver les pannes, et c’est effacé automatiquement au bout d’une heure. Par ailleurs, pour freiner les abus — un formulaire envoyé cent fois, des tentatives d’entrer dans un compte —, l’application retient l’adresse IP dans la mémoire du serveur, jamais dans une base de données, et l’oublie quand ce serveur s’arrête. Rien de tout cela ne sert à savoir qui vous êtes, ni n’entre dans le compteur des visites de la boutique.

Si le couple n’a pas indiqué la date de son mariage, les deux délais commencent le jour où l’invitation a été créée. Et si l’invitation a été créée après le mariage, ils commencent aussi ce jour-là, pour que rien ne soit effacé dès le premier jour.

La liste des invités est rédigée par le couple : le nom de chaque groupe et des personnes qui le composent et, si le couple les indique, un numéro de téléphone par invitation, des étiquettes pour s’organiser et une note privée qui n’arrive jamais jusqu’à l’invitation. Seuls le couple et les personnes qu’il ajoute à son espace la voient — notre support, seulement dans les cas décrits sous « Accès du support », plus bas — ; elle sert à envoyer les liens — le téléphone, à ouvrir sa propre conversation WhatsApp avec vous ; ce site ne vous écrit jamais — et elle est effacée avec les réponses, au bout de 90 jours.

Liens partagés. Si le couple partage avec le DJ ou avec le lieu un lien en lecture seule vers la playlist, le plan de table ou une sélection des réponses, ce lien ne contient jamais les allergies ni aucune autre donnée de santé. Il expire au bout de 30 jours, ou avant si le couple le révoque depuis son espace ; tant qu’il est actif, toute personne qui le détient peut l’ouvrir, sans mot de passe.

Comptes et achats inachevés. Si vous avez un compte — parce que vous avez acheté un modèle ou parce qu’un couple vous a ajouté à son espace —, nous conservons votre adresse e-mail, votre nom, votre mot de passe (uniquement son empreinte, un hachage, jamais le mot de passe lui-même) et, si vous vous connectez avec Google, l’identifiant et l’adresse e-mail de ce compte Google. Ils sont conservés tant que vous avez un mariage en ligne ici, et effacés la nuit où le dernier est retiré. Si le couple vous retire de son espace et qu’il ne vous reste aucun mariage, le compte est effacé au nettoyage suivant s’il a plus de 24 mois. Si vous commencez un achat sans aller jusqu’au paiement, ce que vous avez saisi pour créer le compte est effacé au bout de 30 jours au plus. Les deux peuvent être effacés plus tôt si vous nous le demandez à info@alkitu.com.

Contact et alertes de la boutique. Si vous nous écrivez depuis le formulaire de contact — pour poser une question, pour être prévenu de la sortie d’un modèle ou pour en demander un sur mesure —, nous conservons votre nom, votre adresse e-mail et le motif et, si vous les indiquez, le modèle, la date de votre mariage et votre message. Ils servent à vous répondre et, uniquement si vous l’avez demandé, à vous prévenir d’un nouveau modèle ; nous ne vous inscrivons à aucune newsletter. Ils sont conservés avec le reste de la boutique et ne sont transmis à aucun CRM ni à personne d’autre : par e-mail, via Resend, ne nous parvient qu’une alerte avec le motif, sans votre nom, votre adresse e-mail ni votre message. Ils sont effacés 36 mois après votre message, ou plus tôt si vous nous le demandez.

Photos demandées par le couple lors de la confirmation. Dans le formulaire de confirmation, le couple peut vous demander une ou plusieurs photos (par exemple, une de vous bébé) pour des animations pendant le mariage et pour les imprimer. Chaque photo est conservée en deux tailles pour le site et en une copie à imprimer, toutes trois chez Cloudflare R2 et sans les données internes de l’appareil. Votre nom à côté de la photo n’est visible que du couple et des personnes qu’il ajoute à son espace (et de notre support, dans les cas décrits sous « Accès du support ») ; si le couple décide de les montrer sur le site, les autres invités les voient sans nom. Vous pouvez les retirer vous-même depuis votre lien ; sinon, elles sont effacées de ce site avec le reste de l’album, quand l’invitation est retirée. La copie que le couple télécharge pour l’imprimer reste en sa possession, et c’est le couple qui en répond. La personne qui envoie la photo d’une autre personne déclare avoir son accord et, s’il s’agit d’un mineur de moins de 14 ans, celui de sa mère, de son père ou de son tuteur (art. 7 de la LOPDGDD). Les photos d’enfants ne sont pas montrées sur le site public, même si le couple ouvre la collection : seuls le couple, les personnes qu’il ajoute à son espace et, si le couple le choisit, les invités portant les étiquettes qu’il indique les voient.

Accès du support. Personne de l’équipe d’Alkitu n’entre dans l’espace d’un mariage — où se trouvent la liste des invités, les réponses, les allergies et les photos avec leur nom — sauf si le couple l’autorise depuis son espace pour que nous l’aidions à résoudre un problème. Cette autorisation dure 7 jours et le couple peut la retirer avant. Chaque accès dure au plus 24 heures, jamais plus que l’autorisation, porte un motif écrit, est signalé au couple par e-mail et reste dans un registre que le couple voit dans son espace et qui est supprimé avec les réponses, au bout de 90 jours. Sans cette autorisation, nous n’entrons qu’en cas d’incident de sécurité ou si la loi l’exige, avec la même notification et le même registre. La personne qui entre est tenue au secret et n’utilise ce qu’elle voit que pour résoudre le problème.

Sur votre appareil

Ce site enregistre quelques éléments sur votre propre appareil, aucun pour vous suivre et aucun qui en sorte : un cookie de session, qui vous garde connecté lorsque vous entrez avec un mot de passe ; un cookie qui retient que vous avez déjà ouvert l’enveloppe de cette invitation, pour ne pas vous rejouer la cérémonie à chaque visite ; vos préférences de langue et de jour ou de nuit, enregistrées dans le navigateur — cette dernière également dans un cookie court, pour que l’écran d’erreur puisse la respecter sans rien lire d’autre — ; et, pendant que vous remplissez la confirmation, un brouillon de ce que vous écrivez — allergies comprises — pour qu’il ne se perde pas si vous fermez la page. Ce brouillon ne vit que dans votre navigateur, il s’efface à l’envoi et, si vous n’envoyez pas, il expire au bout de 30 jours ; sur un appareil partagé, le formulaire lui-même vous prévient qu’il l’a récupéré et vous laisse le jeter. Si vous demandez que vos visites de la boutique ne soient pas comptées, une marque qui s’en souvient est également enregistrée : la même pour toutes les personnes qui le demandent, et qui ne sort jamais de votre appareil. Rien de tout cela ne sert à vous suivre sur d’autres sites.

Allergies et intolérances

Si vous indiquez une allergie ou une intolérance, il s’agit d’une donnée de santé : une catégorie particulière au sens de l’art. 9 du RGPD. Elle n’est traitée qu’avec votre consentement explicite — la case que vous cochez en confirmant — et pour une seule chose : que la cuisine sache ce que vous ne pouvez pas manger. Elle ne sert à rien d’autre, elle n’est recoupée avec rien, et elle est effacée avec le reste de votre réponse au bout de 90 jours.

Y ont accès le couple qui vous a invité et la personne qu’il charge du repas et, seulement dans les cas décrits sous « Accès du support » (dans « Ce qui est conservé, et combien de temps »), notre support le temps de cet accès, tenu au secret. Est conservé exactement ce que vous écrivez, et rien de plus : si vous laissez la case vide, il n’y a aucune donnée de santé à traiter.

Les visites de la boutique

Ce qui est compté. Quand vous ouvrez une page de la boutique — l’accueil, comment ça marche, les tarifs, les questions, les modèles et leur fiche, sur mesure ou contact —, votre navigateur nous envoie un petit signal et nous ajoutons un au compteur de ce jour-là. Le compteur note la page, la langue dans laquelle vous l’avez lue, d’où vous venez et s’il s’agissait d’un téléphone, d’une tablette ou d’un ordinateur. D’où vous venez, ce sont les étiquettes de campagne du lien (utm_source, utm_medium et utm_campaign) s’il en porte ; sinon, le nom du site qui vous a envoyé, uniquement son domaine et jamais l’adresse entière ; et sinon, « direct ». Rien de plus.

Rien qui vous identifie. Le compteur ne conserve ni votre adresse IP, ni votre navigateur, ni l’heure (seulement le jour), ni aucun cookie, et il ne laisse rien sur votre appareil pour vous reconnaître : chaque visite s’ajoute à un total et aucune ligne n’est la vôtre. Il n’est recoupé avec rien et ne sort pas d’ici : pas d’étiquettes de tiers, pas de pixels, pas de Google Analytics. Le signal de votre navigateur passe, comme toute autre requête, par le journal technique de l’hébergement (dans « Ce qui est conservé, et combien de temps »), effacé au bout d’une heure, et le frein aux abus regarde votre adresse IP dans la mémoire du serveur pour que personne ne gonfle le compteur, sans la conserver. Les invitations de mariage, les espaces de gestion et l’achat ne sont pas comptés.

Pourquoi nous ne vous demandons pas votre accord. C’est une mesure d’audience que nous faisons seuls, uniquement pour savoir quelles pages sont lues et d’où viennent les gens, avec des statistiques anonymes : celle que l’AEPD et la CNIL dispensent de consentement lorsque ces conditions sont remplies, avec information et droit d’opposition. Sa base légale est notre intérêt légitime à améliorer la boutique (art. 6.1.f du RGPD). Les compteurs sont effacés 25 mois après le jour concerné.

Comment vous y opposer. Si votre navigateur envoie le signal de non-suivi — Global Privacy Control ou « Do Not Track » —, nous ne comptons pas vos visites. Et vous pouvez le demander ici même pour ce navigateur : le bouton ci-dessous y enregistre une marque, la même pour toutes les personnes qui la demandent et qui ne sort jamais de votre appareil ; tant qu’elle est là, votre navigateur n’envoie pas le signal. Si le navigateur ne permet pas de l’enregistrer, vos visites ne sont pas comptées non plus. La marque disparaît si vous effacez les données de ce site, ou avec « Compter à nouveau mes visites ».

Sur quelle base nous pouvons les traiter

• Acheter un modèle — exécution du contrat de vente : sans adresse e-mail ni mot de passe, il n’y a pas de compte permettant d’entrer modifier l’invitation qui vient d’être payée.
• Le pays de facturation d’un achat — une obligation légale (art. 6.1.c du RGPD) : Stripe nous le transmet avec le paiement et nous le conservons avec l’achat, car c’est lui qui indique quelle TVA s’applique.
• D’où vient un achat — notre intérêt légitime (art. 6.1.f du RGPD) à savoir quel canal fonctionne pour nous, et rien de plus : avec la commande, nous conservons les étiquettes de campagne du lien par lequel vous êtes arrivé (utm_source, utm_medium et utm_campaign) et, si vous y répondez, votre réponse à « Comment nous avez-vous connus ? ». Sans cookies et sans vous suivre nulle part : elles sont conservées avec l’enregistrement de l’achat, ici et chez Stripe.
• Compter les visites de la boutique — notre intérêt légitime (art. 6.1.f du RGPD) à savoir quelles pages sont lues et d’où viennent les gens, avec des compteurs anonymes et sans cookies : c’est la mesure d’audience que l’AEPD et la CNIL dispensent de consentement, et vous pouvez vous y opposer dans « Les visites de la boutique ».
• Confirmer votre présence — votre consentement : vous le donnez en envoyant le formulaire, et vous pouvez le retirer à tout moment en écrivant à info@alkitu.com.
• L’allergie ou l’intolérance que vous indiquez — votre consentement explicite, celui qu’exige l’art. 9 et que la section ci-dessus explique.
• Savoir si le lien a été ouvert — l’intérêt légitime du couple qui vous a invité à vérifier que son invitation est bien arrivée. Sans adresse IP ni navigateur : uniquement le groupe auquel ce lien a été envoyé.
• Le journal technique et le frein aux abus (adresse IP, navigateur et page demandée) — notre intérêt légitime à ce que le site soit sûr et fonctionne.
• La liste des invités que tient le couple (les noms et, s’il les indique, le téléphone, les étiquettes et la note privée de chaque invitation) — l’intérêt légitime du couple à organiser son mariage et à vous faire parvenir l’invitation.
• Nous écrire depuis le formulaire de contact, ou demander à être prévenu — votre consentement : la case que vous cochez en l’envoyant. Vous pouvez le retirer à tout moment en écrivant à info@alkitu.com ; nous cessons alors de vous écrire et effaçons ce que vous nous avez envoyé.
• Les photos que le couple vous demande lors de votre confirmation — votre consentement (art. 6.1.a du RGPD) : la case que vous cochez en les envoyant. Vous pouvez le retirer en les supprimant depuis votre lien ou en écrivant à info@alkitu.com.
• L’accès du support à l’espace d’un mariage — avec l’autorisation du couple, l’exécution du contrat qu’il a conclu avec nous : l’aider à résoudre un problème fait partie du service. Sans son autorisation, uniquement notre intérêt légitime à traiter un incident de sécurité (art. 6.1.f du RGPD) ou une obligation légale (art. 6.1.c). Votre allergie n’est jamais utilisée pour autre chose que le repas : le support ne la voit que si elle figure à l’écran qu’il faut réparer.

Sous-traitants ultérieurs

• Vercel — hébergement et fonctions
• MongoDB Atlas — documents
• Cloudflare R2 — fichiers
• Stripe — encaissement de la boutique
• Resend — e-mails transactionnels
• Google — connexion, uniquement si vous choisissez de vous connecter avec Google (nous recevons votre adresse e-mail et un identifiant de compte ; jamais votre mot de passe)

Toutes les polices sont servies depuis ce même site : le navigateur ne demande rien à Google Fonts.

WhatsApp ne figure pas dans la liste, car il ne traite rien pour notre compte, mais deux chemins passent par Meta, qui le gère. Si vous nous écrivez sur WhatsApp, la conversation suit ses propres conditions et nous ne l’utilisons que pour vous répondre ; si vous préférez qu’elle ne passe pas par Meta, écrivez-nous à info@alkitu.com. Et si le couple vous envoie l’invitation avec le bouton de son espace qui ouvre WhatsApp, ce bouton ouvre une adresse web de WhatsApp (wa.me) qui contient déjà votre téléphone et le message rédigé — la salutation à votre nom, les noms du couple, la date et votre lien personnel —, si bien que ces données peuvent passer par les serveurs web de Meta à l’ouverture, avant le chiffrement de bout en bout de la conversation. Le bouton WhatsApp de la liste des réponses ne contient que votre téléphone. Si vous préférez que votre lien ne passe pas par là, dites-le au couple : il peut le copier et vous l’envoyer comme il veut.

Transferts internationaux

• Vercel — États-Unis (Washington D.C.). Tout ce qui est envoyé à ce site passe par ses fonctions, y compris votre réponse et votre allergie ; et les photos, les vidéos et la chanson de l’invitation vous parviennent par elles, même si elles sont conservées chez Cloudflare R2. Garantie : cadre de protection des données UE–États-Unis.
• MongoDB Atlas — États-Unis (est du pays, région us-east-1). C’est là que sont conservés les réponses, la liste des invités, les comptes et les contacts. Garantie : cadre de protection des données UE–États-Unis.
• Cloudflare R2 — entreprise américaine ; elle conserve les fichiers (dont les photos et les vidéos de l’album) à l’emplacement que choisit son réseau. Les vidéos de démonstration de la page d’accueil sont demandées directement à son réseau : elle reçoit donc votre adresse IP si l’une d’elles se lance. Garantie : cadre de protection des données UE–États-Unis.
• Stripe — États-Unis. Uniquement l’encaissement de la boutique : rien qui concerne les invités. Garantie : cadre de protection des données UE–États-Unis.
• Resend — États-Unis. Les e-mails qu’envoie ce site : comptes, achats et alertes au couple et à la boutique. Garantie : cadre de protection des données UE–États-Unis.
• Google — États-Unis. Uniquement si vous choisissez de vous connecter avec Google. Garantie : cadre de protection des données UE–États-Unis.

Ce sont toutes des entreprises américaines : ce qu’elles traitent pour notre compte peut donc sortir de l’Espace économique européen, et avec Vercel et MongoDB Atlas il en sort toujours, car les fonctions et la base de données se trouvent là-bas. Les États-Unis n’ont pas, en tant que pays, de décision d’adéquation de la Commission européenne ; il en existe une pour les entreprises qui adhèrent au cadre de protection des données UE–États-Unis (décision du 10 juillet 2023). Avec une entreprise qui n’y adhère pas, le transfert repose sur les clauses contractuelles types adoptées par la Commission (art. 46.2.c du RGPD), incluses dans son contrat de sous-traitance.

Vous pouvez demander une copie de ces garanties en écrivant à info@alkitu.com.

Vos droits et les violations de données

• Accès — savoir si nous traitons des données vous concernant et en recevoir une copie.
• Rectification — corriger ce qui est inexact ou incomplet.
• Effacement — les faire effacer avant le délai : votre réponse, votre allergie, votre compte ou votre invitation.
• Limitation — qu’elles soient conservées sans être utilisées pendant que l’on vérifie ce que vous avez soulevé, par exemple leur exactitude ou le bien-fondé de votre opposition.
• Portabilité — recevoir ce que vous nous avez fourni (votre réponse, votre compte) dans un format lisible par un ordinateur, pour l’emporter ailleurs.
• Retirer votre consentement — celui de la confirmation, celui de l’allergie, celui des photos ou celui du formulaire de contact, à tout moment et sans avoir à vous justifier. Ce qui a été fait avant reste valable ; ce qui en dépendait est effacé.

Opposition. Vous pouvez vous opposer à tout ce qui repose sur l’intérêt légitime (la liste « Sur quelle base nous pouvons les traiter »), et en particulier au comptage des ouvertures de votre lien et à la liste des invités que tient le couple, pour des raisons tenant à votre situation particulière. Si vous vous y opposez, cette donnée vous concernant cesse d’être traitée, sauf motifs légitimes impérieux qui l’emportent sur les vôtres ; dans ce cas, nous vous disons lesquels. Pour le comptage des ouvertures, il suffit de le demander au couple : depuis son espace, on cesse de noter quand vous ouvrez votre lien et ce qui a déjà été noté est effacé. Pour les visites de la boutique, inutile de nous écrire : le signal de non-suivi de votre navigateur ou le bouton de la section « Les visites de la boutique » suffisent.

Pour exercer l’un de ces droits, écrivez à info@alkitu.com et, si c’est au sujet d’un mariage, dites-nous lequel. C’est gratuit. Si vous êtes invité, vous pouvez aussi le demander directement au couple qui vous a invité : depuis son espace, il peut corriger ou effacer votre réponse et votre invitation.

Une violation de données à caractère personnel est notifiée à l’AEPD et à info@alkitu.com.

Si la réponse ne vous satisfait pas, ou si elle n’arrive pas, vous pouvez introduire gratuitement une réclamation auprès de l’Agence espagnole de protection des données : www.aepd.es. Il n’est pas nécessaire de nous écrire d’abord, même si c’est en général plus rapide.