Préambule et objet
Cette politique explique comment Viatous utilise et protège vos données sur son site et ses applications. Elle concerne les visiteurs, les titulaires d’un compte, les participants, les gagnants et les contacts des marques partenaires.
Nous collectons les informations utiles au service, à la sécurité et au respect de nos obligations. Nous ne revendons pas vos données. La publicité facultative repose sur votre consentement. Cette politique complète nos conditions d’utilisation et nos politiques relatives aux cookies et aux crédits.
Conditions générales d'utilisation · Politique de cookies · Politique de crédits
Responsable du traitement
Le responsable du traitement est Viatous SAS, 47 rue Vivienne, 75002 Paris, France.
Pour toute question concernant vos données ou pour exercer vos droits, contactez notre équipe à [email protected]. Cette adresse est notre point de contact pour la protection des données personnelles.
Données que nous collectons
Les données traitées dépendent des fonctions utilisées :
- Compte et profil : nom, prénom, email, téléphone lorsqu’il est fourni, photo, langue, fuseau horaire, préférences, source d’inscription et parrainage ; mot de passe protégé, identifiant Google et informations de session selon le mode de connexion.
- Participations gratuites et payantes : identifiant du compte, concours, type de participation, montant lorsqu’il existe, défi et résultat. La participation gratuite utilise les données du profil et ne redemande pas une identité distincte.
- Défis : concours, question présentée, langue, réponse, tentatives, abandons, expirations, horaires et temps total. Pour les jeux, progression et validation des bulles, configuration du parcours et chemin du tracé transmis.
- Gains et remise : identité et coordonnées du destinataire, adresse, rendez-vous, suivi d’expédition, codes et confirmation de remise ; choix d’affichage public lorsqu’il est proposé.
- Gemmes et avantages partenaires : participation payante d’origine, état disponible ou utilisé, dates de création et d’utilisation, offre et marque choisies, coût en gemmes, code privé attribué, expiration, lien d’utilisation et identifiant technique de la demande.
- Identité vérifiée : résultat et données décrites dans la section Didit.
- Paiements : références Stripe, montants, mouvements, remboursements, retraits, primes de parrainage et informations du compte de versement.
- Marques et assistance : coordonnées professionnelles des contacts, contenus et visuels fournis, échanges, catégorie de la demande, référence de contexte, messages et pièces jointes transmis. La catégorie peut notamment concerner les gemmes et avantages partenaires.
- Sécurité : adresse IP, caractéristiques du navigateur et de l’appareil, empreintes de prévention des abus, dates d’accès, journaux techniques et identifiants de notifications push.
- Publicité facultative : avec votre accord, pages publiques autorisées, concours consultés, inscriptions et événements de paiement, montants, identifiants d’événement, de clic ou de navigateur, IP et agent utilisateur. Des coordonnées ou identifiants peuvent être transmis sous forme hachée pour rapprocher les événements publicitaires.
Un identifiant haché n’est pas nécessairement anonyme. Les champs requis sont indiqués dans les formulaires ; leur absence peut empêcher l’opération demandée.
Finalités et bases légales
Nos traitements reposent sur les bases suivantes :
- Exécution du service : compte, participations, défis, classement au temps total, gains, portefeuille, retraits, parrainage, attribution et utilisation des gemmes, accès au catalogue d’avantages, délivrance des codes et échanges nécessaires à la remise. Les contacts professionnels permettent de gérer les relations avec les marques. La préparation des contenus peut inclure la traduction et l’analyse de visuels.
- Intérêt légitime : sécuriser les accès, prévenir la fraude, les inscriptions multiples, les participations automatisées et le double déblocage d’un avantage, traiter les incidents et protéger l’équité des concours. La vérification d’identité contribue à ces contrôles ; une obligation légale peut également s’appliquer selon le traitement concerné.
- Obligations légales : conserver les pièces comptables requises, répondre aux autorités habilitées et traiter les demandes relatives aux droits sur les données.
- Consentement : communications marketing auxquelles vous avez souscrit, mesure et personnalisation publicitaires facultatives, affichage public des informations d’un gagnant lorsque ce choix lui est proposé.
Vous pouvez retirer votre consentement pour l’avenir sans remettre en cause les traitements déjà réalisés licitement. Refuser la publicité n’empêche pas de participer. Les communications nécessaires au compte, aux paiements, aux avantages ou aux gains restent distinctes de la prospection.
Sous-traitants et destinataires
Les membres habilités de notre équipe accèdent aux informations nécessaires à leurs missions. Les coordonnées utiles à la remise d’un gain sont partagées avec la marque et, si nécessaire, les intervenants de la livraison. Le déblocage d’un code numérique partenaire n’entraîne pas, à lui seul, la transmission de votre identité ou de vos coordonnées à la marque. Si un avantage nécessite une livraison ou une autre information personnelle, les données nécessaires et leur destinataire vous sont indiqués avant leur transmission.
Nous utilisons notamment :
- Google Cloud Platform : hébergement et services de données.
- Amazon Web Services : stockage des fichiers et emails.
- Stripe : paiements et retraits.
- Didit : vérification d’identité.
- Cloudflare : protection du site et des API, prévention des abus et Turnstile.
- Twilio et Firebase Cloud Messaging : SMS et notifications push.
- Google Identity et Gemini : connexion Google, préparation, traduction et analyse des contenus.
- Umami : mesure d’audience sans cookies.
- Google Ads, Meta et TikTok : publicité et mesure avec votre consentement.
Selon le service, ces organismes agissent comme sous-traitants ou responsables de certains traitements. Les autorités compétentes peuvent recevoir les données requises par une demande légale. Nous ne revendons ni ne louons vos données.
Transferts hors Union européenne
Certains services impliquent un traitement hors de l'Espace économique européen, notamment au Royaume-Uni, aux États-Unis ou dans d'autres pays selon les prestataires. Lorsque cela est nécessaire, les transferts sont encadrés par les garanties applicables : décision d'adéquation, clauses contractuelles types ou autre mécanisme reconnu. Tous les traitements d'un prestataire ne se déroulent pas nécessairement dans le pays de notre hébergement.
Pour obtenir des précisions sur les destinataires et garanties applicables à vos données, écrivez à [email protected].
Hébergement et mesures de sécurité
Hébergement applicatif : Google Cloud Platform, région europe-west2, à Londres au Royaume-Uni.
Fichiers média : les photos de profil et les visuels des concours sont stockés sur Amazon S3, région eu-west-3, à Paris en France.
Migration prévue : une migration progressive de nos services applicatifs vers une région de l’Union européenne, à Paris ou en Belgique, est prévue ultérieurement. Nous mettrons cette politique à jour et vous informerons préalablement lorsque la réglementation l’exige ou lorsque l’impact du changement le justifie.
Sécurité : communications chiffrées, protection des mots de passe et des sessions, chiffrement des données stockées, contrôles des accès administratifs et limitations des demandes pour prévenir les abus. Les codes privés des avantages partenaires sont chiffrés dans notre base. Ces protections sont adaptées au site et aux applications mobiles.
Sauvegardes : sauvegardes quotidiennes de la base, conservées sept jours dans la zone multi-régionale Union européenne de Google Cloud. La récupération à un instant précis est activée sur les sept derniers jours.
Les accès sont limités aux personnes habilitées selon leurs missions. En cas de violation de données, les notifications à l’autorité compétente et aux personnes concernées sont réalisées dans les conditions légales applicables, notamment sous 72 heures auprès de l’autorité lorsque cette notification est requise.
Durées de conservation
Les durées dépendent des données et de leur utilisation :
- Compte actif : pendant la relation avec Viatous, sous réserve des procédures de suppression et d’inactivité ci-dessous.
- Suppression demandée : nettoyage à partir de 30 jours après la demande, rappel prévu à J+23.
- Inactivité : procédure à partir de cinq ans sans connexion, avec au moins sept jours après l’envoi réussi du rappel, selon les conditions de la section dédiée.
- Pièces comptables : dix ans pour les documents soumis à cette obligation.
- Journaux applicatifs locaux : rotation configurée sur 30 jours. Les journaux des prestataires relèvent de leurs paramètres et obligations propres.
- Sauvegardes de la base : sept jours, avec récupération à un instant précis sur cette même période.
- Données d’identité structurées chez Viatous : nettoyées avec le compte selon son cycle de suppression.
- Vérifications chez Didit : conservation configurée à dix ans dans notre service Didit. Il s’agit de notre paramétrage, pas d’une durée légale universelle.
- Gemmes et codes partenaires : une gemme disponible est conservée avec le compte jusqu’à son utilisation ou au nettoyage du compte. Un code attribué et son historique restent disponibles pendant la relation active et aussi longtemps que nécessaire pour permettre son utilisation, suivre l’offre, traiter une réclamation, prévenir la fraude ou établir la preuve de l’attribution.
Participations et résultats : les résultats, temps et écritures nécessaires à la gestion des concours, aux réclamations et aux obligations légales peuvent être conservés après le nettoyage d’un compte. Les participations gratuites sont liées au compte. Les résultats et écritures encore nécessaires peuvent être conservés après son nettoyage, selon ces finalités et les opérations en cours.
Lors du nettoyage du compte, les données identifiantes sont supprimées ou remplacées. Les écritures techniques encore nécessaires concernant une participation, une gemme utilisée ou un code attribué peuvent rester liées à un identifiant technique anonymisé, avec un accès limité. Les sauvegardes suivent leur propre rotation ; une suppression dans le service actif ne signifie pas un effacement instantané de toutes les copies de sauvegarde ni de toutes les données détenues par les prestataires.
Vos droits RGPD
Dans les conditions prévues par le RGPD, vous pouvez demander l'accès, la rectification, l'effacement, la limitation d'un traitement ou la portabilité des données concernées. Vous pouvez vous opposer à un traitement fondé sur l'intérêt légitime pour des raisons tenant à votre situation ; l'opposition à la prospection est possible à tout moment.
Vous pouvez retirer un consentement et définir des directives concernant vos données après votre décès. Lorsqu'une décision exclusivement automatisée produit des effets juridiques ou vous affecte significativement et que les conditions de l'article 22 sont réunies, vous pouvez demander une intervention humaine, exprimer votre point de vue et contester la décision. Les contrôles d'identité, de sécurité et le classement des concours peuvent faire intervenir des traitements automatisés ; notre équipe peut examiner une contestation.
Ces droits s'exercent sous réserve des conditions et exceptions légales, notamment de la conservation de certaines pièces justificatives.
Comment exercer vos droits
Avec un compte : votre profil permet de modifier les informations proposées, de gérer vos préférences et de demander la suppression. Dans « Sécurité & Confidentialité », « Télécharger mes données » fournit un fichier Excel comprenant notamment votre profil, vos participations, résultats et tentatives de défi, vos gains, vos mouvements financiers, ainsi qu’une feuille consacrée à vos gemmes partenaires et aux codes qui vous ont été attribués. Cet export ne contient pas tous les éléments internes de sécurité ni les données détenues uniquement par nos prestataires. Contactez-nous pour une demande complémentaire.
Participation gratuite connectée : elle apparaît dans votre espace au même titre que vos autres participations. Vous pouvez exercer vos droits depuis votre profil ou contacter Viatous pour une demande complémentaire.
Les autres demandes, y compris celles des contacts de marque, peuvent être adressées au même email. Une preuve supplémentaire d’identité n’est demandée qu’en cas de doute raisonnable. Évitez d’envoyer spontanément une pièce d’identité.
Délai de réponse : nous répondons en principe sous un mois. Ce délai peut être prolongé de deux mois selon la complexité ou le nombre de demandes ; vous en êtes informé dans le premier mois avec les raisons de la prolongation.
Suppression de compte à votre demande
Vous pouvez demander la suppression depuis votre profil. Pour un compte créé par email, votre mot de passe confirme la demande. Un compte bloqué doit passer par l’assistance. La demande depuis le profil est également empêchée tant qu’il existe un gain en cours, une participation encore valide, une redistribution finale ou une gemme encore à attribuer, un retrait en traitement, un solde positif dans le portefeuille ou une gemme partenaire disponible. Cela ne supprime pas votre droit de nous adresser une demande concernant vos données.
Le nettoyage automatique intervient à partir de 30 jours après votre demande. Un rappel est prévu à J+23. Vous pouvez annuler la demande depuis votre profil tant que le nettoyage définitif n’a pas eu lieu.
Les coordonnées du compte et les informations personnelles concernées sont supprimées ou remplacées : notamment les données d’identité conservées chez Viatous, les coordonnées de remise des gains rattachés au compte, les favoris, notifications et contenus personnels d’assistance. Les fichiers personnels concernés sont nettoyés lorsqu’ils ne sont plus utilisés ailleurs. Les résultats, écritures comptables et traces techniques encore nécessaires restent conservés avec un accès limité.
La suppression du compte ne supprime pas les concours des marques. Les participations gratuites et payantes liées au compte suivent le même nettoyage, sous réserve des résultats et écritures devant être conservés. Une gemme déjà utilisée et un code déjà attribué ne bloquent pas, à eux seuls, la suppression ; leurs traces nécessaires peuvent rester associées à l’identifiant technique anonymisé.
Le retrait des données de profil ne signifie pas que toute information conservée devient irréversiblement anonyme. Les éléments encore nécessaires doivent rester protégés et leur accès limité. La clôture des profils Stripe concernés est demandée lors du nettoyage ; les obligations propres des prestataires peuvent justifier la conservation de certaines informations.
Inactivité prolongée
Après cinq ans sans connexion, les comptes éligibles reçoivent un rappel invitant à se reconnecter. Le nettoyage peut intervenir au moins sept jours après l’envoi réussi de ce rappel, sans reconnexion.
Cette procédure ne s’applique pas tant qu’il existe un gain en cours, une participation encore valide, une redistribution finale ou une gemme encore à attribuer, un retrait en traitement, un solde positif dans le portefeuille, y compris les crédits non retirables, ou une gemme partenaire disponible. Ces conditions sont revérifiées avant le nettoyage.
Une reconnexion réinitialise le suivi d’inactivité. Le nettoyage suit le périmètre décrit pour la suppression du compte, en distinguant les données retirées des informations encore nécessaires aux opérations et obligations légales.
Vérification d'identité (Didit)
Pour les utilisateurs avec un compte, Didit réalise les contrôles d'identité proposés depuis le profil. Selon le contrôle configuré, Didit recueille la pièce d'identité, une photo ou capture de vérification et les éléments nécessaires au contrôle de présence réelle et à la prévention des doublons.
Viatous conserve le résultat, la référence de vérification, les dates et, lorsqu'ils sont fournis, le motif du refus, les noms officiels, la date de naissance, le genre, le numéro du document et son pays émetteur. Ces données servent notamment à vérifier la majorité et à détecter certaines identités déjà utilisées. Viatous ne conserve pas les scans de pièce ou les captures biométriques dans sa base de profils.
La conservation des vérifications est configurée à dix ans chez Didit. Les modalités de traitement et d'exercice des droits figurent dans la notice de vérification Didit. Notre équipe peut accompagner une demande concernant une vérification.
Le gagnant suit le même parcours de vérification depuis son compte, que sa participation gagnante soit gratuite ou payante.
Paiements et retraits
Stripe traite les paiements par carte pour les participations et dépôts, ainsi que les versements nécessaires aux retraits du portefeuille. Les données de carte sont saisies dans les composants sécurisés Stripe ; Viatous ne conserve pas le numéro complet ni le cryptogramme.
Compte de retrait : lors de la création ou modification du compte Stripe Connect, votre IBAN transite par notre service pour être transmis à Stripe. Notre enregistrement du compte de versement conserve l’identifiant Stripe, le pays, les quatre derniers caractères de l’IBAN et l’état d’activation, pas l’IBAN complet.
Stripe peut demander des informations ou justificatifs complémentaires pour ses contrôles. Viatous conserve les références et mouvements nécessaires au suivi des paiements, retraits, remboursements et obligations comptables.
Produits des marques : lorsqu’un produit est acheté à une marque partenaire selon l’accord professionnel conclu avec elle, Viatous conserve le montant d’achat, la référence du virement, ses dates de transfert et de confirmation, ainsi que l’identifiant de l’administrateur ayant enregistré l’opération. Lorsque le produit est offert par la marque, aucun virement d’achat n’est enregistré. Ce suivi est distinct des paiements des participants et de la redistribution des crédits.
Gemmes et avantages partenaires
Après la remise confirmée du produit, chaque participation payante non gagnante admissible peut recevoir une gemme partenaire. Viatous enregistre le compte bénéficiaire, la participation et le concours d’origine, l’état disponible ou utilisé, ainsi que les dates de création et d’utilisation.
Lorsque vous débloquez un avantage exclusif, nous traitons l’offre et la marque choisies, le nombre de gemmes utilisées, le code attribué, sa date d’expiration, son lien d’utilisation et un identifiant technique unique empêchant un double déblocage. Les codes privés sont chiffrés dans notre base et ne sont révélés qu’au compte auquel ils ont été attribués.
Les codes promo publics sont accessibles pour zéro gemme et ne constituent pas une attribution privée. Le déblocage d’un code numérique n’entraîne pas, à lui seul, la transmission de votre identité ou de vos coordonnées à la marque. Si l’exécution d’un avantage nécessite une livraison ou d’autres informations, les données nécessaires et leur destinataire vous sont indiqués avant leur transmission.
Cookies et autres traceurs
Le service utilise des mécanismes nécessaires à la connexion, aux préférences et à la sécurité. Les protections Stripe et Cloudflare, dont Turnstile, peuvent traiter des informations techniques pour prévenir les abus. Turnstile analyse notamment l'adresse IP et des caractéristiques du navigateur ; il ne s'agit pas d'une fonction publicitaire. Consultez la notice Turnstile.
Umami mesure l'audience sans cookies. Sur le web, Google Ads, Meta et TikTok sont activés uniquement dans les contextes autorisés et avec votre accord. Les envois publicitaires associés aux inscriptions et paiements sont également soumis à ce consentement. Les pages privées et légales ne font pas partie des pages publiques autorisées pour ces vues publicitaires.
Vous pouvez gérer ou retirer votre consentement depuis le choix de cookies. Notre politique de cookies détaille les traceurs et leurs modalités de contrôle.
Protection des mineurs
La participation est réservée aux personnes de 18 ans révolus. La vérification d'identité permet de contrôler cette condition. Elle peut aussi être engagée depuis le profil avant un gain.
Lorsqu'un contrôle confirme la minorité, la vérification est refusée et le compte est bloqué. Notre équipe examine les éventuelles erreurs et les conséquences sur les opérations en cours selon le règlement. Les données sont traitées selon les droits applicables et les informations qu'il reste nécessaire de conserver.
Pour signaler une utilisation par un mineur ou demander un examen, contactez [email protected].
Modifications de la présente politique
La présente politique de confidentialité peut être modifiée pour refléter une évolution légale, technique ou éditoriale.
La version applicable à un instant donné est celle publiée à la date de votre consultation. La mention « Dernière mise à jour » figurant en tête de page permet d’identifier la version en vigueur.
Information en cas de modification substantielle. Lorsqu’un changement a un impact important sur vos droits ou sur la manière dont vos données sont utilisées, Viatous fournit une information préalable adaptée lorsque la réglementation l’exige ou lorsque l’impact du changement le justifie. Cette information peut être affichée sur la plateforme ou envoyée par email, selon le contexte.
Contact et réclamation
Pour exercer vos droits ou poser une question sur vos données, écrivez à [email protected]. Notre équipe prend en charge les demandes des titulaires d’un compte, des visiteurs et des contacts de marque.
Vous pouvez également introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, 75007 Paris, France, si vous estimez que vos droits ne sont pas respectés.