Qui sommes-nous
Selmen Friakh, entrepreneur individuel (micro-entreprise), nom commercial Cardelyn Studio, dont le siège est situé 60 rue François Ier, 75008 Paris, est responsable du traitement des données décrites ici pour l’exploitation du site https://cardelyn.fr et des invitations qui y sont créées. Coordonnées complètes : voir les mentions légales. Pour nous joindre : notre formulaire « Nous écrire ».
Pour les personnes qui créent une invitation
Nous traitons vos prénoms et noms, vos coordonnées (e-mail, téléphone), les informations de votre événement (dates, lieux, programme), vos textes et vos photographies, ainsi que les données de votre commande : moment et langues commandés, montant, moyen de paiement, numéro de commande, identifiant de la transaction chez le prestataire de paiement et reçus numérotés.
Au moment du paiement, nous enregistrons la preuve de vos consentements : acceptation des conditions générales de vente (version et texte), demande de mise en ligne immédiate et renonciation au droit de rétractation, avec leur date et leur heure, une empreinte de votre adresse IP (jamais l’adresse elle-même) et le type de navigateur.
Bases légales : l’exécution du contrat de création de votre invitation et les mesures précontractuelles prises à votre demande (article 6.1.b du RGPD) ; nos obligations comptables, fiscales et de preuve (article 6.1.c).
Paiement
Nous ne collectons ni vos données de carte bancaire, ni vos identifiants PayPal, ni vos coordonnées bancaires. Avec PayPal (ou la carte bancaire lorsqu’elle est proposée), vous saisissez ces données chez le prestataire de paiement, qui nous transmet seulement le résultat et l’identifiant de la transaction. Avec un virement, c’est vous qui donnez l’ordre à votre banque, vers le compte de Cardelyn Studio indiqué à la commande : le relevé de compte de Cardelyn Studio fait apparaître le nom du titulaire du compte émetteur et la référence de commande.
PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxembourg) reçoit, pour traiter votre paiement, votre nom, votre adresse e-mail, le montant et la référence de votre commande ; il agit en responsable de traitement distinct pour ses propres obligations (lutte contre la fraude et le blanchiment), selon sa propre politique de confidentialité.
Lien d’aperçu privé
Avant le paiement, vous pouvez partager un lien d’aperçu de votre invitation à un proche. Ce lien contient une clé secrète : il n’est jamais indexé par les moteurs de recherche, ne permet pas de modifier l’invitation, expire après 14 jours et cesse de fonctionner dès la mise en ligne.
Durées de conservation
- Brouillon non commandé : supprimé après 30 jours sans activité, avec un rappel par e-mail 7 jours avant si vous nous avez donné votre adresse.
- Invitation en ligne : hébergée jusqu’à 180 jours après la date du dernier événement, puis retirée.
- Réponses de vos invités : supprimées 30 jours après la fin de l’hébergement, après un rappel vous invitant à les exporter (14 jours avant).
- Contenu de l’invitation, photographies et vos coordonnées : effacés 12 mois après la suppression des réponses ; seule la trace de la commande est gardée.
- Commande, paiements, reçus et preuves de vos consentements : 10 ans à compter de la clôture de l’exercice (obligation légale de conservation des pièces comptables).
- E-mails de service (liens, confirmations, reçus) : copie gardée 30 jours après leur envoi.
Pour les demandes sur devis
Lorsque vous nous demandez une ouverture ou un thème personnalisés (page Sur devis, ou depuis l’assistant de création), nous traitons le type de votre événement, la description de votre idée, votre nom, votre e-mail ou votre numéro WhatsApp, le lien d’inspiration facultatif et la langue de la demande. Ces données servent uniquement à étudier votre demande et à vous répondre (mesures précontractuelles prises à votre demande, article 6.1.b du RGPD). Elles ne sont ni vendues, ni utilisées pour vous adresser de la publicité.
Durée de conservation : 3 ans à compter de notre dernier échange, puis suppression. Si votre demande aboutit à une commande, les règles de la section précédente s’appliquent.
Pour les invités
Si vous recevez un lien vers une invitation Cardelyn Studio et répondez au formulaire de réponse (RSVP), voici ce que vous devez savoir :
Qui décide de ce traitement
La personne ou la famille qui organise l’événement (les « hôtes ») est responsable du traitement des réponses collectées sur son invitation : c’est elle qui choisit d’envoyer le lien, définit les questions posées (présence, nombre d’accompagnants, message) et consulte les réponses. Cardelyn Studio agit comme sous-traitant technique : nous hébergeons les données pour le compte des hôtes, sans les utiliser pour notre propre compte.
Quelles données
Nom, réponse de présence, nombre d’accompagnants et, selon le formulaire de l’invitation, e-mail, téléphone ou message facultatif. Une empreinte de votre adresse IP (jamais l’adresse elle-même) sert à limiter les réponses abusives ; elle est effacée sous 48 heures.
Qui reçoit vos réponses
Les hôtes de l’invitation, dans leur espace Cardelyn Studio. Vos réponses ne sont ni vendues ni utilisées pour vous adresser de la publicité.
Base légale et durée
L’intérêt légitime des hôtes à organiser leur événement. Les réponses sont conservées pendant l’hébergement de l’invitation, puis supprimées 30 jours après sa fin, soit au plus tard 210 jours après l’événement. Vous pouvez en demander la suppression anticipée aux hôtes ou à Cardelyn Studio.
Vos droits
Pour exercer vos droits d’accès, de rectification ou d’effacement sur vos réponses, adressez-vous en priorité aux hôtes de l’invitation (ce sont eux qui décident de la collecte). À défaut de réponse, écrivez à Cardelyn Studio (notre formulaire « Nous écrire ») : nous transmettrons votre demande aux hôtes et vous répondrons.
Sous-traitants et destinataires
- Supabase (base de données et stockage des photos) : hébergement en Europe, région de Paris (eu-west-3).
- Vercel Inc. (hébergement du site et des fonctions serveur) : exécution en Europe, région de Paris (cdg1).
- Resend (envoi des e-mails de service : liens, confirmations, reçus) : hébergement en Europe, région de l’Irlande (eu-west-1).
- PayPal (Europe) S.à r.l. et Cie, S.C.A. (paiement par compte PayPal ou par carte via PayPal) : Luxembourg ; responsable distinct pour ses propres obligations (voir « Paiement » ci-dessus).
- Stripe Payments Europe, Ltd. (paiement par carte bancaire, lorsqu’il est proposé) : Irlande.
- Cloudflare Turnstile (protection anti-robot des formulaires, lorsqu’elle est activée) : traitement minimal, sans cookie publicitaire.
- Google Maps : uniquement au clic volontaire sur un lien d’itinéraire vers un lieu de l’événement, aucun chargement automatique sur nos pages.
Transferts hors de l’Union européenne
Vos données sont hébergées et traitées en Europe lorsque le prestataire le permet (régions indiquées ci-dessus). Plusieurs de ces prestataires sont toutefois des sociétés établies aux États-Unis ou appartenant à un groupe américain (Vercel, Supabase, Resend, PayPal, Stripe, Cloudflare) : un accès depuis les États-Unis ne peut être exclu (maintenance, assistance technique, demandes d’autorités locales). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, prévues par les accords de traitement des données de ces prestataires, et, pour ceux qui y adhèrent, par le cadre de protection des données UE–États-Unis (décision d’adéquation de la Commission européenne du 10 juillet 2023). Vous pouvez nous demander une copie de ces garanties.
Vos droits
Conformément au Règlement général sur la protection des données (RGPD), vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur vos données, dans les limites des obligations légales de conservation (pièces comptables). Vous pouvez les exercer depuis votre espace personnel (lien de reprise ou espace client) ou en nous écrivant (notre formulaire « Nous écrire ») ; nous répondons dans un délai d’un mois. Vous disposez également du droit d’introduire une réclamation auprès de la CNIL (cnil.fr).