Politique de confidentialité

Dernière mise à jour le [date à fixer à la publication]

Préambule

Afin que vous puissiez utiliser Lbasi en confiance, cette politique décrit quelles données nous traitons, pourquoi, avec qui nous les partageons et ce que vous pouvez exiger de nous.

Elle est écrite pour être lue. Si un point vous paraît obscur, écrivez-nous : c'est le signe que nous l'avons mal formulé.

I — Les données que nous traitons

Cette liste est complète. Si une donnée n'y figure pas, nous ne la traitons pas.

• Votre compte : pseudonyme, prénom et nom, votre photo de profil si vous en posez une, ainsi que l'identifiant que Google ou Apple nous transmet quand vous vous connectez, et l'adresse e-mail associée.
• Votre statut de professionnel (dénomination et immatriculation, publiques) et celui de créateur, si vous les déclarez, et les marques que Lbasi pose sur un profil.
• Votre numéro de téléphone lorsque vous le renseignez — facultatif, sauf pour commander : le vendeur le reçoit alors avec vos prénom et nom et votre adresse, pour la livraison — et la date de sa vérification lorsque vous la demandez. Pour chaque code de vérification qui vous est envoyé : le moyen d'envoi, l'identifiant du message chez notre prestataire et ce qu'il nous dit de sa livraison. Le code lui-même n'est conservé que sous forme d'empreinte.
• Votre adresse de livraison : la ville et l'adresse. Elle est nécessaire dès que vous ajoutez un article à un panier.
• Vos commandes : les articles, le montant convenu, les frais de livraison, les étapes et leurs dates, le motif d'une annulation, ainsi que le service d'expédition et le numéro de suivi indiqués par la vendeuse.
• Vos avis : la note et le commentaire que vous laissez ou recevez après une commande.
• Vos annonces : ce que vous écrivez, les photos et la vidéo que vous publiez, et la ville où se trouve l'article.
• Si vous reliez un compte Instagram professionnel : son identifiant, son nom d'utilisateur (@compte) et son type, le jeton d'accès qu'Instagram nous remet, conservé chiffré, l'état de la connexion, le nombre d'abonnés et de publications, et pour vos douze dernières publications leur lien, leur vignette et leur date ; pour chaque annonce que vous publiez sur Instagram depuis Lbasi, la légende envoyée et le lien de la publication.
• Vos échanges : les messages envoyés et reçus, les images qui y sont jointes, et les dates d'envoi, de remise et de lecture.
• Votre activité : les annonces que vous consultez, celles que vous mettez en favori, les vendeurs que vous suivez, et la date de votre dernière utilisation de l'application.
• Vos signalements, vos blocages, et les décisions de modération qui vous concernent.
• Vos appareils : leur type, leur nom, et le jeton qui permet de vous envoyer des notifications si vous les avez autorisées.
• Des données techniques enregistrées automatiquement quand l'application appelle nos serveurs : type d'appareil et identifiant de trace.
• L'adresse depuis laquelle vous vous connectez. Elle est enregistrée à chaque ouverture de session, parce que la loi française l'impose à tout hébergeur, et personne ne la consulte pour faire fonctionner le service. Le serveur qui reçoit vos requêtes en tient par ailleurs un journal d'accès technique, conservé une quinzaine de jours.
• L'identifiant publicitaire de votre appareil, et vos choix en matière de publicité, si vous avez accepté l'affichage de publicités personnalisées.
• Les rapports d'erreur et de plantage de l'application : le message de l'erreur, la pile d'appels qui y mène, l'écran affiché, la version de l'application et le modèle de l'appareil. Ni le contenu de vos annonces, ni vos messages n'y figurent.
• Les messages techniques que l'application écrit pour elle-même pendant qu'elle fonctionne, joints à l'incident qui les suit.

II — Pourquoi nous les utilisons

Aucune décision produisant des effets juridiques à votre égard n'est prise de façon automatisée. Une annonce refusée l'a été par une personne, pour un motif que vous pouvez lire.

III — La messagerie entre membres

Lbasi propose une messagerie privée entre l'auteur d'une annonce et la personne qui le contacte. Elle mérite quelques précisions, parce qu'elle ne fonctionne pas comme on le suppose souvent.

• Vos messages sont conservés sur nos serveurs et ne sont pas chiffrés de bout en bout. Nous n'y accédons pas dans le cours normal du service : cet accès sert au traitement d'un signalement, à une obligation légale, ou à un diagnostic technique qu'aucun autre moyen ne permet.
• Un message envoyé ne peut être ni modifié ni supprimé, ni par vous ni par votre interlocuteur.
• Un modérateur peut masquer un message signalé, et une copie du contenu est conservée avec le signalement. Il peut aussi fermer une conversation, qui reste lisible sans accepter de nouveau message.
• Votre interlocuteur voit quand votre message lui a été remis et quand vous avez lu le sien.
• Les images échangées ne sont pas publiques : l'accès est vérifié à chaque consultation et réservé aux deux participants.
• Vous pouvez bloquer une personne à tout moment ; elle ne pourra plus vous écrire.

IV — Vos photos et vidéos

• Vos photos — celles de vos annonces, celles de vos conversations et votre photo de profil — sont recadrées et réduites sur votre appareil, puis réencodées avant d'être envoyées. L'original ne quitte jamais votre téléphone, et les informations qu'il contient — dont une éventuelle position GPS — ne nous parviennent pas.
• Rien n'est envoyé tant que vous n'avez pas soumis votre annonce : une annonce abandonnée en cours de saisie ne laisse aucun fichier chez nous.
• La vidéo d'une annonce est découpée et compressée sur votre appareil de la même manière, et sa position de tournage en est retirée avant l'envoi. Elle peut montrer votre visage et, si vous gardez le son, porter votre voix ; le son est coupé par défaut.
• Les photos et la vidéo d'une annonce publiée sont visibles de tous, et votre photo de profil l'est aussi : elle accompagne vos annonces et vos messages. Celles d'une annonce qui n'est pas publiée ne sont accessibles qu'à vous.

IV bis — Votre compte Instagram

Si vous vendez sur Lbasi, vous pouvez y relier votre compte Instagram professionnel, depuis Compte › Instagram. Rien ne se fait sans vous : la connexion passe par la page d'autorisation d'Instagram, où vous accordez deux permissions — lire votre compte, et y publier.

• Ce que nous lisons : le nom et le type du compte, le nombre d'abonnés et de publications, et vos douze dernières publications — leur lien, leur vignette et leur date. Nous ne lisons ni vos messages privés, ni la liste de vos abonnés, ni les commentaires.
• Pourquoi : montrer ce compte sur votre profil Lbasi, tant que « Afficher sur mon profil » reste allumé, et publier sur Instagram l'annonce que vous choisissez, avec la légende que vous validez. Nous ne publions jamais rien sans votre geste.
• Les vignettes de vos publications restent hébergées par Instagram : le visiteur de votre profil les reçoit directement de Meta, qui voit alors son adresse et son appareil, comme pour toute image d'un site tiers.
• Le jeton qu'Instagram nous remet est conservé chiffré, ne sert qu'à nos échanges avec Instagram, et n'est montré à personne, ni à vous ni à nos équipes. Nous le renouvelons tant que la connexion existe.
• Combien de temps : jusqu'à ce que vous choisissiez « Déconnecter ». Cela efface le jeton, le nombre d'abonnés et vos publications lues ; nous gardons seulement l'identification du compte — son nom d'utilisateur, son identifiant, son type — et l'historique de la connexion, pour reconnaître une reconnexion, jusqu'à la suppression de votre compte Lbasi. Ce qui a été publié reste sur Instagram, et son lien sur votre annonce.
• Vous pouvez aussi retirer l'accès depuis Instagram, dans ses paramètres d'applications et de sites web : la connexion cesse alors de fonctionner, votre compte Instagram disparaît de votre profil, et l'application vous le dit. Pour effacer aussi ce que nous avions lu, choisissez « Déconnecter » dans Compte › Instagram.

V — Ce que nous ne faisons pas

• Nous ne vendons, ne louons et n'échangeons aucune donnée personnelle.
• Nous n'encaissons aucun paiement et ne collectons aucune donnée bancaire.
• Nous n'interrogeons jamais votre appareil sur l'endroit où il se trouve, et l'application ne demande aucune autorisation de localisation. La ville que vous choisissez dans une liste pour situer un article est publiée avec l'annonce.
• Nous n'accédons ni à vos contacts, ni à votre agenda, ni à votre photothèque au-delà des images et vidéos que vous sélectionnez vous-même. Le micro n'est utilisé que lorsque vous filmez la vidéo d'une annonce.
• Nous ne vous demandons aucun mot de passe.
• Nous n'utilisons aucun outil de mesure d'audience, et nous ne construisons aucun profil publicitaire à partir de ce que vous publiez ou de ce que vous écrivez dans la messagerie.

VI — La publicité

Lbasi affiche de la publicité, par l'intermédiaire de Google AdMob. Trois emplacements, limités et identifiés comme tels : à l'ouverture de l'application, dans le fil des annonces, et dans le détail d'une annonce. Aucune publicité ne s'intercale pendant que vous rédigez une annonce ou un message.

Pour afficher ces publicités, AdMob peut lire l'identifiant publicitaire de votre appareil et déposer des identifiants sur celui-ci.

En Europe, rien de tout cela n'a lieu avant que vous ne l'ayez accepté : un écran de consentement vous est présenté au premier lancement, et vous pouvez y revenir à tout moment. Si vous refusez, vous continuez d'utiliser Lbasi normalement, et les publicités affichées ne sont plus personnalisées.

Sur iPhone et iPad, le système vous demande en outre l'autorisation de suivre votre activité. Refuser n'a aucune conséquence sur le service.

Une annonce que nous mettons en avant n'est pas une publicité de ce type : elle reste une annonce de Lbasi, signalée comme mise en avant.

VII — Les destinataires de vos données

Les autres membres ne sont pas des tiers au sens de ce tableau, mais ils voient une partie de vos données : votre pseudonyme, votre photo de profil, vos annonces publiées et ce que vous leur écrivez. Et lorsque vous autorisez les appels sur une annonce, votre numéro de téléphone est communiqué au membre qui demande à vous appeler depuis celle-ci.

Votre adresse de livraison est communiquée au vendeur lorsque vous passez votre commande, et à ce moment seulement, avec vos prénom et nom et votre numéro de téléphone, pour qu'il puisse vous expédier l'article. Ces données cessent de lui être montrées si la commande est refusée ou annulée avant l'envoi. Avant votre commande, il ne voit que votre ville, dont il a besoin pour fixer les frais de livraison. Nous vous conseillons d'indiquer un point de repère plutôt que votre domicile. Aucun livreur n'est raccordé au service à ce jour ; le jour où un vendeur pourra confier ses envois à un livreur depuis l'application, ces mêmes données lui seront transmises pour la seule livraison de votre commande, et cette politique le dira avant.

Un avis publié est visible de tous, avec le pseudonyme et la photo de son auteur.

Aucune donnée n'est communiquée à un tiers à des fins commerciales. Elle peut l'être à une autorité judiciaire ou administrative sur réquisition régulière.

VIII — Où vos données sont traitées

Vos données sont hébergées dans l'Union européenne, y compris les fichiers que vous envoyez — photos et vidéos d'annonces, images de conversation, photo de profil. Que vous utilisiez Lbasi depuis le Maroc ou depuis l'Europe, vos données y sont traitées de la même manière et vous bénéficiez des mêmes droits.

Les rapports d'erreur de l'application sont reçus dans l'Union européenne, et n'en sortent pas.

Google, Apple, notre prestataire d'envoi d'e-mails et celui des codes de vérification peuvent traiter certaines données hors de l'Union européenne — pour ces deux derniers, votre adresse e-mail ou votre numéro de téléphone, et le message qui vous est envoyé. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou par le cadre de protection des données entre l'Union européenne et les États-Unis.

IX — Durée de conservation

• Votre compte et les contenus que vous publiez sont conservés tant que votre compte existe. Ils sont supprimés à votre demande, ou trois ans après votre dernière connexion.
• Vos messages suivent votre compte. À sa suppression, ils sont détachés de votre identité et restent lisibles par votre interlocuteur, qui a le droit de conserver l'historique d'un échange le concernant.
• Votre adresse de livraison est conservée jusqu'à ce que vous la supprimiez, ou avec votre compte. Vos commandes suivent votre compte comme vos messages : à sa suppression, elles sont détachées de votre identité et restent visibles de l'autre membre, qui a le droit de conserver la trace d'un engagement pris envers lui.
• Un avis suit la commande. Si son auteur supprime son compte, l'avis reste sans son nom ; si la personne notée supprime le sien, l'avis disparaît.
• Les signalements et les décisions de modération sont conservés vingt-quatre mois après leur clôture, à des fins de preuve et de sécurité.
• Les données techniques sont conservées trente jours. Les notifications que vous recevez dans l'application sont conservées quatre-vingt-dix jours.
• Votre choix en matière de publicité est conservé sur votre appareil par la plateforme de consentement de Google, et non sur nos serveurs. Vous pouvez y revenir à tout moment depuis l'écran Compte.
• Les codes de vérification expirent en quelques minutes. Leur trace — l'empreinte du code et ce que notre prestataire nous a dit de sa livraison — est conservée trente jours, puis effacée.
• Nos sauvegardes — la base de données comme les fichiers — sont conservées au plus trente jours. Une donnée effacée disparaît donc de nos bases immédiatement, et de nos sauvegardes au plus tard trente jours après.
• Votre connexion Instagram est conservée jusqu'à ce que vous la déconnectiez ; la déconnexion efface le jeton, les abonnés et les publications lues, et ne laisse que l'identification du compte jusqu'à la suppression de votre compte Lbasi. La légende et le lien d'une annonce publiée sur Instagram suivent l'annonce.
• La loi française impose à un hébergeur de pouvoir dire qui a contribué à un contenu mis en ligne. L'adresse depuis laquelle vous ouvrez une session est donc conservée un an à compter de cette connexion. À la fermeture de votre compte, nous conservons de même à part, et à ce seul titre : votre pseudonyme, votre adresse e-mail et votre numéro de téléphone pendant un an ; vos prénom et nom pendant cinq ans. Ces données ne sont lues par personne dans le cours normal du service : elles ne répondent qu'à une réquisition d'une autorité judiciaire, et s'effacent d'elles-mêmes à leur terme.
• Deux éléments survivent enfin sans limite de durée, et ne servent qu'à cela — ce ne sont pas les mêmes que ceux du registre légal ci-dessus, qui s'efface, lui, à ses termes : votre pseudonyme, retenu pour qu'un autre ne le reprenne pas ; et, si votre compte a été banni, une empreinte irréversible des identifiants Google ou Apple qui l'ouvraient, afin que le bannissement ne se contourne pas par une réinscription. Cette empreinte ne permet pas de retrouver l'identifiant d'origine.

X — Sécurité

• Les échanges entre l'application et nos serveurs sont chiffrés.
• Les jetons qui vous maintiennent connecté sont conservés dans le coffre sécurisé de votre appareil.
• Chaque autorisation est vérifiée par nos serveurs : l'application ne décide jamais seule de ce que vous avez le droit de voir.
• Nos journaux techniques ne contiennent ni mot de passe, ni jeton, ni code de vérification.
• Aucun système n'est infaillible. En cas de violation susceptible d'engendrer un risque élevé pour vos droits, vous en seriez informé.

XI — Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement lorsqu'il fonde un traitement. Vous pouvez également définir des directives sur le sort de vos données après votre décès.

Écrivez à privacy@lbasi.ma. Nous répondons dans un délai d'un mois, qui peut être prolongé de deux mois pour une demande complexe ; vous en seriez informé.

L'effacement peut ne porter que sur une partie de vos données — un numéro de téléphone, une photo, une annonce — sans que vous ayez à fermer votre compte. Dites-nous ce que vous souhaitez voir disparaître.

Deux limites tiennent à la nature du service, et nous préférons les énoncer : votre pseudonyme est définitif une fois choisi, parce qu'il signe des annonces et des messages déjà envoyés ; et un message envoyé n'est pas supprimable, parce qu'il appartient aussi à la conversation de votre interlocuteur.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir une autorité de contrôle. Lbasi étant édité depuis la France et destiné au Maroc, deux sont compétentes, chacune pour les personnes qu'elle protège. Au Maroc : la Commission nationale de contrôle de la protection des données à caractère personnel — CNDP, cndp.ma, auprès de laquelle la déclaration de ce traitement a été déposée ; nous en respectons les engagements. Dans l'Union européenne : la Commission nationale de l'informatique et des libertés — CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.

XII — Supprimer votre compte

• Depuis l'écran Compte de l'application, choisissez « Demander la suppression du compte ».
• Sans passer par l'application, écrivez à privacy@lbasi.ma depuis l'adresse e-mail de votre compte, ou indiquez votre pseudonyme. La demande a exactement le même effet.
• La demande est traitée dans les meilleurs délais, et au plus tard sous un mois.
• Vous reconnecter avant son traitement annule la demande.
• Sont effacés du service : votre compte, votre photo de profil, vos annonces avec leurs photos et vidéos, vos favoris, vos abonnements, votre numéro de téléphone et les identifiants transmis par Google ou Apple.
• Si vous aviez relié un compte Instagram, la connexion est effacée avec votre compte : le jeton, ce que nous avions lu, le nom d'utilisateur et l'identifiant du compte. Ce qui a été publié reste sur Instagram, où vous seul pouvez le retirer.
• Pour retirer Instagram sans fermer votre compte Lbasi, choisissez « Déconnecter » dans Compte › Instagram : le jeton, les abonnés et les publications lues sont effacés aussitôt.
• Votre identité est toutefois recopiée dans un registre que la loi française nous impose de tenir — pseudonyme, adresse e-mail et téléphone un an, prénom et nom cinq ans. Il est séparé du service, personne ne le consulte pour le faire fonctionner, et il ne répond qu'à une réquisition judiciaire. Nous préférons l'écrire plutôt que de vous laisser croire à un effacement plus complet qu'il ne l'est.
• Restent conservés : les messages que vous avez envoyés, les images qui y étaient jointes, les signalements vous concernant et les décisions de modération, dans les durées indiquées plus haut. Votre compte ne les porte plus. Un signalement garde toutefois une copie de ce qui était visible au moment de son dépôt, votre pseudonyme compris : c'est ce qui permet encore de l'instruire.
• Votre pseudonyme est retenu et ne peut être repris par quelqu'un d'autre, afin que les échanges passés ne changent pas de signataire.
• Si votre compte avait été banni, une empreinte irréversible des identifiants Google ou Apple qui l'ouvraient est conservée, pour que le bannissement ne se lève pas par une réinscription. Un compte ordinaire ne laisse rien de tel.

XIII — Les mineurs

Lbasi est réservé aux personnes âgées de 18 ans révolus, et nous ne collectons pas sciemment de données concernant des mineurs. Si vous constatez qu'un compte a été ouvert par un mineur, écrivez à privacy@lbasi.ma : il sera fermé et ses données effacées.

XIV — Responsable du traitement

Le responsable du traitement est Nephion, nom commercial de M. Mohamed-Amine Khiyat, entrepreneur individuel, éditeur de Lbasi. Son immatriculation et son adresse se lisent dans les mentions légales du site. Pour le joindre : privacy@lbasi.ma.

Aucun délégué à la protection des données n'a été désigné, aucune des conditions de l'article 37 du règlement n'étant réunie.

XV — Mise à jour

Cette politique peut évoluer. Toute modification substantielle sera annoncée dans l'application avant son entrée en vigueur, et la date portée en tête du document fait foi.

XVI — Nous contacter

Pour vos données personnelles et l'exercice de vos droits : privacy@lbasi.ma. Pour toute autre question : contact@lbasi.ma.