Politique de Confidentialité

1 — Responsable du traitement

Le responsable du traitement des données personnelles est :

Bulk and Cut (SASU)
Nom commercial : Bulk & Cut
Siège social : 60 rue François 1er, 75008 Paris
SIREN : 101 897 106
Contact : contact@bulkandcut.fr

2 — Données collectées

Nous collectons uniquement les données nécessaires à la fourniture de nos services :

• Données d'identification : nom, prénom, adresse email, numéro de téléphone,
• Données de livraison : adresse postale,
• Données de commande : historique d'achats, mode de réception préféré,
• Partenaire de rattachement : le partenaire que vous avez choisi, ou celui par le lien duquel vous êtes arrivé sur nos services (QR code affiché dans son établissement, ou lien qu'il vous a communiqué). Il détermine le point de retrait qui vous est proposé, et sert au calcul de la commission qui lui est due,
• Message envoyé via le formulaire de contact : nom, adresse email, motif et contenu du message. Ces données ne sont enregistrées dans aucun fichier client : elles nous parviennent par email et sont conservées dans notre messagerie le temps de traiter la demande, puis supprimées,
• Demande d'ouverture de zone : lorsque nous ne livrons pas encore chez vous et que vous demandez à être prévenu, nous enregistrons votre adresse email et la commune concernée. C'est le seul cas où nous conservons vos coordonnées sans que vous soyez client. Elles ne servent qu'à vous écrire le jour où nous ouvrons votre secteur,
• Journal des envois : pour chaque email et chaque SMS que nous vous adressons, nous conservons le destinataire, le type de message, la date et le statut de remise. Cela nous permet de prouver qu'un message vous a bien été envoyé — notamment celui qui annonce la date limite de retrait de votre box — et de détecter un envoi défaillant,
• Gestes commerciaux : lorsqu'un remboursement ou un geste vous est accordé, nous en conservons le montant, le motif et la date, afin de traiter votre demande et d'appliquer la garantie une seule fois par client,
• Acceptation des Conditions Générales de Vente : la version des CGV en vigueur au moment de votre commande et la date de celle-ci, afin de pouvoir établir quelles conditions régissent votre contrat,
• Données techniques : adresse IP, données de session strictement nécessaires au fonctionnement,
• Token de notifications push : identifiant technique attribué par le service de notifications d'Apple (APNs), nécessaire pour vous envoyer les notifications transactionnelles (box prête, livraison, demande d'avis) — aucune utilisation publicitaire,
• Avis sur les plats et le service : notes (étoiles) et commentaires facultatifs laissés volontairement dans l'application, utilisés pour améliorer le menu et le service — internes, jamais publiés sans accord,
• Données stockées localement sur votre appareil (site et application mobile) : panier en cours, mode de retrait/livraison préféré, partenaire de rattachement, et — dans l'application — l'indicateur d'activation des notifications. Ces données ne quittent pas votre appareil ; elles sont effacées si vous videz votre navigateur, à la désinstallation de l'application, ou à la suppression de votre compte.
• Position géographique, uniquement si vous la demandez : lorsque vous appuyez sur « Me localiser » pour classer nos partenaires du plus proche au plus loin, votre navigateur ou votre téléphone nous communique votre position. Elle sert au calcul des distances sur votre appareil, puis disparaît : elle n'est ni transmise à nos serveurs, ni enregistrée, ni recoupée avec votre compte. Vous pouvez refuser — la liste des partenaires reste accessible, simplement pas triée par distance.

Aucune donnée bancaire n'est collectée ni stockée par Bulk & Cut : les paiements sont traités directement par notre prestataire sécurisé.

3 — Finalités et bases légales

• Gestion des commandes (préparation, livraison ou retrait, facturation) — exécution du contrat,
• Communications opérationnelles liées aux commandes (confirmation, rappel de date limite, avis de retrait ou de livraison) par email et SMS — exécution du contrat,
• Recueil d'avis et enquêtes de satisfaction après une commande (par email, notification ou appel téléphonique), afin d'améliorer nos recettes et notre service — intérêt légitime. Les demandes d'avis automatiques (email et notification) ne vous sont adressées qu'avec votre consentement (case « Aide-nous à faire mieux »). Vous pouvez vous y opposer à tout moment, sans motif et sans frais, y compris pour les appels, en écrivant à contact@bulkandcut.fr ou depuis vos préférences de notification,
• Communications marketing (offres, nouveautés) — consentement, révocable à tout moment,
• Classement des partenaires par distance (bouton « Me localiser », sur le site et dans l'application) — consentement, donné au moment où vous appuyez, révocable dans les réglages de votre navigateur ou de votre téléphone,
• Vous prévenir de l'ouverture de votre secteur, lorsque vous en avez fait la demande depuis nos services — intérêt légitime à répondre à une demande que vous avez formulée. Ce message est le seul que vous recevrez à ce titre : cette demande ne vous inscrit à aucune liste de prospection,
• Réponse à une demande envoyée via le formulaire de contact (question, réclamation, demande d'ouverture de zone, candidature d'un établissement comme point de retrait) — intérêt légitime à répondre à la personne qui nous écrit. Ces données ne servent à aucune prospection : nous écrire ne vous inscrit à aucune liste,
• Obligations légales et comptables — obligation légale.

4 — Destinataires et sous-traitants

Vos données ne sont jamais vendues. Elles sont partagées uniquement avec les prestataires nécessaires au service, agissant comme sous-traitants :

• Stripe — traitement sécurisé des paiements,
• Supabase — hébergement de la base de données et authentification,
• Resend — envoi des emails transactionnels,
• Netlify — hébergement du site (voir transferts ci-dessous),
• Twilio — envoi des SMS liés à vos commandes,
• Apple Push Notification Service (APNs) et Expo — relais technique des notifications push de l'application mobile,
• Atelier 11 (SIREN 980 711 451) — préparation des repas dans son atelier à Taden (22) et impression des étiquettes, qui ne portent que votre prénom suivi de l'initiale de votre nom.
• Base Adresse Nationale (api-adresse.data.gouv.fr, service public opéré par la DINUM) — vérification et géolocalisation de l'adresse que vous saisissez, pour savoir si nous livrons chez vous. Les données restent en France.
• Google (Firebase Cloud Messaging) — relais technique des notifications push sur Android.

Livreur (livraison chez vous). La personne qui effectue la tournée agit pour notre compte pour la seule remise de votre box. Elle voit votre prénom suivi de l'initiale de votre nom, votre téléphone, votre adresse de livraison et les précisions que vous avez laissées à la commande (code d'entrée, étage) : sans elles, elle ne pourrait pas vous livrer. Elle n'a accès ni à votre email, ni au montant de votre commande, ni à votre historique. Lorsqu'elle dépose des box au frigo d'un partenaire, elle ne voit que le prénom et l'initiale du nom de chacune. Votre code de retrait ne lui est jamais communiqué : elle le vérifie lorsque vous le présentez, sans pouvoir le consulter.

Partenaire (retrait sur place). Lorsque vous choisissez le retrait, le partenaire qui héberge le frigo agit pour notre compte pour la seule remise de votre box. Son écran n'affiche que votre prénom suivi de l'initiale de votre nom ; votre nom complet lui est transmis pour vous identifier au comptoir lorsque vous vous présentez. Votre code de retrait ne lui est jamais communiqué : il le vérifie lorsque vous le présentez, sans pouvoir le consulter. Il s'interdit tout autre usage de ces informations, et n'a accès ni à votre email, ni à votre téléphone, ni à votre adresse. Il ne dispose d'aucun historique nominatif : les statistiques qui lui sont présentées sont des totaux (nombre de clients, nombre de box remises), jamais le détail par personne.

5 — Transferts hors Union européenne

Une partie de nos prestataires est établie hors de l'Union européenne, ou appartient à un groupe qui l'est. Chaque transfert est encadré par les clauses contractuelles types de la Commission européenne, prévues par l'accord de sous-traitance du prestataire concerné :

• Netlify, Inc. (États-Unis) — hébergement du site,
• Supabase, Inc. (États-Unis) — base de données et authentification,
• Resend (États-Unis) — emails transactionnels,
• Twilio (États-Unis) — envoi des SMS,
• Expo (États-Unis) — relais des notifications push,
• Stripe — le contrat est conclu avec Stripe Payments Europe (Irlande) ; les transferts vers Stripe, Inc. (États-Unis) sont encadrés dans les mêmes conditions,
• Apple — notifications push iOS, via Apple Distribution International (Irlande) et Apple Inc. (États-Unis),
• Google (États-Unis) — notifications push Android, via Google Ireland Limited.

Nous ne transmettons aucune donnée bancaire : vos coordonnées de carte sont saisies directement chez Stripe et ne transitent jamais par nos serveurs. Le détail des garanties applicables peut être demandé à contact@bulkandcut.fr.

6 — Durée de conservation

Les données sont conservées pendant la durée de la relation commerciale, augmentée des délais légaux applicables :

• Factures et données comptables : 10 ans (Code de commerce, art. L123-22),
• Données du compte client (hors comptabilité) : jusqu'à la suppression du compte (par vous via l'application ou votre espace personnel, ou par nous après 3 ans d'inactivité),
• Consentement marketing : jusqu'au retrait du consentement,
• Tokens de notifications push : effacés à la déconnexion ou lorsque le token devient invalide,
• Avis sur les plats et le service : conservés 5 ans (amélioration du menu), supprimés à la suppression du compte,
• Demande d'ouverture de zone (adresse email et commune, lorsque vous nous signalez que nous ne livrons pas encore chez vous) : 12 mois, puis suppression — passé ce délai, la demande n'a plus d'objet,
• Journal des emails et des SMS envoyés (destinataire, type de message, date, statut de remise) : 12 mois. Il nous sert à prouver qu'un message vous a bien été adressé et à diagnostiquer un envoi défaillant,
• Gestes commerciaux et remboursements accordés (montant, motif, date) : 3 ans, durée de la prescription commerciale.

7 — Vos droits

Conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :

• Accès : obtenir une copie de vos données,
• Rectification : corriger des données inexactes,
• Effacement : demander la suppression de vos données,
• Opposition : vous opposer à un traitement fondé sur l'intérêt légitime,
• Portabilité : recevoir vos données dans un format structuré,
• Limitation : restreindre un traitement en cours.

Ces droits s'exercent par email à contact@bulkandcut.fr. En cas de réclamation non résolue, vous pouvez saisir la CNIL (www.cnil.fr).

Suppression de votre compte

Vous pouvez supprimer votre compte à tout moment, depuis l'application mobile (Compte > Supprimer mon compte), depuis votre espace personnel sur le site (Mon compte > Sécurité), ou par email à contact@bulkandcut.fr. La suppression entraîne l'effacement immédiat de votre fiche client (nom, email, téléphone, consentements), de vos avis et de vos tokens de notifications ; vos commandes passées sont anonymisées (nom, email, téléphone et adresse retirés) puis conservées sous forme anonyme pour respecter nos obligations comptables (voir durées ci-dessus).

8 — Cookies

Le site utilise uniquement des cookies et un stockage local strictement nécessaires à son fonctionnement : session, panier en cours, partenaire de rattachement (il détermine le point de retrait qui vous est proposé), et les cookies techniques déposés par Stripe sur les pages du parcours de commande pour la prévention de la fraude au paiement. Aucun cookie de mesure d'audience, de profilage ou de suivi publicitaire n'est déposé, et aucune de ces informations n'est partagée avec un tiers à des fins publicitaires. Aucun consentement n'est donc requis pour ces éléments techniques.

8 bis — Pistage publicitaire

Bulk & Cut ne fait aucun pistage publicitaire ni vente de données à des tiers, ni sur le site, ni dans l'application mobile. Aucun identifiant publicitaire (IDFA, AAID, etc.) n'est utilisé.

9 — Mineurs

Le service est réservé aux personnes majeures (18 ans ou plus), conformément à nos Conditions Générales d'Utilisation. Nous ne collectons pas sciemment de données concernant un mineur. Si vous êtes parent ou tuteur et constatez qu'un mineur nous a fourni des données, contactez-nous à contact@bulkandcut.fr : nous les supprimerons. Pour mémoire, en France, un mineur ne peut consentir seul au traitement de ses données avant l'âge de 15 ans.

10 — Modifications

Cette politique peut être mise à jour. Toute modification substantielle vous sera signalée par email (si vous avez un compte) et un avis sera affiché dans l'application et sur le site. La date de dernière mise à jour figure en haut de cette page.

11 — Contact

Pour toute question relative à cette politique ou au traitement de vos données : contact@bulkandcut.fr.