Politique de confidentialité
Comment Toffy collecte, utilise et protège vos données personnelles.
1.Responsable du traitement
Le responsable du traitement de vos données personnelles est :
TOFFY (ANIMOPRO), SAS, SIREN 999 834 138, dont le siège social est situé au 20 rue Vallence Père Ruby, 13008 Marseille, représentée par Dan BENECH, Président.
Contact DPO : dpo@toffy.fr
2.Données collectées
Toffy collecte différents types de données selon votre profil et votre utilisation de la Plateforme :
2.1 Pour tous les utilisateurs
- Données d'identification : nom, prénom, email, mot de passe (chiffré), numéro de téléphone
- Données de connexion : adresse IP, type de navigateur, système d'exploitation, dates et heures de connexion
- Données de navigation : pages visitées, recherches effectuées, animaux consultés, coups de cœur
- Cookies : voir section 8
2.2 Données spécifiques aux acheteurs
- Code postal et ville
- Préférences (race, type d'animal, fourchette de prix)
- Historique de messages avec les éleveurs
- Coordonnées de paiement (traitées exclusivement par Stripe)
- Adresse de livraison (si remise à domicile)
- Alerte par e-mail sans compte : adresse e-mail, critères de l'alerte (espèce, race, région, élevage), origine de la demande (page de liste ou fiche d'un animal), dates de la demande et de la confirmation, version du texte accepté ; les e-mails de l'alerte (confirmation, annonces) partent par notre prestataire d'envoi, Brevo (France)
2.3 Données spécifiques aux éleveurs
- Raison sociale, SIREN, SIRET, statut juridique
- Adresse de l'élevage
- Numéro ACACED, numéro de portée DDPP (optionnels mais nécessaires pour la vérification)
- Justificatifs administratifs (KBIS, attestation ACACED)
- Coordonnées bancaires (via Stripe Connect)
- Informations sur les animaux (race, naissance, parents, tests santé)
2.4 Contacts des éleveurs (e-mails d'un élevage)
Un éleveur peut, depuis Toffy, envoyer des e-mails de nouvelles (portées, animaux disponibles, conseils) aux personnes de ses contacts qui l'ont accepté. S'il vous demande votre accord, vous recevez un e-mail avec un lien de confirmation ; sans réponse, vous ne recevez aucun de ces e-mails. Pour prouver votre accord, nous conservons : votre adresse e-mail, la date de la demande et celle de votre accord, l'adresse IP et le navigateur utilisés pour confirmer, et la version du texte accepté. Vous pouvez retirer votre accord à tout moment, par le lien « Se désinscrire » présent dans chaque e-mail.
Pour ces e-mails, l'éleveur est responsable du traitement : c'est lui qui choisit ses contacts et le contenu de ses messages. Toffy agit en tant que sous-traitant de l'éleveur (art. 28 RGPD) : nous envoyons les e-mails et conservons la preuve de votre accord selon ses instructions.
3.Finalités et bases légales du traitement
| Finalité | Base légale | Données concernées |
|---|---|---|
| Création et gestion du compte | Exécution du contrat (CGU) | Identification, contact |
| Mise en relation acheteurs ↔ éleveurs | Exécution du contrat | Profil, messagerie |
| Paiement encaissé par Toffy | Exécution du contrat | Coordonnées bancaires (Stripe) |
| Vérification des éleveurs | Obligation légale (loi 2021-1539) | SIREN, ACACED, KBIS |
| Prévention de la fraude | Intérêt légitime | Données de connexion, paiement |
| Newsletter et communications marketing | Consentement explicite | Email, préférences |
| E-mails d'un élevage à ses contacts, et preuve de leur accord | Consentement de la personne (art. 6.1.a RGPD, art. L34-5 du CPCE) ; la preuve est conservée pour démontrer ce consentement (art. 7.1 RGPD) | Email, prénom, dates de la demande et de l'accord, adresse IP et navigateur lors de l'accord, version du texte accepté |
| Statistiques et amélioration du service | Intérêt légitime | Données de navigation anonymisées |
| Partenariat Heomi (mutuelle) | Consentement explicite (opt-in) | Coordonnées + animal |
| Rappel demandé à un élevage, sans compte : l'équipe Toffy vous rappelle, votre numéro n'est pas transmis à l'élevage | Mesures prises à votre demande (art. 6.1.b RGPD) | Numéro de téléphone, élevage contacté, message |
| Alerte par e-mail sans compte (nouvelles annonces correspondant à vos critères) | Consentement, confirmé par le lien envoyé par e-mail (double opt-in) | Email, critères de l'alerte |
4.Destinataires des données
Vos données personnelles peuvent être communiquées aux destinataires suivants :
- Personnel autorisé de Toffy (service client, équipe technique, modération)
- Éleveurs ou acheteurs avec qui vous interagissez (uniquement les données nécessaires à la transaction)
- Sous-traitants techniques : OVH SAS (hébergement, France), Cloudflare (stockage et diffusion des photos et des documents, Union européenne), Stripe Payments Europe (paiements, Irlande), Brevo (emails transactionnels, France)
- Partenaires commerciaux avec votre consentement explicite (Heomi pour la mutuelle santé animale)
- Autorités administratives ou judiciaires sur réquisition légale
5.Durées de conservation
| Type de données | Durée |
|---|---|
| Compte utilisateur actif | Pendant toute la durée du compte + 3 ans après inactivité |
| Données de transaction (paiements) | 10 ans (obligation comptable et fiscale) |
| Données KYC éleveurs (KBIS, ACACED) | 5 ans après cessation de la relation |
| Cookies analytiques | 13 mois maximum |
Cookies de mesure de l'efficacité de nos annonces Google (_gcl_au, _gcl_aw) | 90 jours |
| Logs de connexion | 1 an |
| Données prospects (newsletter) | 3 ans après dernier contact |
| Demande de rappel sans compte | 30 jours au plus, effacée dès que votre demande est envoyée à l'élevage |
| Preuve de l'accord aux e-mails d'un élevage | 3 ans après votre désinscription ou le dernier contact |
| Alerte par e-mail sans compte non confirmée | Effacée 7 jours après la demande |
| Alerte par e-mail sans compte confirmée | 12 mois après la confirmation, ou jusqu'à la désinscription (un lien dans chaque e-mail). L'adresse est alors aussi effacée de l'historique des envois |
| Messages entre utilisateurs | 3 ans après le dernier échange |
6.Vos droits
Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès : obtenir une copie de vos données
- Droit de rectification : corriger des données inexactes ou incomplètes
- Droit à l'effacement (« droit à l'oubli ») : supprimer vos données dans les cas prévus par la loi
- Droit à la limitation du traitement : geler temporairement le traitement
- Droit à la portabilité : récupérer vos données dans un format lisible et structuré
- Droit d'opposition : vous opposer au traitement, notamment au marketing direct
- Droit de retrait du consentement : à tout moment pour les traitements basés sur le consentement
- Droit de définir des directives post-mortem sur le sort de vos données après votre décès
Pour exercer ces droits, contactez notre DPO à dpo@toffy.fr en justifiant de votre identité. Une réponse vous sera apportée dans un délai d'un mois maximum.
7.Sécurité des données
Toffy met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre toute perte, altération, divulgation ou accès non autorisé :
- Chiffrement TLS 1.3 pour toutes les communications
- Mots de passe stockés sous forme de hash (bcrypt)
- Données bancaires non stockées sur nos serveurs (déléguées à Stripe, certifié PCI-DSS niveau 1)
- Sauvegardes quotidiennes chiffrées
- Accès aux données sur la base du principe du « besoin d'en connaître »
- Audits de sécurité réguliers
- Hébergement en France (OVH Roubaix) ; photos et documents stockés chez Cloudflare, dans l'Union européenne
En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons la CNIL dans les 72 heures et vous informerons le cas échéant.
8.Cookies et traceurs
Toffy utilise des cookies pour différentes finalités :
| Type | Finalité | Consentement |
|---|---|---|
| Cookies essentiels | Fonctionnement du site (session, panier) | Non requis |
| Cookies de mesure d'audience | Comprendre comment le site est utilisé afin de l'améliorer (mesure réalisée avec Google Analytics, via Google Tag Manager). Cookies déposés : _ga et _ga_<identifiant>, conservés 13 mois au plus (390 jours). | Requis : déposés uniquement si vous les acceptez (« Tout accepter », ou case « Mesure d'audience » cochée dans « Choisir ») |
| Cookies de mesure de l'efficacité de nos annonces Google | Savoir si une visite venue d'une annonce Google de Toffy a mené à un contact avec un éleveur (mesure réalisée avec Google Ads, via Google Tag Manager). Cookies déposés : _gcl_au et _gcl_aw, conservés 90 jours. Ils ne servent pas à afficher de la publicité ciblée : la personnalisation des annonces reste refusée pour tous les visiteurs. | Requis : déposés uniquement si vous les acceptez (« Tout accepter », ou case « Mesure de l'efficacité de nos annonces Google » cochée dans « Choisir ») |
| Cookies tiers | Stripe (paiement) | Selon le contexte |
Lors de votre première visite, un bandeau vous propose trois choix, avec la même facilité : « Tout accepter » (la mesure d'audience et la mesure de l'efficacité de nos annonces Google), « Tout refuser », ou « Choisir », qui permet d'accepter l'une sans l'autre (les deux cases sont décochées au départ). Si vous refusez tout, ou si vous ne répondez pas, aucun cookie de mesure n'est déposé et le service de Google n'est pas chargé : aucune donnée ne lui est transmise. Si vous n'acceptez que la mesure d'audience, aucun cookie Google Ads n'est déposé. Votre choix, accord comme refus, est conservé 6 mois dans un cookie valable sur l'ensemble de toffy.fr, puis nous vous le demandons à nouveau.
Vous pouvez changer d'avis à tout moment en cliquant sur « Gestion des cookies » en bas de chaque page, ou depuis les paramètres de votre navigateur. Si vous retirez un accord, les cookies de mesure correspondants déjà déposés sont supprimés.
Mesure d'audience
Pour savoir quelles pages sont consultées et améliorer le site, Toffy compte les visites avec son propre outil, hébergé sur ses serveurs. Il ne dépose aucun cookie et ne lit aucun identifiant sur votre appareil. Chaque visite est réduite à une empreinte qui change tous les jours, calculée sans conserver votre adresse IP : on ne peut ni vous reconnaître d'un jour à l'autre, ni vous suivre sur d'autres sites. Le détail des visites est effacé au bout de 2 jours ; seuls des totaux anonymes sont gardés ensuite (pages vues, temps passé, type d'appareil), 13 mois au plus, pour l'usage exclusif de Toffy. Aucune donnée n'est transmise à un tiers.
Cette mesure ne demande pas votre accord (exemption prévue par la CNIL pour la mesure d'audience), mais vous pouvez vous y opposer à tout moment : votre choix est gardé sur cet appareil. Un navigateur réglé pour demander à ne pas être suivi (Global Privacy Control, « Do Not Track ») n'est pas compté.
9.Transferts hors UE
Toffy s'efforce de conserver toutes les données personnelles au sein de l'Union Européenne. Certains sous-traitants peuvent être amenés à traiter des données hors UE :
- Google (Google Analytics, Google Tag Manager, Google Ads) : Google Ireland Limited (UE), avec un transfert possible vers les États-Unis encadré par les garanties prévues par le RGPD. Uniquement si vous avez accepté la mesure d'audience ou la mesure de l'efficacité de nos annonces Google
- Stripe : Irlande (UE) avec back-up potentiel aux États-Unis – encadré par les Clauses Contractuelles Types (CCT) de la Commission européenne
10.Mineurs
L'accès à Toffy est strictement réservé aux personnes majeures (18 ans et plus). Aucune donnée personnelle de mineur n'est collectée intentionnellement. Si vous êtes parent ou tuteur et que vous suspectez qu'un mineur nous a transmis ses données, contactez-nous immédiatement à dpo@toffy.fr.
11.Réclamations auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (CNIL) :
- Adresse : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
- Téléphone : 01 53 73 22 22
- Site web : www.cnil.fr
12.Modifications de la politique
Toffy se réserve le droit de modifier la présente politique de confidentialité à tout moment. Toute modification substantielle vous sera notifiée par email au moins 30 jours avant son entrée en vigueur. La date de dernière mise à jour est indiquée en haut de cette page.