Politique de confidentialité

Dernière mise à jour : 11 juillet 2026.

Papa Croque accorde une grande importance à la protection de vos données personnelles. La présente politique décrit quelles données nous traitons, pour quelles finalités, sur quelles bases légales, avec qui elles sont partagées, combien de temps elles sont conservées et quels sont vos droits, conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).

Responsable du traitement

Le responsable du traitement est Giancana Jérémy, entrepreneur individuel (EI), exerçant sous le nom commercial « Papa Croque », dont les coordonnées figurent dans les mentions légales.

Pour toute question relative à vos données ou pour exercer vos droits : support (arobase) papacroque (point) fr.

Données que nous traitons

Selon votre utilisation du service, nous sommes susceptibles de traiter les catégories de données suivantes :

• Compte et identité : nom, prénom, adresse électronique, mot de passe (conservé sous forme chiffrée, jamais en clair), et, si vous les renseignez, numéro de téléphone, adresse postale, date de naissance et photo de profil.
• Connexion et données techniques : adresse IP, type de navigateur / agent utilisateur, identifiant d'appareil, ainsi que, en cas de connexion via Google ou Apple, les jetons d'authentification associés.
• Commandes : produits commandés, quantités, montants, remises, statut et historique des commandes, factures.
• Commande en mode invité : nom, adresse électronique et numéro de téléphone, nécessaires au suivi.
• Fidélité et parrainage : solde et historique de points, code de fidélité, code de parrainage, liens de parrainage (y compris le prénom d'un filleul, visible par son parrain), coupons activés et utilisés.
• Paiement : identifiants techniques de la transaction gérée par notre prestataire Stripe. Nous ne collectons ni ne conservons vos données de carte bancaire.
• Notifications : vos préférences de notification, et le jeton de notification push de votre appareil si vous les avez autorisées.
• Communications : messages que vous nous adressez via le formulaire de contact, et votre consentement éventuel aux communications marketing.

Finalités et bases légales

Nous traitons vos données pour les finalités suivantes :

• Gestion des commandes, du paiement et des factures — base légale : exécution du contrat (et, pour la conservation des factures, obligation légale).
• Gestion de votre compte client — base légale : exécution du contrat.
• Programme de fidélité et de parrainage — base légale : exécution du contrat et exécution de mesures prises à votre demande.
• Notifications de suivi de commande (par exemple « commande prête ») — base légale : exécution du contrat.
• Communications marketing (offres, promotions par courriel) — base légale : votre consentement, distinct et révocable à tout moment.
• Invitation à laisser un avis après le retrait d'une commande — base légale : intérêt légitime du responsable de traitement à recueillir des retours sur son service et à faire connaître son activité. Aucun avantage n'est offert en échange d'un avis, et vous pouvez vous y opposer en un clic depuis le message lui-même.
• Sécurité, prévention de la fraude et des abus (notamment lutte contre les créations de comptes multiples et les abus de parrainage ou de coupons, modération) — base légale : intérêt légitime du responsable de traitement à protéger le service.
• Respect de nos obligations comptables et légales — base légale : obligation légale.

Consentement et communications marketing

Les communications marketing sont distinctes des messages transactionnels (suivi de commande, factures) que vous recevez nécessairement dans le cadre de l'exécution de votre commande. Votre consentement marketing est facultatif, désactivé par défaut, et modifiable à tout moment depuis votre espace client, en nous contactant, ou via le lien de désinscription présent dans chaque courriel promotionnel. Le retrait de ce consentement n'affecte pas le suivi de vos commandes.

Demande d'avis après votre commande

Après le retrait d'une commande, nous pouvons vous adresser un courriel unique — au maximum un par client, une seule fois, quel que soit le nombre de commandes passées — vous invitant à laisser un avis sur notre fiche Google. Ce message n'offre aucune contrepartie (ni points de fidélité, ni réduction) et ne suggère aucune note : ce serait contraire aux règles de Google comme à l'article L. 111-7-2 du Code de la consommation. Il comporte un lien de désinscription et un lien « j'ai déjà laissé un avis », l'un comme l'autre suffisant à ne plus jamais recevoir ce message. Aucune donnée vous concernant n'est transmise à Google : le lien proposé est identique pour tous les clients, et l'avis éventuel est déposé par vous depuis votre propre compte Google, sous la responsabilité de ce dernier. Nous mesurons uniquement, de manière interne, si le lien a été ouvert.

Paniers en cours

Afin d'assurer le service au comptoir, le back-office peut visualiser en temps réel les paniers en cours de constitution. Ces données de panier sont conservées temporairement en mémoire (au maximum une trentaine de minutes d'inactivité) et ne sont pas enregistrées durablement en base de données. Un panier finalisé donne lieu à une commande, traitée comme décrit ci-dessus.

Destinataires et sous-traitants

Vos données sont accessibles à l'équipe Papa Croque et à nos sous-traitants techniques, qui agissent sur nos instructions, dans le cadre d'engagements de confidentialité et de sécurité conformes à l'article 28 du RGPD :

• OVH SAS (France / Union européenne) — hébergement du service et des bases de données.
• Stripe (Stripe Payments Europe, Ltd. et Stripe, Inc.) — traitement des paiements en ligne.
• Expo (Expo, notifications push) — acheminement des notifications sur les appareils mobiles.
• o2switch (France / Union européenne) — prestataire d'envoi de nos courriels (suivi de commande et campagnes promotionnelles).

Nous ne vendons pas vos données et ne les communiquons à des tiers à des fins commerciales sans votre consentement. Vos données peuvent en outre être communiquées aux autorités administratives ou judiciaires lorsque la loi l'exige.

Fournisseurs agissant comme responsables de traitement indépendants. Lorsque vous utilisez la connexion « Se connecter avec Google » ou « Se connecter avec Apple », ou lorsque la carte de localisation Google Maps est affichée (page « Nous trouver »), Google et Apple agissent comme responsables de traitement indépendants pour les traitements qu'ils réalisent à cette occasion ; ces traitements sont régis par leurs propres politiques de confidentialité.

Transferts hors de l'Union européenne

Nos données sont hébergées au sein de l'Union européenne (hébergement OVH, messagerie o2switch). Certains prestataires — notamment Stripe et Expo (sous-traitants), ainsi que Google et Apple au titre de la connexion tierce et de la carte Maps — peuvent toutefois traiter des données en dehors de l'Union européenne, en particulier aux États-Unis. Ces transferts sont encadrés par des garanties appropriées au sens des articles 44 et suivants du RGPD : principalement les clauses contractuelles types de la Commission européenne (décision 2021/914), complétées le cas échéant par la certification Data Privacy Framework UE–États-Unis du prestataire concerné. Une copie de ces garanties peut être obtenue sur demande à support (arobase) papacroque (point) fr.

Durées de conservation

• Données de compte : conservées tant que votre compte est actif, puis supprimées ou anonymisées au plus tard 3 ans après votre dernière connexion.
• Commandes et factures : les factures et pièces comptables sont conservées 10 ans au titre de nos obligations comptables (article L. 123-22 du Code de commerce).
• Consentement et prospection marketing : jusqu'au retrait de votre consentement ; la preuve du consentement et les données de prospection sont ensuite conservées 3 ans à compter de votre dernier contact.
• Données de connexion et journaux techniques (adresse IP, agent utilisateur, identifiant d'appareil) : 12 mois maximum.
• Demande d'avis : la trace de l'envoi de ce courriel (et, le cas échéant, de votre opposition) est conservée le temps nécessaire à ne plus jamais vous solliciter, et supprimée avec votre compte.
• Empreinte anti-fraude de parrainage : afin d'empêcher qu'un même bénéficiaire profite plusieurs fois du bonus de parrainage, une empreinte technique non réversible (calculée à partir de l'adresse électronique du filleul, sans permettre de la reconstituer) est conservée, sous cette seule forme pseudonymisée, pour la durée nécessaire à cette finalité de prévention de la fraude.

En cas de suppression de votre compte, vos données personnelles sont supprimées ou anonymisées. Les factures, immuables et soumises à conservation légale, sont conservées sans données directement identifiantes.

Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées afin de protéger vos données (chiffrement des mots de passe, connexions sécurisées HTTPS, contrôle d'accès par rôles, hébergement dans l'Union européenne, prestataire de paiement certifié). Sur l'application mobile, certaines données peuvent être mises en cache de manière chiffrée sur votre appareil afin de permettre un usage hors ligne.

Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données : droit d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, droit de retirer votre consentement à tout moment (pour les traitements fondés sur celui-ci) et droit de définir des directives relatives au sort de vos données après votre décès.

Vous pouvez :

• modifier vos informations et vos préférences de notification et de marketing depuis votre espace client ;
• supprimer votre compte directement depuis votre espace client (également possible depuis l'application mobile) ;
• exercer vos autres droits en nous écrivant à support (arobase) papacroque (point) fr.

Vous disposez à tout moment du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr —, sans préjudice de la possibilité de nous contacter au préalable.

Décision automatisée et profilage

Nous ne prenons pas de décision produisant des effets juridiques à votre égard, ou vous affectant de manière significative, sur le seul fondement d'un traitement automatisé. Les contrôles de sécurité et de prévention de la fraude (détection de comptes multiples, d'abus de parrainage ou de coupons) font l'objet d'une intervention humaine avant toute conséquence sur votre compte.

Cookies et traceurs

Le site utilise :

• des cookies et traceurs strictement nécessaires au fonctionnement du service (session de connexion, panier, mémorisation de votre choix de consentement) : ils ne requièrent pas votre consentement ;
• des contenus tiers susceptibles de déposer des traceurs, en particulier la carte de localisation Google Maps présente sur la page « Nous trouver » : ils ne sont déposés qu'avec votre consentement préalable.

Aucun outil de mesure d'audience ou de publicité n'est déployé à ce jour. Le consentement est recueilli via un bandeau qui vous permet de refuser aussi facilement que d'accepter. Vous pouvez modifier ou retirer votre consentement à tout moment, aussi simplement que vous l'avez donné ; le retrait ne vaut que pour l'avenir. Votre choix est conservé pendant une durée limitée (de l'ordre de 6 mois), à l'issue de laquelle il vous est de nouveau demandé ; les traceurs éventuellement déposés ont une durée de vie n'excédant pas 13 mois. À titre complémentaire, vous pouvez aussi paramétrer votre navigateur ; ce réglage ne se substitue toutefois pas au recueil et au retrait de votre consentement.

Modification de la présente politique

La présente politique de confidentialité peut être mise à jour afin de refléter l'évolution du service ou de la réglementation. La version publiée sur le service fait foi ; en cas de modification substantielle, nous vous en informerons par un moyen approprié.

Voir aussi nos mentions légales et nos conditions générales de vente.