Politique de confidentialité
Dernière mise à jour : 6 novembre 2026
Cette politique décrit les traitements de données personnelles mis en œuvre par Davot. Les durées et finalités indiquées correspondent à celles du registre des traitements de l'éditeur et à ce que le service applique effectivement.
Responsable de traitement
Le responsable de traitement est l'éditeur désigné dans les mentions légales. Contact pour toute question relative aux données : [email protected].
Données traitées et finalités
| Données | Finalité | Base légale | Conservation |
|---|---|---|---|
| Adresse e-mail, nom, mot de passe (haché) ; avec Discord : identifiant Discord, nom et avatar | Création et gestion du compte | Exécution du contrat | Durée du compte, puis suppression immédiate |
| Identifiants de session de la plateforme connectée (chiffrés) | Exécution des actions demandées sur le compte de l'utilisateur | Exécution du contrat | Jusqu'à déconnexion du compte ou suppression |
| Annonces, achats, ventes, marges, factures et avoirs émis par l'utilisateur à ses acheteurs | Fonctionnalité principale du service | Exécution du contrat | Durée du compte, puis suppression de la base de données immédiate (copies de photos : voir ci-dessous) |
| Boîte mail connectée par l'utilisateur (Outlook) : adresse de la boîte, autorisation de lecture (chiffrée) ; pour chaque confirmation de commande Shopify traitée, une empreinte irréversible de l'identifiant du message, la date et le résultat ; achats créés (boutique, numéro de commande, lignes et montants) | Import automatique des achats. L'objet et la date des e-mails de tous les dossiers sont lus ; le contenu n'est lu que pour ceux dont l'objet ressemble à une commande, et n'est pas conservé. Seules les confirmations de commande Shopify deviennent un achat | Exécution du contrat | Autorisation : jusqu'à déconnexion de la boîte ou suppression du compte. Journal d'import : jusqu'à suppression du compte. Achats créés : comme les achats ci-dessus |
| Adresse d'import personnelle (jeton chiffré) ; pour chaque e-mail que l'utilisateur y transfère, une empreinte irréversible de l'identifiant du message, la date et le résultat ; achats créés (boutique, numéro de commande, lignes et montants) | Import des achats à partir des e-mails de commande que l'utilisateur transfère. Le contenu des e-mails n'est pas conservé | Exécution du contrat | Jusqu'à suppression du compte. Achats créés : comme les achats ci-dessus |
| Boutique Shopify liée par l'utilisateur : adresse de la boutique, autorisations accordées, jetons d'accès (chiffrés), identifiants et état des produits publiés | Publication des articles de l'utilisateur sur sa boutique et, s'il l'active, retrait d'un côté de l'article vendu de l'autre | Exécution du contrat | Jetons : jusqu'à la déliaison de la boutique ou la suppression du compte. Autres données : jusqu'à suppression du compte |
| Conversations avec les acheteurs (interlocuteur, article, date, montant proposé) et notifications | Suivi commercial des ventes de l'utilisateur | Intérêt légitime | 24 mois ; notifications lues : 60 jours |
| Pseudonyme, photo de profil et pays des membres de la plateforme en relation avec l'utilisateur | Identification des interlocuteurs dans l'interface | Intérêt légitime | Suppression dès que plus aucune conversation, commande ni compte connecté n'y renvoie |
| Annonces publiques collectées sur la plateforme | Analyse des prix du marché | Intérêt légitime | 12 mois après la dernière collecte de l'annonce |
| Journaux techniques (requêtes, erreurs, files d'attente) | Sécurité, diagnostic, prévention des abus | Intérêt légitime | 90 jours au plus |
| Mesure de la navigation, avec votre accord : pages vues, clics, erreurs, durée des requêtes et replay de l'écran (textes affichés et saisies toujours masqués), identifiant interne du compte si vous êtes connecté | Repérer ce qui bloque ou échoue dans le service, pour le corriger | Consentement | 30 jours au plus |
| Parrain d'un compte, date et taux de la remise, identifiants des crédits de remise versés sur le solde client chez le prestataire de paiement, adresse IP d'inscription, empreinte des cartes enregistrées chez le prestataire de paiement (comparée, jamais conservée) | Programme de parrainage et prévention de l'auto-parrainage | Exécution du contrat ; intérêt légitime pour la lutte contre la fraude | Durée du compte |
| Candidature au programme d'affiliation (nom ou marque, lien de l'audience, message), titulaire et IBAN du compte de versement (chiffré), commissions et versements ; pour un compte inscrit par un lien d'affiliation : l'affilié, les taux promis, la période de commission, l'identifiant du crédit de remise, adresse IP d'inscription, empreinte des cartes enregistrées chez le prestataire de paiement (comparée, jamais conservée) | Programme d'affiliation, paiement des commissions et prévention de l'auto-affiliation | Exécution du contrat ; intérêt légitime pour la lutte contre la fraude ; obligation légale pour les commissions et versements | Candidature et coordonnées bancaires : durée du compte. Commissions, versements (avec le titulaire et l'IBAN chiffré utilisés pour chaque virement) et lien entre un filleul et l'affilié (identifiant client chez le prestataire de paiement) : 10 ans (art. L123-22 du code de commerce), détachés du compte supprimé |
| Factures de l'abonnement et des crédits IA, conservées chez le prestataire de paiement (adresse e-mail, informations de facturation saisies au paiement, montants), hors coordonnées bancaires | Facturation et comptabilité | Obligation légale | 10 ans (art. L123-22 du code de commerce), même après la suppression du compte |
Les durées des conversations, des notifications et des journaux techniques sont appliquées par une purge automatique quotidienne, et non par une intervention manuelle. À la suppression du compte, les données de la base sont effacées immédiatement, y compris les identifiants de session chiffrés, à l'exception des factures de l'abonnement et des crédits IA et des commissions et versements du programme d'affiliation, détachés du compte ; l'abonnement est alors résilié.
Les copies de photos stockées (photos d'articles mises en miroir et photos retouchées) ne sont pas supprimées avec le compte : elles sont conservées tant qu'une purge dédiée n'est pas en place. Pour en demander l'effacement, écrivez à [email protected].
Coordonnées bancaires
Aucune donnée de carte bancaire n'est collectée ni conservée par l'éditeur. Le paiement est traité par Stripe Payments Europe Ltd sur ses propres pages ; l'éditeur ne conserve qu'un identifiant de client et l'état de l'abonnement.
Un affilié qui demande ses commissions par virement enregistre le titulaire et l'IBAN de son compte. L'IBAN est conservé chiffré ; seuls ses quatre derniers caractères lui sont affichés, et seul l'éditeur le déchiffre, pour effectuer le virement. Un affilié ne voit jamais l'identité des comptes inscrits par son lien, seulement des nombres et des montants.
Destinataires
Les données ne sont ni vendues ni cédées. Elles sont accessibles à l'éditeur et à ses sous-traitants techniques, liés par un contrat conforme à l'article 28 du RGPD :
- Stripe Payments Europe Ltd, pour le paiement et la facturation ;
- IPRoyal, fournisseur des adresses de sortie réseau ;
- OpenAI, fournisseur d'intelligence artificielle, décrit ci-dessous ;
- Cloudflare, par lequel transite le trafic du site, et qui reçoit les e-mails envoyés à votre adresse d'import et les remet à Davot, pour l'import des achats par transfert d'e-mails.
Les données que Davot héberge (base de données et fichiers) le sont en France, sur un serveur exploité par l'éditeur. Les services tiers que vous activez ou qu'emploie l'import des achats (Cloudflare, Microsoft, Shopify, OpenAI) peuvent traiter des données hors de l'Union européenne ; ces transferts reposent sur les décisions d'adéquation de la Commission européenne (dont le Data Privacy Framework UE–États-Unis) ou sur ses clauses contractuelles types.
Lorsque vous connectez vous-même un service, Davot échange avec lui en votre nom et pour la seule fonction décrite ci-dessous. Ces services traitent ensuite les données selon leurs propres conditions :
- Microsoft (Outlook), si vous connectez votre boîte mail. L'autorisation demandée est en lecture seule (
Mail.Read,User.Read,offline_access) : Davot n'envoie, ne modifie et ne supprime aucun e-mail. Seul le jeton de renouvellement est conservé, chiffré ; Davot lit l'objet et la date des e-mails, puis le contenu de ceux dont l'objet ressemble à une commande. Déconnecter la boîte dans Davot supprime le jeton et arrête toute lecture ; l'autorisation se retire aussi depuis les autorisations de votre compte Microsoft. - Shopify, si vous liez votre boutique. Davot reçoit de Shopify des jetons d'accès, conservés chiffrés, avec les autorisations que vous accordez : produits, stocks, publication, lieux de stock et lecture des commandes. Il envoie à votre boutique les articles que vous choisissez de publier : titre, description, prix, marque, état, taille, couleur et photos. Des commandes payées de votre boutique, il ne retient que les identifiants des articles vendus ; aucune identité d'acheteur n'est conservée. Délier la boutique dans Davot supprime les jetons et arrête les échanges ; l'application se désinstalle aussi depuis l'administration de votre boutique.
Intelligence artificielle
Les fonctions d'IA n'envoient de données au fournisseur d'IA que lorsque vous les utilisez ou les activez, et seulement ce qu'elles exigent :
- rédaction d'un brouillon et analyse d'une annonce : les photos de l'article, en copie réduite, avec vos consignes et, pour l'analyse, la fiche de l'article ;
- regroupement des photos d'un import en lot : des miniatures des photos, avec une consigne fixe, sans vos consignes ;
- import des achats, par votre boîte mail connectée ou par transfert d'e-mails, lorsque l'analyse automatique ne reconnaît pas la confirmation de commande et que l'expéditeur est authentifié : son objet, le nom de l'expéditeur et le texte de la commande, hors bloc d'adresse du client ;
- retouche d'une photo : la photo de l'article et la consigne de retouche ;
- réponses IA : l'article concerné (titre, prix, description) et les trente derniers messages de la conversation, qui peuvent contenir des données de l'acheteur, sans son pseudonyme ; la génération des premières consignes de style envoie des extraits de quarante conversations au plus.
Le fournisseur n'a accès ni à vos identifiants de session, ni à votre mot de passe. Si vous avez connecté votre propre fournisseur d'IA, ces données lui sont envoyées à la place.
Connexion avec Discord
La connexion avec Discord est facultative. Davot reçoit alors de Discord votre identifiant, votre nom, votre avatar et votre adresse e-mail vérifiée ; votre nom et votre avatar sont mis à jour à chaque connexion. Discord, qui agit pour son propre compte et selon sa propre politique, reçoit les données techniques de votre demande de connexion. Davot ne lui transmet aucune donnée de votre compte.
Personnes concernées autres que nos utilisateurs
Le service traite des données concernant des membres de plateformes tierces qui ne sont pas nos utilisateurs : leur pseudonyme, leur photo de profil publique et les échanges qu'ils ont eus avec un utilisateur de Davot. Ces données proviennent de la plateforme concernée et servent à afficher à l'utilisateur ses propres échanges commerciaux et à analyser les prix du marché. Elles ne font l'objet d'aucun enrichissement depuis une source externe et d'aucune cession.
Sollicitations commerciales.Un membre ayant marqué l'article d'un utilisateur comme favori peut recevoir un message et une offre de prix envoyés automatiquement par le service, depuis le compte de cet utilisateur. Chaque membre n'est sollicité qu'une seule fois pour un article donné. Le contenu du message est défini par l'utilisateur, qui en est l'expéditeur.
Toute personne concernée peut s'opposer à tout moment et sans motif à recevoir de telles sollicitations, ainsi que demander l'accès, la rectification ou l'effacement de ses données, en écrivant à [email protected]. L'opposition est enregistrée et prend effet sans délai.
Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Deux d'entre eux s'exercent directement depuis Paramètres › Profil, sans délai :
- Accès et portabilité — export au format JSON de votre compte, de vos comptes Vinted (sans les identifiants de session), de votre abonnement, de vos articles, commandes, conversations et notifications ;
- Effacement — suppression définitive du compte et des données associées.
Seules les factures de l'abonnement et des crédits IA échappent à l'effacement : leur conservation est imposée par la loi comptable (art. 17.3.b du RGPD). Les factures que vous émettez à vos acheteurs depuis Davot sont supprimées avec le compte : téléchargez vos factures avant (Business › Factures).
Pour les autres droits, écrivez à [email protected]. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).
Cookies
Le service dépose des cookies nécessaires à son fonctionnement : un cookie de session pour vous maintenir authentifié, et un cookie mémorisant votre langue d'affichage. Ces cookies ne demandent pas de consentement. Aucun cookie de publicité n'est utilisé.
Avec votre accord seulement, un outil de mesure hébergé par Davot, sans aucun tiers, enregistre le déroulé de vos visites (pages, clics, erreurs, replay de l'écran) pour repérer ce qui bloque. Les textes affichés et les saisies sont toujours masqués. Ces enregistrements sont conservés 30 jours au plus ; l'outil pose un cookie de session de 15 minutes, __rum_sid. Votre choix est gardé 6 mois dans un cookie davot_consent. Tant que vous n'avez pas accepté, rien n'est chargé ni enregistré, et vous pouvez retirer votre accord à tout moment.
Lorsque vous arrivez par un lien de parrainage, le service vous demande s'il peut retenir le code de ce lien. Seulement si vous acceptez, un cookie davot_refle garde 30 jours, pour attribuer votre inscription à votre parrain ; il est effacé à l'inscription. Refuser n'a aucune autre conséquence que l'absence de récompense de parrainage.
De même, lorsque vous arrivez par un lien d'affiliation, le service vous demande s'il peut retenir le code de ce lien. Seulement si vous acceptez, un cookie davot_affle garde 30 jours, pour attribuer votre inscription à l'affilié ; il est effacé à l'inscription, avec le cookie de parrainage, l'affiliation l'emportant sur le parrainage. La visite du lien est comptée pour l'affilié (un nombre de clics) sans cookie ni rien enregistrer dans votre navigateur : une empreinte (hachage) de votre adresse IP et de votre navigateur est gardée en mémoire au plus 30 jours, jamais enregistrée en base, pour ne compter votre visite qu'une fois.
Extension navigateur
L'extension Davot est facultative : le service fonctionne sans elle, les identifiants pouvant être renseignés manuellement. Lorsqu'elle est installée, vous la déclenchez en cliquant sur « Lier mon compte Vinted » depuis Paramètres › Comptes Vinted.
À ce moment-là, elle met de côté les cookies Vinted de votre navigateur, ouvre un onglet Vinted où vous vous connectez une seconde fois, comme sur un autre appareil, transmet au service les cookies de cette nouvelle session, puis remet vos cookies d'origine à l'identique. Votre propre session Vinted n'est ni transmise ni modifiée, et l'extension n'agit plus ensuite. Le service chiffre ces cookies et les utilise pour exécuter les actions que vous lui demandez sur votre compte Vinted. Ces identifiants suivent le même traitement que ceux saisis manuellement, décrit dans le tableau ci-dessus.
L'extension ne lit aucune autre page, ne suit aucune navigation, ne collecte aucune donnée à des fins publicitaires ou statistiques, et ne transmet rien à des tiers. Sa désinstallation n'affecte pas les comptes déjà connectés ; pour révoquer les identifiants transmis, déconnectez le compte depuis votre espace Davot.
Sécurité
Les mots de passe sont hachés. Les identifiants de session des plateformes connectées sont chiffrés en base (AES-256-GCM). Les échanges avec le service sont chiffrés en transit. Les accès à l'infrastructure sont restreints et journalisés.