Politique de confidentialité (Nouveaux organismes)

Applicable aux organismes créés après le 19 octobre 2026

Version Octobre 2026

1. Introduction et périmètre

Zeffy fournit une plateforme de collecte de fonds (la « Plateforme ») qui permet aux organisations à but non lucratif et caritatives (les « Organisations ») de collecter des dons, de vendre des billets d'événements, d'organiser des tombolas et loteries là où elles sont permises, de gérer des boutiques en ligne et des adhésions, de mener des campagnes de collecte entre pairs, d'envoyer des infolettres et de gérer leurs soutiens. La présente Politique couvre également notre site web à l'adresse https://www.zeffy.com et tout sous-domaine (le « Site web »), ainsi que nos applications mobiles, y compris l'application Tap to Pay. Ensemble, ils constituent les « Services ».

La présente Politique explique quelles données personnelles nous traitons, pourquoi, sur quelle base légale, avec qui nous les partageons, combien de temps nous les conservons, et quels sont vos droits.

Selon la façon dont vous utilisez les Services, vous pouvez être :

• un Contributeur : vous effectuez un paiement au profit d'une Organisation, vous vous inscrivez à un événement, ou vous remplissez le formulaire d'une Organisation ;

• un Utilisateur autorisé : vous êtes autorisé par une Organisation à utiliser les Services via le compte de cette Organisation ;

• un Membre : vous êtes un Contributeur qui a créé un compte sur la Plateforme (en créer un est facultatif) ;

• un Visiteur : vous commencez à remplir un formulaire propulsé par Zeffy sur le site d'une Organisation mais vous ne le terminez pas ;

• un Visiteur du Site web : vous naviguez sur notre Site web ;

• un Participant : vous disposez d'une page de collecte individuelle ou d'équipe dans le cadre d'une campagne de collecte entre pairs d'une Organisation.

Ces catégories ne sont pas exclusives les unes des autres. Dans la présente Politique, « vous » désigne toute personne physique dont nous traitons les données personnelles.

Veuillez lire attentivement la section 3. Pour une grande partie des données que les Organisations collectent via la Plateforme, c'est l'Organisation, et non Zeffy, qui décide de ce qui est collecté et pourquoi. Si votre question porte sur la façon dont une Organisation précise utilise vos données, c'est vers cette Organisation qu'il faut vous tourner en premier, et nous vous aiderons à la joindre.

2. Résumé

Ce résumé est fourni pour votre commodité. Il n'est pas exhaustif, et ce sont les sections détaillées ci-dessous qui font foi.

Nous ne vendons pas vos données personnelles contre de l'argent. La section 12 explique comment les notions de « vente » et de « partage » sont définies par les lois des États américains, et comment vous y opposer.

3. Qui est responsable de vos données, et quel est notre rôle

3.1 L'entité Zeffy responsable vous concernant

Zeffy opère au travers des entités suivantes. L'entité qui contracte avec l'Organisation de votre région est l'entité responsable des données personnelles décrites dans la présente Politique, et chaque entité est conjointement responsable avec les autres lorsqu'elles agissent ensemble.

L'exploitation de la Plateforme, l'ingénierie et notre fonction de lutte contre la fraude et de conformité sont assurées depuis le Canada, la France et d'autres lieux où nos équipes sont basées. Cela signifie que vos données personnelles peuvent être traitées par des collègues situés hors de votre pays. La section 11 explique comment nous les protégeons lorsque cela se produit.

3.2 Quand nous sommes responsable et quand nous sommes sous-traitant

Cette distinction est importante, car elle détermine à qui vous devez vous adresser et pour quoi.

Nous agissons comme responsable (nous décidons des finalités et des moyens du traitement) pour :

• les comptes Utilisateur autorisé et Membre ;

• les paiements, versements et rapprochements financiers ;

• la vérification des Organisations et de leurs représentants ;

• la prévention de la fraude, la lutte contre le blanchiment de capitaux et le financement du terrorisme, et le filtrage des sanctions ;

• la sécurité, la journalisation et la prévention des abus ;

• notre propre marketing, notre publicité, notre analyse et notre support ;

• le respect de nos propres obligations légales, fiscales, comptables et réglementaires.

Nous agissons comme sous-traitant (nous agissons sur instructions documentées d'une Organisation) pour :

• les fiches de contacts et de soutiens qu'une Organisation détient dans le CRM de la Plateforme, y compris celles qu'elle importe depuis une autre plateforme ;

• le contenu et les questions personnalisées des formulaires d'une Organisation, et les réponses que vous y apportez ;

• les e-mails et courriers postaux qu'une Organisation envoie via la Plateforme ;

• les rapports et exports propres à une Organisation.

Lorsque nous agissons comme sous-traitant, l'Organisation est le responsable et c'est sa propre politique de confidentialité qui s'applique à ces activités. Nos engagements envers les Organisations sont énoncés dans notre Contrat de sous-traitance des données, qui inclut notre liste à jour des sous-traitants ultérieurs.

Certaines parties sont des responsables indépendants à part entière, et non nos sous-traitants. En particulier, Stripe est un responsable indépendant pour la vérification d'identité, le traitement des paiements et les obligations de lutte contre la criminalité financière qu'il exécute dans le cadre de ses propres agréments réglementaires. C'est la politique de confidentialité de Stripe qui s'applique à ces activités.

Lorsqu'une Organisation choisit d'ajouter sa propre technologie de suivi à un formulaire propulsé par Zeffy, par exemple son propre pixel Meta ou sa balise Google Analytics, l'Organisation est le responsable de ce suivi et il lui appartient d'obtenir tout consentement requis dans votre juridiction. Zeffy offre la possibilité d'ajouter ces balises mais ne les contrôle pas.

3.3 Nous contacter

Pour toute question ou demande relative à la confidentialité :

Équipe Confidentialité, Zeffy
[email protected]

Ou par courrier à l'une des adresses d'entité de la section 3.1, avec la mention « Privacy Team ».

Nous nous efforçons d'accuser réception des demandes dans les 5 jours ouvrés et d'y répondre sur le fond dans le délai requis par la loi applicable, qui est généralement d'un mois dans l'EEE et au Royaume-Uni, de 30 jours au Canada, de 45 jours en Californie et de 30 jours en Australie. Nous vous informerons si nous avons besoin d'un délai supplémentaire et pourquoi.

4. Lois sur la protection des données mentionnées dans la présente Politique

• PIPEDA, la loi canadienne Personal Information Protection and Electronic Documents Act, et les lois provinciales substantiellement similaires ;

• la Loi sur la protection des renseignements personnels du Québec, la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25 ;

• le CCPA, le California Consumer Privacy Act tel que modifié par le California Privacy Rights Act, et les autres lois des États américains sur la vie privée qui nous sont applicables au fil du temps. Nous ne les énumérons plus individuellement, car la liste change plusieurs fois par an ;

• le RGPD britannique (UK GDPR) et le UK Data Protection Act 2018. Lorsque la présente Politique fait référence au RGPD sans autre précision, le RGPD britannique y est inclus le cas échéant ;

• l'Australian Privacy Act 1988 et les Australian Privacy Principles ;

• le RGPD de l'UE, le règlement (UE) 2016/679, ainsi que les lois nationales de transposition des pays de l'EEE où nous opérons, y compris l'Irish Data Protection Act 2018, le Bundesdatenschutzgesetz allemand et la Loi Informatique et Libertés française ;

• les règles relatives au marketing électronique et aux cookies, y compris la directive ePrivacy de l'UE telle que transposée localement (par exemple les Irish ePrivacy Regulations 2011 et le TDDDG allemand), le PECR britannique, la loi canadienne CASL, le CAN-SPAM Act américain et l'Australian Spam Act 2003.

« Données personnelles » désigne les informations se rapportant à une personne physique identifiée ou identifiable. Lorsqu'une loi emploie un terme différent, tel que « renseignements personnels » sous PIPEDA, la Loi sur la protection des renseignements personnels du Québec, le CCPA ou l'Australian Privacy Act, la présente Politique emploie « données personnelles » dans le même sens.

5. Ce que nous collectons, pourquoi, et sur quelle base légale

Lorsque nous agissons comme responsable, le tableau ci-dessous indique ce que nous traitons et pourquoi. Lorsque nous agissons comme sous-traitant, c'est l'Organisation qui détermine ce qui est collecté.

Lorsque la base légale est un contrat ou une obligation légale et que vous ne fournissez pas les données, nous ne serons pas en mesure de fournir la partie concernée des Services.

Lorsque la base légale est l'intérêt légitime, vous pouvez vous y opposer à tout moment. Nous cesserons, sauf motifs impérieux, ce qui ne sera généralement le cas que pour la prévention de la fraude, la sécurité et le respect de la loi.

Lorsque la base légale est le consentement, vous pouvez le retirer à tout moment. Le retrait du consentement n'affecte pas les traitements déjà réalisés, et n'affecte pas les traitements que nous effectuons sur une autre base.

6. Données que nous recevons d'autres sources

Nous collectons et vérifions des informations accessibles publiquement sur les Organisations et sur les personnes qui les représentent ou les contrôlent, à partir des sources décrites ci-dessus, à des fins de vérification et de prévention de la fraude, comme précisé à la section 7. Nous ne constituons pas de profils de donateurs à partir de sources publiques, et nous n'achetons pas de données personnelles auprès de courtiers en données à des fins de marketing.

7. Prévention de la fraude, conformité en matière de criminalité financière, et traitement automatisé

Ce que nous faisons. Pour protéger les Organisations, les donateurs et nos partenaires de paiement, et pour respecter nos propres obligations légales, nous exploitons un filtrage et une détection des risques automatisés. Cela comprend :

• le scoring de risque automatisé des nouvelles Organisations, comptes, formulaires, sites web et transactions ;

• des vérifications automatisées contre les listes de sanctions, les listes de surveillance et l'adverse media ;

• la détection automatisée de schémas associés à la fraude et aux abus, tels que le test de cartes, la prise de contrôle de compte, les changements inhabituels de compte bancaire et les demandes de versement inhabituelles ;

• le tri automatisé des dossiers, qui peut inclure le recours aux prestataires d'IA et d'automatisation listés à la section 9 ;

• la collecte et l'examen d'informations accessibles publiquement sur une Organisation et ses représentants, y compris les registres publics et la présence en ligne et sur les réseaux sociaux de l'Organisation, pour corroborer sa légitimité et détecter la fraude.

Nous procédons à cette collecte en source publique en lien avec les Organisations et les personnes qui les représentent ou les contrôlent, afin de les vérifier et de protéger la Plateforme. Nous ne l'utilisons pas pour enrichir des profils de donateurs.

Comment les décisions sont prises. Les systèmes automatisés génèrent des signaux, des scores et des recommandations. Les décisions qui vous affectent de manière significative, vous ou une Organisation, telles que la suspension d'un compte, la retenue d'un versement, le refus d'intégrer une Organisation, ou le dépôt d'une déclaration auprès d'une autorité, sont toujours examinées par un membre de notre équipe de lutte contre la fraude et de conformité avant de prendre effet, sauf lorsqu'un blocage automatique immédiat est nécessaire pour prévenir un préjudice imminent ou pour respecter le droit des sanctions. Dans ces cas, nous examinons le blocage rapidement après coup.

Vos droits à cet égard. Vos droits relatifs à ce traitement automatisé dépendent de la loi qui vous est applicable.

Si le RGPD de l'UE ou le RGPD britannique vous est applicable, et qu'une décision vous affectant a été prise sans intervention humaine significative et produit des effets juridiques ou similairement significatifs, vous pouvez nous demander une explication, contester la décision et demander un réexamen humain. Veuillez écrire à [email protected]. Il se peut que nous ne puissions pas divulguer le détail de notre logique de détection de la fraude, car cela en compromettrait la finalité et peut être restreint par la loi, mais nous expliquerons les principales raisons et les informations sur lesquelles nous nous sommes fondés, et une personne réexaminera votre cas.

Si vous êtes dans un État américain dont la loi le prévoit, vous pouvez vous opposer au profilage effectué en vue de décisions produisant des effets juridiques ou similairement significatifs vous concernant. Lorsque nous pouvons vous offrir un réexamen humain d'une telle décision, nous le ferons. Veuillez écrire à [email protected]. Les limites de ce que nous pouvons divulguer sur notre logique de détection de la fraude, décrites ci-dessus, s'appliquent de la même façon.

Limites à vos droits à cet égard. Lorsque des données sont détenues à des fins de prévention de la fraude, de lutte contre le blanchiment ou de sanctions, il se peut que nous ne puissions pas les supprimer, les corriger de la façon que vous préféreriez, ou tout vous en dire, car cela violerait une obligation légale ou compromettrait une enquête. Nous vous indiquerons lorsque c'est la raison.

8. Avec qui nous partageons les données personnelles

Nous partageons les données personnelles avec les catégories de destinataires suivantes.

Nous pouvons divulguer des données personnelles aux autorités lorsque nous y sommes tenus par la loi applicable, y compris en réponse à une demande licite, une assignation, un mandat ou une décision de justice, ou lorsque nous estimons raisonnablement que la divulgation est nécessaire pour enquêter sur, prévenir ou agir contre une activité illégale, une fraude, un risque de sanctions, des menaces pour la sécurité de quiconque, ou un abus des Services ou de l'infrastructure internet.

Nous ne vendons pas vos données personnelles contre de l'argent, et nous ne les louons pas. La section 12 explique comment les définitions américaines plus larges de « vente » et de « partage » s'appliquent et comment vous y opposer.

9. Prestataires d'IA et d'automatisation

Nous utilisons des outils d'IA et d'automatisation pour aider nos équipes à travailler plus vite et pour améliorer le support et la détection de la fraude. Parce que c'est une préoccupation fréquente, voici exactement notre position.

Les prestataires que nous utilisons actuellement à ces fins incluent Anthropic, OpenAI, Mistral, Make.com et n8n. La liste à jour est tenue dans notre Contrat de sous-traitance des données (DPA), et nous mettons cette liste à jour avant d'ajouter un nouveau prestataire.

Ce qu'ils peuvent traiter. Selon le flux de travail, cela peut inclure des données de compte Utilisateur autorisé et Membre, des contenus de support et de chat, des contenus de formulaires et de campagnes, des fiches d'Organisation, et les données de dossier fraude et conformité décrites à la section 7. Lorsqu'un flux de travail n'a pas besoin d'un champ donné, nous ne l'incluons pas.

Où ils sont situés. Ces prestataires sont principalement situés aux États-Unis et dans l'Union européenne. La section 11 explique les garanties que nous appliquons.

Lorsque nous agissons comme sous-traitant pour une Organisation, nous n'utilisons des prestataires d'IA et d'automatisation que d'une manière permise par notre Contrat de sous-traitance des données avec cette Organisation, et notre section relative aux sous-traitants ultérieurs constitue le mécanisme de notification décrit dans cet accord.

10. Cookies, technologies similaires, analyse et publicité

10.1 Comment fonctionne le consentement

Nous utilisons des cookies, balises, pixels, pixels invisibles, stockage local et enregistrement de session sur le Site web, la Plateforme et dans nos e-mails.

Les technologies strictement nécessaires sont toujours actives. Elles vous maintiennent connecté, sécurisent votre session, mémorisent vos choix de consentement, font fonctionner les paiements, et nous aident à détecter la fraude et les abus.

Toutes les autres catégories, à savoir les technologies d'analyse, fonctionnelles et publicitaires, ne sont activées que si vous y consentez. Dans l'EEE, au Royaume-Uni, et partout ailleurs où nous le devons, nous vous le demandons via une bannière de consentement qui vous permet de tout accepter, tout refuser, ou choisir par catégorie, le refus étant aussi simple que l'acceptation. Le fait de naviguer sur le Site web ne constitue pas en soi un consentement. Vous pouvez modifier ou retirer vos choix à tout moment via notre menu de préférences de confidentialité et via les paramètres de votre navigateur.

Nous respectons le Global Privacy Control et les signaux de préférence d'opposition similaires envoyés par votre navigateur, et nous les traitons comme une opposition à la publicité et à la vente ou au partage de données personnelles lorsque la loi applicable l'exige.

10.2 Analyse et enregistrement de session

Nous utilisons les prestataires d'analyse listés à la section 8, tels que Google Analytics et Amplitude, pour comprendre comment les Services sont utilisés, réaliser des tests A/B et améliorer le produit. Lorsque ces prestataires déposent des cookies ou utilisent une technologie similaire qui n'est pas strictement nécessaire, ils ne sont activés qu'après votre consentement via notre bannière de consentement, et vous pouvez retirer votre consentement à tout moment.

Notre outil d'enregistrement de session (Hotjar) est configuré pour masquer les champs de formulaire, les champs de paiement et le texte libre, de sorte que le contenu que vous saisissez, y compris tout détail de don ou de paiement, n'est pas enregistré. L'enregistrement de session n'est activé qu'avec votre consentement.

Séparément, nous utilisons votre adresse IP et des signaux techniques associés pour détecter et enquêter sur la fraude et les autres abus des Services. Nous le faisons sur la base d'une obligation légale et de nos intérêts légitimes, non du consentement, en utilisant des signaux que nous traitons comme strictement nécessaires ainsi que décrit à la section 10.1. Cette activité ne repose pas sur les cookies d'analyse ci-dessus et ne s'arrête pas si vous les refusez.

10.3 Publicité

Nous faisons la promotion de Zeffy auprès des Organisations et des Organisations prospects. Nous utilisons actuellement les produits publicitaires de Google et de Meta pour cela, y compris la mise en correspondance d'audiences fondée sur les adresses e-mail que les Organisations et prospects nous ont communiquées. Nous ne le faisons que lorsque nous disposons du consentement requis dans votre juridiction, ou lorsque la loi applicable le permet et que vous ne vous y êtes pas opposé.

Vous pouvez vous y opposer :

• via notre bannière de consentement et notre menu de préférences de confidentialité, qui est aussi la façon de vous opposer à la vente ou au partage de vos données personnelles au titre des lois des États américains ;

• en envoyant un signal Global Privacy Control depuis votre navigateur ;

• via vos paramètres publicitaires Google et vos préférences publicitaires Meta.

Nous n'exécutons pas notre propre technologie publicitaire sur les formulaires de don et de billetterie des Organisations. Lorsqu'une Organisation ajoute son propre pixel ou sa propre balise à ses formulaires, cette Organisation en est responsable, comme expliqué à la section 3.2.

11. Transferts internationaux

Nous opérons en Amérique du Nord, en Europe, au Royaume-Uni et en Australie, si bien que des données personnelles circulent entre pays. Voici comment nous gérons cela.

Adéquation. Les transferts vers le Canada depuis l'EEE et le Royaume-Uni s'appuient sur les décisions d'adéquation de la Commission européenne et du Royaume-Uni pour les organisations commerciales canadiennes. Les transferts de l'EEE vers le Royaume-Uni s'appuient sur la décision d'adéquation britannique.

États-Unis. Pour notre entité américaine et nos prestataires américains, nous nous appuyons, par ordre de préférence :

1. sur le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) et son extension britannique, lorsque le prestataire est certifié pour les catégories de données concernées ;

2. à défaut, sur les clauses contractuelles types de la Commission européenne, et pour le Royaume-Uni sur l'International Data Transfer Addendum ou IDTA, accompagnées d'une analyse d'impact du transfert et, le cas échéant, de mesures supplémentaires telles que le chiffrement et les contrôles d'accès.

Autres pays. Pour l'Australie et tout autre pays sans décision d'adéquation, nous utilisons les clauses contractuelles types et le UK Addendum.

Au sein du groupe Zeffy. Nos entités sont liées par un accord intragroupe de transfert de données incorporant les clauses contractuelles types et le UK Addendum, qui limite ce que chaque entité peut faire des données qu'elle reçoit.

Québec. Avant de communiquer des données personnelles hors du Québec, nous réalisons l'évaluation des facteurs relatifs à la vie privée requise par la Loi sur la protection des renseignements personnels du Québec. Si l'évaluation ne démontre pas que les données bénéficieront d'une protection adéquate, nous ne procédons pas. Lorsqu'elle le démontre, nous concluons un accord écrit avec le destinataire.

Australie. Avant de divulguer des données personnelles à l'étranger, nous prenons des mesures raisonnables pour nous assurer que le destinataire les traite conformément aux Australian Privacy Principles, comme l'exige l'APP 8.

Vous pouvez nous demander une copie des garanties sur lesquelles nous nous appuyons en écrivant à [email protected].

12. Vos droits

12.1 Comment ces droits s'appliquent

Les droits dont vous disposez, et la manière dont ils s'appliquent, dépendent de la loi sur la protection des données qui vous est applicable. Pour plus de clarté, nous avons regroupé ci-dessous les droits selon la loi qui les accorde. Si plusieurs lois vous sont applicables, vous disposez des droits ouverts par chacune d'elles.

L'exercice de vos droits est gratuit et n'entraîne aucun traitement différencié de votre part. Veuillez noter que l'exercice de certains droits peut limiter votre capacité à utiliser certaines parties des Services.

Pour exercer un droit, veuillez écrire à [email protected] ou utiliser notre menu de préférences de confidentialité. Nous vous demanderons les informations suffisantes pour vérifier votre identité, ce qui, pour des raisons de sécurité, peut inclure la confirmation de détails d'un compte ou d'une transaction, et nous ne demanderons pas plus que nécessaire. Vous pouvez recourir à un mandataire lorsque votre loi le permet.

Une note sur les données des Organisations. Si votre demande concerne des données qu'une Organisation détient dans la Plateforme, nous agissons comme sous-traitant et vous renverrons vers cette Organisation, qui en est le responsable. Indiquez-nous de qui il s'agit, et nous transmettrons votre demande et vous confirmerons que nous l'avons fait.

12.2 Si le RGPD de l'UE ou le RGPD britannique vous est applicable

• Accès. Demander quelles données personnelles nous détenons à votre sujet, et pourquoi.

• Copie et portabilité. Recevoir une copie dans un format couramment utilisé et lisible par machine, et nous demander de l'envoyer à un autre prestataire lorsque cela est techniquement possible.

• Rectification. Faire corriger des données inexactes ou incomplètes.

• Effacement. Nous demander de supprimer vos données. Nous le ferons, sauf si nous devons les conserver, par exemple à des fins de comptabilité, de fiscalité, de lutte contre le blanchiment, de sanctions, de prévention de la fraude ou de défense de prétentions juridiques. Nous vous indiquerons quelle exception s'applique.

• Limitation. Nous demander de suspendre un traitement pendant qu'un différend sur l'exactitude ou la licéité est résolu.

• Opposition. Vous opposer à un traitement fondé sur nos intérêts légitimes, et vous opposer à tout moment à la prospection directe.

• Retrait du consentement. Lorsque nous nous appuyons sur le consentement, le retirer à tout moment. Cela n'affecte pas les traitements déjà réalisés, ni les traitements que nous effectuons sur une autre base.

• Décisions automatisées. Demander un réexamen humain et une explication d'une décision prise à votre sujet par des moyens exclusivement automatisés produisant des effets juridiques ou similairement significatifs, et contester cette décision. Voir la section 7.

• Après le décès. Dans certains pays, dont la France, vous pouvez donner des instructions sur le sort de vos données après votre décès, et vos héritiers peuvent exercer certains droits.

• Réclamation. Introduire une réclamation auprès d'une autorité de contrôle. Voir la section 15.1.

12.3 Si vous êtes dans un État américain doté d'une loi sur la vie privée des consommateurs

Les droits précis dont vous disposez, et les seuils applicables, varient d'un État à l'autre. Sous réserve de la loi de votre État, vous pouvez :

• Savoir et accéder. Nous demander de confirmer si nous traitons vos données personnelles, et d'y accéder ainsi qu'aux informations sur la façon dont nous les utilisons.

• Effacement. Nous demander de supprimer les données personnelles que nous avons collectées auprès de vous, sous réserve des exceptions permises par la loi, par exemple à des fins de comptabilité, de fiscalité, de lutte contre le blanchiment, de sanctions, de prévention de la fraude ou de défense de prétentions juridiques. Nous vous indiquerons quelle exception s'applique.

• Rectification. Nous demander de corriger des données personnelles inexactes.

• Portabilité. Recevoir une copie de vos données personnelles dans un format portable et, dans la mesure du possible techniquement, aisément utilisable.

• Opposition à la vente et au partage. Vous opposer à la vente de vos données personnelles et à leur partage à des fins de publicité comportementale inter-sites. Voir le paragraphe sur la vente et le partage ci-dessous.

• Opposition à la publicité ciblée. Vous opposer à l'utilisation de vos données personnelles à des fins de publicité ciblée.

• Opposition à certains profilages. Lorsque votre État le prévoit, vous opposer au profilage effectué en vue de décisions produisant des effets juridiques ou similairement significatifs vous concernant.

• Limitation de l'utilisation des renseignements personnels sensibles. Si vous êtes en Californie, limiter notre utilisation des renseignements personnels sensibles aux finalités permises. Comme expliqué à la section 15.3, nous n'utilisons ces informations qu'à ces finalités permises aujourd'hui, de sorte que ce droit ne se pose pas actuellement.

• Non-discrimination. Ne pas subir de traitement discriminatoire pour avoir exercé vos droits.

• Recours. Dans les États qui prévoient un droit de recours, si nous refusons votre demande, vous pouvez faire appel en répondant à notre décision. Nous répondrons dans le délai requis par votre loi et vous indiquerons comment contacter votre procureur général (Attorney General).

Vente et partage. Nous ne vendons pas vos données personnelles contre de l'argent, et nous ne les louons pas. Toutefois, notre utilisation des produits publicitaires de Google et de Meta sur notre propre Site web peut constituer un « partage » à des fins de publicité comportementale inter-sites, et dans certains États une « vente ». Nous la traitons comme telle. Vous pouvez vous y opposer via notre menu de préférences de confidentialité, ou en envoyant un signal Global Privacy Control depuis votre navigateur, que nous respectons lorsque la loi applicable l'exige. Nous ne vendons ni ne partageons sciemment les données personnelles de toute personne de moins de 16 ans.

12.4 Si vous êtes au Canada, y compris au Québec

• Accès. Demander quelles données personnelles nous détenons à votre sujet, et pourquoi.

• Rectification. Faire corriger des données inexactes ou incomplètes.

• Retrait du consentement. Lorsque nous nous appuyons sur le consentement, le retirer à tout moment, sous réserve de restrictions légales ou contractuelles et d'un préavis raisonnable.

• Désindexation et cessation de diffusion. Si vous êtes au Québec, nous demander de cesser de diffuser des données personnelles vous concernant, ou de les désindexer, dans les cas prévus par la Loi sur la protection des renseignements personnels du Québec.

• Après le décès. Si vous êtes au Québec, les règles relatives au traitement de vos renseignements personnels après votre décès s'appliquent telles que prévues par la loi.

• Réclamation. Porter plainte auprès du Commissariat à la protection de la vie privée du Canada, et si vous êtes au Québec, auprès de la Commission d'accès à l'information du Québec. Voir la section 15.2.

12.5 Si l'Australian Privacy Act vous est applicable

• Accès. Demander quelles données personnelles nous détenons à votre sujet.

• Rectification. Faire corriger des données inexactes, obsolètes ou incomplètes.

• Anonymat ou pseudonymat. Nous demander de traiter avec vous de manière anonyme ou sous un pseudonyme lorsque cela est licite et praticable, ce qui n'est généralement pas possible pour les paiements et la vérification.

• Réclamation. Porter plainte auprès de l'Office of the Australian Information Commissioner. Voir la section 15.4.

13. Combien de temps nous conservons les données personnelles

Nous ne conservons les données personnelles que le temps nécessaire. Les durées ci-dessous sont nos durées par défaut. Elles peuvent être plus longues lorsqu'une obligation légale, une enquête, un litige ou une demande réglementaire précis l'exigent.

Vous pouvez aussi nous demander de supprimer vos données plus tôt, à tout moment. Lorsque nous ne sommes pas légalement tenus de les conserver, nous les supprimerons ou les anonymiserons rapidement, comme décrit dans votre droit à l'effacement à la section 12. Lorsqu'une exception s'applique, par exemple les registres comptables, les reçus fiscaux, ou les dossiers de fraude, de blanchiment et de sanctions que nous sommes tenus de conserver, nous vous indiquerons laquelle et supprimerons les données une fois que ce motif aura disparu.

Lorsque cela est permis, nous pouvons conserver des données agrégées ou anonymisées indéfiniment. Une fois qu'une donnée est véritablement anonymisée, elle n'est plus une donnée personnelle et la présente Politique ne s'y applique plus.

14. Sécurité

Nous prenons la sécurité au sérieux et concevons nos systèmes pour protéger vos données, même si aucun système ne peut être garanti totalement sûr.

Les mesures que nous appliquons comprennent :

• le chiffrement des données personnelles en transit au moyen de TLS, et le chiffrement au repos ;

• le contrôle d'accès selon le principe du besoin d'en connaître, avec authentification à plusieurs facteurs pour notre personnel et journalisation des accès aux systèmes de production ;

• la séparation des environnements ;

• la vérification préalable des prestataires avant qu'un prestataire ne traite des données personnelles.

Cartes de paiement. Nous ne recevons, ne stockons ni ne traitons les numéros complets de cartes de paiement ni les codes de sécurité des cartes. Les détails de carte sont saisis directement par Stripe dans un champ de paiement hébergé par Stripe, de sorte qu'ils ne transitent pas par nos systèmes. Nous ne détenons que des informations limitées telles que la marque de la carte, les quatre derniers chiffres, la date d'expiration, le nom du titulaire et l'adresse de facturation.

Incidents. Nous disposons d'un processus de gestion des incidents de sécurité présumés. Lorsque la loi l'exige, nous notifierons l'autorité de contrôle ou de régulation compétente, ainsi que vous-même, dans le délai applicable, qui est de 72 heures à l'autorité au titre du RGPD et dès que possible au titre des autres lois qui nous sont applicables.

15. Informations régionales et réclamations

15.1 EEE et Royaume-Uni

Représentant. Simplyk France est notre établissement dans l'EEE et Zeffy Limited est notre établissement au Royaume-Uni, de sorte que nous ne désignons pas de représentant au titre de l'article 27 du RGPD ou du RGPD britannique.

Autorité de contrôle chef de file. Parce que notre établissement principal dans l'Union est Simplyk France, la Commission Nationale de l'Informatique et des Libertés est notre autorité de contrôle chef de file pour les traitements transfrontaliers au titre de l'article 56 du RGPD. Cela ne limite pas votre droit d'introduire une réclamation auprès de l'autorité de votre propre pays, et ne s'applique pas aux règles nationales relatives aux cookies et au marketing électronique, pour lesquelles votre autorité locale est compétente.

Délégué à la protection des données. Nous avons évalué si nous sommes tenus de désigner un délégué à la protection des données au titre de l'article 37 du RGPD et avons conclu que nous ne le sommes pas. Notre Équipe Confidentialité assure la fonction équivalente, se coordonne avec les équipes responsables de chaque activité de traitement, et peut être jointe à [email protected]. Nous maintenons cette évaluation à l'étude, en particulier à mesure que nos activités dans l'Espace économique européen se développent.

Réclamations. Vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle, dans le pays où vous vivez ou travaillez ou dans lequel la violation alléguée a eu lieu. Nous vous serions reconnaissants de nous laisser la possibilité de résoudre votre préoccupation d'abord, mais cela relève de votre choix et n'est pas une condition.

• Irlande : Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, dataprotection.ie

• France : Commission Nationale de l'Informatique et des Libertés, cnil.fr

• Allemagne : l'autorité de contrôle de votre Land, ou le Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, bfdi.bund.de

• Royaume-Uni : Information Commissioner's Office, Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF, 0303 123 1113, ico.org.uk

• Autres pays de l'EEE : la liste des autorités est publiée par le Comité européen de la protection des données à edpb.europa.eu

15.2 Canada et Québec

Personne responsable de la protection des renseignements personnels. Comme l'exige la Loi sur la protection des renseignements personnels du Québec, la personne responsable de la protection des renseignements personnels au sein de Zeffy est François de Kerret, chef de la direction, qui peut être joint à [email protected] ou à l'adresse de Montréal indiquée à la section 3.1.

Si vous n'êtes pas satisfait de notre réponse, vous pouvez porter plainte auprès du Commissariat à la protection de la vie privée du Canada à priv.gc.ca, et si vous êtes au Québec, auprès de la Commission d'accès à l'information du Québec à cai.gouv.qc.ca.

Nos politiques internes de gouvernance des renseignements personnels, y compris notre cadre de conservation et de destruction, les rôles et responsabilités de notre personnel tout au long du cycle de vie des renseignements personnels, et notre processus de traitement des plaintes et des demandes, sont maintenues comme l'exige la Loi sur la protection des renseignements personnels du Québec. Un résumé est disponible sur demande.

15.3 États-Unis

Avis lors de la collecte. Les catégories des sections 5 et 6, les finalités de ces sections, les destinataires de la section 8 et les durées de conservation de la section 13 constituent notre avis lors de la collecte. Rapportées aux catégories du CCPA, nous collectons des identifiants, des dossiers clients, des informations commerciales, de l'activité internet et réseau, une géolocalisation déduite de l'adresse IP, des informations professionnelles pour les Utilisateurs autorisés, et, aux fins de vérification et de filtrage de la section 7, des identifiants publics et des informations relatives à une conduite criminelle alléguée. Nous ne collectons pas de données biométriques, de géolocalisation précise, ni le contenu de vos communications privées avec autrui.

Renseignements personnels sensibles. Nous traitons des identifiants publics et des informations de compte financier à des fins de vérification, de paiement et de criminalité financière uniquement, et nous n'utilisons ni ne divulguons de renseignements personnels sensibles à des fins allant au-delà de celles permises par le CCPA, de sorte que le droit d'en limiter l'utilisation ne se pose pas actuellement.

Droits. Vous disposez des droits de la section 12 de savoir, d'accéder, de supprimer, de rectifier, de vous opposer à la vente et au partage, et de ne pas subir de discrimination. Utilisez [email protected] ou notre menu de préférences de confidentialité. Vous pouvez porter plainte auprès de la California Privacy Protection Agency à cppa.ca.gov, ou auprès du procureur général de votre État.

15.4 Australie

Nous traitons les données personnelles conformément aux Australian Privacy Principles. En plus des droits de la section 12, vous pouvez nous demander de traiter avec vous de manière anonyme ou sous un pseudonyme lorsque cela est licite et praticable, ce qui n'est généralement pas possible pour les paiements et la vérification. La section 11 énumère les pays vers lesquels nous sommes susceptibles de divulguer des données personnelles.

Si vous n'êtes pas satisfait de notre réponse, vous pouvez porter plainte auprès de l'Office of the Australian Information Commissioner à oaic.gov.au ou au 1300 363 992.

16. Données sensibles et de catégorie spéciale

Nous ne vous demandons pas de données sensibles ou de catégorie spéciale pour nos propres finalités, à deux exceptions près :

• Vérification. La vérification d'identité est normalement effectuée via Stripe, qui capte et détient toute pièce d'identité directement dans un flux hébergé par Stripe, en tant que responsable indépendant (voir la section 3.2). Dans ce flux normal, nous ne stockons pas de pièces d'identité dans nos systèmes, et nous ne recevons que le résultat de la vérification et des données limitées associées.

  Exceptionnellement, lorsque le flux hébergé par Stripe ne peut pas être utilisé, par exemple dans certaines situations d'examen de sanctions où vous ne pouvez pas téléverser directement un document, nous pouvons vous demander de nous envoyer le document afin que nous le transmettions à Stripe ou à son équipe de support en votre nom. Dans ce cas, nous ne détenons le document que le temps nécessaire à cette étape, nous ne le stockons que dans des systèmes à accès contrôlé, et nous le supprimons de nos propres dossiers une fois qu'il a été transmis à Stripe.

  Si vous nous envoyez une pièce d'identité de votre propre initiative alors que nous ne l'avons pas demandée, nous la traitons comme une donnée non sollicitée et la supprimons dès qu'elle n'est plus nécessaire.

  Nous traitons tout ce qui précède sur la base de nos obligations légales et, lorsque le filtrage des sanctions est en jeu, de l'intérêt public important.

• Filtrage de la criminalité financière. Résultats de sanctions, de listes de surveillance et d'adverse media, qui peuvent inclure des données relatives à des infractions pénales alléguées. Nous les traitons sur la base de l'intérêt public important et de nos obligations légales, dans les conditions prévues par la loi nationale applicable, et avec un accès interne restreint.

Séparément, les Organisations peuvent collecter des données sensibles via leurs formulaires. Par exemple, une association de santé peut interroger sur un état de santé, un lieu de culte peut révéler une appartenance religieuse, ou un groupe de plaidoyer peut révéler une opinion politique. Pour ces données, l'Organisation est le responsable et il lui appartient de disposer d'une base valide et, dans l'EEE et au Royaume-Uni, d'une condition valide au titre de l'article 9. Nos conditions exigent des Organisations qu'elles respectent le droit de la protection des données et leur interdisent d'utiliser nos formulaires pour collecter des données de catégorie spéciale sans base légale pour le faire. Si vous avez une préoccupation quant à ce qu'une Organisation demande, contactez-nous et nous examinerons la question.

Nous vous demandons de ne pas nous envoyer de données sensibles via nos canaux de chat, de retour ou de support, car ces canaux ne sont pas conçus pour cela. Si vous le faites, nous les traiterons au titre de la présente Politique et les supprimerons dès qu'elles ne seront plus nécessaires.

17. Marketing électronique

Nous utilisons Twilio SendGrid et HubSpot pour envoyer nos propres e-mails, et Twilio SendGrid pour envoyer des e-mails au nom des Organisations.

Nos e-mails de marketing comportent toujours un lien de désabonnement, que nous honorons rapidement. Les e-mails des Organisations envoyés via la Plateforme comportent un lien de désabonnement pour les communications de cette Organisation. Les messages transactionnels, tels que les confirmations de paiement, les reçus fiscaux, les avis de sécurité et les notifications de compte, ne comportent pas d'option de désabonnement car ils sont nécessaires à l'utilisation des Services.

Nos pratiques en matière d'e-mail sont conçues pour respecter les lois sur le marketing électronique énumérées à la section 4, y compris CASL, CAN-SPAM, PECR, l'Australian Spam Act 2003 et les transpositions locales de la directive ePrivacy. Si vous estimez avoir reçu de notre part un message en violation de ces règles, veuillez nous en informer à [email protected].

Nos e-mails contiennent des pixels de suivi qui nous indiquent si un message a été ouvert et si des liens ont été cliqués. Lorsque le consentement est requis pour cela, nous le demandons, et vous pouvez l'empêcher en désactivant le chargement des images distantes dans votre client de messagerie.

18. Enfants et jeunes

Les Services sont destinés aux adultes. Nos conditions exigent que les titulaires de compte aient au moins 18 ans, ou l'âge de la majorité là où ils vivent. Certains produits, tels que les tombolas et loteries, comportent des âges minimaux plus élevés dans certaines juridictions, et ceux-ci sont indiqués dans les conditions du produit concerné.

Nous ne créons pas sciemment de comptes pour, ni ne recueillons de données personnelles directement auprès de, toute personne en deçà de ces âges, et nous supprimerons de telles données si nous en avons connaissance.

Nous reconnaissons que des jeunes apparaissent dans les Services d'autres façons. Les Organisations mènent des campagnes de collecte entre pairs pour des écoles, du sport jeunesse et des programmes jeunesse, dans lesquelles un jeune peut avoir une page de collecte ou être nommé comme participant, et un jeune peut figurer dans les fiches qu'une Organisation détient. Dans ces cas, l'Organisation est le responsable et il lui appartient d'obtenir tout consentement parental requis, de limiter au minimum ce qu'elle collecte, et de respecter les règles relatives aux données des enfants telles que l'Age Appropriate Design Code britannique et les Fundamentals irlandais pour une approche du traitement des données adaptée aux enfants. Nos conditions l'exigent des Organisations. Si vous êtes parent ou tuteur et que vous avez une préoccupation au sujet d'une page ou d'une fiche, contactez-nous à [email protected] et nous y donnerons suite et vous mettrons en relation avec l'Organisation.

Nous ne vendons ni ne partageons sciemment, au sens du droit américain, les données personnelles de toute personne de moins de 16 ans.

19. Modifications de la présente Politique

Nous révisons la présente Politique au moins une fois tous les 12 mois et la mettons à jour lorsque nos pratiques changent. Le numéro de version et la date en tête vous indiquent quelle version vous lisez. Vous pouvez demander les versions antérieures à tout moment en écrivant à [email protected].

Lorsqu'un changement est important, nous en informerons les Utilisateurs autorisés et les Membres avant qu'il prenne effet, au moyen d'un avis bien visible dans l'espace de leur compte sur la Plateforme et par e-mail. Lorsqu'un changement nécessite votre consentement, nous le demanderons plutôt que de le présumer.

Les autres utilisateurs, y compris les Contributeurs, ont accès à la version alors en vigueur de la présente Politique lorsqu'ils utilisent un formulaire propulsé par Zeffy, un lien vers cette Politique étant fourni au point de collecte.

Merci de votre lecture. Si quelque chose ici n'est pas clair, ou si vous pensez que nous avons fait une erreur, dites-le nous à [email protected].

© Zeffy, 2026. Zeffy est un nom commercial des entités énumérées à la section 3.1.