Politique de confidentialité de Cocor'écho
Version du 1er septembre 2026, Adrien Insights
1. Qui traite vos données
Le responsable de traitement est Adrien Insights, entreprise unipersonnelle à responsabilité limitée (EURL) au capital social de 1 000 euros, immatriculée au registre du commerce et des sociétés de Toulon sous le numéro 885 399 659, dont le siège social est situé 164 rue des Mimosas, 83220 Le Pradet, France (ci-après « nous », « l'Exploitant »), éditeur du service Cocor'écho.
Pour toute question relative à vos données personnelles, vous pouvez écrire à contact@cocorecho.fr ou à Adrien Insights, 164 rue des Mimosas, 83220 Le Pradet. Compte tenu de sa taille et de la nature de ses traitements, l'éditeur n'est pas tenu de désigner un délégué à la protection des données au sens de l'article 37 du RGPD ; les demandes sont traitées directement par la gérance.
2. Ce que fait Cocor'écho, en une phrase
Vous versez un don vérifié à une association via notre plateforme, gratuitement. Des frais de service, ajoutés au-dessus de votre don, couvrent le traitement du paiement (frais bancaires et une marge de fonctionnement pour la plateforme). Le classement public, le badge, et le lien vers votre profil ou votre site sont des fonctionnalités gratuites de la plateforme : ils ne sont pas vendus et ne sont la contrepartie d'aucun paiement distinct. Cette politique explique quelles données personnelles cela implique, pourquoi, et pour combien de temps.
3. Données collectées et finalités
| Donnée | Finalité | Base légale |
|---|
| Email | Création de compte, connexion (magic link), communication liée au service | Exécution du contrat (art. 6.1.b RGPD) |
Nom / prénom ou pseudonyme (display_name) | Affichage au palmarès si publication choisie | Consentement explicite (art. 6.1.a RGPD) |
| Montant du don | Calcul du rang, affichage au palmarès et sur le badge si publication choisie | Consentement explicite (art. 6.1.a RGPD) pour la publication ; exécution du contrat (art. 6.1.b) pour l'enregistrement au registre |
| Raison sociale, SIREN (compte entreprise) | Émission de la facture de commission et mentions obligatoires y figurant | Obligation légale (art. 6.1.c RGPD ; art. L.441-9 C. com., art. 289 CGI) |
| Attestation de majorité (18+) | Vérification de la capacité à contracter, condition de validité du contrat (art. 1145 et 1146 du Code civil) | Exécution du contrat (art. 6.1.b RGPD) |
Identifiants de transaction du prestataire de paiement (payment_intent, charge) | Rapprochement comptable, piste d'audit fiable entre le paiement, la facture et le reversement à l'association, traitement des litiges de paiement | Obligation légale (art. 6.1.c RGPD ; art. L.123-22 C. com., art. 289 CGI) |
| Consentement marketing | Envoi de communications commerciales | Consentement explicite, distinct (art. 6.1.a RGPD) |
| Message et lien associés à un don | Personnalisation du profil public et du badge | Consentement explicite (publication) |
| Logo (compte entreprise, le cas échéant) | Personnalisation du profil public et du badge | Consentement explicite (publication) |
| Données de paiement (carte bancaire) | Traitement de la transaction | Exécution du contrat. Traitées exclusivement par notre prestataire de paiement (Stripe), jamais stockées par nous. |
| Données techniques (adresse IP, logs de connexion) | Sécurité, prévention de la fraude, conservation légale des données de connexion | Intérêt légitime (art. 6.1.f RGPD) et obligation légale (art. 6-II de la LCEN) |
4. Le traitement le plus sensible : la publication de votre don
4.1. Un traitement distinct du don lui-même. Faire un don via Cocor'écho et publier ce don (nom et montant visibles au palmarès, sur votre profil et sur votre badge) sont deux choses juridiquement séparées. Nous ne fondons jamais la publication de vos données sur l'intérêt légitime : la publication permanente et nominative d'une donnée financière individuelle est une atteinte à la vie privée trop significative pour reposer sur autre chose que votre choix explicite.
4.2. Base légale : votre consentement explicite (art. 6.1.a RGPD). Avant tout paiement, vous devez cocher une case dédiée pour consentir à la publication de votre don. Cette case est distincte de l'acceptation des CGV et de la renonciation au droit de rétractation.
4.3. Le choix « publier mon nom » / « rester anonyme ». Si vous consentez à la publication, vous choisissez :
- publier votre nom (ou le pseudonyme que vous avez défini) et le montant de votre don, visibles publiquement ;
- rester anonyme : votre don compte dans le total de l'association et peut apparaître au palmarès sous la mention « Donateur anonyme », sans aucune donnée nominative associée.
Choisir de rester anonyme n'empêche en aucun cas de faire un don. Ce choix n'a aucune incidence sur le montant, le traitement ou la validité de votre paiement. Conformément à l'article 7.4 du RGPD, le consentement à la publication doit être libre : il n'est jamais conditionné à l'obtention d'un avantage lié au don lui-même.
4.4. Pseudonymat par défaut. Par défaut, le nom affiché au palmarès (display_name) est un pseudonyme ou un prénom suivi d'une initiale, et non votre nom civil complet. L'affichage du nom complet requiert un choix explicite supplémentaire de votre part, distinct du consentement de base à la publication.
4.5. Vous pouvez retirer ce consentement à tout moment. Conformément à l'article 7.3 du RGPD, vous pouvez retirer votre consentement à la publication à tout moment, aussi simplement que vous l'avez donné, en écrivant à contact@cocorecho.fr. Ce retrait est sans frais et n'a pas à être motivé.
Concrètement, le retrait produit les effets suivants :
- votre nom, ou le pseudonyme affiché, disparaît du classement public ;
- votre profil public et votre badge cessent d'afficher toute donnée vous identifiant ;
- le don reste acquis à l'association bénéficiaire : il ne vous est pas remboursé et il continue d'être comptabilisé, de façon anonyme, dans le total affiché pour cette association.
Le retrait du consentement ne remet pas en cause la licéité de la publication effectuée avant ce retrait. Il n'a aucune incidence sur les traitements fondés sur une autre base légale, notamment la conservation comptable décrite au §6.
5. Durées de conservation
| Catégorie de donnée | Durée de conservation | Fondement |
|---|
Compte actif (email, profil, display_name) | Toute la durée de vie du compte, puis trois ans à compter du dernier contact | Référentiel CNIL relatif à la gestion des activités commerciales, délibération n° 2021-044 du 13 avril 2021 |
| Registre des dons | Dix ans à compter de la clôture de l'exercice, puis anonymisation irréversible | Art. L.123-22 du Code de commerce |
| Factures et données de facturation (comptes entreprise) | Dix ans à compter de la clôture de l'exercice | Art. L.123-22 du Code de commerce |
| Identifiants de transaction du prestataire de paiement | Dix ans à compter de la clôture de l'exercice, au titre de la piste d'audit fiable | Art. L.123-22 C. com., art. 289 CGI |
| Données de paiement (carte bancaire) | Non conservées par nous ; conservation régie par la politique de Stripe en tant que sous-traitant | - |
| Logs de connexion et adresses IP | Un an | Art. 6-II de la LCEN, décret n° 2021-1362 du 20 octobre 2021 |
| Journaux applicatifs techniques | Six mois | Recommandation CNIL relative à la journalisation du 12 octobre 2021 |
| Preuve du consentement marketing | Trois ans à compter du retrait du consentement ou du dernier contact | Art. 7.1 RGPD |
| Preuve de la renonciation au droit de rétractation |
Aucune donnée personnelle n'est conservée sans limite de durée. À l'expiration des durées ci-dessus, les données sont supprimées ou anonymisées de façon irréversible.
6.1. Une tension assumée. Le registre des dons est la source de vérité du service (intégrité comptable, calcul des totaux versés aux associations) et constitue une pièce justificative que la loi nous impose de conserver. Nous ne pouvons donc pas supprimer purement et simplement l'historique d'un don. Voici comment nous concilions votre droit à l'effacement (art. 17 RGPD) avec cette contrainte.
6.2. Ce qui se passe quand vous demandez l'effacement :
- votre compte passe en statut « effacé » et n'est plus utilisable ;
- votre nom affiché est remplacé par « Donateur anonyme » ;
- votre email, votre logo et toute autre donnée directement identifiante sont supprimés ;
- votre profil public et votre badge personnel cessent d'être accessibles ;
- le montant de vos dons reste comptabilisé, de façon dissociée de votre identité, dans le total de l'association bénéficiaire.
6.3. Le fondement et les limites de cette conservation. L'article 17.3 du RGPD prévoit que le droit à l'effacement ne s'applique pas lorsque la conservation est nécessaire au respect d'une obligation légale (b) ou à la constatation, à l'exercice ou à la défense de droits en justice (e). Le registre de vos dons constitue une pièce justificative comptable, que nous sommes tenus de conserver dix ans en application de l'article L.123-22 du Code de commerce, ainsi qu'un élément de preuve du reversement effectué à l'association. Après effacement de votre compte, cette conservation se fait sous une forme dissociée de votre identité : votre nom, votre adresse électronique et votre logo sont supprimés, votre profil public et votre badge ne sont plus accessibles, et seul subsiste un enregistrement comptable non consultable publiquement, dont l'accès est réservé aux besoins comptables et probatoires. À l'expiration du délai légal de conservation, cet enregistrement est anonymisé de façon irréversible : seul le montant demeure, agrégé au total de l'association.
Pour les comptes entreprise, les factures émises conservent, pendant le même délai de dix ans, les mentions obligatoires que la loi impose d'y faire figurer, notamment la raison sociale et le numéro SIREN.
6.4. Comment exercer ce droit. Vous pouvez demander l'effacement de votre compte à tout moment en écrivant à contact@cocorecho.fr. Nous traitons votre demande dans un délai maximum d'un mois.
7. Vos droits RGPD
Conformément au Règlement général sur la protection des données, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès : obtenir une copie des données que nous détenons sur vous ;
- Droit de rectification : corriger des données inexactes ou incomplètes ;
- Droit à l'effacement : voir §6 ci-dessus ;
- Droit de retirer votre consentement à tout moment, notamment pour la publication de votre don (voir §4.5) et pour les communications commerciales ;
- Droit d'opposition : vous opposer, à tout moment, au traitement de vos données fondé sur notre intérêt légitime, ainsi qu'à la prospection commerciale ;
- Droit à la limitation du traitement ;
- Droit à la portabilité de vos données, lorsqu'applicable ;
- Droit de définir des directives relatives au sort de vos données après votre décès, en application de l'article 85 de la loi n° 78-17 du 6 janvier 1978.
Pour exercer ces droits, écrivez à contact@cocorecho.fr ou à Adrien Insights, 164 rue des Mimosas, 83220 Le Pradet. Vous disposez également du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07) si vous estimez que vos droits ne sont pas respectés.
8. Évaluation du risque
Le Service expose publiquement une donnée financière nominative : le montant qu'une personne identifiée a versé à une association. Nous prenons ce risque au sérieux et l'avons évalué avant l'ouverture du Service.
Les mesures de minimisation effectivement en place sont les suivantes :
- la publication repose sur votre consentement explicite, distinct et non pré-coché, et jamais sur l'intérêt légitime (§4) ;
- seuls le nom d'affichage que vous avez choisi et le montant total de vos dons sont publiés. Votre adresse électronique, votre adresse postale et vos moyens de paiement ne sont jamais publiés, ni accessibles à des tiers ;
- le nom d'affichage est par défaut un pseudonyme ou un prénom suivi d'une initiale, et non votre nom civil complet ;
- le retour à l'anonymat est possible à tout moment, sans frais et sans justification, par simple retrait du consentement (§4.5) ;
- aucune donnée relevant des articles 9 ou 10 du RGPD n'est collectée, et aucun profilage ni décision automatisée produisant des effets juridiques n'est mis en œuvre.
Aucun des cas de l'article 35.3 du RGPD n'est à ce jour caractérisé et le traitement n'est pas mis en œuvre à grande échelle. Une analyse d'impact relative à la protection des données au sens de l'article 35 du RGPD sera conduite dès que l'ampleur du Service le justifiera, et en tout état de cause avant toute évolution élargissant les données publiées.
9. Âge minimum
Le Service est réservé aux personnes de 18 ans et plus. La création d'un compte requiert une attestation sur l'honneur de majorité. Nous ne collectons pas sciemment de données de personnes mineures. Si nous avons connaissance qu'un compte a été créé par un mineur, nous procédons à sa suppression.
10. Sous-traitants et destinataires des données
Vos données sont partagées avec les sous-traitants suivants, chacun lié par un contrat de sous-traitance conforme à l'article 28 du RGPD :
| Sous-traitant | Rôle | Données concernées | Localisation du traitement |
|---|
| Stripe Payments Europe, Limited (Dublin, Irlande), Stripe Technology Europe, Limited (Dublin, Irlande, établissement de monnaie électronique agréé par la Banque centrale d'Irlande) et Stripe, Inc. (États-Unis) pour certaines opérations techniques | Traitement des paiements, encaissement et reversement des fonds, prévention de la fraude, facturation | Données de paiement, montant, email, identifiants de transaction | Union européenne, avec transferts vers les États-Unis (voir ci-dessous) |
| Sendinblue, société par actions simplifiée exerçant sous la marque Brevo, 17 rue de Salneuve, 75017 Paris, France, immatriculée au RCS de Paris sous le numéro 498 019 298 (« Brevo ») | Envoi des courriers électroniques du Service : lien de connexion, messages liés à une commande, communications commerciales si vous y avez consenti | Adresse électronique, nom d'affichage, contenu des messages envoyés | Union européenne |
| Railway Corporation, 548 Market Street, PMB 68956, San Francisco, Californie 94104, États-Unis (« Railway ») | Hébergement de l'application | Ensemble des données du Service transitant par l'application | Région européenne de Railway (Amsterdam, Pays-Bas), sous-traitant établi aux États-Unis (voir ci-dessous) |
| Railway Corporation, 548 Market Street, PMB 68956, San Francisco, Californie 94104, États-Unis (« Railway ») | Hébergement de la base de données | Ensemble des données du Service stockées en base | Région européenne de Railway (Amsterdam, Pays-Bas), sous-traitant établi aux États-Unis (voir ci-dessous) |
Ces sous-traitants n'utilisent vos données que dans le cadre strict des instructions que nous leur donnons et ne les exploitent à aucune fin qui leur serait propre.
Transferts hors Union européenne. Vos données sont hébergées dans la région européenne de notre hébergeur, située à Amsterdam (Pays-Bas). Cet hébergeur est toutefois une société établie aux États-Unis, susceptible d'accéder aux données pour les besoins de l'exploitation technique du service : ce transfert est encadré par un accord de sous-traitance et par les clauses contractuelles types adoptées par la Commission européenne. Par ailleurs, le traitement de vos paiements implique un transfert de certaines données vers Stripe, Inc., société établie aux États-Unis. Ce transfert est encadré par la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis, Stripe, Inc. étant certifiée au titre de ce cadre, ainsi que, à titre complémentaire et pour les traitements qui ne seraient pas couverts par cette décision, par les clauses contractuelles types adoptées par la Commission européenne. Une copie des garanties applicables peut être obtenue sur demande à contact@cocorecho.fr.
Hors sous-traitants, vos données ne sont communiquées à des tiers que sur réquisition d'une autorité judiciaire ou administrative habilitée.
11. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles proportionnées pour protéger vos données contre l'accès non autorisé, la perte ou l'altération, notamment le chiffrement des échanges, le contrôle d'accès aux systèmes, et la vérification cryptographique des notifications de paiement reçues du prestataire de paiement.
12. Cookies et traceurs
Le Service ne dépose aucun cookie publicitaire, aucun traceur tiers et aucun outil de mesure d'audience. Nous ne suivons pas votre navigation et nous ne revendons aucune donnée de navigation.
Le seul cookie déposé est un cookie de session (authjs.session-token), dont la durée de vie est de trente jours à compter de la dernière utilisation. Il a pour finalité exclusive de vous maintenir connecté à votre compte et de sécuriser cette connexion.
Ce cookie est strictement nécessaire à la fourniture d'un service de communication en ligne expressément demandé par l'utilisateur. Il est à ce titre exempté du recueil du consentement en application de l'article 82 de la loi n° 78-17 du 6 janvier 1978 et de la délibération de la CNIL n° 2020-091 du 17 septembre 2020 portant lignes directrices relatives aux cookies et autres traceurs. Aucun bandeau cookies n'est donc affiché sur le Service : il n'y a rien à accepter ni à refuser.
13. Modification de la politique
Nous pouvons faire évoluer la présente politique, notamment pour tenir compte d'une évolution du Service ou de la réglementation. Toute modification substantielle vous est notifiée par email ou par une bannière sur le Service avant son entrée en vigueur.
Cette faculté d'évolution ne concerne que la présente politique. Les conditions générales de vente obéissent à leur propre régime : chaque commande reste régie par la version des CGV en vigueur à la date de sa validation, conformément à l'article 12 des CGV, accessibles à l'adresse /cgv.
Pour toute question relative à cette politique ou à vos données personnelles : contact@cocorecho.fr, Adrien Insights, 164 rue des Mimosas, 83220 Le Pradet, France, téléphone : +33 6 58 93 81 08.
Mentions légales : /mentions-legales. Conditions générales de vente : /cgv.