Politique de confidentialité
Dernière mise à jour : 26 octobre 2026
Cette politique explique quelles données personnelles Prêt Matériel traite, pourquoi, combien de temps, et comment exercer vos droits. Elle s'applique aux utilisateurs inscrits et aux personnes enregistrées comme emprunteurs par un utilisateur, qu'elles aient un compte ou non. Elle est établie conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 « Informatique et Libertés ».
En bref : nous collectons le strict nécessaire pour faire fonctionner le service. Pas de publicité, pas de revente de données, pas de cookie tiers. Vous pouvez télécharger ou supprimer vos données à tout moment depuis la page Mon compte, et un emprunteur peut bloquer tous nos e-mails en un clic.
1. Responsable du traitement
Tolga Yildiz, éditeur non professionnel. Contact pour toute question ou demande relative à vos données : contact@codebtpsecure.cloud.
Pour les informations que vous saisissez sur vos emprunteurs (nom, e-mail, téléphone, notes), vous en êtes vous-même responsable au sens où vous choisissez de les enregistrer ; Prêt Matériel les traite pour vous fournir le service de rappel. Ces données ne doivent servir qu'au suivi de vos prêts (voir les conditions générales).
Offres Pro : lorsqu'une entreprise, une association ou un autre organisme utilise Prêt Matériel pour suivre ce qu'il prête (à ses salariés, membres, élèves ou clients), c'est cet organisme qui est responsable du traitement des données de ses emprunteurs. Prêt Matériel agit alors comme sous-traitant, dans les conditions de l'accord de sous-traitance des CGV. Les emprunteurs concernés peuvent exercer leurs droits auprès de cet organisme, ou nous écrire : nous transmettrons. Les e-mails qu'ils reçoivent nomment cet organisme. Seules exceptions, dont Prêt Matériel reste responsable pour protéger les emprunteurs (intérêt légitime) : la liste des adresses désinscrites et le plafond d'e-mails par destinataire, communs à tous les utilisateurs du service.
2. Données traitées
Utilisateurs inscrits
- Compte : prénom, nom de la structure pour une offre Pro, adresse e-mail, mot de passe (stocké uniquement sous forme chiffrée irréversible, bcrypt), date d'inscription, date de dernière activité, date et version des conditions acceptées, date de confirmation de l'adresse e-mail et, le cas échéant, la nouvelle adresse en attente de confirmation.
- Sécurité du compte : sessions de connexion (date d'ouverture et d'expiration, sans information sur l'appareil) et liens de confirmation ou de réinitialisation du mot de passe envoyés par e-mail (seule une empreinte du lien est conservée).
- Prêts : objets ou montants prêtés, dates, remboursements, notes personnelles, options de rappel.
- Abonnement : offre choisie, date de souscription (point de départ du délai de rétractation), dates de renouvellement, remboursements, historique des paiements (montant, date). Vos coordonnées bancaires sont saisies directement chez notre prestataire de paiement Stripe : nous n'y avons jamais accès. Pour une offre Pro, le nom, l'adresse et, le cas échéant, le numéro de TVA de la structure sont saisis chez Stripe et repris sur les factures.
- Notifications affichées dans l'application.
Personnes enregistrées comme emprunteurs
- Nom, adresse e-mail et, si l'utilisateur le renseigne, numéro de téléphone ; ce qui a été prêté, les dates et les remboursements.
- Ces données ne sont pas collectées auprès de vous mais auprès de l'utilisateur qui vous a prêté quelque chose (voir la section 9).
Tous les visiteurs
- Mesure d'audience : page consultée, site d'origine, type d'appareil, navigateur, pays, et un identifiant aléatoire stocké sur votre appareil. Aucun lien n'est fait avec votre compte. Détails et opposition sur la page Cookies.
- Sécurité : l'adresse IP est utilisée quelques minutes, en mémoire, pour bloquer les tentatives en série (connexion, inscription, mot de passe oublié) et les envois abusifs. Elle n'est pas enregistrée en base.
- Journal des e-mails : destinataire, objet, type et résultat de chaque e-mail envoyé et, pour un e-mail adressé à un emprunteur, le compte du prêteur à l'origine de l'envoi. Il sert à vérifier la bonne délivrance, à traiter les réclamations et à limiter les envois abusifs (nombre d'e-mails par jour vers une même adresse et par compte).
3. Finalités et bases légales
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Créer et gérer votre compte, enregistrer vos prêts, afficher votre bilan | Exécution du contrat (CGU) |
| Confirmer votre adresse e-mail, réinitialiser votre mot de passe, vous prévenir d'un changement de mot de passe ou d'adresse | Exécution du contrat (CGU) et sécurité du compte (art. 32 RGPD) |
| Envoyer aux emprunteurs les e-mails liés à un prêt (confirmation, rappel la veille, relances) | Intérêt légitime de l'utilisateur à récupérer son bien ou son argent ; l'emprunteur peut s'y opposer à tout moment en un clic |
| Gérer les abonnements et les paiements, y compris la facture au nom de la structure pour les offres Pro | Exécution du contrat (CGV) |
| Conserver les factures et justificatifs de paiement | Obligation légale (art. L123-22 du Code de commerce) |
| Prévenir de la reconduction d'un abonnement annuel, confirmer une résiliation | Obligation légale (art. L215-1 et L215-1-1 du Code de la consommation) |
| Mesure d'audience anonyme | Intérêt légitime à améliorer le site (traceur exempté de consentement, délibération CNIL 2020-091) |
| Sécurité du service et prévention des abus | Intérêt légitime |
| Répondre à vos demandes et réclamations | Intérêt légitime, ou obligation légale pour les demandes d'exercice de droits |
Aucune décision automatisée produisant des effets juridiques ne vous concerne, et aucun profilage n'est réalisé. Vos données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires.
4. Durées de conservation
| Données | Durée |
|---|---|
| Compte et prêts en cours | Jusqu'à la suppression du compte. Un compte sans aucune activité pendant 3 ans est supprimé, après un e-mail de préavis 30 jours avant. |
| Prêts clôturés (objet rendu ou argent remboursé) | 5 ans après la clôture, durée pendant laquelle un litige sur le prêt reste possible (prescription de droit commun, art. 2224 du Code civil), puis suppression automatique |
| Données d'un emprunteur | Celle du prêt qui le concerne. Supprimées avec le compte du prêteur. |
| Factures et paiements | 10 ans (obligation comptable), même après la suppression du compte, sans lien avec le compte supprimé |
| Liste des adresses désinscrites | Tant que nécessaire pour respecter la désinscription (seule l'adresse e-mail est conservée) |
| Sessions de connexion | 30 jours au plus ; supprimées à la déconnexion, au changement de mot de passe ou avec le compte |
| Liens envoyés par e-mail | Confirmation d'adresse : 48 heures ; réinitialisation du mot de passe : 1 heure. Supprimés dès leur utilisation. |
| Notifications lues | 12 mois |
| Journal des e-mails envoyés | 12 mois |
| Sauvegardes de sécurité de la base | 14 jours : une donnée supprimée disparaît aussi des sauvegardes au plus tard 14 jours après. Elles ne servent qu'à restaurer le service en cas d'incident. |
| Statistiques de fréquentation | 25 mois ; identifiant de mesure d'audience renouvelé tous les 13 mois |
5. Destinataires
- L'éditeur du site, pour l'administration du service et le support, dans la limite de ce qui est nécessaire.
- Les autres utilisateurs, dans le cadre d'un prêt : l'emprunteur reçoit le prénom et l'adresse e-mail du prêteur dans les e-mails de rappel, pour pouvoir le contacter ; si l'emprunteur a un compte, il voit le prêt dans son espace « Emprunts ». Les notes privées du prêteur ne sont jamais montrées à l'emprunteur.
- Nos sous-traitants, qui agissent uniquement sur nos instructions et sont tenus contractuellement à la confidentialité et à la sécurité (art. 28 RGPD) :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Railway Corporation (États-Unis) | Hébergement du site et de la base de données | Données hébergées dans l'Union européenne (région EU West, Pays-Bas) ; société américaine : transferts éventuels encadrés par l'accord de traitement des données (DPA) de Railway et les clauses contractuelles types de la Commission européenne |
| Stripe Payments Europe Ltd. | Paiement des abonnements | Irlande ; transferts possibles vers les États-Unis encadrés par le Data Privacy Framework et des clauses contractuelles types |
| Brevo (Sendinblue SAS, France) | Envoi des e-mails de rappel et de service | Union européenne (à confirmer dans l'accord de traitement des données de Brevo) |
Les données peuvent aussi être communiquées aux autorités lorsque la loi l'exige.
6. Transferts hors de l'Union européenne
Les données sont hébergées dans l'Union européenne lorsque c'est possible. Si un prestataire transfère des données hors de l'UE (par exemple Stripe vers les États-Unis), le transfert est encadré par une décision d'adéquation (Data Privacy Framework) ou par les clauses contractuelles types de la Commission européenne.
7. Sécurité
Connexion chiffrée (HTTPS), mots de passe chiffrés de manière irréversible, adresse e-mail confirmée avant tout rattachement d'emprunts ou envoi d'e-mail à un emprunteur, sessions révocables (déconnexion de tous les appareils depuis Mon compte), exigences de robustesse des mots de passe et limitation des tentatives de connexion conformes aux recommandations de la CNIL, cookie de session protégé (HttpOnly), accès à l'administration réservé aux administrateurs. En cas de violation de données présentant un risque, la CNIL est notifiée sous 72 heures et les personnes concernées sont prévenues lorsque la loi l'impose.
8. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (articles 15 à 21 du RGPD), ainsi que du droit de définir des directives sur le sort de vos données après votre décès (art. 85 de la loi Informatique et Libertés).
- Depuis votre compte, page Mon compte : modifier votre prénom, votre adresse e-mail et votre mot de passe, déconnecter vos autres appareils, télécharger toutes vos données (format JSON, lisible par machine), supprimer définitivement votre compte.
- Emprunteur : lien « Ne plus recevoir ces e-mails » en bas de chaque e-mail.
- Pour tout le reste (effacement de données d'emprunteur, question) : écrivez à contact@codebtpsecure.cloud. Nous pourrons vous demander de justifier de votre identité en cas de doute raisonnable. Réponse sous un mois maximum.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr/fr/plaintes).
9. Vous avez reçu un e-mail sans avoir de compte ?
Un utilisateur de Prêt Matériel a enregistré un prêt à votre nom (un objet ou une somme d'argent qu'il vous a prêté) et a indiqué votre nom et votre adresse e-mail. Ces données servent uniquement à vous envoyer la confirmation du prêt, un rappel la veille de la date prévue, puis, en cas de retard et si le prêteur l'a choisi, une relance au plus tous les trois jours (8 rappels au maximum par prêt, et jamais plus de 5 e-mails par jour). Elles ne servent à rien d'autre et ne sont jamais utilisées pour de la prospection.
Vous pouvez à tout moment : bloquer tous les e-mails en un clic avec le lien en bas de chaque e-mail ; demander la suppression de vos données à contact@codebtpsecure.cloud ; créer un compte pour voir vos emprunts. Si vous pensez qu'on vous a enregistré à tort, signalez-le-nous à la même adresse.
10. Mineurs
Le service est réservé aux personnes âgées d'au moins 15 ans. La souscription d'un abonnement payant est réservée aux personnes majeures ou autorisées par leur représentant légal.
11. Modifications
Cette politique peut évoluer. La date de dernière mise à jour figure en haut de la page. En cas de changement important, les utilisateurs inscrits sont prévenus par e-mail ou dans l'application.