Politique de confidentialité

Version en vigueur depuis le 2 octobre 2026.

Le Site collecte le strict nécessaire pour organiser un Secret Santa. Il ne vend rien de vos données, n’affiche aucune publicité et n’utilise aucun traceur.

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur le Site est l’éditeur :

Baptiste LE ROSSIGNOL (EI), entrepreneur individuel
SIRET : 10777590000015 · Inscrit au Registre national des entreprises (RNE)
Adresse : 6 RUE des Verdiers 14740 Thue et Mue FRANCE
E-mail : baptiste.lerossignol@gmail.com · Téléphone : +33 06 27 57 54 50

Pour toute question sur vos données ou pour exercer vos droits : baptiste.lerossignol@gmail.com. Compte tenu de son activité, l’éditeur n’a pas désigné de délégué à la protection des données.

2. Personnes concernées et origine des données

Les Organisateurs, qui créent un compte et fournissent eux-mêmes leurs données. S’ils choisissent de se connecter avec Google ou Microsoft, ces sociétés transmettent au Site, à leur demande, leur prénom, leur adresse e-mail (et si elle est vérifiée) et un identifiant de compte : rien d’autre (ni photo, ni contacts, ni accès aux e-mails ou fichiers).
Les Participants, dont le prénom (ou surnom) est saisi par l’Organisateur qui les invite, puis qui complètent eux-mêmes leur accès (mot de passe) et, le cas échéant, des idées de cadeaux. Si l’Organisateur vous a inscrit, c’est lui qui vous a transmis le code d’invitation ; cette politique vous informe de l’usage de vos données, comme le prévoit l’article 14 du RGPD.
Les visiteurs du Site, pour les seules données techniques de connexion.

3. Données, finalités, bases légales et durées de conservation

Pourquoi	Quelles données	Base légale	Combien de temps
Gérer le compte Organisateur (connexion, confirmation d’adresse, mot de passe oublié, e-mails de sécurité)	Prénom, adresse e-mail, mot de passe chiffré (haché), dates de création et de dernière connexion, confirmation de l’adresse, version des CGU acceptée et date d’acceptation ; pour une connexion avec Google ou Microsoft, l’identifiant et l’adresse du compte lié, et la date de liaison	Exécution du contrat (CGU), article 6.1.b du RGPD	Jusqu’à la suppression du compte, ou 3 ans sans connexion (après un e-mail de prévenance 30 jours avant)
Organiser un Secret Santa et son tirage	Nom du Secret Santa, dates, règles ; prénoms ou surnoms des Participants, groupes, exclusions, codes d’invitation, mots de passe hachés des Participants, date à laquelle ils ont rejoint, idées de cadeaux, résultat du tirage, tirages des années précédentes (repris d’un Secret Santa précédent de l’Organisateur ou saisis par lui)	Exécution du contrat avec l’Organisateur (6.1.b) ; pour les Participants, intérêt légitime de l’Organisateur et des Participants à organiser l’échange de cadeaux et à y prendre part (6.1.f)	1 an après la dernière date du Secret Santa (création, tirage, échange ou dévoilement), ou jusqu’à sa suppression avec le compte de l’Organisateur. Quand l’Organisateur reprend un Secret Santa pour une nouvelle édition, ses participants et ses tirages sont copiés dans le nouveau, qui a sa propre durée
Sécuriser le Site : prévenir les abus (essais de codes, créations de comptes en masse), conserver les données d’identification des auteurs de contenus exigées par la loi	Adresse IP, date et heure, page demandée, navigateur (journaux du serveur) ; adresse IP et identifiant saisi pour limiter les tentatives	Intérêt légitime à la sécurité du Site (6.1.f) ; obligation légale pour l’identification des auteurs de contenus (6.1.c, article 6 de la LCEN et décret n° 2021-1362)	Compteurs anti-abus : de 15 minutes à 1 heure ; journaux du serveur : 1 an ; journaux d’erreurs de l’application : 30 jours
Répondre à vos messages et demandes (questions, réclamations, exercice de vos droits, signalements)	Adresse e-mail, nom, contenu des échanges	Intérêt légitime à répondre (6.1.f) ; obligation légale pour les demandes d’exercice de droits (6.1.c)	3 ans après le dernier échange ; jusqu’à 5 ans en cas de litige (prescription)

Les statistiques de fréquentation de l’administration du Site ne sont que des nombres (comptes, Secret Santa, tirages) : elles n’affichent ni prénom de Participant, ni résultat de tirage. Aucune donnée n’est utilisée à des fins de prospection, de publicité ou de profilage, ni vendue ou louée.

Le tirage au sort est aléatoire, dans le respect des règles choisies par l’Organisateur : il ne s’agit pas d’une décision fondée sur un profilage au sens de l’article 22 du RGPD, et il ne produit aucun effet juridique.

Les données marquées comme nécessaires dans les formulaires sont indispensables au Service : sans elles, il ne peut pas fonctionner (par exemple, sans adresse e-mail, pas de compte).

4. Qui voit quoi, destinataires

Dans un Secret Santa : l’Organisateur voit la liste des Participants, leurs groupes et exclusions, les tirages passés qu’il a saisis ou qui ont été dévoilés, mais pas le tirage avant son dévoilement : un tirage passé jamais dévoilé compte pour le nouveau tirage sans lui être montré. Chaque Participant voit la personne qui lui est attribuée, et les idées de cadeaux selon le réglage choisi. Au dévoilement, tous les membres voient qui offre à qui.
L’éditeur, seul, administre le Site. Il n’accède aux données d’un Secret Santa qu’en cas de nécessité technique, de sécurité, de demande de l’intéressé ou d’obligation légale.
Ses sous-traitants, qui n’agissent que sur ses instructions : l’hébergeur du Site (OVH SAS), qui stocke les données et achemine les e-mails.
Les autorités administratives ou judiciaires, uniquement sur réquisition légale.

Google et Microsoft ne sont pas destinataires de vos données : si vous choisissez de vous connecter avec eux, c’est vous qui vous identifiez sur leur site, qui apprend alors que vous vous connectez au Site. Pour cela, ils agissent comme responsables de traitement indépendants, selon leurs propres politiques de confidentialité (Google, Microsoft).

5. Lieu de stockage et transferts

Les données du Site sont stockées sur des serveurs situés en France. Les e-mails du Site sont envoyés depuis ce même serveur, sans service d’envoi tiers. Les polices de caractères sont servies par le Site lui-même : votre navigateur ne contacte aucun autre site, sauf si vous choisissez de vous connecter avec Google ou Microsoft. Il passe alors par leur page de connexion, qui dépose ses propres cookies et relève de leurs politiques ; ces sociétés peuvent traiter des données hors de l’Union européenne, notamment aux États-Unis, dans le cadre de leurs garanties (EU-US Data Privacy Framework, clauses contractuelles types).

6. Cookies

Le Site n’utilise que des cookies strictement nécessaires à son fonctionnement. Ils sont dispensés de consentement (article 82 de la loi « Informatique et Libertés ») : c’est pourquoi aucun bandeau ne vous le demande. Aucun cookie publicitaire, de mesure d’audience ou de réseau social n’est déposé.

Cookie	Rôle	Durée
`PHPSESSID`	Garde la connexion et les étapes en cours (session)	Jusqu’à la fermeture du navigateur
`SANTA_REMEMBER`	Garde l’Organisateur connecté, s’il a coché « Se souvenir de moi »	30 jours
`SANTA_GUEST_REMEMBER`	Garde le Participant connecté à son Secret Santa, pour qu’il n’ait pas à retaper son mot de passe	1 an, ou jusqu’à la déconnexion
`csrf-token`, `__Host-csrf-token…`	Protège les formulaires contre leur envoi depuis un autre site	Le temps d’envoyer le formulaire

Vous pouvez supprimer ou bloquer ces cookies dans les réglages de votre navigateur ; la connexion au Site ne fonctionnera alors plus.

7. Sécurité

Les échanges avec le Site sont chiffrés (HTTPS). Les mots de passe ne sont jamais conservés en clair, mais sous forme hachée par un algorithme dédié. La connexion avec Google ou Microsoft suit le protocole OpenID Connect : le Site ne voit jamais votre mot de passe chez eux, et l’ajout d’une telle connexion à un compte est signalé par e-mail. Les tentatives de connexion et de saisie de codes sont limitées, les liens envoyés par e-mail sont signés et expirent, l’accès au serveur et à l’administration est réservé à l’éditeur. En cas de violation de données présentant un risque, l’éditeur la notifie à la CNIL dans les 72 heures et, si le risque est élevé, informe les personnes concernées.

8. Mineurs

Le compte Organisateur est réservé aux majeurs. Des Participants peuvent être mineurs : leurs données (un prénom, un mot de passe, des idées de cadeaux) sont saisies sous la responsabilité de l’Organisateur et de leurs parents, dans le cadre familial ou amical du Secret Santa. Pour un Participant de moins de 15 ans, l’Organisateur s’assure de l’accord de l’un de ses parents. Un parent peut à tout moment demander le retrait des données de son enfant à l’Organisateur ou à baptiste.lerossignol@gmail.com.

9. Vos droits

Dans les conditions prévues par le RGPD et la loi « Informatique et Libertés », vous disposez des droits :

d’accès à vos données et d’en obtenir une copie ;
de rectification des données inexactes (l’Organisateur modifie lui-même son prénom, son adresse et les prénoms de ses Participants) ;
d’effacement : l’Organisateur supprime son compte depuis « Mon compte » ; un Participant peut demander son retrait à l’Organisateur ou à l’éditeur ;
de limitation du traitement et d’opposition au traitement fondé sur l’intérêt légitime, pour des raisons tenant à votre situation particulière ;
à la portabilité des données que vous avez fournies, dans un format structuré et lisible par machine ;
de définir des directives sur le sort de vos données après votre décès (article 85 de la loi « Informatique et Libertés »).

Pour les exercer, écrivez à baptiste.lerossignol@gmail.com, depuis l’adresse de votre compte si vous êtes Organisateur, ou en précisant le nom du Secret Santa, son code et votre prénom si vous êtes Participant. En cas de doute raisonnable sur votre identité, l’éditeur peut vous demander une information complémentaire. Il répond dans un délai d’un mois, prolongeable de deux mois pour une demande complexe (vous en seriez informé). Certaines données peuvent être conservées malgré une demande d’effacement lorsque la loi l’impose (données d’identification des auteurs de contenus).

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr/fr/plaintes.

10. Modification de cette politique

Cette politique peut évoluer, notamment avec le Service ou la réglementation. La version en vigueur, datée, est toujours publiée sur cette page ; en cas de changement important, les Organisateurs en sont informés à leur connexion ou par e-mail.