RGPD & Conformité CNIL

Vos données nous servent à :

• Créer et gérer votre compte
• Publier vos annonces et permettre la mise en relation acheteur/vendeur
• Modérer le contenu (lutte contre les arnaques et faux comptes)
• Répondre à vos demandes de support
• Vous envoyer les notifications transactionnelles (alertes de recherche, messages reçus)

Le traitement de vos données repose sur :

• L'exécution du contrat que vous concluez avec Trocly en créant un compte
• Votre consentement pour les communications marketing et la mesure d'audience non-essentielle (retirable à tout moment)
• Notre intérêt légitime pour la modération et la prévention des fraudes
• Une obligation légale pour la conservation de certaines données fiscales

• Compte actif : tant que vous l'utilisez
• Compte inactif : sans connexion ni activité (annonce, message, commande, paiement) pendant 3 ans, votre compte est anonymisé ; nous vous prévenons par e-mail 30 jours avant, et une simple connexion suffit à le conserver
• Compte supprimé : anonymisation immédiate ; seules les données imposées par la loi (factures, obligations des hébergeurs) sont conservées le temps requis
• Données fiscales : 10 ans (obligation légale)
• Logs de connexion : 1 an maximum
• Mesure d'audience interne : 13 mois (purge automatique nocturne)
• Choix cookies : 6 mois

Trocly ne vend jamais vos données. Seuls les prestataires ci-dessous y ont accès, chacun pour sa mission et dans la limite de ce qui lui est nécessaire. Certains sont situés hors de l'Union européenne : le transfert est alors encadré par une décision d'adéquation de la Commission européenne (dont le cadre de protection des données UE–États-Unis, « DPF », pour les entreprises américaines certifiées) ou par les clauses contractuelles types (CCT) adoptées par la Commission.

Fonctionnement du site

• OVH SAS (OVHcloud) — hébergement du site, de la base de données et des sauvegardes ; toutes les données du service. France.
• Prestataire d'envoi d'e-mails [à vérifier : nom et pays] — e-mails transactionnels (inscription, messages, alertes, commandes) ; adresse e-mail et contenu du message.
• Functional Software Inc. (Sentry) — détection des erreurs techniques ; adresse IP, navigateur, identifiant de compte et page concernée au moment de l'erreur. États-Unis — DPF et CCT.
• Cloudflare, Inc. (Turnstile) — protection anti-robots des formulaires ; adresse IP et signaux techniques du navigateur. États-Unis — DPF et CCT.

Connexion avec un compte tiers

• Google Ireland Ltd et Apple Distribution International Ltd — uniquement si vous choisissez « Continuer avec Google » ou « Se connecter avec Apple » ; nous recevons votre nom et votre adresse e-mail. Irlande, avec transferts vers les États-Unis — DPF.

Modération et assistance par intelligence artificielle

• OpenAI — analyse automatique des textes et photos des annonces (détection des contenus interdits et des arnaques) et outils d'aide (suggestion de catégorie, correction, estimation de prix, lecture d'un CV dont vos coordonnées ont été retirées au préalable). Vos nom, adresse e-mail et téléphone ne lui sont pas transmis. États-Unis — CCT.

Paiements, boutique et livraisons

• Stripe Payments Europe Ltd — paiement des abonnements, options et achats en boutique ; nom, e-mail, adresse de facturation, données de paiement (que Trocly ne voit jamais) et contrôles anti-fraude. Irlande, avec transferts vers Stripe, Inc. aux États-Unis — DPF et CCT.
• Fournisseurs de la boutique qui expédient directement vos commandes : nom, adresse de livraison, téléphone, e-mail et contenu de la commande.
  • BigBuy (Espagne, Union européenne)
  • CJ Dropshipping (Chine) — la Chine ne bénéficie pas d'une décision d'adéquation : le transfert est encadré par des CCT, complétées d'une analyse d'impact du transfert, et limité aux seules données nécessaires à l'expédition.
• Transporteurs (Mondial Relay, Colissimo / La Poste et, le cas échéant, le transporteur choisi par le fournisseur) — nom, adresse de livraison ou point relais, téléphone et e-mail, pour l'acheminement et le suivi du colis. France / Union européenne.

Mesure d'audience et contenus tiers

• Google Ireland Ltd — Google Tag Manager et Google Analytics, uniquement après votre consentement dans le bandeau cookies ; Google Fonts pour l'affichage des polices (adresse IP et navigateur). Irlande, avec transferts vers les États-Unis — DPF.
• Contenus intégrés (vidéos YouTube ou Vimeo, visites virtuelles, fonds de carte OpenStreetMap) — chargés uniquement sur les pages qui en contiennent ; le fournisseur reçoit votre adresse IP et les informations de votre navigateur.
• Partenaires affiliés (réseaux Awin, Effiliation et le site partenaire sur lequel vous cliquez) — un identifiant de clic pseudonyme, pour attribuer une éventuelle commission. Le partenaire traite ensuite vos données sous sa propre responsabilité.

Services que vous activez vous-même

• DossierFacile (service public de l'État, France) — si vous liez votre dossier de location à une annonce immobilière ; vous choisissez ce qui est partagé avec le bailleur.
• Base Adresse Nationale (api-adresse.data.gouv.fr, France) — saisie assistée de votre adresse ou de votre localisation.

Autres destinataires

• Les autres membres : le nom affiché sur votre profil, vos annonces et les messages que vous leur adressez.
• Les autorités compétentes, sur réquisition ou lorsque la loi nous y oblige.

Vous pouvez obtenir une copie des garanties encadrant un transfert hors de l'Union européenne en écrivant à dpo@trocly.fr.

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement (« droit à l'oubli »)
• Droit d'opposition au traitement
• Droit à la portabilité : récupérer vos données dans un format réutilisable (JSON)
• Droit de limitation du traitement

Pour exercer ces droits, rendez-vous dans Paramètres › Confidentialité ou écrivez à dpo@trocly.fr.

Trocly utilise :

• Cookies essentiels (session, authentification, panier) — pas de consentement requis
• Cookies analytics et marketing — déclenchés uniquement après consentement explicite via le bandeau (Consent Mode v2 Google)

Le lien « Gérer mes cookies » en pied de page vous permet de modifier vos choix à tout moment.

Nous mettons en œuvre des mesures techniques et organisationnelles strictes :

• Chiffrement TLS pour tous les transferts
• Mots de passe hashés (Bcrypt/Argon2) — jamais stockés en clair
• Authentification à deux facteurs (TOTP) disponible pour tous les comptes
• Audit log immuable de toutes les actions admin sensibles
• Headers de sécurité (CSP avec nonces, HSTS, X-Frame-Options DENY)
• Rate limiting sur les endpoints sensibles (login, reset password, contact, API)

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL :

3 Place de Fontenoy, TSA 80715, 75334 Paris CEDEX 07
Téléphone : 01 53 73 22 22

Pour toute question relative à vos données personnelles, contactez notre Délégué à la Protection des Données :

Email : dpo@trocly.fr
Courrier : Trocly — DPO, 33 avenue Gabriel Péri, 95870 Bezons, France

Nous nous engageons à répondre à toute demande dans un délai de 30 jours.