Politique de confidentialité
Dernière mise à jour : 29 octobre 2026
Cette politique explique quelles données Breadi collecte, pourquoi, combien de temps elles sont conservées et comment exercer vos droits. Elle couvre le site web et l'application mobile.
En résumé : nous collectons le strict nécessaire pour tenir un compte, traiter des commandes et les faire retirer en boulangerie. Nous ne vendons aucune donnée et n'utilisons pas de traceurs publicitaires.
1. Responsable du traitement
Le responsable du traitement est BreadUp, 4 rue Alexandre Duval, 35000 Rennes. Pour toute question ou demande relative à vos données : contact@breadi.fr.
Les boulangeries partenaires sont responsables de leur propre traitement pour les données qu'elles consultent dans leur espace professionnel (commandes reçues, identité du client à qui remettre la commande).
2. Données collectées et finalités
Nous ne collectons que des données que vous nous fournissez ou qui résultent directement de votre utilisation du service :
| Finalité | Données concernées | Base légale | Conservation |
|---|---|---|---|
| Création et gestion du compte | Adresse email, nom, mot de passe (stocké sous forme chiffrée irréversible) | Exécution du contrat | Jusqu'à la suppression du compte |
| Traitement des commandes | Contenu du panier, boulangerie, date et créneau de retrait, montants, statut, jeton de retrait (QR code) | Exécution du contrat | 10 ans à compter de la commande (obligation comptable, art. L123-22 du code de commerce), sous forme anonymisée après suppression du compte |
| Paiement en ligne | Identifiants de transaction Stripe. Les données de carte bancaire sont saisies directement chez Stripe et ne transitent jamais par nos serveurs | Exécution du contrat | Durée fixée par Stripe et par les obligations comptables |
| Affichage des boulangeries proches | Position approximative de l'appareil, uniquement si vous l'autorisez | Consentement | Non conservée : utilisée en mémoire pour trier la liste |
| Notifications de suivi de commande | Jeton de notification de l'appareil (Expo) | Consentement (autorisation système) | Jusqu'à la déconnexion, la désactivation ou la suppression du compte |
| Sécurité et lutte contre les abus | Sessions actives, jetons de réinitialisation de mot de passe, journaux techniques (adresse IP, horodatage) | Intérêt légitime (sécurité du service) | 30 jours pour les sessions révoquées, 12 mois pour les journaux |
| Compte professionnel et abonnement | Coordonnées de la boulangerie, coordonnées bancaires (IBAN chiffré au repos), identifiants Stripe Connect et Stripe Billing | Exécution du contrat et obligation légale | Durée du contrat, puis 10 ans pour les pièces comptables |
3. Destinataires et sous-traitants
Vos données ne sont ni vendues, ni louées, ni transmises à des fins publicitaires. Elles sont accessibles à nos équipes internes habilitées, à la boulangerie concernée par votre commande, et aux prestataires techniques suivants :
- Stripe— paiement en ligne, versement aux boulangeries et facturation de l'abonnement professionnel. Stripe agit comme responsable de traitement pour ses propres obligations réglementaires (lutte anti-blanchiment, connaissance client).
- IONOS SARL— hébergement du site et de l'application, au sein de l'Union européenne.
- Prisma Data— hébergement de la base de données (comptes, commandes), sur une infrastructure située dans l'Union européenne.
- Cloudflare— stockage des photos de produits et de boulangeries. Aucune donnée de client n'y est déposée.
- Expo (Expo Application Services)— acheminement des notifications push vers les serveurs d'Apple et de Google. Seuls le jeton de l'appareil et le texte de la notification sont transmis.
- OpenStreetMap / Nominatim— conversion des adresses de boulangeries en coordonnées pour l'affichage sur la carte. Aucune donnée de client n'est transmise.
- Notre prestataire d'envoi d'emails — acheminement des emails transactionnels (réinitialisation de mot de passe, confirmation de suppression de compte).
Certains de ces prestataires peuvent traiter des données en dehors de l'Union européenne. Ces transferts sont alors encadrés par les clauses contractuelles types de la Commission européenne.
4. Cookies et stockage local
Le site dépose uniquement des cookies nécessaires à son fonctionnement : les cookies d'authentification (accessToken, refreshToken), qui vous maintiennent connecté et sont inaccessibles au JavaScript de la page. Le navigateur conserve également en stockage local votre panier en cours.
Aucun cookie publicitaire, de mesure d'audience tierce ou de suivi comportemental n'est utilisé. Aucun consentement n'est donc requis pour ces cookies strictement nécessaires, conformément à la doctrine de la CNIL.
5. Vos droits
Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives sur leur sort après votre décès.
Supprimer votre compte. Vous pouvez le faire vous-même, à tout moment, sans passer par le support : sur le site depuis Profil › Mon compte, dans l'application mobile depuis Profil › Mon compte, et pour un compte professionnel depuis Paramètres.
La suppression efface votre identité, vos favoris et vos sessions. Si vous avez déjà passé commande, la commande elle-même est conservée sous une forme anonyme : la loi nous oblige à garder les pièces comptables d'une vente pendant dix ans, mais elles ne sont plus rattachées à vous.
Pour exercer vos autres droits, écrivez à contact@breadi.fr. Nous répondons dans un délai d'un mois. Une pièce d'identité pourra vous être demandée en cas de doute sérieux sur votre identité.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris — www.cnil.fr).
6. Sécurité
Les mots de passe sont stockés hachés (bcrypt) et ne sont jamais consultables. Les échanges avec nos serveurs sont chiffrés en HTTPS. Les coordonnées bancaires des boulangeries sont chiffrées au repos. Les jetons de session sont renouvelés régulièrement et révoqués en cas de réutilisation suspecte. L'accès aux commandes d'une boulangerie est réservé aux comptes qui lui sont rattachés.
7. Mineurs
Le service n'est pas destiné aux personnes de moins de 15 ans. Aucune donnée n'est collectée sciemment auprès d'un mineur de moins de 15 ans sans l'autorisation du titulaire de l'autorité parentale.
8. Modifications
Cette politique peut évoluer avec le service. La date de dernière mise à jour figure en tête de page ; en cas de modification substantielle, vous en serez informé par email ou par une information dans l'application.