# Registre des activités de traitement **Article 30 du RGPD (règlement (UE) 2016/679)** Service : **Resell Group** — outil d'assistance à la rédaction d'annonces pour revendeurs Dernière mise à jour : **septembre 2026** — version 2.6 --- ## Pourquoi ce registre existe L'article 30.5 dispense les organismes de moins de 250 personnes de tenir un registre, **sauf** lorsque le traitement n'est pas occasionnel. Ici, la gestion des comptes et des quotas est permanente et automatisée : l'exemption ne s'applique pas. La politique de confidentialité du service annonce par ailleurs qu'un registre est tenu et communicable sur demande — le présent document rend cette affirmation exacte. Ce registre décrit ce que le code fait réellement. Il doit être mis à jour à chaque modification d'un traitement, d'un sous-traitant ou d'une durée de conservation. --- ## 1. Responsable du traitement | | | |---|---| | Identité | Aurèle Guillas, entrepreneur individuel (micro-entreprise) — SIRET 103 120 853 00017 — 17 route de l'Échangeur, 29860 Kersaint-Plabennec — 07 83 57 88 70 | | Contact | resellgroup.contact@gmail.com | | Délégué à la protection des données | Non désigné. Aucune des conditions de l'art. 37.1 n'est réunie : pas d'autorité publique, pas de suivi systématique à grande échelle, pas de données sensibles. | --- ## 2. Traitements ### T1 — Gestion des comptes utilisateurs | | | |---|---| | **Finalité** | Créer un compte, authentifier l'utilisateur, maintenir la session | | **Base légale** | Exécution du contrat — art. 6.1.b | | **Personnes concernées** | Utilisateurs inscrits | | **Données** | Adresse e-mail ; condensat bcrypt du mot de passe ; date de création ; date de dernière connexion ; état actif/inactif ; date d'expiration éventuelle. Le statut administrateur est attribué par une variable de configuration du serveur, pas par une adresse écrite dans le code | | **Destinataires** | Responsable du traitement uniquement | | **Sous-traitant** | Vercel Inc. (hébergement applicatif et stockage `resellgroup/users.json`) | | **Transfert hors UE** | États-Unis — encadré par les clauses contractuelles types et le DPA de Vercel | | **Conservation** | Jusqu'à suppression du compte, ou 3 ans après la dernière connexion | | **Sécurité** | bcrypt (coût adaptatif) ; jetons signés HS256 à 30 jours, invalidés à tout changement de mot de passe ; TLS imposé par HSTS ; limitation des tentatives par IP et par compte | ### T2 — Gestion des quotas de crédits | | | |---|---| | **Finalité** | Décompter les générations de texte et les améliorations photo consommées, appliquer les limites du pack | | **Base légale** | Exécution du contrat — art. 6.1.b (le décompte est la contrepartie de l'achat) | | **Personnes concernées** | Utilisateurs inscrits | | **Données** | Compteurs de générations et de photos consommées ; plafonds ; plan (free/pro) ; coût des appels d'IA du mois calendaire en cours (montant et nombre d'appels), qui sert au garde-fou de consommation (CGV art. 4.5). Le cadeau de bienvenue a été supprimé en septembre 2026 : sa date d'attribution n'est plus écrite, et subsiste seulement sur les comptes qui l'avaient réclamé auparavant, jusqu'à leur suppression | | **Destinataires** | Responsable du traitement | | **Sous-traitant** | Vercel Inc. | | **Transfert hors UE** | États-Unis — clauses contractuelles types | | **Conservation** | Durée de vie du compte | | **Sécurité** | Écritures sérialisées ; contrôle du quota côté serveur, jamais côté client | ### T3 — Génération de texte par intelligence artificielle | | | |---|---| | **Finalité** | Rédiger une annonce, améliorer une description, auditer une annonce, estimer un prix | | **Base légale** | Exécution du contrat — art. 6.1.b, sur action explicite de l'utilisateur | | **Personnes concernées** | Utilisateurs inscrits | | **Données** | Contenu saisi ou dicté par l'utilisateur (marque, état, couleur, notes libres). Aucune donnée d'identification n'est transmise avec la requête. | | **Sous-traitants** | Groq Inc. ; Google LLC (Gemini) ; Anthropic PBC (Claude) — le premier disponible parmi ceux configurés ; en cas d'indisponibilité passagère, la même requête est transmise au suivant | | **Transfert hors UE** | États-Unis — DPA et clauses contractuelles types de chaque fournisseur | | **Conservation** | Aucune conservation par Resell Group au-delà de la réponse. Les durées propres aux fournisseurs relèvent de leurs politiques. | | **Sécurité** | Appels serveur à serveur ; clés d'API jamais exposées au navigateur ; limitation par compte | ### T4 — Analyse d'image par intelligence artificielle | | | |---|---| | **Finalité** | Identifier un article à partir d'une photo (type, marque, couleur, état, défauts) | | **Base légale** | Consentement — art. 6.1.a, recueilli à chaque envoi de photo | | **Personnes concernées** | Utilisateurs inscrits | | **Données** | Photographies d'article — une principale et jusqu'à trois supplémentaires par annonce — importées ou prises depuis l'application (caméra du téléphone ou webcam : le flux vidéo reste dans le navigateur, seules les images gardées sont transmises, au lancement de la génération). L'utilisateur est informé de ne pas y faire figurer de personne identifiable. | | **Sous-traitants** | Anthropic PBC ; Google LLC (Gemini) ; Groq Inc. (secours) — le premier disponible parmi ceux configurés ; en cas d'indisponibilité passagère, la même requête est transmise au suivant | | **Transfert hors UE** | États-Unis — DPA et clauses contractuelles types | | **Conservation** | Aucune. L'image est redimensionnée en mémoire, transmise, puis abandonnée ; elle n'est jamais écrite sur disque ni en base. | | **Sécurité** | Taille et type de fichier bornés ; limite de pixels à la décompression pour écarter les fichiers piégés | ### T5 — Réinitialisation de mot de passe | | | |---|---| | **Finalité** | Permettre à l'utilisateur de reprendre la main sur son compte | | **Base légale** | Exécution du contrat — art. 6.1.b | | **Personnes concernées** | Utilisateurs ayant demandé une réinitialisation | | **Données** | Adresse e-mail ; empreinte SHA-256 du jeton ; horodatage d'expiration | | **Sous-traitants** | Resend (envoi du courriel) ; Vercel Inc. (stockage de l'empreinte) | | **Transfert hors UE** | États-Unis | | **Conservation** | 1 heure maximum ; l'empreinte est effacée dès la première utilisation | | **Sécurité** | Le jeton lui-même n'est jamais stocké ; comparaison à temps constant ; usage unique ; réponse identique que l'adresse existe ou non | ### T6 — Abonnement, paiement et preuve du consentement | | | |---|---| | **Finalité** | Encaisser l'abonnement mensuel, activer et renouveler les crédits à chaque paiement confirmé, relayer les résiliations, conserver la preuve du consentement exigée par l'art. L.221-28 8° du Code de la consommation | | **Base légale** | Exécution du contrat et obligation légale — art. 6.1.b et 6.1.c | | **Personnes concernées** | Utilisateurs qui souscrivent une formule | | **Données** | Côté Resell Group : formule, date, version des CGV acceptées, les deux consentements cochés ; identifiant client et identifiant d'abonnement Stripe ; état de l'abonnement (actif, impayé, résilié) et dates de période. Côté Stripe : données de carte, paiements, factures — jamais transmises à Resell Group | | **Destinataires** | Responsable du traitement ; Stripe pour le paiement | | **Sous-traitants** | Stripe Payments Europe, Ltd. (paiement) et Link, LLC, groupe Stripe, revendeur de l'abonnement (facture, TVA, contestations de paiement) ; Vercel Inc. (fiche du compte) | | **Transfert hors UE** | Stripe, Inc. et Vercel Inc. (États-Unis) — Data Privacy Framework et clauses contractuelles types | | **Conservation** | Sur la fiche du compte, pendant son existence. Les paiements et factures sont conservés par Stripe pour ses propres obligations légales | | **Sécurité** | Aucune donnée de carte sur les serveurs de Resell Group ; webhooks de Stripe vérifiés par signature HMAC-SHA256 et horodatage de moins de cinq minutes ; crédits donnés uniquement sur événement signé, jamais sur la foi du navigateur ; suppression du compte = arrêt immédiat de l'abonnement chez Stripe | ### T7 — Avis détaillé donnant droit à des crédits | | | |---|---| | **Finalité** | Recueillir un retour d'usage pour améliorer le service, et identifier le compte à créditer de la récompense prévue aux CGV art. 4.4 | | **Base légale** | Consentement — art. 6.1.a. La participation est facultative et l'envoi n'a lieu que si l'utilisateur valide lui-même le message dans sa messagerie | | **Personnes concernées** | Utilisateurs qui choisissent de remplir le questionnaire | | **Données** | Réponses libres aux 15 questions ; note globale sur 5 ; message libre ; adresse e-mail du compte ; date | | **Destinataires** | Responsable du traitement, à l'exclusion de tout tiers | | **Sous-traitant** | Fournisseur de messagerie du responsable du traitement | | **Transfert hors UE** | Aucun au titre de ce traitement — le formulaire n'appelle aucune API et ne transite par aucun serveur de Resell Group | | **Conservation** | 24 mois à compter de la réception, puis suppression du message | | **Sécurité** | Aucun stockage applicatif : les réponses ne sont écrites ni en base, ni dans le blob, ni dans les journaux. Seule une date d'envoi reste dans le stockage local du navigateur, pour ne pas reproposer le formulaire | | **Publication** | Aucune. Les réponses ne sont ni publiées, ni affichées, ni utilisées comme témoignage : un avis rémunéré présenté comme spontané serait une pratique commerciale trompeuse (art. L.121-2 et L.121-4 C. conso.) | ### T7 bis — Questionnaire d'avant inscription | | | |---|---| | **Finalité** | Accueillir l'utilisateur par son prénom, lui rappeler l'objectif qu'il s'est fixé, et connaître le profil agrégé des inscrits pour améliorer le service | | **Base légale** | Consentement — art. 6.1.a. Chaque question comporte « Passer » ; l'inscription ne dépend d'aucune réponse | | **Personnes concernées** | Personnes qui créent un compte et choisissent de répondre | | **Données** | Ancienneté dans l'achat-revente (4 tranches) ; ventes cumulées (4 tranches, jamais un montant exact) ; objectif de revenu mensuel (0 à 30 000 €, par pas de 250 €) ; prénom (40 caractères, lettres seulement) ; date de réponse | | **Destinataires** | Responsable du traitement (panneau d'administration) ; l'utilisateur lui-même (accueil, espace Compte, export) | | **Sous-traitant** | Vercel Inc. (fiche du compte, `resellgroup/users.json`) | | **Transfert hors UE** | États-Unis — clauses contractuelles types | | **Conservation** | Celle du compte : suppression avec lui, ou 3 ans après la dernière connexion | | **Sécurité** | Réponses conservées dans l'onglet (sessionStorage) jusqu'à l'inscription, puis effacées du navigateur. Côté serveur, toute valeur hors des réponses prévues est ignorée ; le prénom est réduit aux lettres, espaces, apostrophes et traits d'union, et échappé à l'affichage | ### T8 — Chat général (supprimé) Traitement arrêté en septembre 2026, à la demande du responsable du traitement. Les messages conservés (texte, pseudonyme, identifiant de compte, signalements) n'ayant plus de finalité, le fichier `resellgroup/chat.json` est effacé au premier démarrage de la version qui retire le chat. Aucune donnée n'en est conservée. ### T9 — Journaux techniques | | | |---|---| | **Finalité** | Sécurité, détection d'abus, diagnostic d'incident | | **Base légale** | Intérêt légitime — art. 6.1.f (sécurité du service) | | **Personnes concernées** | Tout visiteur | | **Données** | Adresse IP, horodatage, route appelée, code de réponse. Les messages d'erreur internes ne sont pas renvoyés au navigateur. | | **Sous-traitant** | Vercel Inc. | | **Transfert hors UE** | États-Unis | | **Conservation** | 12 mois glissants | | **Sécurité** | Aucune URL pré-signée ni secret n'est journalisé | --- ## 3. Traitements explicitement absents Déclarés ici parce que leur absence est vérifiable et engage le responsable du traitement : - **Aucun cookie**, aucun traceur, aucune mesure d'audience, aucune régie publicitaire. - **Aucun profilage ni décision automatisée** au sens de l'art. 22. - **Aucune donnée sensible** au sens de l'art. 9 n'est collectée ni sollicitée. - **Aucune donnée bancaire** : le paiement se fait hors application. - Les **articles, statistiques et réglages** de l'utilisateur restent dans le stockage local de son navigateur et ne sont jamais transmis au serveur. --- ## 4. Droits des personnes | Droit | Mise en œuvre | |---|---| | Accès (art. 15) | Compte → Mes données chez Resell Group → Télécharger. Immédiat, sans démarche. Le condensat du mot de passe est exclu (considérant 63). | | Rectification (art. 16) | Sur demande à l'adresse de contact — 30 jours maximum | | Effacement (art. 17) | Compte → Supprimer mon compte, effet immédiat. Seule exception : T7, conservé 24 mois. La suppression arrête immédiatement l'abonnement chez Stripe ; paiements et factures restent conservés par Stripe (T6). | | Portabilité (art. 20) | Même export qu'en art. 15, format JSON structuré, plus l'export local des articles | | Opposition et limitation (art. 18 et 21) | Sur demande à l'adresse de contact | | Réclamation | CNIL — 3 place de Fontenoy, 75007 Paris — cnil.fr | --- ## 5. Violation de données (art. 33 et 34) En cas de violation susceptible d'engendrer un risque : notification à la CNIL **sous 72 heures**, information des personnes concernées si le risque est élevé, et consignation de la violation, de ses effets et des mesures prises dans un registre interne distinct. Signalement d'une faille par un tiers : resellgroup.contact@gmail.com, accusé de réception sous 72 heures. Un signalement de bonne foi, sans exploitation ni divulgation, n'expose son auteur à aucune poursuite de la part de l'éditeur.