Politique de confidentialité

Dernière mise à jour : 18 juillet 2026

En clair (résumé, sans jargon). Le site que vous créez est une page publiée sur Internet, accessible par un lien. Le prénom, la photo et le fait qu'il s'agit d'un Bar/Bat-Mitzvah de votre enfant y sont publiés dès la validation du paiement, automatiquement. Nous demandons aux moteurs de recherche de ne pas indexer ces pages, mais toute personne qui connaît l'adresse peut y accéder. Vous gardez la main : vous pouvez modifier ou dépublier le site à tout moment. Le détail complet figure ci-dessous.

Deux termes reviennent souvent : « responsable du traitement » = celui qui décide de la finalité et des moyens d'un usage de données ; « sous-traitant » = un prestataire technique qui traite les données pour le compte du responsable, encadré par un contrat.

La présente Politique de confidentialité décrit la manière dont sont collectées, utilisées et protégées les données à caractère personnel dans le cadre du service de création de sites d'invitation Bar/Bat-Mitzvah accessible via monsite-barmitzvah.com (ci-après « le Service »), conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).

1. Responsable du traitement

Le responsable du traitement des données personnelles est :

• PPW, SASU au capital de 500 €, dont le siège social est situé 9 rue des Colonnes, 75002 Paris, immatriculée au Registre du commerce et des sociétés de Paris sous le numéro 978 137 149 (SIREN 978 137 149).
• Directeur de la publication : David Attias.
• Contact — protection des données et exercice des droits : bonjour@monsite-barmitzvah.com

PPW n'a pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire au regard de son activité. Toute question relative au traitement des données personnelles peut être adressée à l'adresse de contact ci-dessus.

Périmètre de responsabilité. PPW est responsable du traitement pour la fourniture du Service : hébergement, sécurité, fonctionnement de la plateforme, gestion du compte du Client acheteur, publication des sites et collecte technique des réponses au formulaire d'invitation (RSVP). En revanche, pour l'exploitation des réponses RSVP (consultation, export, usage pour organiser l'événement), c'est le Client (la famille organisatrice) qui agit en responsable de traitement autonome. Cette répartition est détaillée à la section 8.

2. Catégories de personnes concernées

Le Service traite les données de quatre catégories de personnes :

• A. Le Client acheteur (parent / organisateur, propriétaire du site) ;
• B. L'enfant célébrant (le/la Bar/Bat-Mitzvah), mineur ;
• C. Les proches et membres de la famille nommés sur le site ;
• D. Les invités qui répondent au formulaire d'invitation (RSVP).

3. Données collectées, finalités et bases légales

Principe : une seule base légale par finalité.

3.1 Client acheteur (catégorie A)

Le Client acheteur est partie au contrat : la base « exécution du contrat » ne vaut que pour ses propres données.

L'accès à l'espace de suivi s'effectue exclusivement par lien magique envoyé par e-mail : aucun mot de passe n'est créé ni stocké par le Service.

3.2 Enfant célébrant — mineur (catégorie B)

L'enfant n'est pas partie au contrat. Le traitement de ses données repose sur le consentement du titulaire de l'autorité parentale, recueilli par une case à cocher obligatoire à l'étape de paiement, préalablement à la mise en ligne.

Le droit à l'image de l'enfant (droit civil, distinct du RGPD) est traité au titre de l'accord recueilli auprès du titulaire de l'autorité parentale (voir CGV, art. 9) ; il ne constitue pas une base légale RGPD et n'est donc pas mentionné comme telle ci-dessus.

Information importante au Client : le prénom, la photo et l'appartenance religieuse de l'enfant sont publiés sur Internet (sous-domaine accessible par URL) dès la validation du paiement, de manière instantanée et automatique. PPW met en œuvre une consigne de non-indexation des sites publiés par les moteurs de recherche, au moyen (i) de l'en-tête HTTP x-robots-tag: noindex, nofollow servi sur chaque site publié et (ii) d'un fichier robots.txt de blocage (Disallow: /). PPW ne peut toutefois garantir l'absence totale d'accès par un tiers connaissant l'adresse. Le Client est informé du caractère public du contenu et consent à cette publication au nom de l'enfant, dont il détient l'autorité parentale (voir CGV, art. 9).

3.3 Proches et famille nommés (catégorie C)

Ces personnes ne sont pas parties au contrat. PPW se fonde sur son intérêt légitime à afficher le contenu de célébration composé par le Client ; le Client garantit avoir recueilli l'accord des personnes nommées (voir CGV, art. 9).

3.4 Données d'événement (catégorie complémentaire)

Lieu, adresse, date, heure et notes relatives à l'événement sont affichés sur le site. Ces informations comportent peu de données personnelles directes mais incluent une adresse et un horaire précis ; le Client est invité à ne diffuser ces informations qu'aux personnes concernées (le site étant en non-indexation par défaut).

3.5 Invités répondant au RSVP (catégorie D)

Collectées via le formulaire de réponse du site publié. La soumission du formulaire est volontaire et l'invité choisit les champs facultatifs qu'il renseigne.

Pour le cœur du RSVP (données non sensibles), PPW se fonde sur son intérêt légitime — et celui de la famille organisatrice — à organiser l'événement (gestion des présences, logistique). L'invité peut à tout moment s'opposer à ce traitement et demander l'effacement de ses réponses (voir section 9). Le seul champ potentiellement sensible (« restrictions / régime alimentaire ») repose, lui, sur le consentement explicite de l'invité (art. 9.2.a RGPD). La présente politique, accessible depuis le formulaire, informe l'invité de ce traitement.

⚠️ Donnée potentiellement sensible — régime alimentaire (art. 9 RGPD). Le champ « restrictions / régime alimentaire » est un champ libre pouvant révéler des informations sensibles : convictions religieuses (ex. « kasher ») et/ou données de santé (ex. « allergie à… »). En conséquence :

• ce champ est désactivé par défaut et n'apparaît sur le formulaire que si le Client l'active pour son événement ;
• lorsqu'il est proposé à l'invité, sa saisie est facultative ; en le renseignant, l'invité fournit un consentement explicite au traitement de cette information pour la seule organisation du repas, qu'il peut retirer à tout moment.

4. Destinataires et sous-traitants

Les données sont accessibles :

• au Client acheteur, pour les seules réponses RSVP relatives à son propre site (via l'espace de suivi sécurisé, et via un export CSV réalisé sur son poste — voir section 8) ;
• aux personnes habilitées de PPW, dans la limite de leurs fonctions (opération du Service, support).

PPW fait appel aux sous-traitants et prestataires suivants :

En complément, les sites publiés chargent deux ressources techniques depuis des CDN publics et gratuits (sans contrat ni DPA possible) : la librairie supabase-js depuis jsDelivr et une icône d'itinéraire depuis Simple Icons. Ce chargement expose l'adresse IP du visiteur à ces CDN au moment du chargement. N'étant pas des sous-traitants contractualisés, ils ne sont pas couverts par un DPA ; ce transfert non contractualisé est signalé à la section 5. PPW prévoit d'héberger ces ressources en propre (self-hosting) afin de supprimer cet appel à un tiers.

Pour ses sous-traitants (Supabase, Vercel, Stripe, Resend, PostHog), PPW s'appuie sur les contrats de sous-traitance (DPA) standard proposés par chaque prestataire, conformes à l'article 28 du RGPD. La finalisation et l'archivage de ces DPA sont en cours.

Aucune donnée n'est vendue à des tiers. Les données ne sont communiquées à des autorités que sur réquisition légale.

5. Transferts hors Union européenne

Les traitements suivants sont opérés au sein de l'Union européenne : le paiement (Stripe Payments Europe Ltd, Irlande), la base de données (Supabase, région eu-west-1, Irlande) et la mesure d'audience (PostHog, cloud UE eu.i.posthog.com).

En revanche, les traitements et chargements suivants sont susceptibles d'impliquer des transferts de données (notamment l'adresse IP) en dehors de l'UE, vers les États-Unis :

• l'hébergement et la diffusion des pages (Vercel Inc.) et l'envoi des e-mails transactionnels (Resend) : ces transferts sont encadrés par des Clauses Contractuelles Types de la Commission européenne (CCT). Le cas échéant, lorsque le prestataire est effectivement certifié, PPW s'appuie en outre sur son adhésion au Data Privacy Framework UE–États-Unis ;
• l'accès depuis les États-Unis par les sociétés mères américaines de Supabase et PostHog, bien que les données soient stockées en UE : couvert par les CCT ;
• le chargement, sur les sites publiés, de ressources depuis les CDN tiers jsDelivr et Simple Icons : ce transfert d'adresse IP n'est pas encadré par un contrat (CDN publics gratuits), PPW n'ayant pas de relation contractuelle avec eux. PPW prévoit d'y remédier par le self-hosting de ces ressources (voir sections 4 et 10).

6. Durées de conservation

PPW s'engage à ne pas conserver les données au-delà des durées suivantes et procède à leur suppression à l'échéance :

Ces durées constituent un engagement de conservation ; toute personne peut par ailleurs demander la suppression anticipée de ses données à l'adresse de contact (section 9). La mise en place d'une purge périodique appliquant automatiquement ces durées est en cours de déploiement.

7. Sécurité

PPW met en œuvre des mesures techniques et organisationnelles appropriées : connexion à l'espace de suivi par lien magique (sans mot de passe stocké), cloisonnement des données par site au moyen de règles d'accès au niveau des lignes (« Row-Level Security » — chaque Client n'accède qu'aux réponses de son propre site), chiffrement des échanges (HTTPS), et recours à des sous-traitants offrant des garanties de sécurité. L'insertion des réponses RSVP s'effectue au moyen d'une clé publique restreinte par ces règles d'accès (lecture réservée au propriétaire du site).

8. Données des invités — répartition des responsabilités avec le Client

Le formulaire RSVP est mis à disposition sur le site du Client, qui en définit le paramétrage (champs activés) et exploite les réponses (consultation, export CSV sur son propre poste, usage pour l'organisation de l'événement).

La répartition des rôles est la suivante :

• PPW est responsable du traitement pour l'hébergement, la sécurité, le fonctionnement de la plateforme et la collecte technique des réponses au sein du Service. À ce titre, PPW informe les invités du traitement au moment de la collecte, au moyen de la présente politique accessible depuis le formulaire (information au sens de l'art. 13 RGPD) ;
• le Client (la famille organisatrice) est responsable de traitement autonome pour l'exploitation des réponses qu'il consulte et exporte (fichier CSV) et pour tout usage qu'il en fait en dehors de la plateforme.

À ce titre, le Client :

• s'engage à informer ses invités de l'usage qu'il fait de leurs réponses (finalités propres d'organisation de l'événement), en complément de l'information fournie par PPW ;
• est responsable des données qu'il exporte (fichier CSV) et de leur usage en dehors de la plateforme, dans le respect du RGPD ;
• s'interdit tout usage détourné (prospection, transmission à des tiers non autorisés) des données de ses invités.

Cette répartition est reprise à l'identique dans les CGV (art. 9).

9. Vos droits

Conformément au RGPD, toute personne concernée (Client, proche, invité) dispose des droits suivants : accès, rectification, effacement, limitation, opposition, portabilité, ainsi que du droit de définir des directives relatives au sort de ses données après son décès et de retirer son consentement à tout moment (sans effet rétroactif), lorsque le traitement repose sur le consentement.

Ces droits s'exercent auprès de : bonjour@monsite-barmitzvah.com, ou par courrier au siège de PPW (9 rue des Colonnes, 75002 Paris). Une réponse est apportée dans un délai d'un (1) mois. Un justificatif d'identité peut être demandé en cas de doute raisonnable.

Les invités souhaitant exercer leurs droits sur l'exploitation de leurs réponses (usage fait par la famille en dehors de la plateforme) peuvent également s'adresser directement au Client organisateur de l'événement, responsable autonome de cette exploitation (voir section 8).

En cas de difficulté, toute personne peut introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

10. Cookies, mesure d'audience et stockage local

Le Service n'utilise aucun cookie publicitaire, aucun cookie de traçage tiers et aucun cookie de mesure d'audience.

• Mesure d'audience (PostHog). Les pages marketing et le wizard de création, sur monsite-barmitzvah.com (et www.) uniquement, utilisent l'outil de mesure d'audience produit PostHog (PostHog Inc., cloud UE eu.i.posthog.com). Cette mesure fonctionne sans cookie (persistance dans le localStorage du navigateur), sans enregistrement de session (session recording) et sans identification nominative (pas d'identify, aucune adresse e-mail transmise). Elle capte des statistiques de navigation, des clics anonymes (autocapture) et des événements de parcours (funnel), avec l'adresse IP du visiteur. Base légale : intérêt légitime de PPW (art. 6.1.f RGPD) à mesurer l'audience et améliorer le Service. Les sites publiés (sous-domaines des Clients) n'intègrent PAS PostHog : les invités ne sont pas suivis. La conformité de l'exemption de consentement (analytics sans cookie, au sens des lignes directrices de la CNIL) est vérifiée au cas par cas.
• Brouillon du wizard. Le wizard de création utilise le stockage local du navigateur (localStorage) pour sauvegarder le brouillon du site ; ce mécanisme, strictement nécessaire au fonctionnement, n'est pas un traceur.
• Session de l'espace de suivi. L'espace de suivi conserve, dans le stockage local, un jeton de session permettant de maintenir la connexion établie par lien magique (strictement nécessaire à l'authentification).
• Ressources chargées sur les sites publiés. Les sites publiés chargent deux ressources techniques (la librairie supabase-js et une icône d'itinéraire) depuis des CDN tiers (jsDelivr, Simple Icons), ce qui expose l'adresse IP du visiteur à ces prestataires au moment du chargement (voir sections 4 et 5). PPW prévoit d'héberger ces ressources en propre pour supprimer cet appel.

Si des mesures d'audience utilisant des cookies ou d'autres traceurs non essentiels devaient être ajoutées à l'avenir, un bandeau de consentement conforme aux lignes directrices de la CNIL serait mis en place au préalable.

11. Modification de la politique

PPW peut modifier la présente Politique de confidentialité pour l'adapter aux évolutions du Service ou de la réglementation. La version applicable est celle publiée sur le Site à la date de la consultation.

← Retour à l'accueil · Conditions générales de vente · Mentions légales