Politique de confidentialité
Cette politique décrit les données personnelles qu'Arty traite, pourquoi, avec qui elles sont partagées et combien de temps elles sont conservées, conformément au RGPD et à la loi Informatique et Libertés. Elle décrit le fonctionnement réel du service : si une pratique change, cette page change avec elle.
Dernière mise à jour : 26 septembre 2026.
1. Qui est responsable de vos données
Le responsable du traitement est Matthieu Lagast, entrepreneur individuel, éditeur d'Arty.
SIREN 820 221 497 — siège : 4 F rue Boileau, 59200 Tourcoing, France.
Contact : contact@arty-app.fr
Arty n'a pas désigné de délégué à la protection des données : la désignation n'est pas obligatoire ici, et les demandes sont traitées directement à l'adresse ci-dessus.
2. Ce que nous collectons, et pourquoi
Nous ne collectons que ce dont le service a besoin pour fonctionner. Chaque ligne ci-dessous correspond à une donnée réellement enregistrée.
| Données | Pourquoi | Base légale | Conservation |
|---|---|---|---|
| Compte — email, prénom, nom, mot de passe (jamais stocké en clair : uniquement une empreinte argon2id), rôle | Créer et sécuriser votre compte | Exécution du contrat | Jusqu'à la suppression du compte |
| Boutique créateur — nom, nom du créateur, description, ville, région, email, téléphone si vous le renseignez, liens vers vos réseaux, images, réglages de livraison | Afficher votre vitrine publique | Exécution du contrat | Jusqu'à la fermeture de la boutique |
| Commandes — nom, email, téléphone, adresse de livraison, contenu et montant de la commande | Traiter la commande, la livrer, établir la facture | Exécution du contrat, puis obligation légale | 10 ans (obligation comptable) |
| Paiement — identifiants Stripe (client, paiement, abonnement), statut | Encaisser, reverser aux créateurs, gérer l'abonnement | Exécution du contrat | 10 ans (obligation comptable) |
| Messages — conversations entre acheteurs et créateurs, demandes de projet sur mesure et devis, pièces jointes | Permettre l'échange avant et après une commande | Exécution du contrat | Jusqu'à la suppression du compte |
| Événements — participation déclarée d'une boutique ; pour un organisateur qui propose un événement : nom, email, téléphone, lien | Publier l'agenda et recontacter l'organisateur | Intérêt légitime (référencer l'événement proposé) | Tant que la fiche événement existe |
| Provenance de votre visite — source, support, campagne, référent, page d'entrée, identifiants de clic publicitaire (gclid, fbclid, ttclid) | Savoir par quel canal les créateurs nous découvrent | Intérêt légitime (mesure d'audience interne) | 90 jours en cookie ; rattachée au compte à l'inscription |
| Parcours d'inscription — étapes franchies (inscription, boutique créée, premier produit, première vente) | Repérer où le parcours bloque | Intérêt légitime (amélioration du service) | Supprimé avec le compte |
| Journaux techniques — adresse IP, date, page appelée, navigateur | Sécurité, limitation d'abus, diagnostic de panne | Intérêt légitime (sécurité) | Selon les journaux de nos hébergeurs |
Vos coordonnées bancaires ne transitent jamais par Arty. Elles sont saisies directement chez Stripe, qui seul les conserve — nous n'en recevons qu'un identifiant de transaction.
Nous ne collectons aucune donnée sensible au sens de l'article 9 du RGPD, et Arty n'est pas destiné aux mineurs de moins de 15 ans.
3. Si vous figurez dans notre annuaire sans avoir de compte
Arty tient un annuaire public de créateurs français non inscrits et un fichier interne de prospection. Si vous en faites partie, vous n'avez rien signé chez nous — vous avez donc droit à une explication claire.
- Ce que nous avons. Votre nom ou celui de votre marque, votre métier, votre ville, et selon les cas votre compte Instagram public, votre site, une adresse email ou un téléphone publiquement affichés, une description, et des notes internes (par exemple un intérêt perçu). Pour une entreprise enregistrée, nous pouvons y joindre son numéro SIREN, issu du répertoire public SIRENE de l'INSEE.
- D'où ça vient. De sources publiques : votre profil Instagram, votre site, un salon ou un marché, ou le répertoire SIRENE. Nous ne collectons rien qui ne soit déjà public, et nous n'achetons aucun fichier.
- Pourquoi. Pour vous rendre visible auprès des acheteurs qui cherchent un artisan près de chez eux, et pour vous proposer d'ouvrir une boutique. Base légale : intérêt légitime.
- Ce que vous pouvez faire, immédiatement. Demander le retrait de votre fiche, sa correction, ou vous opposer à toute prise de contact — un simple email à contact@arty-app.fr suffit, sans justification à fournir. Vous pouvez aussi revendiquer votre fiche depuis l'annuaire pour en reprendre le contrôle. Nous donnons suite sous un mois au plus.
4. Qui d'autre accède à vos données
Arty ne vend ni ne loue vos données, et ne les transmet à aucun courtier publicitaire. Elles sont traitées par les prestataires techniques strictement nécessaires au service, chacun pour sa seule mission :
| Prestataire | Rôle | Données concernées | Pays |
|---|---|---|---|
| Vercel Inc. | Hébergement du site et mesure d'audience | Journaux de connexion, pages consultées | États-Unis |
| Railway Corp. | Hébergement de l'API et de la base de données | Toutes les données du service | États-Unis |
| Stripe | Paiements, abonnements, reversements aux créateurs | Identité, email, montants, coordonnées bancaires (saisies chez Stripe) | États-Unis / Irlande |
| Resend | Envoi des emails du service | Email, contenu du message | États-Unis |
| Google (Analytics 4) | Mesure d'audience — uniquement si vous l'acceptez | Pages consultées, appareil, provenance, identifiant de navigateur | États-Unis / Irlande |
| Cloudflare R2 | Stockage des images | Images de boutiques, produits et pièces jointes | — |
| INSEE (SIRENE) | Vérification d'un numéro SIREN | Raison sociale, SIREN — données d'entreprise publiques | France |
Les autorités publiques peuvent également être destinataires, sur réquisition légale.
5. Transferts hors de l'Union européenne
Plusieurs de ces prestataires — dont Google Analytics, si vous l'avez accepté — sont établis aux États-Unis. Les transferts correspondants sont encadrés par les clauses contractuelles types de la Commission européenne, intégrées aux conditions de sous-traitance de chacun d'eux, et le cas échéant par leur certification au EU-U.S. Data Privacy Framework.
6. Cookies et mesure d'audience
Un bandeau vous demande votre choix à votre première visite. Il est conservé 13 mois — la durée maximale recommandée par la CNIL — puis la question vous est reposée. Arty n'utilise aucune régie publicitaire et ne revend aucun profil.
Déposés dans tous les cas
refresh_token— vous maintient connecté. 30 jours, inaccessible au JavaScript de la page (httpOnly). Sans lui, il faudrait se reconnecter en permanence.arty_cookie_consent— mémorise votre réponse au bandeau, précisément pour ne pas vous la redemander. 13 mois.arty_attr_firstetarty_attr_last— déposés par Arty seulement et jamais lus par un tiers. Ils retiennent par quel canal vous êtes arrivé : source, support, campagne, page d'entrée, et l'identifiant de clic publicitaire s'il figure dans le lien qui vous a amené. 90 jours. Ni votre adresse IP ni votre navigateur n'y sont enregistrés, ces données ne quittent pas Arty, et elles sont supprimées avec votre compte.
Déposés seulement si vous acceptez
- Google Analytics 4 — mesure d'audience : pages consultées, provenance, type d'appareil, et les grandes étapes d'un achat. Le script n'est chargé qu'après votre acceptation ; si vous refusez, ou tant que vous n'avez pas répondu, il ne l'est pas du tout. L'adresse IP y est anonymisée. Cookies
_gaet_ga_*, 13 mois.
Sans cookie
- Vercel Analytics — mesure d'audience de notre hébergeur : pages vues, provenance, type d'appareil. Ce service ne dépose pas de cookie et ne construit pas de profil individuel.
Vous pouvez à tout moment supprimer ou bloquer ces cookies depuis votre navigateur. Bloquer refresh_token vous déconnectera ; bloquer les autres n'a aucun effet sur le fonctionnement du site.
7. Ce qui se passe quand vous supprimez votre compte
La suppression est immédiate et se fait depuis votre espace, sans avoir à nous écrire. Concrètement :
- Votre profil, votre panier et vos favoris sont effacés.
- Votre boutique est effacée si aucun produit n'a jamais été commandé. Sinon elle est anonymisée et dépubliée : nom, description, email, liens et identifiants de paiement sont retirés, et elle n'est plus rattachée à personne.
- Les commandes passées sont conservées : la loi nous impose de garder les pièces comptables dix ans. Elles ne sont plus reliées à un compte actif.
Si vous voulez que nous allions plus loin que cette suppression automatique, écrivez-nous.
8. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.
Pour les exercer : contact@arty-app.fr. Nous répondons sous un mois. Aucune justification n'est exigée pour une demande de retrait de l'annuaire ou d'opposition à la prospection.
Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL — www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
9. Sécurité
- Les mots de passe sont stockés sous forme d'empreinte argon2id, jamais en clair.
- Tout le trafic est chiffré en HTTPS.
- Les cookies de session sont
httpOnlyet renouvelés à chaque usage. - Les tentatives de connexion et les formulaires publics sont plafonnés par adresse IP.
- Les coordonnées bancaires sont traitées par Stripe et ne transitent pas par Arty.
Aucun système n'est infaillible. En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous préviendrons la CNIL sous 72 heures et vous informerons directement lorsque le risque est élevé.
10. Modifications
Cette politique évolue avec le service. La date en haut de page indique la dernière révision ; en cas de changement substantiel, les personnes ayant un compte en sont informées par email.