Novelyo — application mobile et site novelyo.fr — Dernière mise à jour : 20 juillet 2026
La présente politique explique quelles données personnelles sont traitées par Novelyo — via l'application mobile (acheteurs et producteurs) et via le formulaire de liste d'attente du site novelyo.fr — pourquoi, sur quelle base légale, avec qui elles sont partagées et quels sont vos droits. Elle est conforme au Règlement général sur la protection des données (RGPD — UE 2016/679) et à la loi française « Informatique et Libertés ».
novelyo.fr (section 13).
Le responsable du traitement des données est :
Aucun délégué à la protection des données (DPO) n'est désigné, cette désignation n'étant pas obligatoire au regard de la nature et du volume des traitements. Toute question relative à vos données peut être adressée au contact ci-dessus.
Nous appliquons le principe de minimisation : nous ne collectons que les données nécessaires au fonctionnement du service.
| Catégorie | Données concernées |
|---|---|
| Compte | Nom, prénom, adresse e-mail, rôle (acheteur ou producteur), mot de passe (stocké de façon chiffrée par notre prestataire d'authentification — nous n'y avons jamais accès en clair). |
| Profil producteur | Nom de la ferme, description, adresse et coordonnées de retrait, numéro de téléphone, numéro SIRET (le cas échéant), créneaux de retrait, photos de la ferme. |
| Contenu | Photos de produits, avis et notes, messages échangés dans la messagerie intégrée. |
| Commandes | Produits commandés, montant, créneau de retrait choisi, statut et historique des commandes. |
| Paiement | Traité directement par Stripe. Les données de votre carte bancaire ne transitent jamais par nos serveurs et ne sont pas stockées par Novelyo. Nous conservons uniquement une référence technique de la transaction (identifiant de paiement) et, pour les abonnements producteurs, un identifiant client Stripe. |
| Géolocalisation | Si vous l'autorisez, votre position est utilisée localement sur votre appareil pour afficher et trier les fermes proches de vous. Elle n'est pas transmise ni stockée sur nos serveurs. L'affichage de la carte peut transmettre des coordonnées à notre fournisseur de cartographie (voir §5). |
| Notifications | Identifiant technique de notification (« push token ») de votre appareil, si vous acceptez les notifications, afin de vous informer (commande prête, message reçu…). |
| Données techniques | Strictement minimales. L'Application n'intègre aucun outil de mesure d'audience, de publicité ni de pistage (tracking). |
| Finalité | Base légale (RGPD art. 6) |
|---|---|
| Créer et gérer votre compte, fournir le service (catalogue, commandes, messagerie, retrait) | Exécution du contrat (art. 6.1.b) |
| Traiter les paiements et gérer les abonnements producteurs | Exécution du contrat (art. 6.1.b) et obligation légale comptable (art. 6.1.c) |
| Afficher les fermes proches (géolocalisation) et envoyer des notifications | Consentement (art. 6.1.a), révocable à tout moment dans les réglages de votre appareil |
| Vérifier le statut professionnel des producteurs (SIRET) et prévenir la fraude (signalements, suspensions) | Intérêt légitime et obligation légale (art. 6.1.f et 6.1.c) |
| Afficher les avis pour éclairer les acheteurs | Intérêt légitime — confiance et transparence (art. 6.1.f) |
| Envoyer des e-mails liés au service (confirmation, information de commande) | Exécution du contrat (art. 6.1.b) |
Vos données sont accessibles à vous-même et, selon le contexte, à l'autre partie d'une transaction (par exemple, un producteur voit le nom et la commande de l'acheteur). Pour fournir le service, nous faisons appel à des sous-traitants soigneusement sélectionnés, chacun agissant selon nos instructions :
| Sous-traitant | Rôle | Hébergement / garanties |
|---|---|---|
| Supabase | Hébergement, base de données, authentification, stockage des photos | Union européenne (Irlande, région eu-west-1) |
| Stripe | Traitement des paiements et abonnements | UE / États-Unis — Clauses contractuelles types (CCT) et cadre EU-US Data Privacy Framework |
| Resend | Envoi d'e-mails transactionnels | États-Unis — CCT |
| Expo (notifications push) | Acheminement des notifications | États-Unis — CCT |
| Google Maps (sur Android) | Affichage de la carte des fermes | UE / États-Unis — CCT / Data Privacy Framework |
| Apple Plans / MapKit (sur iOS) | Affichage de la carte des fermes | UE / États-Unis — CCT / Data Privacy Framework |
| INSEE (API Sirene) | Vérification du numéro SIRET des producteurs (données d'entreprise publiques) | France |
| Netlify Forms | Réception du formulaire de liste d'attente du site novelyo.fr (voir section 13) | États-Unis — CCT |
Nos données sont hébergées dans l'Union européenne. Certains sous-traitants (Stripe, Expo, Google) peuvent traiter des données aux États-Unis. Ces transferts sont encadrés par des clauses contractuelles types de la Commission européenne et/ou l'adhésion au EU-US Data Privacy Framework, garantissant un niveau de protection adéquat.
| Donnée | Durée |
|---|---|
| Compte et profil | Pendant toute la durée d'utilisation, puis suppression sur demande. Les comptes inactifs sont supprimés au bout de 3 ans d'inactivité. |
| Commandes et données de facturation | Conservées le temps du service, puis pour la durée des obligations légales comptables applicables (jusqu'à 10 ans pour les pièces comptables), avant suppression ou anonymisation. |
| Messages et avis | Tant que le compte est actif ; supprimés lors de la suppression du compte (les avis peuvent être conservés sous forme anonymisée). |
| Identifiant de notification push | Jusqu'au retrait de l'autorisation ou à la suppression du compte. |
| Géolocalisation | Non conservée (utilisée en temps réel uniquement). |
| Données de paiement | Conservées par Stripe selon sa propre politique ; Novelyo ne conserve que des références de transaction. |
| Formulaire de liste d'attente (site) | Jusqu'au lancement de l'application, au maximum 12 mois après l'inscription, puis suppression ou anonymisation. |
Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des échanges (HTTPS/TLS), cloisonnement des accès aux données par des règles de sécurité au niveau des lignes (RLS), stockage des jetons de session dans l'espace sécurisé de votre appareil, isolation des fichiers par utilisateur, et confinement des clés secrètes côté serveur (jamais dans l'application). Les paiements sont traités par Stripe, prestataire certifié PCI-DSS.
Conformément au RGPD, vous disposez des droits suivants : accès, rectification, effacement, limitation, portabilité, opposition, et retrait de votre consentement à tout moment (pour la géolocalisation et les notifications, directement dans les réglages de votre appareil).
Pour exercer ces droits, écrivez à novelyo.app@gmail.com. Nous répondons dans un délai maximum d'un mois. Vous pouvez également introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés) — www.cnil.fr.
L'Application n'est pas destinée aux personnes de moins de 15 ans (âge du consentement numérique en France). Nous ne collectons pas sciemment de données concernant des mineurs de moins de 15 ans sans le consentement des titulaires de l'autorité parentale.
Cette politique peut être mise à jour pour refléter des évolutions du service ou de la réglementation. La date de dernière mise à jour figure en haut de page. En cas de changement important, nous vous en informerons dans l'Application.
Pour toute question relative à cette politique ou à vos données personnelles : novelyo.app@gmail.com.
Indépendamment de l'application, le site novelyo.fr propose un formulaire d'inscription à la liste d'attente. Dans ce cadre :
Vos droits (section 9) et les modalités de contact (section 12) s'appliquent également à ces données.