Politique de confidentialité

Dernière mise à jour : novembre 2026

Cette page explique quelles données personnelles Ouvella traite, pourquoi, sur quelle base légale, pendant combien de temps et qui peut y accéder. Elle concerne toutes les personnes qui utilisent le site : celles qui créent et offrent un cadeau, celles qui signent une carte collective, celles qui reçoivent un cadeau et les simples visiteurs.

Responsable du traitement

Le responsable du traitement est l’éditeur de Ouvella. Pour toute question sur tes données ou pour exercer tes droits, écris à contact@ouvella.com.

1. Créer et acheter un cadeau

Pourquoi : créer ton cadeau (cadeau interactif, calendrier surprise ou carte collective), l’enregistrer au fil de tes modifications, le livrer après le paiement et te permettre de le gérer ensuite.
Base légale : l’exécution du contrat et des mesures précontractuelles prises à ta demande (art. 6.1.b du RGPD). Pour respecter nos obligations légales (art. 6.1.c), on conserve la preuve de ton accord à la livraison immédiate et de ta renonciation au droit de rétractation avec ta commande, tant que tu ne la supprimes pas, ainsi que les données de facturation (voir la durée ci-dessous).
Données : ce que tu mets dans le cadeau (titre, textes, photos, enregistrements vocaux, musique ou lien vers une musique, dates, prénom de la personne fêtée…), le mot secret si tu en choisis un (jamais stocké en clair : il est haché), ton adresse e-mail, la langue du site, la date et la version de ton consentement au moment du paiement, et le statut du paiement.
Durée : une création non payée est supprimée après 6 mois sans activité, et l’adresse e-mail saisie sur une création non payée est effacée après 30 jours sans activité. Un cadeau payé et son contenu restent en ligne au moins 5 ans, sauf si tu le supprimes avant. Les données de facturation (montant, date, référence du paiement) sont conservées le temps imposé par nos obligations comptables, en principe 10 ans.
Qui y a accès : toi, depuis ton lien privé de gestion ; toute personne à qui tu transmets le lien ou le QR code du cadeau (et le mot secret s’il y en a un) ; nous, pour le support ; et nos prestataires techniques listés plus bas.

2. Payer

Pourquoi : encaisser le paiement de ta commande et prévenir la fraude. Base légale : l’exécution du contrat (art. 6.1.b).
Comment : tu saisis tes informations de paiement dans le formulaire sécurisé de Stripe, notre prestataire de paiement, à qui nous transmettons ton adresse e-mail et le montant de la commande. Ouvella ne reçoit jamais tes données de carte : seulement le résultat, le montant et la référence du paiement. Selon ton appareil et ton pays, Stripe te propose la carte bancaire, Apple Pay, Google Pay, PayPal ou Link.
Responsables de traitement distincts : Stripe traite aussi certaines données pour son propre compte (lutte contre la fraude, obligations réglementaires). Si tu choisis PayPal ou Link (le service de paiement enregistré de Stripe), ces services traitent tes données en tant que responsables de traitement distincts, selon leurs propres politiques de confidentialité ; c’est aussi le cas d’Apple et de Google si tu paies avec Apple Pay ou Google Pay.
Journal des paiements : à chaque tentative de paiement, on note sur nos serveurs le résultat (formulaire ouvert, code refusé, erreur…), le type de code de réduction saisi (jamais le code lui-même), le type de navigateur (navigateur intégré d’une application comme Instagram ou TikTok, ou navigateur classique) et le système (iOS, Android, ordinateur), sans cookie, pour repérer les paiements qui échouent et les corriger. Base légale : notre intérêt légitime à faire fonctionner le paiement (art. 6.1.f). Durée : comme les données de facturation (voir 1), même si tu supprimes ton cadeau ; ce journal ne contient ni ton adresse e-mail ni le contenu du cadeau.

3. Les e-mails que tu reçois

E-mails liés au service (base légale : l’exécution du contrat) : la confirmation avec le lien du cadeau, son QR code et ton lien privé de gestion ; le lien à partager pour faire signer une carte collective ; l’alerte quand ton cadeau est ouvert ou qu’une réaction t’attend ; les rappels de ton calendrier ou de ta carte collective ; et les e-mails que tu demandes toi-même, comme le renvoi de tes liens.
E-mail de reprise (base légale : notre intérêt légitime à t’aider à terminer une création commencée, art. 6.1.f) : si ta création reste en attente de paiement, on peut t’envoyer une seule fois le lien pour la reprendre. Tu peux t’y opposer avec le lien de désinscription qu’il contient, ou en répondant simplement à cet e-mail.
Rappel avant la première case d’un calendrier (base légale : ton consentement, art. 6.1.a) : si tu coches la case prévue en demandant le lien pour continuer ton calendrier, ton adresse sert uniquement à t’envoyer un seul e-mail, entre trois jours et la veille de l’ouverture de la première case, tant que le calendrier n’est pas payé. Elle est effacée juste après cet e-mail, dès que le calendrier est payé ou dès que sa première case s’est ouverte. Pour retirer ton consentement avant, réponds simplement à l’e-mail qui contient ton lien.
Code de réduction et demandes d’avis (base légale : notre intérêt légitime à te proposer des produits analogues à celui que tu as acheté, art. L34-5 du Code des postes et des communications électroniques) : après ton achat, ton e-mail de confirmation contient un code de -10 % sur ton prochain cadeau, et on peut te demander ton avis. Tu peux refuser ces messages dès le paiement, avec la case prévue, puis à tout moment et gratuitement, avec le lien de désinscription en un clic présent dans chacun d’eux.
Durée : ton adresse est conservée avec ta commande (voir 1). Si tu te désinscris, on la garde dans une liste d’opposition aussi longtemps que nécessaire pour respecter ton choix.

4. Signer une carte collective

Pourquoi : ajouter ton mot à la carte collective qu’un organisateur t’a invité à signer, et le remettre à la personne fêtée. Base légale : l’intérêt légitime de l’organisateur et de Ouvella à composer la carte que tu as choisi de signer (art. 6.1.f).
Données : le nom que tu indiques, ton mot, la couleur choisie et, si tu en ajoutes, une photo et un message vocal. Un code enregistré dans ton navigateur te permet de modifier ou de retirer ton mot plus tard, depuis le même appareil.
Qui le lit : la personne fêtée, dans la carte finale, et l’organisateur. Les autres signataires ne voient jamais ton mot. Nous pouvons y accéder pour le support ou pour traiter un signalement.
Durée : ton mot suit la durée de la carte (voir 1). Tu peux le retirer à tout moment depuis le même appareil ; l’organisateur peut aussi le supprimer, et tu peux nous écrire pour qu’on le fasse.

5. Recevoir un cadeau

Ouverture : quand tu ouvres un cadeau, on enregistre la date de la première et de la dernière ouverture et leur nombre, pour prévenir la personne qui te l’offre — jamais d’où ni depuis quel appareil. Base légale : notre intérêt légitime, et celui de la personne qui t’offre le cadeau, à fournir le service qu’elle a commandé (art. 6.1.f).
Réactions : si tu envoies une réaction (et, si tu veux, un petit message), elle est transmise à la personne qui t’a offert le cadeau, qui peut la supprimer depuis son lien de gestion. Base légale : notre intérêt légitime à transmettre ce que tu as choisi d’envoyer (art. 6.1.f).
Rappel du matin d’un calendrier : si tu le demandes depuis un calendrier que tu as reçu, ton adresse e-mail sert uniquement à t’envoyer un court e-mail chaque matin où une case s’ouvre. Elle n’est jamais montrée à la personne qui t’offre le calendrier. Base légale : ton consentement (art. 6.1.a), que tu retires en un clic avec le lien présent dans chaque e-mail. Durée : ton adresse est effacée au plus tard deux jours après la dernière case, même si tu as arrêté les rappels avant.
Durée : ces informations suivent la durée du cadeau (voir 1).

6. Avis clients

Pourquoi : recueillir ton avis sur ton cadeau et, si tu l’acceptes, le publier sur le site. Base légale : ton consentement (art. 6.1.a), que tu peux retirer à tout moment.
Données : le prénom ou le pseudo que tu choisis, ta note, ton texte, l’occasion du cadeau et la date de l’avis.
Durée : ton avis est conservé 5 ans au plus, ou jusqu’à ce que tu demandes son retrait à contact@ouvella.com si c’est plus tôt ; il est alors retiré du site. Les règles de publication sont détaillées dans nos conditions générales de vente.

7. Origine des ventes

Pourquoi : savoir quels sites, campagnes ou partages nous amènent des clients (moteur de recherche, assistant IA, réseau social, autre cadeau…), pour mieux faire connaître Ouvella.
Base légale : ton consentement (art. 6.1.a du RGPD et art. 82 de la loi Informatique et Libertés), donné en cliquant sur « Accepter » dans le bandeau cookies. Sans ce clic, rien n’est enregistré. Tu peux retirer ton accord à tout moment depuis la page cookies.
Données : un identifiant aléatoire de ton navigateur, la source de tes visites (site d’origine, campagne, page d’arrivée), ton pays et ton type d’appareil ; ces informations sont rattachées à ta commande.
Depuis un cadeau reçu : si tu crées ton cadeau avec le lien proposé à la fin d’un cadeau que tu as reçu, ce lien porte un code qui désigne le cadeau d’origine, sans donner accès à son contenu. Ce code est enregistré avec ta commande même sans accord dans le bandeau, car il ne passe par aucun traceur ; base légale : notre intérêt légitime à savoir combien de cadeaux en font naître d’autres (art. 6.1.f).
Ta réponse à la question sur la façon dont tu as découvert Ouvella (facultative, un choix dans une liste, posée après le paiement) : elle est enregistrée avec ta commande, que tu aies accepté ou non le bandeau cookies. Base légale : ton consentement, donné en répondant (art. 6.1.a) ; tu peux le retirer en nous écrivant à contact@ouvella.com.
Durée : dans ton navigateur, celle indiquée sur la page cookies ; une fois rattachées à une commande, elles sont conservées avec elle (voir 1).

8. Mesure d’audience

Ouvella mesure la fréquentation du site avec Vercel Web Analytics, sans cookie et sans rien stocker sur ton appareil : l’outil produit des statistiques agrégées (pages vues, site d’origine, pays, type d’appareil et de navigateur), sans identifiant conservé plus de 24 heures ni suivi d’un site à l’autre. Base légale : notre intérêt légitime à comprendre l’usage du site (art. 6.1.f).

9. Sécurité et prévention des abus

Pourquoi : protéger le service et tes données (envois massifs, tentatives de deviner un mot secret, fraude au paiement). Base légale : notre intérêt légitime à sécuriser le service (art. 6.1.f).
Données : une empreinte de ton adresse IP (hachée, jamais stockée en clair) pour limiter le nombre de requêtes, et les journaux techniques de notre hébergeur (adresse IP, page demandée, date et heure, navigateur).
Durée : l’empreinte s’efface d’elle-même au bout de 24 heures au plus ; les journaux techniques sont conservés 30 jours au plus.

10. Nous écrire

Si tu nous écris à contact@ouvella.com, on utilise ton message et ton adresse pour te répondre (base légale : l’exécution du contrat si ta demande concerne une commande, sinon notre intérêt légitime à répondre aux messages reçus), et on les conserve le temps de traiter ta demande et d’en assurer le suivi. Les e-mails envoyés à contact@ouvella.com sont acheminés par Cloudflare (Email Routing) vers une boîte Gmail (Google), qui les héberge, y compris aux États-Unis.

Ce que Ouvella ne fait jamais

Tes contenus ne sont jamais utilisés à des fins publicitaires, ni vendus ou loués à des tiers. Ouvella ne dépose aucun cookie publicitaire, ne fait aucun profilage et ne prend aucune décision fondée uniquement sur un traitement automatisé.

Destinataires et sous-traitants

Tes données sont communiquées aux personnes indiquées ci-dessus et aux prestataires techniques ci-dessous, qui les traitent pour notre compte, sur nos instructions, dans le cadre d’un accord de traitement des données (DPA). Vercel fournit aussi la mesure d’audience sans cookie. Stripe, PayPal, Apple et Google traitent en plus certaines données pour leur propre compte (voir 2).

Vercel Inc. — Hébergement de l’application et mesure d’audience sans cookie (Vercel Web Analytics). Localisation : États-Unis (régions UE disponibles, dont Francfort). Transferts hors UE encadrés par : CCT (UE) 2021/914 + EU-US Data Privacy Framework. DPA
Neon Inc. (groupe Databricks) — Base de données. Localisation : Union européenne — Francfort (AWS eu-central-1). Transferts hors UE encadrés par : CCT (UE) 2021/914 + EU-US Data Privacy Framework. DPA
Cloudflare, Inc. — Stockage des médias (photos, audio). Localisation : Union européenne (juridiction R2 « eu »). Transferts hors UE encadrés par : EU-US Data Privacy Framework + CCT (UE) 2021/914. DPA
Stripe Payments Europe, Ltd — Paiement (aucune donnée de carte ne transite par le site). Localisation : Irlande (UE) ; traitement pouvant impliquer les États-Unis. Transferts hors UE encadrés par : CCT (UE) 2021/914 + EU-US Data Privacy Framework. DPA
Plus Five Five, Inc. (Resend) — Envoi des e-mails. Localisation : États-Unis. Transferts hors UE encadrés par : CCT (UE) 2021/914 + EU-US Data Privacy Framework. DPA
Upstash, Inc. — Limitation de débit (Redis). Localisation : Union européenne — Francfort (AWS eu-central-1). Transferts hors UE encadrés par : EU-US Data Privacy Framework + CCT (UE) 2021/914. DPA

Transferts hors de l’Union européenne

Notre base de données (Neon), le stockage des médias (Cloudflare R2) et la limitation de débit (Upstash) sont hébergés dans l’Union européenne. Plusieurs prestataires sont toutefois des sociétés américaines (notamment Vercel, Resend et Stripe), qui peuvent traiter des données aux États-Unis. Ces transferts sont encadrés par les garanties indiquées pour chacun dans la liste ci-dessus : la décision d’adéquation de la Commission européenne du 10 juillet 2023 (EU-US Data Privacy Framework) pour les sociétés certifiées, et les clauses contractuelles types de la Commission (décision 2021/914). Tu peux en obtenir une copie en nous écrivant.

Tes droits

Accès et portabilité : obtenir une copie de tes données, et recevoir celles que tu nous as fournies dans un format courant et lisible par machine.
Rectification et effacement : corriger des données inexactes ou faire effacer tes données.
Limitation et opposition : demander qu’on gèle temporairement l’utilisation de tes données, ou t’opposer à un traitement fondé sur notre intérêt légitime ; ton opposition aux e-mails de réduction et de demande d’avis s’applique toujours, sans justification.
Retrait du consentement : retirer ton accord à tout moment (publication d’un avis, origine des ventes), sans remettre en cause ce qui a été fait avant.
Directives après ton décès : définir ce que deviennent tes données après ton décès (art. 85 de la loi Informatique et Libertés).

Pour exercer ces droits, écris à contact@ouvella.com, si possible depuis l’adresse liée à ta commande ou avec le lien de ton cadeau, pour qu’on puisse vérifier que la demande vient bien de toi. On te répond dans un délai d’un mois, prolongeable de deux mois si la demande est complexe (on te prévient alors).

Tu peux aussi agir seul, à tout moment, depuis ton lien privé de gestion : corriger ton cadeau, le désactiver, ou le supprimer définitivement. Le cadeau, ses photos, ses enregistrements, ses réactions et, pour une carte collective, les mots des signataires sont alors effacés de nos serveurs, sans retour possible. Restent seulement, sans ton adresse e-mail ni le contenu du cadeau : chez nous, le relevé de la vente (montant, date, produit et, le cas échéant, son origine, voir 7) et le journal des paiements (voir 2), pour notre comptabilité et nos statistiques ; chez Stripe, les données de paiement qu’il conserve pour ses propres obligations légales.

Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL (www.cnil.fr) ou à l’autorité de protection des données de ton pays.