Politique de confidentialité
Version du 12 septembre 2026
Cette politique dit quelles données Wayo.re traite, pourquoi, avec qui elle les partage et combien de temps elle les conserve. Elle remplace la page « Données personnelles ».
1. Qui est responsable de vos données
En bref. Wayo.re est édité par un entrepreneur individuel installé à Sainte-Marie. Les demandes sur vos données vont à privacy@wayo.re.
Le responsable du traitement est Johan D’hau decuypere EI, entrepreneur individuel, qui édite Wayo.re sous le nom commercial Johan Web Services.
Adresse : 21 rue Fleur de Jade, appartement C19, 97438 Sainte-Marie, La Réunion. SIREN 101 795 532.
Pour toute question sur vos données personnelles, écrivez à privacy@wayo.re.
Aucun délégué à la protection des données n’est désigné.
Les autres informations sur l’éditeur figurent dans les mentions légales.
2. Les données que nous traitons
Ce que vous saisissez
- Compte : prénom, nom, adresse e-mail et mot de passe. Le mot de passe est géré par AWS Cognito.
- Profil : photo, commune, nom et description de votre boutique, bannière.
- Adresses de livraison : nom, rue, complément, code postal, commune et numéro de téléphone.
- Contenus publiés : annonces et leurs photos, messages, offres, avis, signalements, publications dans la communauté.
- Demandes au support : nom, adresse e-mail et contenu du message.
Ce que Google et Apple nous transmettent
Si vous vous connectez avec Google, nous recevons votre adresse e-mail, votre prénom, votre nom et votre photo. Avec Apple, votre adresse e-mail et votre nom.
Ce que votre usage produit
- Commandes : articles, montants, mode de livraison, numéro de suivi, litige éventuel.
- Historique de connexion : date, plateforme (site, iOS, Android), méthode de connexion, navigateur ou appareil, et empreinte de votre adresse IP.
- Activité : favoris, recherches enregistrées, abonnements à des boutiques, nombre de consultations de vos annonces.
- Notifications : préférences par catégorie et jeton d’envoi propre à chaque appareil.
- Détections anti-fraude : un score, ses motifs et, s’il y a lieu, un extrait du message qui a déclenché la détection.
Ce que nous ne détenons pas
- Votre pièce d’identité et votre date de naissance : Stripe les demande aux vendeurs à l’activation du porte-monnaie, et les conserve chez lui.
- Vos coordonnées bancaires de retrait : votre IBAN est enregistré chez Stripe, pas chez nous.
- Votre position : ni le site ni l’app ne demandent votre géolocalisation.
- Votre adresse IP en clair dans l’historique de connexion : seule une empreinte tronquée y est enregistrée.
Deux exceptions. Le formulaire de contact enregistre votre adresse IP et votre navigateur, pour limiter les envois automatisés. Si le support vide pour vous un solde résiduel, l’IBAN que vous lui communiquez est enregistré avec la demande de retrait.
3. Pourquoi nous traitons vos données, et pour combien de temps
En bref. Chaque traitement a une finalité, une base légale et une durée. Les durées liées aux commandes découlent de nos obligations comptables.
| Finalité | Données | Base légale | Durée |
|---|---|---|---|
| Créer et gérer votre compte | Prénom, nom, e-mail, mot de passe, photo de profil | Exécution du contrat (art. 6.1.b) | Jusqu’à la suppression du compte |
| Publier et consulter des annonces | Annonces, photos, commune, catégories | Exécution du contrat | Jusqu’à la suppression de l’annonce ou du compte |
| Comprendre votre recherche et proposer des annonces proches | Le texte que vous tapez dans la recherche | Intérêt légitime : pertinence des résultats (art. 6.1.f) | Empreinte numérique du texte, en cache 24 heures |
| Échanger par messagerie | Messages et photos jointes | Exécution du contrat | Tant que votre compte existe |
| Traiter les commandes, les paiements et les retraits | Identité, adresse, téléphone, montants, statut de la commande | Exécution du contrat et obligation légale (comptabilité) | 10 ans |
| Expédier et suivre les colis | Nom, adresse, téléphone et e-mail de l’acheteur et du vendeur, numéro de suivi | Exécution du contrat | 10 ans, avec la commande |
| Traiter un litige et appliquer la protection acheteur | Motif, photos, échanges, décision | Exécution du contrat | 10 ans, avec la commande |
| Modérer les photos des annonces et les textes de boutique | Photos publiées, photo de profil, bannière, nom et description de la boutique | Intérêt légitime : sécurité des membres (art. 6.1.f) | Avec l’annonce ou le compte |
| Traiter les signalements | Motif, explication, nom et e-mail du signaleur, empreinte d’IP | Obligation légale (art. 16 du règlement (UE) 2022/2065 sur les services numériques) | 12 mois pour les coordonnées d’un signaleur sans compte |
| Prévenir la fraude et sécuriser les connexions | Historique de connexion, empreinte d’IP, verdict d’intégrité de l’app Android, extrait d’un message signalé | Intérêt légitime : sécurité du service | 13 mois |
| Prouver l’acceptation des conditions | Version acceptée, date, source, empreinte d’IP, navigateur, libellé de la case cochée et, pour un paiement en espèces, la commande concernée | Intérêt légitime : preuve | Jusqu’à la suppression du compte |
| Envoyer les e-mails et les notifications du service | E-mail, jeton d’appareil, préférences | Exécution du contrat, et intérêt légitime pour les rappels d’activité | Jusqu’à la désactivation ou la suppression du compte |
| Répondre à vos demandes au support | Nom, e-mail, message, adresse IP, navigateur | Intérêt légitime : traitement de votre demande | 3 ans après notre réponse |
| Mesurer l’audience du site et de l’app | Identifiant pseudonyme, pages vues, événements d’usage | Consentement (art. 6.1.a) | Jusqu’au retrait du consentement, redemandé tous les 6 mois |
| Mesurer nos publicités sur Facebook et Instagram, sur le site seulement | Événements de navigation, empreintes de l’e-mail et du nom | Consentement | Jusqu’au retrait du consentement |
| Conserver les données d’identification exigées par la loi | Identifiant du compte lié aux contenus publiés | Obligation légale (LCEN et décret 2021-1362) | 1 an après la suppression du compte |
Sans prénom, nom, adresse e-mail et mot de passe, nous ne pouvons pas ouvrir votre compte. Sans adresse de livraison ni numéro de téléphone, une commande expédiée ne peut pas partir. Le reste est facultatif.
4. Qui reçoit vos données
En bref. Les autres membres voient votre profil public, et le vendeur reçoit votre adresse de livraison. Le reste va à des prestataires qui travaillent pour nous.
Les autres membres voient votre profil public : votre prénom, votre photo, le nom de votre boutique, votre commune, vos annonces et les avis reçus. Quand vous commandez, le vendeur reçoit votre nom, votre adresse et votre téléphone.
Nous ne vendons aucune donnée.
| Prestataire | Rôle | Données transmises | Lieu de traitement |
|---|---|---|---|
| Amazon Web Services EMEA SARL | Hébergement du site, de la base de données et envoi des e-mails | Toutes les données du service | Paris (eu-west-3) |
| Amazon Web Services (Cognito) | Comptes et connexion, y compris avec Google et Apple | E-mail, identifiant de compte, mot de passe | Paris, et un ancien annuaire au Cap (Afrique du Sud) |
| Cloudflare, Inc. | Stockage et diffusion des photos (cdn.wayo.re) | Images que vous publiez | Réseau mondial, sans restriction à l’Union européenne |
| Stripe Payments Europe, Ltd. | Paiements, versements et vérification d’identité des vendeurs | Nom, e-mail, téléphone, adresse, montants ; pour les vendeurs, date de naissance, pièce d’identité et IBAN | Irlande, groupe présent aux États-Unis |
| La Poste (Colissimo) | Étiquettes d’expédition et suivi des colis | Nom, adresse, téléphone et e-mail de l’expéditeur et du destinataire | France |
| OpenRouter, Inc. | Accès aux modèles d’IA de Google et d’OpenAI | Textes et images des annonces, photo de profil, bannière, nom et description de boutique, texte de vos recherches | États-Unis |
| Expo, Apple (APNs) et Google (FCM) | Envoi des notifications sur votre téléphone | Jeton d’appareil, titre et texte de la notification | États-Unis |
| Google (Firebase Crashlytics) | Rapports de plantage de l’app | Modèle d’appareil, version de l’app, trace technique | États-Unis |
| Google (Places) | Suggestions d’adresse pendant la saisie | Le texte d’adresse que vous tapez | États-Unis |
| Google (Play Integrity) | Contrôle d’intégrité de l’app Android | Verdict sur l’appareil et sur l’installation | États-Unis |
| Amplitude, Inc. | Mesure d’audience, après votre consentement | Identifiant pseudonyme, événements d’usage | Serveurs dans l’Union européenne |
| Meta Platforms Ireland Ltd | Mesure de nos publicités sur le site, après votre consentement | Événements de navigation, empreintes de l’e-mail et du nom | Irlande, groupe présent aux États-Unis |
Nous transmettons aussi des données aux autorités quand la loi nous y oblige.
5. Certaines données sortent de l’Union européenne
Le site, la base de données et les e-mails sont hébergés à Paris.
Des données sortent de l’Union européenne chez OpenRouter et les modèles de Google et d’OpenAI, chez Expo, Apple et Google pour les notifications et les rapports de plantage, et pour le stockage des photos chez Cloudflare.
Ces transferts reposent sur les clauses contractuelles types de la Commission européenne, ou sur le Data Privacy Framework pour les entreprises américaines qui y adhèrent. Vous pouvez nous demander une copie de ces garanties à privacy@wayo.re.
Deux points ne sont pas encore réglés, et nous préférons l’écrire : nous n’avons pas obtenu de garantie écrite d’OpenRouter sur la conservation des contenus qui lui sont envoyés, et le stockage des photos chez Cloudflare n’est pas restreint à l’Union européenne.
Les identifiants de connexion d’une partie des comptes se trouvent encore dans un annuaire AWS Cognito du Cap, en Afrique du Sud. Sa fermeture est prévue, sans reconnexion forcée.
6. Ce que l’intelligence artificielle analyse
En bref. Un modèle d’IA analyse les photos des annonces et les textes de boutique. Le texte de vos annonces et de vos recherches part aussi chez OpenRouter, aux États-Unis.
Quatre traitements passent par un modèle d’intelligence artificielle, tous accessibles via OpenRouter.
- Avant publication, les photos de votre annonce sont analysées pour repérer un contenu interdit ou hors catégorie. Son titre et sa description ne le sont pas.
- Votre photo de profil, la bannière, le nom et la description de votre boutique sont analysés de la même façon.
- Quand vous photographiez un article pour le vendre, la photo sert à proposer un titre, une catégorie et une description.
- Le titre, la description et la marque de votre annonce, comme le texte que vous tapez dans la recherche, sont convertis en une empreinte numérique qui sert à rapprocher les annonces d’une recherche.
Les modèles employés sont Gemini, de Google, pour l’analyse des textes et des images, et text-embedding-3-small, d’OpenAI, pour la recherche et le rapprochement des annonces.
Nous n’avons pas de garantie écrite de non-conservation de la part d’OpenRouter.
7. Une décision automatisée peut être réexaminée par une personne
L’analyse automatique peut refuser une annonce, ou la mettre en attente de validation.
La règle est un seuil de certitude. Au-dessus du seuil haut, l’annonce est refusée. Entre les deux seuils, elle attend une validation humaine. En dessous, elle est publiée.
Vous recevez un message qui indique la décision, les faits retenus, la règle appliquée et le recours à un outil automatique.
Vous pouvez demander l’intervention d’une personne, exprimer votre point de vue et contester la décision (article 22 du RGPD). Nous répondons sous 3 jours ouvrés. La marche à suivre figure dans contester une décision.
La fermeture d’un compte est toujours décidée par une personne.
Si vous n’activez pas votre porte-monnaie dans les 7 jours qui suivent votre première vente, vos annonces sont suspendues et vos retraits bloqués automatiquement. Tout repart dès l’activation.
8. E-mails et notifications
Les e-mails liés à vos commandes, à vos messages et à votre compte font partie du service.
L’app envoie aussi des notifications sur votre téléphone. Certaines signalent des articles susceptibles de vous intéresser ou rappellent une offre en attente : elles sont actives par défaut.
Vous réglez chaque catégorie, par e-mail et par notification, depuis Paramètres de notifications sur le site, ou Notifications dans les paramètres de l’app.
Un jeton propre à votre appareil est enregistré pour cet envoi. Il est supprimé avec votre compte.
9. Cookies et traceurs
Les traceurs de mesure d’audience (Amplitude) et de publicité (Meta) ne se déclenchent qu’après votre accord.
Sur le site, vous changez d’avis depuis la page Cookies, avec Enregistrer mes préférences ou Essentiels uniquement.
Dans l’app, l’écran Cookies propose Refuser tout et Accepter tout. Le choix fait sur le site ne vaut pas pour l’app, et l’inverse est vrai aussi.
Votre choix est conservé 6 mois, puis redemandé. Il reste sur l’appareil que vous utilisez, et nous n’en gardons aucune copie sur nos serveurs.
Sur iPhone, l’app demande d’abord l’autorisation de suivi prévue par Apple. Sans cette autorisation, la mesure d’audience reste éteinte.
Les rapports de plantage de l’app (Firebase Crashlytics) fonctionnent sans consentement, au titre de notre intérêt légitime à corriger les pannes.
Sur le site, un relevé technique nous signale les pages qui se figent et les dépôts d’annonce qui échouent, même si vous avez refusé la mesure d’audience. Il ne contient que des compteurs — l’étape atteinte, la cause de l’échec, le temps passé, le type d’écran — sans votre identifiant, sans cookie et sans le contenu de ce que vous avez saisi. Il ne permet pas de reconstituer un parcours individuel. Base légale : notre intérêt légitime à réparer ce qui ne fonctionne pas.
Le détail de chaque traceur, son émetteur et sa durée figurent sur la page Cookies.
10. Ce qui reste après la suppression de votre compte
En bref. La suppression est refusée tant qu’une commande, un litige, un retrait ou un solde est en cours. Ensuite, votre profil disparaît et vos commandes restent, sous le nom « Membre supprimé ».
Vous supprimez votre compte depuis Supprimer le compte dans les paramètres du site, ou Supprimer mon compte dans l’app.
La demande est refusée tant qu’il reste une commande en cours, un litige ouvert, un retrait en cours ou un solde sur votre porte-monnaie. Le message affiché indique ce qui bloque.
Ce qui est supprimé
- Votre profil, votre photo et votre boutique.
- Vos annonces sans commande, vos offres, vos favoris, vos recherches enregistrées et vos abonnements.
- Vos adresses de livraison.
- Vos notifications et les jetons de vos appareils.
- Les avis que d’autres membres vous ont laissés.
- Vos photos stockées chez Cloudflare.
Ce qui est conservé
| Donnée | Durée | Motif |
|---|---|---|
| Commandes, transactions et retraits | 10 ans | Obligation comptable |
| Messages déjà échangés, affichés sous « Membre supprimé » | Conservés chez votre interlocuteur | Preuve en cas de litige |
| Avis que vous avez écrits, affichés sous « Membre supprimé » | 10 ans, avec la commande | Information des autres membres |
| Données d’identification exigées par la loi | 1 an | LCEN et décret 2021-1362 |
Vos publications dans la communauté restent en ligne, détachées de votre compte : votre nom n’y figure plus.
Votre identifiant de connexion est supprimé chez AWS Cognito. Nous en gardons la référence technique pour empêcher la réouverture du même compte.
Le compte ouvert à votre nom chez Stripe n’est pas supprimé. Les pièces d’identité qu’il a collectées restent chez lui : adressez-lui votre demande.
La marche à suivre est décrite dans Comment supprimer mon compte ?.
11. Vos droits sur vos données
En bref. Vous pouvez accéder à vos données, les corriger, les effacer, les emporter ou vous opposer à leur traitement. Écrivez à privacy@wayo.re : nous répondons sous 3 jours ouvrés.
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité, et d’opposition aux traitements fondés sur notre intérêt légitime.
Pour les exercer, écrivez à privacy@wayo.re, ou passez par la page Contact.
Nous répondons sous 3 jours ouvrés, et au plus tard dans le mois qui suit votre demande (article 12.3 du RGPD).
Obtenir une copie de vos données
Nous vous envoyons l’export de votre compte sur demande, au format JSON, CSV ou XML. Il n’existe pas de bouton d’export dans votre compte. La marche à suivre est décrite dans Comment accéder à mes données ?.
Corriger vos données
Votre prénom, votre nom, votre photo, vos adresses et vos préférences se modifient depuis les paramètres de votre compte.
Retirer un consentement
Vous pouvez retirer à tout moment un consentement donné aux traceurs. Ce retrait ne remet pas en cause ce qui a été fait avant.
Après votre décès
Vous pouvez nous adresser des directives sur le sort de vos données après votre décès, générales ou particulières (article 85 de la loi Informatique et Libertés). Vos héritiers peuvent nous écrire à privacy@wayo.re.
Si notre réponse ne vous convient pas
Vous pouvez saisir la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou cnil.fr.
Bon à savoir
Avant de vous transmettre vos données, nous pouvons vous demander d’écrire depuis l’adresse e-mail de votre compte, ou de confirmer une information de votre dernière commande.
12. Comment vos données sont protégées
Les échanges avec le site et l’app sont chiffrés en HTTPS.
Les mots de passe sont gérés par AWS Cognito. Nous n’y avons pas accès.
L’historique de connexion ne contient qu’une empreinte tronquée de votre adresse IP.
Wayo.re ne propose pas de double authentification aux membres. Elle n’existe que pour les comptes d’administration.
Si vous constatez un accès anormal à votre compte, écrivez à contact@wayo.re.
Pour signaler une faille technique, écrivez à security@wayo.re. La marche à suivre figure dans les mentions légales.
13. Wayo.re est réservé aux majeurs
L’inscription est réservée aux personnes de 18 ans et plus.
Nous ne vérifions pas l’âge à l’inscription.
Si votre enfant mineur a créé un compte, écrivez à privacy@wayo.re : nous le fermons et supprimons ses données.
14. Modifications de cette politique
Cette politique peut changer.
Pour une modification importante, vous êtes prévenu par e-mail et dans l’app 30 jours avant son entrée en vigueur.
La version en cours et sa date figurent en haut de cette page.