Politique de Confidentialité

1. Qui est responsable de vos données

Le responsable de traitement est CANDY BOT, SAS au capital de 1 000 euros, dont le siège social est situé 30 B Rue Edouard Bourdet, 66100 Perpignan, immatriculée sous le numéro SIREN 103179263.

Pour toute question sur vos données ou pour exercer vos droits : [email protected] ou 09 39 20 77 00. Nous ne sommes pas tenus de désigner un délégué à la protection des données ; vos demandes sont traitées directement par la direction.

2. Ce que nous traitons, et pourquoi

Répondre à une demande de location pour un événement

Données :
Nom, société, email, téléphone, type et date d'événement, lieu, message
Base légale :
Mesures précontractuelles à votre demande (art. 6.1.b RGPD)
Conservation :
3 ans à compter du dernier contact, puis suppression automatique

Répondre à une demande de partenariat commerçant

Données :
Nom, nom et adresse du commerce, email, téléphone, message
Base légale :
Mesures précontractuelles à votre demande (art. 6.1.b RGPD)
Conservation :
3 ans à compter du dernier contact, puis suppression automatique

Traiter un signalement de panne sur une machine

Données :
Email, localisation de la machine, description, photos ou vidéos que vous joignez
Base légale :
Intérêt légitime : maintenir nos machines en état de marche (art. 6.1.f RGPD)
Conservation :
1 an après clôture du signalement, pièces jointes comprises

Traiter une demande de remboursement

Données :
Email, localisation, montant, motif, mode de paiement, photos ou vidéos que vous joignez, et uniquement en cas de paiement en espèces : IBAN et nom du titulaire du compte
Base légale :
Exécution du contrat de vente et obligations comptables (art. 6.1.b et 6.1.c RGPD)
Conservation :
IBAN masqué dès le traitement de la demande, et au plus tard 30 jours après notre réponse. Demande supprimée 1 an après archivage

Traiter votre appel au support

Données :
Numéro de téléphone, date, heure et durée de l'appel, issue de l'appel (répondu ou non), et le SMS que nous vous envoyons si personne n'a pu vous répondre. Aucun appel n'est enregistré, aucun message vocal n'est collecté
Base légale :
Intérêt légitime : répondre à vos demandes et vous rappeler (art. 6.1.f RGPD)
Conservation :
2 ans à compter de l'appel, puis suppression automatique

Enregistrer vos achats sur nos machines

Données :
Date, heure et machine de l'achat, barbes à papa achetées, montant et moyen de paiement ; pour un paiement par carte, la référence de la transaction chez notre prestataire d'encaissement, le réseau de la carte (Visa, Mastercard...) et ses 4 derniers chiffres, qui figurent sur votre reçu
Base légale :
Exécution du contrat de vente et obligations comptables (art. 6.1.b et 6.1.c RGPD)
Conservation :
10 ans, durée de conservation des pièces comptables (art. L123-22 du code de commerce)

Tenir votre carte de fidélité sur nos machines

Données :
Une empreinte de la carte bancaire (ou du téléphone) qui paie, calculée à sens unique à partir des données de notre prestataire d'encaissement puis chiffrée avec une clé secrète. Avec elle : les barbes à papa de la carte en cours, le nombre de jours de visite, les dates de première et de dernière visite, les machines où vous avez acheté, les références de vos dernières commandes et, pour chacune, où en était la carte après l'achat. Ni numéro de carte, ni nom, ni email
Base légale :
Intérêt légitime : vous offrir une barbe à papa après plusieurs achats, sans inscription, et mesurer la fréquentation de nos machines par des statistiques anonymes (art. 6.1.f RGPD). Vous pouvez vous y opposer à tout moment, sans avoir à vous justifier (voir « Achats sur nos machines » ci-dessous)
Conservation :
1 an après votre dernier achat, puis suppression automatique. Après une opposition, seule l'empreinte chiffrée est gardée, pour que la carte ne soit plus reconnue

Afficher vos photos sur la machine de votre évènement

Données :
Les photos que vous envoyez par le lien de votre évènement, réduites et sans leurs données cachées (lieu et appareil de la prise de vue retirés à l'envoi), le cadre et la légende choisis
Base légale :
Exécution du contrat de location (art. 6.1.b RGPD)
Conservation :
Effacées de la machine le lendemain de l'évènement, et de nos serveurs 7 jours après

Publier une photo de votre évènement sur nos réseaux, si vous l'acceptez

Données :
Une des photos envoyées pour la machine
Base légale :
Votre consentement, donné et retiré sur la page de vos photos (art. 6.1.a RGPD)
Conservation :
Le temps de la publication ; retiré sur simple demande

Mesurer l'audience du site

Données :
Pages vues, source de visite, type d'appareil, adresse IP tronquée
Base légale :
Votre consentement, révocable à tout moment (art. 6.1.a RGPD)
Conservation :
14 mois au maximum

Assister notre équipe dans la gestion de l'exploitation

Données :
Un assistant conversationnel interne peut afficher la liste des demandes reçues, avec l'adresse email de l'auteur. Ni IBAN, ni pièce jointe ne lui sont transmis
Base légale :
Intérêt légitime : traiter vos demandes efficacement (art. 6.1.f RGPD)
Conservation :
Aucune conservation par le prestataire au-delà du traitement de la requête

Les champs marqués comme obligatoires dans nos formulaires sont nécessaires au traitement de votre demande : sans eux, nous ne pouvons pas y répondre. Tous les autres sont facultatifs.

3. Achats sur nos machines

L'achat d'une barbe à papa sur l'une de nos machines est anonyme : nous ne collectons ni votre nom, ni votre email. Les paiements par carte sont traités directement par notre prestataire d'encaissement. Nous ne recevons jamais votre numéro de carte, ni aucune donnée bancaire, seulement le montant de la transaction, sa référence chez notre prestataire, le réseau de la carte et ses quatre derniers chiffres, qui figurent sur votre reçu.

Carte de fidélité. Sur les machines qui l'affichent, la carte bancaire (ou le téléphone) qui paie sert de carte de fidélité, sans inscription. La machine la reconnaît grâce à une empreinte calculée à sens unique et chiffrée avec une clé secrète : elle ne permet pas de retrouver votre numéro de carte. Elle sert à compter vos barbes à papa, à vous offrir la suivante (règles à l'article 7 de nos conditions générales de vente) et à établir des statistiques anonymes de fréquentation.

Pour ne plus être reconnu, touchez « Ne plus reconnaître ma carte » sur votre reçu (QR code affiché par la machine en fin d'achat), ou écrivez-nous à [email protected] en indiquant le numéro du reçu, ou la machine, la date de l'achat et les 4 derniers chiffres de la carte. La carte est alors effacée et nos machines ne la reconnaissent plus ; le paiement par carte reste possible. La même adresse permet de savoir ce que nous conservons sur votre carte, ou de l'effacer sans vous opposer.

Photos d'un évènement. Pour un évènement privé (mariage, anniversaire, entreprise), vous pouvez envoyer des photos par le lien ou le QR code que nous vous donnons. Elles ne s'affichent que sur la machine de votre évènement, le jour de l'évènement. Elles sont réduites et débarrassées de leurs données cachées à l'envoi, effacées de la machine le lendemain et de nos serveurs 7 jours après. Vous les retirez vous-même à tout moment sur la page du lien. Nous ne publions une photo sur nos réseaux que si vous l'avez accepté sur cette page.

Nos machines embarquent une caméra de diagnostic orientée vers l'intérieur de la cuve, sur le mécanisme de fabrication. Elle ne filme ni les clients, ni le commerce : elle sert uniquement à constater l'état de la machine à distance. Les images sont conservées 90 jours au plus.

4. Qui d'autre y a accès

Vos données ne sont ni vendues, ni louées, ni cédées à des fins publicitaires. Elles sont accessibles à notre équipe, et aux prestataires techniques strictement nécessaires à notre fonctionnement, qui agissent sur nos instructions et sont liés par contrat :

Brevo (Sendinblue SAS)

Acheminement de nos emails

Localisation : France

Cloudflare, Inc.

Diffusion et protection du site

Localisation : États-Unis

Google Ireland Ltd.

Mesure d'audience (Google Analytics), si vous y consentez

Localisation : Irlande, avec transferts aux États-Unis

Anthropic PBC

Assistant conversationnel interne à notre outil d'exploitation

Localisation : États-Unis

Nayax Ltd.

Encaissement des paiements par carte sur nos machines

Localisation : Israël (décision d'adéquation de la Commission européenne)

Twilio Inc.

Acheminement des appels vers notre numéro de support et envoi de nos SMS

Localisation : Irlande, avec transferts aux États-Unis

Transferts hors Union européenne. Certains de ces prestataires sont établis aux États-Unis. Ces transferts sont encadrés soit par une décision d'adéquation de la Commission européenne, soit par les clauses contractuelles types adoptées par celle-ci. Vous pouvez nous demander une copie de ces garanties à l'adresse indiquée ci-dessus.

5. Cookies et mesure d'audience

Aucun cookie de mesure d'audience n'est déposé avant votre consentement. Tant que vous n'avez pas accepté, les outils de mesure fonctionnent en mode dégradé, sans dépôt de cookie ni identifiant publicitaire.

cookie_consent

Stockage local, exempté de consentement

Mémorise votre choix en matière de cookies pour ne pas vous le redemander à chaque visite

Durée : 6 mois

_ga, _ga_*

Mesure d'audience, soumis à consentement

Distingue les visiteurs afin de produire des statistiques de fréquentation

Durée : 13 mois

Votre choix est conservé 6 mois, puis nous vous le redemandons. Vous pouvez le modifier ou le retirer à tout moment via le lien , également présent en bas de chaque page.

6. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

  • Accès : obtenir une copie des données que nous détenons sur vous
  • Rectification : corriger des données inexactes ou incomplètes
  • Effacement : demander la suppression de vos données
  • Limitation : geler l'utilisation de vos données le temps d'une vérification
  • Portabilité : recevoir vos données dans un format structuré et lisible
  • Opposition : vous opposer à un traitement fondé sur notre intérêt légitime
  • Retrait du consentement : à tout moment, sans effet sur ce qui a été fait avant

Écrivez-nous à [email protected]. Nous répondons dans un délai d'un mois. Nous pouvons vous demander un justificatif d'identité en cas de doute raisonnable sur l'auteur de la demande.

Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

7. Sécurité

Le site est servi exclusivement en HTTPS. L'accès à nos outils d'exploitation est restreint, protégé par mot de passe haché, double authentification et journalisation des connexions. Les coordonnées bancaires communiquées pour un remboursement sont masquées dès le traitement de la demande et ne sont jamais transmises à un tiers autre que notre banque.

8. Décisions automatisées

Nous ne prenons aucune décision produisant des effets juridiques à votre égard sur le seul fondement d'un traitement automatisé, et nous ne pratiquons aucun profilage publicitaire.

9. Évolution de cette politique

Cette politique peut évoluer avec nos services. La date de dernière mise à jour figure ci-dessous. En cas de changement substantiel, nous vous en informerons sur ce site.

Dernière mise à jour : 12 octobre 2026.