Politique de Confidentialité
1. Qui est responsable de vos données
Le responsable de traitement est CANDY BOT, SAS au capital de 1 000 euros, dont le siège social est situé 30 B Rue Edouard Bourdet, 66100 Perpignan, immatriculée sous le numéro SIREN 103179263.
Pour toute question sur vos données ou pour exercer vos droits : [email protected] ou 09 39 20 77 00. Nous ne sommes pas tenus de désigner un délégué à la protection des données ; vos demandes sont traitées directement par la direction.
2. Ce que nous traitons, et pourquoi
Répondre à une demande de location pour un événement
- Données :
- Nom, société, email, téléphone, type et date d'événement, lieu, message
- Base légale :
- Mesures précontractuelles à votre demande (art. 6.1.b RGPD)
- Conservation :
- 3 ans à compter du dernier contact, puis suppression automatique
Répondre à une demande de partenariat commerçant
- Données :
- Nom, nom et adresse du commerce, email, téléphone, message
- Base légale :
- Mesures précontractuelles à votre demande (art. 6.1.b RGPD)
- Conservation :
- 3 ans à compter du dernier contact, puis suppression automatique
Traiter un signalement de panne sur une machine
- Données :
- Email, localisation de la machine, description, photos ou vidéos que vous joignez
- Base légale :
- Intérêt légitime : maintenir nos machines en état de marche (art. 6.1.f RGPD)
- Conservation :
- 1 an après clôture du signalement, pièces jointes comprises
Traiter une demande de remboursement
- Données :
- Email, localisation, montant, motif, mode de paiement, photos ou vidéos que vous joignez, et uniquement en cas de paiement en espèces : IBAN et nom du titulaire du compte
- Base légale :
- Exécution du contrat de vente et obligations comptables (art. 6.1.b et 6.1.c RGPD)
- Conservation :
- IBAN masqué dès le traitement de la demande, et au plus tard 30 jours après notre réponse. Demande supprimée 1 an après archivage
Traiter votre appel au support
- Données :
- Numéro de téléphone, date, heure et durée de l'appel, issue de l'appel (répondu ou non), et le SMS que nous vous envoyons si personne n'a pu vous répondre. Aucun appel n'est enregistré, aucun message vocal n'est collecté
- Base légale :
- Intérêt légitime : répondre à vos demandes et vous rappeler (art. 6.1.f RGPD)
- Conservation :
- 2 ans à compter de l'appel, puis suppression automatique
Enregistrer vos achats sur nos machines
- Données :
- Date, heure et machine de l'achat, barbes à papa achetées, montant et moyen de paiement ; pour un paiement par carte, la référence de la transaction chez notre prestataire d'encaissement, le réseau de la carte (Visa, Mastercard...) et ses 4 derniers chiffres, qui figurent sur votre reçu
- Base légale :
- Exécution du contrat de vente et obligations comptables (art. 6.1.b et 6.1.c RGPD)
- Conservation :
- 10 ans, durée de conservation des pièces comptables (art. L123-22 du code de commerce)
Tenir votre carte de fidélité sur nos machines
- Données :
- Une empreinte de la carte bancaire (ou du téléphone) qui paie, calculée à sens unique à partir des données de notre prestataire d'encaissement puis chiffrée avec une clé secrète. Avec elle : les barbes à papa de la carte en cours, le nombre de jours de visite, les dates de première et de dernière visite, les machines où vous avez acheté, les références de vos dernières commandes et, pour chacune, où en était la carte après l'achat. Ni numéro de carte, ni nom, ni email
- Base légale :
- Intérêt légitime : vous offrir une barbe à papa après plusieurs achats, sans inscription, et mesurer la fréquentation de nos machines par des statistiques anonymes (art. 6.1.f RGPD). Vous pouvez vous y opposer à tout moment, sans avoir à vous justifier (voir « Achats sur nos machines » ci-dessous)
- Conservation :
- 1 an après votre dernier achat, puis suppression automatique. Après une opposition, seule l'empreinte chiffrée est gardée, pour que la carte ne soit plus reconnue
Afficher vos photos sur la machine de votre évènement
- Données :
- Les photos que vous envoyez par le lien de votre évènement, réduites et sans leurs données cachées (lieu et appareil de la prise de vue retirés à l'envoi), le cadre et la légende choisis
- Base légale :
- Exécution du contrat de location (art. 6.1.b RGPD)
- Conservation :
- Effacées de la machine le lendemain de l'évènement, et de nos serveurs 7 jours après
Publier une photo de votre évènement sur nos réseaux, si vous l'acceptez
- Données :
- Une des photos envoyées pour la machine
- Base légale :
- Votre consentement, donné et retiré sur la page de vos photos (art. 6.1.a RGPD)
- Conservation :
- Le temps de la publication ; retiré sur simple demande
Mesurer l'audience du site
- Données :
- Pages vues, source de visite, type d'appareil, adresse IP tronquée
- Base légale :
- Votre consentement, révocable à tout moment (art. 6.1.a RGPD)
- Conservation :
- 14 mois au maximum
Assister notre équipe dans la gestion de l'exploitation
- Données :
- Un assistant conversationnel interne peut afficher la liste des demandes reçues, avec l'adresse email de l'auteur. Ni IBAN, ni pièce jointe ne lui sont transmis
- Base légale :
- Intérêt légitime : traiter vos demandes efficacement (art. 6.1.f RGPD)
- Conservation :
- Aucune conservation par le prestataire au-delà du traitement de la requête
Les champs marqués comme obligatoires dans nos formulaires sont nécessaires au traitement de votre demande : sans eux, nous ne pouvons pas y répondre. Tous les autres sont facultatifs.
3. Achats sur nos machines
L'achat d'une barbe à papa sur l'une de nos machines est anonyme : nous ne collectons ni votre nom, ni votre email. Les paiements par carte sont traités directement par notre prestataire d'encaissement. Nous ne recevons jamais votre numéro de carte, ni aucune donnée bancaire, seulement le montant de la transaction, sa référence chez notre prestataire, le réseau de la carte et ses quatre derniers chiffres, qui figurent sur votre reçu.
Carte de fidélité. Sur les machines qui l'affichent, la carte bancaire (ou le téléphone) qui paie sert de carte de fidélité, sans inscription. La machine la reconnaît grâce à une empreinte calculée à sens unique et chiffrée avec une clé secrète : elle ne permet pas de retrouver votre numéro de carte. Elle sert à compter vos barbes à papa, à vous offrir la suivante (règles à l'article 7 de nos conditions générales de vente) et à établir des statistiques anonymes de fréquentation.
Pour ne plus être reconnu, touchez « Ne plus reconnaître ma carte » sur votre reçu (QR code affiché par la machine en fin d'achat), ou écrivez-nous à [email protected] en indiquant le numéro du reçu, ou la machine, la date de l'achat et les 4 derniers chiffres de la carte. La carte est alors effacée et nos machines ne la reconnaissent plus ; le paiement par carte reste possible. La même adresse permet de savoir ce que nous conservons sur votre carte, ou de l'effacer sans vous opposer.
Photos d'un évènement. Pour un évènement privé (mariage, anniversaire, entreprise), vous pouvez envoyer des photos par le lien ou le QR code que nous vous donnons. Elles ne s'affichent que sur la machine de votre évènement, le jour de l'évènement. Elles sont réduites et débarrassées de leurs données cachées à l'envoi, effacées de la machine le lendemain et de nos serveurs 7 jours après. Vous les retirez vous-même à tout moment sur la page du lien. Nous ne publions une photo sur nos réseaux que si vous l'avez accepté sur cette page.
Nos machines embarquent une caméra de diagnostic orientée vers l'intérieur de la cuve, sur le mécanisme de fabrication. Elle ne filme ni les clients, ni le commerce : elle sert uniquement à constater l'état de la machine à distance. Les images sont conservées 90 jours au plus.
4. Qui d'autre y a accès
Vos données ne sont ni vendues, ni louées, ni cédées à des fins publicitaires. Elles sont accessibles à notre équipe, et aux prestataires techniques strictement nécessaires à notre fonctionnement, qui agissent sur nos instructions et sont liés par contrat :
Brevo (Sendinblue SAS)
Acheminement de nos emails
Localisation : France
Cloudflare, Inc.
Diffusion et protection du site
Localisation : États-Unis
Google Ireland Ltd.
Mesure d'audience (Google Analytics), si vous y consentez
Localisation : Irlande, avec transferts aux États-Unis
Anthropic PBC
Assistant conversationnel interne à notre outil d'exploitation
Localisation : États-Unis
Nayax Ltd.
Encaissement des paiements par carte sur nos machines
Localisation : Israël (décision d'adéquation de la Commission européenne)
Twilio Inc.
Acheminement des appels vers notre numéro de support et envoi de nos SMS
Localisation : Irlande, avec transferts aux États-Unis
Transferts hors Union européenne. Certains de ces prestataires sont établis aux États-Unis. Ces transferts sont encadrés soit par une décision d'adéquation de la Commission européenne, soit par les clauses contractuelles types adoptées par celle-ci. Vous pouvez nous demander une copie de ces garanties à l'adresse indiquée ci-dessus.
6. Vos droits
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :
- Accès : obtenir une copie des données que nous détenons sur vous
- Rectification : corriger des données inexactes ou incomplètes
- Effacement : demander la suppression de vos données
- Limitation : geler l'utilisation de vos données le temps d'une vérification
- Portabilité : recevoir vos données dans un format structuré et lisible
- Opposition : vous opposer à un traitement fondé sur notre intérêt légitime
- Retrait du consentement : à tout moment, sans effet sur ce qui a été fait avant
Écrivez-nous à [email protected]. Nous répondons dans un délai d'un mois. Nous pouvons vous demander un justificatif d'identité en cas de doute raisonnable sur l'auteur de la demande.
Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.
7. Sécurité
Le site est servi exclusivement en HTTPS. L'accès à nos outils d'exploitation est restreint, protégé par mot de passe haché, double authentification et journalisation des connexions. Les coordonnées bancaires communiquées pour un remboursement sont masquées dès le traitement de la demande et ne sont jamais transmises à un tiers autre que notre banque.
8. Décisions automatisées
Nous ne prenons aucune décision produisant des effets juridiques à votre égard sur le seul fondement d'un traitement automatisé, et nous ne pratiquons aucun profilage publicitaire.
9. Évolution de cette politique
Cette politique peut évoluer avec nos services. La date de dernière mise à jour figure ci-dessous. En cas de changement substantiel, nous vous en informerons sur ce site.
Dernière mise à jour : 12 octobre 2026.