Légal
Politique de confidentialité
Dernière mise à jour : 5 août 2026
En une phrase : nous collectons le minimum nécessaire pour vous livrer une box et adapter les aventures à vos enfants, nous ne revendons rien à personne, et vos données bancaires ne passent jamais par nos serveurs.
1. Responsable de traitement
Ma Box Aventure SAS, 1 rue de la Forêt, 95270 Luzarches, France, SIRET 000 000 000 00000. Contact pour toute question relative aux données : privacy@maboxaventure.fr.
2. Données collectées et finalités
| Données | Finalité | Base légale | Conservation |
|---|---|---|---|
| E-mail, mot de passe (haché) | Création et sécurisation du compte | Exécution du contrat | Durée du compte + 1 an |
| Prénom, nom, adresse postale | Livraison des box, facturation | Exécution du contrat | Durée du compte + 1 an |
| Nombre d'enfants, tranche d'âge | Adaptation du niveau des aventures | Exécution du contrat | Durée du compte |
| Code postal | Proposition de lieux d'aventure proches | Exécution du contrat | Durée du compte |
| Identifiant client Stripe, historique des paiements | Gestion des abonnements, comptabilité | Obligation légale | 10 ans (Code de commerce) |
| Progression dans les aventures | Suivi personnel, diplôme annuel | Exécution du contrat | Durée du compte |
| Adresse e-mail (newsletter) | Envoi de l'idée de sortie mensuelle | Consentement | Jusqu'au retrait du consentement |
| Messages envoyés via le formulaire | Réponse au service client | Intérêt légitime | 3 ans après le dernier contact |
| Jetons de réinitialisation de mot de passe | Sécuriser la récupération de compte | Exécution du contrat | 1 heure, puis purge sous 7 jours |
| Journal des e-mails envoyés (destinataire, type, date) | Preuve d'envoi des messages obligatoires, dépannage | Obligation légale / intérêt légitime | 3 ans |
| Cookie de session | Maintien de la connexion | Nécessaire au service | 30 jours |
3. Données concernant les enfants
Nous ne collectons aucune donnée nominative concernant les enfants : ni prénom, ni date de naissance, ni photo. Seuls le nombre d'enfants et une indication d'âge, saisis librement par le parent titulaire du compte, sont enregistrés, à seule fin d'adapter la difficulté des contenus. Ces champs sont facultatifs et peuvent être vidés à tout moment depuis l'espace personnel.
Les prénoms des enfants inscrits sur les carnets de mission le sont par vos soins, à la main : ils ne nous sont jamais transmis.
4. Données bancaires
Les paiements sont traités par Stripe Payments Europe, Ltd. Le numéro de carte, la date d'expiration et le cryptogramme sont saisis sur l'interface de Stripe et ne transitent jamais par nos serveurs. Nous ne conservons qu'un identifiant client et un identifiant d'abonnement Stripe, ainsi que le montant, la date et le statut des transactions. Stripe est certifié PCI-DSS niveau 1.
5. Destinataires des données
Vos données sont accessibles aux personnels habilités de Ma Box Aventure SAS et à nos sous-traitants, strictement dans la limite de leur mission :
- Stripe Payments Europe Ltd (Irlande) — traitement des paiements ;
- IONOS SARL, 7 place de la Gare, BP 70109, 57200 Sarreguemines Cedex, France — hébergement des serveurs et de la base de données (Union européenne) ;
- Transporteurs (La Poste, Colissimo, points relais) — nom et adresse de livraison uniquement ;
- Prestataire d'envoi d'e-mails — adresse e-mail, pour les messages transactionnels et la newsletter.
Nous ne vendons, ne louons ni n'échangeons aucune donnée personnelle avec des tiers à des fins commerciales ou publicitaires.
6. Transferts hors Union européenne
Les données sont hébergées dans l'Union européenne. Si un sous-traitant devait réaliser un transfert hors UE, celui-ci serait encadré par les clauses contractuelles types de la Commission européenne et par des mesures supplémentaires appropriées.
7. Vos droits
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :
- Accès (art. 15) : obtenir une copie de vos données ;
- Rectification (art. 16) : corriger des données inexactes — directement depuis votre espace ;
- Effacement (art. 17) : supprimer votre compte, en un clic depuis « Mon profil » ;
- Limitation (art. 18) et opposition (art. 21) ;
- Portabilité (art. 20) : recevoir vos données dans un format structuré ;
- Retrait du consentement à tout moment pour la newsletter ;
- Directives post-mortem relatives au sort de vos données.
Pour exercer ces droits : privacy@maboxaventure.fr. Nous répondons sous un mois. Une pièce d'identité peut être demandée en cas de doute raisonnable sur votre identité.
Vous pouvez également introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
8. Sécurité
Mesures mises en œuvre : chiffrement des communications (HTTPS/TLS), hachage des mots de passe avec bcrypt
(aucun mot de passe n'est stocké en clair et nous ne pouvons pas les lire), cookies de session
HttpOnly et SameSite, protection contre les attaques CSRF sur tous les formulaires,
accès à la base restreint et journalisé, sauvegardes régulières.
Pour la réinitialisation de mot de passe : seul le haché du jeton est conservé (un accès à notre base ne permettrait pas de fabriquer un lien valide), le lien expire au bout d'une heure et ne fonctionne qu'une seule fois, le nombre de demandes est limité, et toute modification de mot de passe déconnecte l'ensemble des appareils et déclenche un e-mail d'alerte.
En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, vous serez informé dans les meilleurs délais, conformément à l'article 34 du RGPD.
9. Suppression de votre compte
La suppression depuis « Mon profil » efface immédiatement et définitivement votre compte, votre progression et vos données de profil. Les factures et pièces comptables déjà émises sont conservées 10 ans, comme l'exige l'article L. 123-22 du Code de commerce — cette obligation légale prime sur le droit à l'effacement.
10. Modifications
Cette politique peut évoluer. En cas de changement substantiel, vous serez informé par e-mail au moins 30 jours avant son entrée en vigueur.