Politique de confidentialité
Dernière mise à jour : 19 septembre 2026Read in English
BUNBOX permet à un « créateur » de composer un cadeau numérique de 30 jours (photos, messages, devinettes, notifications) qu’un « destinataire » ouvre avec son prénom et un code. La présente politique explique quelles données nous traitons, pourquoi, et quels sont vos droits, conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
1. Responsable du traitement
Brice Loubeau (entreprise individuelle Monde Ouvert Vidéo), 36 rue Alexandre Ribot, 63000 Clermont-Ferrand, France. Contact : bunbox@mov-studio.com.
2. Données que nous traitons
| Catégorie | Données |
|---|---|
| Créateur (compte) | Adresse e-mail, identifiant de connexion (lien magique / Google), horodatage de connexion. |
| Contenu du cadeau | Prénom du destinataire, thème choisi, messages et devinettes sélectionnés ou rédigés, texte du cadeau final, photographies déposées. |
| Destinataire | Prénom, code d’accès, progression (réponses, points), fuseau horaire du cadeau. |
| Notifications | Abonnement push du navigateur/appareil (jeton technique), si vous les activez. |
| Paiement | Traité par Stripe lorsque vous payez depuis un navigateur, et par la caisse de Google Play lorsque vous payez dans l’application Android. Nous ne stockons aucune donnée de carte bancaire ; nous conservons un identifiant de transaction, le montant et la devise. |
| Techniques | Adresse IP, journaux de serveur (sécurité, prévention des abus), strictement nécessaires au fonctionnement. |
3. Finalités et bases légales
- Fournir le service (créer, payer, programmer et ouvrir un cadeau) — exécution du contrat (art. 6.1.b RGPD).
- Envoyer les notifications quotidiennes — votre consentement (art. 6.1.a), retirable à tout moment en désactivant les notifications.
- Sécurité, prévention de la fraude et des abus — intérêt légitime (art. 6.1.f).
- Facturation et obligations comptables — obligation légale (art. 6.1.c).
4. Photographies et personnes concernées (dont mineurs)
Les photographies déposées par un créateur peuvent représenter des personnes, y compris des mineurs. Le créateur agit sous sa propre responsabilité et garantit disposer du droit d’utiliser ces images et, s’agissant de mineurs, de l’autorisation de leurs représentants légaux. Les photos sont accessibles uniquement au destinataire disposant du bon prénom et du bon code, via des liens non devinables. Nous supprimons automatiquement les métadonnées des images (dont la géolocalisation GPS) au moment de l’envoi.
5. Destinataires et sous-traitants
Nous ne vendons ni ne louons vos données. Nous faisons appel à des sous-traitants agissant sur nos instructions :
| Prestataire | Rôle | Localisation |
|---|---|---|
| OVH SAS | Hébergement serveur et stockage des photos | Union européenne (France) |
| Stripe | Paiement en ligne sécurisé (depuis un navigateur) | UE / États-Unis (encadré, voir §6) |
| Google (Google Play Billing) | Paiement dans l’application Android — Google est le vendeur officiel de l’achat | UE (Irlande) / États-Unis (encadré, voir §6) |
| Resend | Envoi des e-mails (lien de connexion) | Encadré, voir §6 |
| Services de notification (Apple, Google, Mozilla…) | Acheminement des notifications push | Selon l’appareil |
Google fait exception à la phrase ci-dessus : pour un achat effectué dans l’application Android, Google Play est le vendeur officiel et traite les données de paiement pour son propre compte, et non sur nos instructions. Nous ne recevons de lui qu’un identifiant de commande, le montant et la devise facturés.
6. Transferts hors Union européenne
L’hébergement principal et les photos restent dans l’Union européenne. Certains prestataires (paiement, e-mail, push) peuvent impliquer un transfert hors UE ; celui-ci est encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne ou décision d’adéquation).
7. Durées de conservation
- Compte créateur : tant que le compte est actif, puis suppression sur demande.
- Cadeau et données du destinataire : pendant la durée de vie du cadeau (30 jours) puis une période raisonnable permettant de le rejouer, avant suppression.
- Photographies : supprimées avec le cadeau associé.
- Pièces comptables (factures) : 10 ans, conformément aux obligations légales.
- Journaux techniques : quelques mois maximum.
8. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives post-mortem. Pour les exercer, écrivez à bunbox@mov-studio.com. Vous pouvez aussi introduire une réclamation auprès de la CNIL (www.cnil.fr).
9. Cookies
BUNBOX n’utilise que des traceurs strictement nécessaires à son fonctionnement (jeton de session pour vous garder connecté). Aucun cookie publicitaire ou de mesure d’audience tierce n’est déposé sans votre consentement.
Si un outil de mesure ou un pixel publicitaire (ex. Meta) est ajouté ultérieurement, une bannière de consentement sera mise en place au préalable.
10. Modifications
Cette politique peut évoluer. La date de dernière mise à jour figure en haut de page.
Privacy Policy
Last updated: 19 September 2026Lire en français
This English version is a translation provided for convenience. If it differs from the French version, the French version prevails.
BUNBOX lets a “creator” compose a 30-day digital gift (photos, messages, riddles, notifications) that a “recipient” opens with their first name and a code. This policy explains what data we process, why, and what your rights are, in accordance with the General Data Protection Regulation (GDPR) and the French Data Protection Act (loi Informatique et Libertés).
1. Data controller
Brice Loubeau (sole trader, trading as Monde Ouvert Vidéo), 36 rue Alexandre Ribot, 63000 Clermont-Ferrand, France. Contact: bunbox@mov-studio.com.
2. Data we process
| Category | Data |
|---|---|
| Creator (account) | E-mail address, sign-in identifier (magic link / Google), sign-in timestamp. |
| Gift content | Recipient’s first name, chosen universe, messages and riddles selected or written, text of the final gift, uploaded photographs. |
| Recipient | First name, access code, progress (answers, points), time zone of the gift. |
| Notifications | Push subscription of the browser/device (technical token), if you turn them on. |
| Payment | Handled by Stripe when you pay from a web browser, and by Google Play’s checkout when you pay in the Android app. We store no bank card data; we keep a transaction identifier, the amount and the currency. |
| Technical | IP address, server logs (security, abuse prevention), strictly necessary for the service to work. |
3. Purposes and legal bases
- Providing the service (creating, paying for, scheduling and opening a gift) — performance of a contract (Art. 6(1)(b) GDPR).
- Sending the daily notifications — your consent (Art. 6(1)(a)), which you can withdraw at any time by turning notifications off.
- Security, fraud and abuse prevention — legitimate interest (Art. 6(1)(f)).
- Invoicing and accounting obligations — legal obligation (Art. 6(1)(c)).
4. Photographs and the people shown (including minors)
Photographs uploaded by a creator may show people, including minors. The creator acts under their own responsibility and warrants that they have the right to use these images and, where minors are concerned, the permission of their legal guardians. Photos can only be accessed by the recipient who has the right first name and the right code, through links that cannot be guessed. We automatically remove image metadata (including GPS location) when photos are uploaded.
5. Recipients and processors
We do not sell or rent your data. We use processors acting on our instructions:
| Provider | Role | Location |
|---|---|---|
| OVH SAS | Server hosting and photo storage | European Union (France) |
| Stripe | Secure online payment (from a web browser) | EU / United States (safeguarded, see §6) |
| Google (Google Play Billing) | Payment in the Android app — Google is the merchant of record for the purchase | EU (Ireland) / United States (safeguarded, see §6) |
| Resend | Sending e-mails (sign-in link) | Safeguarded, see §6 |
| Notification services (Apple, Google, Mozilla…) | Delivering push notifications | Depending on the device |
Google is an exception to the sentence above: for a purchase made in the Android app, Google Play is the merchant of record and processes payment data on its own behalf, not on our instructions. All we receive from Google is an order identifier and the amount and currency charged.
6. Transfers outside the European Union
Our main hosting and the photos stay in the European Union. Some providers (payment, e-mail, push) may involve a transfer outside the EU; any such transfer is covered by appropriate safeguards (European Commission standard contractual clauses or an adequacy decision).
7. Retention periods
- Creator account: for as long as the account is active, then deleted on request.
- Gift and recipient data: for the lifetime of the gift (30 days), then for a reasonable period so that it can be replayed, before deletion.
- Photographs: deleted together with the gift they belong to.
- Accounting records (invoices): 10 years, as required by law.
- Technical logs: a few months at most.
8. Your rights
You have the right of access, rectification, erasure, restriction, objection and portability, as well as the right to give instructions about what happens to your data after your death. To exercise these rights, write to bunbox@mov-studio.com. You can also lodge a complaint with the CNIL, the French data protection authority (www.cnil.fr).
9. Cookies
BUNBOX only uses trackers that are strictly necessary for it to work (a session token that keeps you signed in). No advertising or third-party audience-measurement cookie is set without your consent.
If an analytics tool or an advertising pixel (e.g. Meta) is added later, a consent banner will be put in place beforehand.
10. Changes
This policy may change. The date of the last update is shown at the top of the page.