Protection des données

Le responsable du traitement est GR2 SA, Chemin Falconnier 41, 1260 Nyon, Suisse — la société qui exploite Merka. Le droit suisse s’applique, et en particulier la loi fédérale sur la protection des données révisée, en vigueur depuis le 1ᵉʳ septembre 2023.

Pour toute question sur vos données, écrivez à contact@merka.ch ou à l’adresse ci-dessus. Si vous avez un compte, le formulaire de support va plus vite : nous y voyons déjà vos commandes. Aucun conseiller à la protection des données n’est désigné — la loi ne l’impose pas à une entreprise de cette taille, et c’est la direction qui répond.

Votre adresse e-mail, indispensable pour vous connecter et vous prévenir de ce qui concerne vos ventes et vos achats. Il n’y a pas de mot de passe : un code à six chiffres vous est envoyé, et nous n’en gardons qu’une empreinte, valable quinze minutes.

Votre pseudonyme, votre ville et votre langue, que vous choisissez. Avec votre photo, c’est tout ce que les autres membres voient de vous : votre nom, votre adresse et votre adresse e-mail ne leur sont jamais montrés. Y compris si vous vendez en professionnel — le site n’affiche aujourd’hui qu’une pastille « Pro », et l’identification complète qu’un vendeur commercial doit à ses acheteurs reste à mettre en place.

Votre photo de profil, si vous vous connectez par Google ou Facebook. Elle est alors recopiée sur nos serveurs plutôt qu’affichée depuis les leurs : sans cela, le fournisseur apprendrait l’adresse IP de chaque visiteur qui consulte une de vos annonces. Ses métadonnées sont retirées à la copie.

Vos annonces, vos commandes, vos messages, vos questions, vos offres et vos avis, qui sont la substance même du service. Une question posée sur une annonce n’est lue que par vous et par le vendeur ; un avis, lui, est public sous votre pseudonyme.

Les photos que vous déposez. Avant d’être stockées, elles sont redimensionnées et TOUTES leurs métadonnées sont retirées — dont les coordonnées GPS que votre téléphone y inscrit. En revanche, la photo envoyée à l’analyse automatique part telle que vous l’avez déposée, métadonnées comprises : c’est un écart connu, et il doit être corrigé.

L’adresse de livraison — nom, rue, complément, code postal, localité, pays, et le numéro de téléphone si vous le donnez. C’est la donnée la plus sensible du site. Le vendeur ne la voit que le temps d’expédier : dès la vente soldée, il n’y a plus accès. Vous pouvez enregistrer une adresse dans votre profil pour ne pas la retaper ; celle-là n’appartient qu’à vous.

Ce qui touche au paiement : le montant, l’état de la commande, l’identifiant du paiement chez notre prestataire, les frais retenus, et — pour un vendeur — le fait qu’un changement de coordonnées bancaires a eu lieu, jamais les coordonnées elles-mêmes. Aucun numéro de carte n’atteint nos serveurs.

Quelques traces techniques, et il faut les nommer : une ligne de session par connexion, un compteur d’appels par adresse IP pour arrêter les abus, une ligne par annonce consultée, par visiteur et par jour — pour un visiteur non connecté, ce n’est pas son adresse IP mais une empreinte irréversible de celle-ci et de son navigateur —, et un journal des appels au moteur d’analyse : votre identifiant, le modèle, le nombre de jetons, le coût estimé. Les durées sont plus bas.

Ce que la modération retient : quand un texte ou une photo déclenche un contrôle, le motif et l’extrait en cause sont consignés avec votre identifiant. Un signalement que vous déposez l’est aussi, avec ses photos, de même qu’une suspension de compte et son motif. Ce journal n’est pas consultable depuis le site — c’est ce qui le rend utile — mais vous pouvez nous en demander la copie.

Aucune donnée bancaire ne transite par nos serveurs : le paiement se fait dans un cadre isolé fourni par notre prestataire, et nous ne voyons jamais un numéro de carte.

Aucun traceur publicitaire, aucun outil de mesure d’audience, aucun bouton de réseau social. Nous ne savons pas d’où vous venez ni où vous allez ensuite.

Aucune donnée sensible au sens de la loi : ni origine, ni opinion, ni santé, ni religion, ni donnée biométrique. Nous ne demandons pas de pièce d’identité non plus — c’est notre prestataire de paiement qui vérifie l’identité d’un vendeur, chez lui.

Chacun de ces destinataires correspond à un appel que le code fait réellement. Il n’y en a pas d’autre.

Stripe, pour encaisser et verser. Un vendeur lui communique directement son identité et ses coordonnées bancaires, comme la loi l’exige de tout établissement qui verse de l’argent ; nous ne stockons pas ces informations. Pour un acheteur, nous transmettons le montant, l’identifiant de la commande et son adresse e-mail, qui sert au reçu. Le formulaire de carte est servi par Stripe et s’exécute dans votre navigateur : ils y voient votre adresse IP.

Mistral, pour analyser les photos d’annonces et, en secours, pour traduire. La photo part chez eux telle que vous l’avez déposée, et le texte de l’annonce quand la traduction leur revient. Votre nom, votre adresse et votre adresse e-mail ne leur sont jamais transmis.

Infomaniak, qui héberge le site, la base de données et les photos — en Suisse — et qui traduit les annonces dans les deux autres langues nationales. Une annonce traduite est une annonce lisible d’un bout à l’autre du pays ; c’est le texte de l’annonce qui part, rien d’autre.

swisstopo, quand vous tapez une adresse. Chaque saisie d’au moins trois caractères part au registre fédéral des bâtiments et logements pour vous proposer la bonne adresse, et l’adresse complète y repart une fois, pour vérifier qu’elle existe — une faute de frappe sur un code postal, et le colis d’un tiers se perd. C’est un service de la Confédération, hébergé en Suisse.

La Poste, pour l’acheminement du colis : l’adresse de livraison est communiquée au vendeur, qui l’imprime sur l’étiquette et la remet à la Poste. Nous interrogeons aussi son suivi avec le seul numéro du colis, à la main, depuis la console d’exploitation, quand un litige l’exige.

Open Library et MusicBrainz, quand vous scannez le code-barres d’un livre ou d’un disque pour remplir l’annonce d’un geste : seuls les treize chiffres du code partent, rien qui vous concerne.

Google, Facebook ou Apple, uniquement si vous choisissez de vous connecter par eux : ils nous rendent alors votre adresse e-mail vérifiée et, le cas échéant, votre photo. Une exception à signaler, parce qu’elle contredit le reste : la page de paiement charge une police de caractères depuis Google, à l’intérieur du cadre de Stripe. Google y voit votre adresse IP. C’est le seul appel de ce genre sur tout le site, et il doit disparaître.

Personne d’autre. Nous ne vendons ni ne louons aucune donnée, et nous n’en transmettons aucune à des fins publicitaires.

L’hébergement, la base de données, les photos et la traduction restent en Suisse. Deux traitements en sortent : Stripe, dont l’entité qui nous sert est irlandaise et le groupe américain, et Mistral, en France, qui reçoit les photos d’annonces. L’Irlande et la France figurent parmi les États dont le Conseil fédéral reconnaît la protection adéquate. Open Library et MusicBrainz sont américaines et ne reçoivent qu’un code-barres.

Votre compte et vos annonces restent tant que vous les gardez. Les commandes et les échanges qui s’y rapportent sont conservés au-delà, parce qu’ils font foi en cas de litige et parce que la comptabilité l’impose. Le détail, catégorie par catégorie :

Compteur d’appels par adresse IP — un jour, puis la ligne est effacée par le ménage automatique.

Lignes de consultation d’annonce — trente jours. Passé ce délai il ne reste qu’un total par annonce, qui ne dit plus qui a regardé.

Code de connexion — quinze minutes de validité, cinq essais au maximum.

Session — trente jours, ou jusqu’à votre déconnexion — qui l’efface immédiatement.

Compte, profil, annonces — tant que vous les gardez. Une annonce jamais vendue se supprime depuis « Mes annonces » ; ses photos partent au passage suivant de la purge du dépôt.

Commandes, paiements, journal des états, messages et adresse de livraison — au moins dix ans : le droit comptable l’impose (art. 958f CO) et ces pièces font foi en cas de contestation.

Journal de modération, signalements, suspensions — conservés tant qu’ils servent à apprécier un compte. Aucune purge automatique n’existe aujourd’hui.

Journal des appels au moteur d’analyse — conservé sans limite pour l’instant : il sert à suivre le coût, et aucune purge automatique n’existe.

Trois mécanismes fonctionnent sans intervention humaine, et vous devez le savoir. Un modèle lit vos photos pour rédiger l’annonce, proposer une catégorie et estimer le gabarit du colis : ce n’est qu’une proposition, vous corrigez tout avant de publier.

Un filtre de mots et la lecture de la photo peuvent refuser une publication ou la marquer pour relecture. Et en cas de litige, si le vendeur ne répond pas pendant trois jours, la plateforme peut trancher seule en faveur de l’acheteur — mais uniquement en dessous de cinquante francs, et jamais au-delà de deux remboursements automatiques pour le même acheteur : au troisième, un humain reprend le dossier.

Dans chacun de ces cas, écrivez-nous : une personne réexaminera la décision.

La base sépare les droits ligne par ligne : une requête faite en votre nom ne peut pas lire ce qui appartient à quelqu’un d’autre, même si le code se trompe. Les jetons de session et les codes de connexion ne sont stockés que sous forme d’empreinte — une fuite de la base ne permettrait de se connecter à aucun compte. Les photos perdent leurs métadonnées. L’accès à la console d’exploitation est limité à une liste d’adresses tenue hors de la base.

Vous pouvez consulter vos données, les corriger, les faire effacer, vous opposer à un traitement et en demander une copie. Le pseudonyme, la ville, la langue, la photo et l’adresse enregistrée se modifient depuis votre profil ; pour le reste, écrivez-nous — il n’y a pas encore de bouton, c’est fait à la main, et nous répondons dans les trente jours.

L’effacement d’un compte ne peut pas emporter celui des commandes conclues : elles engagent une autre personne que vous, les pièces d’une vente doivent rester disponibles en cas de contestation, et la comptabilité les retient dix ans. Ce qui subsiste est alors réduit à ce que ces obligations exigent.

Si vous résidez dans l’Union européenne — nous livrons en Allemagne, en France, en Italie et en Autriche —, le RGPD s’applique en plus à ce qui vous concerne : mêmes droits, avec la portabilité et la possibilité de saisir l’autorité de contrôle de votre pays.

En Suisse, vous pouvez vous adresser au Préposé fédéral à la protection des données et à la transparence, à Berne.