Protection des données

Le responsable du traitement est GR2 SA, la société qui exploite Merka. Le droit suisse s’applique, et en particulier la loi fédérale sur la protection des données révisée, en vigueur depuis le 1ᵉʳ septembre 2023.

Pour toute question sur vos données, écrivez à contact@merka.ch. Si vous avez un compte, le formulaire de support va plus vite : nous y voyons déjà vos commandes. Aucun conseiller à la protection des données n’est désigné : la loi ne l’impose pas à une entreprise de cette taille, et c’est la direction qui répond.

Votre adresse e-mail, indispensable pour vous connecter et vous prévenir de ce qui concerne vos ventes et vos achats. Il n’y a pas de mot de passe : un code à six chiffres vous est envoyé, et nous n’en gardons qu’une empreinte, valable quinze minutes.

Votre numéro WhatsApp, si vous écrivez à notre robot. Le numéro Merka répond aux recherches par WhatsApp. Ce que nous gardons alors, c’est votre numéro, la langue de votre message et ce que vous lui confiez : une recherche que vous voulez suivre (« alerte poussette ») reste enregistrée jusqu’à ce que vous la retiriez, et une demande de contact est conservée avec votre message pour qu’une personne vous rappelle. Aucun compte Merka n’est requis.

Votre pseudonyme, votre ville et votre langue, que vous choisissez. Avec votre photo, c’est tout ce que les autres membres voient de vous. Pour un vendeur professionnel, la boutique affiche aussi la raison sociale et l’IDE ; votre adresse privée et votre adresse e-mail ne sont jamais montrées.

Votre photo de profil, si vous vous connectez par Google ou Facebook. Elle est alors recopiée sur nos serveurs plutôt qu’affichée depuis les leurs : sans cela, le fournisseur apprendrait l’adresse IP de chaque visiteur qui consulte une de vos annonces. Ses métadonnées sont retirées à la copie.

Vos annonces, vos commandes, vos messages, vos questions, vos offres et vos avis, qui sont la substance même du service. Une question posée sur une annonce n’est lue que par vous et par le vendeur ; un avis, lui, est public sous votre pseudonyme.

Les photos que vous déposez. Avant d’être stockées, elles sont redimensionnées et TOUTES leurs métadonnées sont retirées, dont les coordonnées GPS que votre téléphone y inscrit. La photo est également réencodée avant l’analyse automatique, afin que ses métadonnées ne partent pas vers le moteur.

L’adresse de livraison : nom, rue, complément, code postal, localité, pays, et le numéro de téléphone si vous le donnez. C’est la donnée la plus sensible du site. Le vendeur ne la voit que le temps d’expédier : dès la vente soldée, il n’y a plus accès. Vous pouvez enregistrer une adresse dans votre profil pour ne pas la retaper ; celle-là n’appartient qu’à vous.

Ce qui touche au paiement : le montant, l’état de la commande, l’identifiant du paiement chez notre prestataire, les frais retenus, et (pour un vendeur) le fait qu’un changement de coordonnées bancaires a eu lieu, jamais les coordonnées elles-mêmes. Aucun numéro de carte n’atteint nos serveurs.

Quelques traces techniques, et il faut les nommer : une ligne de session par connexion, un compteur d’appels par adresse IP pour arrêter les abus, une ligne par annonce consultée, par visiteur et par jour (pour un visiteur non connecté, ce n’est pas son adresse IP mais une empreinte irréversible de celle-ci et de son navigateur), et un journal des appels au moteur d’analyse : votre identifiant, le modèle, le nombre de jetons, le coût estimé. Les durées sont plus bas.

Ce que la modération retient : quand un texte ou une photo déclenche un contrôle, le motif et l’extrait en cause sont consignés avec votre identifiant. Un signalement que vous déposez l’est aussi, avec ses photos, de même qu’une suspension de compte et son motif. Ce journal n’est pas consultable depuis le site (c’est ce qui le rend utile), mais vous pouvez nous en demander la copie.

Aucune donnée bancaire ne transite par nos serveurs : le paiement se fait dans un cadre isolé fourni par notre prestataire, et nous ne voyons jamais un numéro de carte.

Aucun traceur publicitaire, aucun outil de mesure d’audience, aucun bouton de réseau social. Nous ne savons pas d’où vous venez ni où vous allez ensuite.

Aucune donnée sensible au sens de la loi : ni origine, ni opinion, ni santé, ni religion, ni donnée biométrique. Nous ne demandons pas de pièce d’identité non plus : c’est notre prestataire de paiement qui vérifie l’identité d’un vendeur, chez lui.

Chacun de ces destinataires correspond à un appel que le code fait réellement. Il n’y en a pas d’autre.

Stripe, pour encaisser et verser. Un vendeur lui communique directement son identité et ses coordonnées bancaires, comme la loi l’exige de tout établissement qui verse de l’argent ; nous ne stockons pas ces informations. Pour un acheteur, nous transmettons le montant, l’identifiant de la commande et son adresse e-mail, qui sert au reçu. Le formulaire de carte est servi par Stripe et s’exécute dans votre navigateur : ils y voient votre adresse IP.

Mistral, pour analyser les photos d’annonces et, en secours, pour traduire. La photo réencodée part chez eux sans métadonnées, et le texte de l’annonce quand la traduction leur revient. Votre nom, votre adresse et votre adresse e-mail ne leur sont jamais transmis.

Infomaniak, qui héberge le site, la base de données et les photos (en Suisse) et qui traduit les annonces dans les deux autres langues nationales. Une annonce traduite est une annonce lisible d’un bout à l’autre du pays ; c’est le texte de l’annonce qui part, rien d’autre.

swisstopo, quand vous tapez une adresse. Chaque saisie d’au moins trois caractères part au registre fédéral des bâtiments et logements pour vous proposer la bonne adresse, et l’adresse complète y repart une fois, pour vérifier qu’elle existe : une faute de frappe sur un code postal, et le colis d’un tiers se perd. C’est un service de la Confédération, hébergé en Suisse.

La Poste, pour l’acheminement du colis : à chaque vente payée, nous transmettons à son interface l’adresse de livraison et celle du vendeur pour produire l’étiquette que le vendeur imprime et remet avec le colis. Nous interrogeons aussi son suivi, automatiquement et plusieurs fois par jour, avec le seul numéro du colis : c’est la livraison constatée qui fait courir le délai de contestation, puis partir le versement. Un retour en litige est suivi de la même façon.

Open Library, MusicBrainz et la Bibliothèque nationale de France, quand vous scannez le code-barres d’un livre ou d’un disque pour remplir l’annonce d’un geste : seuls les treize chiffres du code partent, rien qui vous concerne. Le catalogue de la BnF est interrogé pour les livres que les autres ne connaissent pas.

Google, Facebook ou Apple, uniquement si vous choisissez de vous connecter par eux : ils nous rendent alors votre adresse e-mail vérifiée et, le cas échéant, votre photo. La page de paiement charge désormais la police depuis nos propres serveurs, y compris dans le cadre Stripe.

Meta Platforms (WhatsApp Business), pour tout ce qui passe par WhatsApp : vos messages au robot et ses réponses, les alertes que nous vous envoyons, et le fil d’activité que nous adressons à notre propre administrateur, qui mentionne l’adresse e-mail de chaque nouvel inscrit, le titre et le prix d’une annonce publiée ou payée, et le numéro de qui demande à être rappelé. Meta voit donc ces numéros et ces contenus ; c’est une société américaine.

Le service de notification de votre navigateur (Google, Apple ou Mozilla selon l’appareil), uniquement si vous activez les notifications : nous lui remettons une adresse d’abonnement qu’il nous a donnée et un message chiffré pour votre appareil, qu’il ne peut pas lire. Trois événements seulement en déclenchent une : une offre, une question, une vente.

Twilio, prévu dans le code pour un SMS « objet vendu » au vendeur qui a donné un numéro de mobile, mais pas branché à ce jour : tant qu’il ne l’est pas, aucun SMS ne part et rien ne lui est transmis.

Personne d’autre. Nous ne vendons ni ne louons aucune donnée, et nous n’en transmettons aucune à des fins publicitaires.

L’hébergement, la base de données, les photos et la traduction restent en Suisse. En sortent : Stripe, dont l’entité qui nous sert est irlandaise et le groupe américain ; Mistral, en France, qui reçoit les photos d’annonces ; la Bibliothèque nationale de France, qui ne reçoit qu’un code-barres, comme Open Library et MusicBrainz, américaines ; Meta Platforms, américaine, par laquelle passe tout ce qui transite sur WhatsApp ; et le service de notification de votre navigateur (Google, Apple ou Mozilla, américaines), qui ne reçoit qu’un message chiffré. L’Irlande et la France figurent parmi les États dont le Conseil fédéral reconnaît la protection adéquate.

Votre compte et vos annonces restent tant que vous les gardez. Les commandes et les échanges qui s’y rapportent sont conservés au-delà, parce qu’ils font foi en cas de litige et parce que la comptabilité l’impose. Le détail, catégorie par catégorie :

Trois mécanismes fonctionnent sans intervention humaine, et vous devez le savoir. Un modèle lit vos photos pour rédiger l’annonce, proposer une catégorie et estimer le gabarit du colis : ce n’est qu’une proposition, vous corrigez tout avant de publier.

Un filtre de mots et la lecture de la photo peuvent refuser une publication ou la marquer pour relecture. Et en cas de litige, aucune décision n’est automatique : une personne examine chaque dossier et décide.

Dans chacun de ces cas, écrivez-nous : une personne réexaminera la décision.

La base sépare les droits ligne par ligne : une requête faite en votre nom ne peut pas lire ce qui appartient à quelqu’un d’autre, même si le code se trompe. Les jetons de session et les codes de connexion ne sont stockés que sous forme d’empreinte : une fuite de la base ne permettrait de se connecter à aucun compte. Les photos perdent leurs métadonnées. L’accès à la console d’exploitation est limité à une liste d’adresses tenue hors de la base.

Vous pouvez consulter vos données, les corriger, les faire effacer, vous opposer à un traitement et en demander une copie. Le pseudonyme, la ville, la langue, la photo et l’adresse enregistrée se modifient depuis votre profil ; pour le reste, écrivez-nous : il n’y a pas encore de bouton, c’est fait à la main, et nous répondons dans les trente jours.

L’effacement d’un compte ne peut pas emporter celui des commandes conclues : elles engagent une autre personne que vous, les pièces d’une vente doivent rester disponibles en cas de contestation, et la comptabilité les retient dix ans. Ce qui subsiste est alors réduit à ce que ces obligations exigent.

Si vous résidez dans l’Union européenne, le RGPD s’applique en plus à ce qui vous concerne : mêmes droits, avec la portabilité et la possibilité de saisir l’autorité de contrôle de votre pays.

En Suisse, vous pouvez vous adresser au Préposé fédéral à la protection des données et à la transparence, à Berne.