Informations légales
Politique de confidentialité
Dernière mise à jour : 15 octobre 2026
1. Responsable du traitement
Le responsable du traitement des données personnelles est :
NOVACO
Entrepreneur individuel
19 rue de la petite Maine, 85250 La Rabatelière
SIREN : 949 831 846
Email : contact@costumeo.fr
NOVACO n'a pas désigné de Délégué à la Protection des Données (DPO) au sens de l'article 37 du RGPD, cette désignation n'étant pas obligatoire au regard de la nature et du volume des traitements. Pour toute question relative à vos données personnelles, vous pouvez contacter : contact@costumeo.fr.
2. Données collectées
Costuméo est une plateforme de mise en relation pour la location de costumes, décors, matériel et accessoires entre associations et structures équivalentes. Nous sommes susceptibles de collecter les catégories de données suivantes :
- Compte Organisation et Représentants : dénomination de la structure, adresse (siège ou lieu d'activité), numéro SIREN, RNA ou autres identifiants si vous les renseignez ; coordonnées des personnes habilitées (nom, prénom, email, fonction éventuelle) ; mot de passe (stocké sous forme dérivée / hashée).
- Catalogue et annonces : textes, images, tarifs, disponibilités et toute information publiée pour décrire les articles proposés (costumes, décors, matériel, accessoires) ou les conditions de mise à disposition.
- Demandes de location et messagerie : nom, prénom, adresse email, téléphone, commune, structure ou association éventuelle, jours de retrait et de retour, articles demandés et message. Ces données sont transmises à la structure à laquelle vous adressez la demande, y compris par email, pour qu’elle puisse la traiter et vous répondre directement.
- Formulaire de contact : nom, prénom, email, sujet et message.
- Abonnement payant : identifiant client Stripe, historique et statut d'abonnement (les données bancaires sont traitées exclusivement par Stripe — voir section 5).
- Données techniques : journaux (adresse IP, type de navigateur, horodatage, pages consultées) pour la sécurité, la maintenance et la preuve en cas d'incident.
- Suivi des erreurs (Sentry) : description technique des erreurs et des lenteurs rencontrées (adresse de la page, navigateur, système, journaux du serveur) et, uniquement pour les sessions où une erreur survient, un enregistrement de la navigation dont les textes sont masqués et les images bloquées (voir sections 5 et 6).
- Mesure d'audience : données anonymisées collectées par Umami (voir section 7).
- Publicité en ligne (Google Ads), uniquement si vous l’acceptez : identifiants de campagne, pages consultées, interactions avec le site (clics, parcours), données techniques (navigateur, appareil) transmises à Google dans le cadre du suivi des campagnes publicitaires (voir sections 5, 6 et 7).
3. Finalités et bases légales
Les données sont traitées pour :
- Création et gestion des comptes, authentification et administration de la plateforme (exécution du contrat / mesures précontractuelles).
- Mise en relation entre Organisations pour la location de costumes, décors, matériel et accessoires, affichage du catalogue et suivi des demandes (exécution du contrat).
- Gestion des abonnements, encaissements et facturation (exécution du contrat ; obligations comptables et fiscales le cas échéant).
- Réponse aux messages envoyés via le site (intérêt légitime ou exécution de mesures précontractuelles / consentement selon le canal).
- Sécurité du service, lutte contre la fraude et respect de nos obligations légales (intérêt légitime et obligation légale).
- Détection et correction des erreurs et des lenteurs du site avec Sentry (intérêt légitime : assurer le bon fonctionnement du service).
- Mesure d'audience anonymisée via Umami (intérêt légitime — aucune donnée personnelle identifiante n'est collectée).
- Mesure de l’efficacité des campagnes publicitaires Google Ads, attribution des conversions et affichage de nos publicités sur d’autres sites (consentement, recueilli par la bannière de cookies — voir section 7).
Lorsque la base légale est le consentement, vous pouvez le retirer à tout moment sans remettre en cause la licéité du traitement antérieur.
4. Durée de conservation
Les durées de conservation sont les suivantes :
- Structure et comptes (identité, email, mot de passe hashé) : conservés tant que la structure existe. Le propriétaire de la structure peut la supprimer depuis son espace ; la suppression est refusée tant qu’il reste des demandes en attente ou des locations à venir. Elle efface alors immédiatement et définitivement la structure, ses articles et leurs photos, l’historique de ses demandes et locations, ses contrats et les fichiers associés, ainsi que les comptes de ses membres qui n’appartiennent à aucune autre structure. Un abonnement Premium en cours est résilié immédiatement, sans remboursement de la période restante. Une demande de suppression envoyée par email est traitée dans un délai de 30 jours.
- Données de facturation et d’abonnement : conservées pendant la durée du contrat, puis archivées pendant 10 ans conformément aux obligations comptables et fiscales (art. L. 123-22 du Code de commerce), y compris après la suppression de la structure.
- Demandes de location, locations et contrats : conservés tant que la structure qui propose les articles existe, puis supprimés avec elle, y compris pour les structures et particuliers qui les avaient envoyés. Les demandes qu’une structure supprimée avait envoyées à d’autres structures restent dans l’historique de ces dernières.
- Formulaire de contact : conservés le temps nécessaire au traitement de la demande, puis 12 mois maximum.
- Journaux techniques (logs, adresses IP) : conservés 12 mois maximum.
- Données de mesure d’audience (Umami) : anonymisées dès la collecte, conservées 25 mois au maximum (aucune donnée personnelle identifiante).
- Données de suivi des erreurs (Sentry) : conservées 90 jours au maximum.
- Votre choix sur les cookies publicitaires : accord comme refus, conservé 6 mois dans votre navigateur ; la question vous est ensuite reposée.
- Données liées à Google Ads : durées définies par Google (voir la politique de confidentialité Google). En pratique, les cookies publicitaires ont une durée limitée (souvent 90 jours pour la conversion, variable selon le traceur).
5. Destinataires et sous-traitants
Les données sont accessibles aux personnes autorisées au sein de Costuméo et, selon les besoins du service, aux sous-traitants suivants, liés par des clauses de confidentialité et de protection des données conformes au RGPD :
- Hostinger International Ltd. (Chypre / Lituanie) — hébergement du site et de l'application.
- Supabase, Inc. (États-Unis, région UE) — stockage des images et fichiers téléversés. Données hébergées dans la région UE (Francfort).
- Stripe, Inc. / Stripe Payments Europe, Ltd. (États-Unis / Irlande) — traitement des paiements et gestion des abonnements. Les données bancaires sont traitées exclusivement par Stripe et ne transitent pas par nos serveurs.
- Resend, Inc. (États-Unis) — envoi d'emails transactionnels (confirmation de compte, notifications de location, etc.).
- Functional Software, Inc. (Sentry) (États-Unis, données hébergées dans l’UE à Francfort) — détection des erreurs et des lenteurs du site et du serveur. Les données envoyées par votre navigateur transitent d’abord par notre propre domaine (adresse
/monitoring) avant d’être transmises à Sentry. L’enregistrement de la navigation n’est réalisé que pour les sessions où une erreur survient, avec les textes masqués et les images bloquées. - Google Ireland Limited / Google LLC (Irlande / États-Unis) — balise Google Ads (gtag.js) pour mesurer les performances des campagnes publicitaires et les conversions sur le site, uniquement si vous avez accepté les cookies publicitaires (voir section 7).
Les informations que vous publiez sur la plateforme (fiches catalogue, messages visibles par d'autres utilisateurs) sont communiquées aux utilisateurs concernés dans le cadre du service ; veillez à ne pas y inclure de données personnelles inutiles ou sensibles.
6. Transferts hors UE
Certains sous-traitants sont établis aux États-Unis. Les transferts de données hors de l'Union européenne sont encadrés par :
- Stripe : Stripe Payments Europe, Ltd. (Irlande) agit comme responsable conjoint pour les paiements en Europe. Les transferts vers Stripe, Inc. (US) sont couverts par le EU-US Data Privacy Framework (DPF) et les clauses contractuelles types (CCT) de la Commission européenne.
- Supabase : les données sont hébergées dans la région UE (Francfort). En cas de transfert vers les États-Unis pour le support technique, les CCT de la Commission européenne s'appliquent.
- Resend : les transferts sont encadrés par les CCT de la Commission européenne et le Data Processing Agreement de Resend.
- Sentry : les données sont stockées dans la région UE de Sentry (Francfort). Certaines données d’administration du compte et les échanges avec le support de Sentry peuvent être traités aux États-Unis ; ces transferts sont couverts par le EU-US Data Privacy Framework et, à défaut, par les clauses contractuelles types de la Commission européenne.
- Google : Google Ireland Limited est le responsable de traitement pour les services publicitaires en Europe. Les données peuvent être transférées vers Google LLC (États-Unis) dans le cadre du EU-US Data Privacy Framework et/ou des clauses contractuelles types de la Commission européenne.
8. Vos droits (RGPD)
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Droit d'accès (art. 15) : obtenir la confirmation du traitement de vos données et en recevoir une copie.
- Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes.
- Droit à l'effacement (art. 17) : demander la suppression de vos données, sous réserve des obligations légales de conservation.
- Droit à la limitation (art. 18) : restreindre le traitement dans certains cas.
- Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et lisible par machine.
- Droit d'opposition (art. 21) : vous opposer au traitement fondé sur l'intérêt légitime.
Pour exercer ces droits, contactez-nous à : contact@costumeo.fr. Nous répondrons dans un délai d'un mois (prolongeable de deux mois en cas de demande complexe, conformément à l'art. 12 du RGPD).
Vous avez également le droit d'introduire une réclamation auprès de la CNIL : www.cnil.fr.
Lorsque des données sont traitées pour le compte d'une Organisation, les demandes peuvent devoir être effectuées par un représentant habilité ou coordonnées avec celle-ci, conformément au droit applicable et à l'organisation interne du compte.
9. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées (contrôle des accès, protection des mots de passe par hashage, chiffrement en transit via HTTPS, sauvegardes, limitation des tentatives de connexion, etc.) pour protéger les données contre l'accès non autorisé, la perte ou l'altération.
10. Contact
Pour toute question sur cette politique ou sur vos données : contact@costumeo.fr. Voir aussi nos Mentions légales et notre page Contact.
Version du document : 15 octobre 2026