Politique de confidentialité

Version 1.0 · en vigueur au 7 août 2026

Ce que nous collectons, pourquoi, où c’est hébergé, combien de temps nous le gardons, et comment tout faire effacer. Nous ne vendons pas vos données.

1. Qui nous sommes (responsable de traitement)

Le responsable de traitement est Caribbein SAS (en formation), société par actions simplifiée dont le siège est situé adresse à compléter, 97150 Saint-Martin, France SIREN à compléter à l’immatriculation. Contact : welcome@caribbein.fr.

Le responsable de traitement étant établi sur la partie française de Saint-Martin (une collectivité française), le Règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés s’appliquent, et la CNIL est notre autorité de contrôle chef de file. Nous appliquons un standard équivalent au RGPD comme socle minimal sur chaque île où nous opérons, même lorsque le droit local est moins exigeant.

Délégué à la protection des données (DPD/DPO) : non encore désigné. Un DPD sera désigné avant l’ouverture générale du service. Dans l’intervalle, toute demande relative aux données doit être adressée à welcome@caribbein.fr.

2. Quelles données nous collectons

2.1 Sur ce site aujourd’hui

Les formulaires de ce site (inscription à la bêta, financement participatif, demande de dossier investisseur) collectent uniquement :

• Adresse e-mail (obligatoire) et nom (facultatif) ;
• numéro de téléphone (facultatif) — utilisé uniquement pour vous envoyer un code d’accès à l’application, la connexion se faisant par numéro ;
• profil déclaré : résident / visiteur / prestataire, île, type d’activité, canal par lequel vous nous avez connus, et pour les investisseurs la fourchette de ticket et un message libre ;
• contexte technique minimal : langue de la page, page de provenance (referrer), et l’enregistrement de votre consentement avec sa date.

Consulter le site sans remplir de formulaire ne déclenche aucune collecte de notre part sans votre accord : la mesure d’audience (Google Analytics, Microsoft Clarity) et la mesure publicitaire (Google Ads, Meta, TikTok) ne s’activent que si vous les acceptez via le bandeau de consentement (voir §8).

2.2 Sur la plateforme Caribbein

Selon la manière dont vous utilisez la plateforme, nous pouvons traiter :

• Identité et coordonnées — nom, e-mail, téléphone, adresse postale, date de naissance.
• Compte et authentification — identifiants, codes de vérification à usage unique (SMS ou e-mail), données d’appareil et de session.
• Données de réservation — services consultés et réservés, messages échangés avec les prestataires, historique.
• Données de paiement — traitées par nos prestataires de paiement ; nous recevons le statut et les références de la transaction (p. ex. les 4 derniers chiffres). Nous ne stockons jamais les numéros de carte complets. Les coordonnées bancaires / IBAN de prestataires peuvent être stockés aux fins de versement.
• Localisation — approximative ou précise lorsque vous l’activez. Désactivable dans les réglages de votre appareil.
• Contenu — profil, photos, avis et évaluations, et tout ce que vous publiez.
• Données techniques — adresse IP (p. ex. capturée avec un enregistrement de consentement), type d’application ou de navigateur, stockage fonctionnel (§8).
• Jetons de notification push — si vous les acceptez.
• Vérification / KYC prestataires — documents d’entreprise, identité, numéros fiscaux ou d’immatriculation, lorsque nécessaire pour opérer ou respecter les règles de lutte anti-blanchiment.

Données sensibles. Certaines verticales peuvent impliquer des données plus sensibles (p. ex. notes alimentaires ou médicales pour la restauration et le bien-être). Lorsque nous traitons de telles données, nous le faisons uniquement sur une base légale appropriée — en principe votre consentement explicite — et avec des garanties renforcées.

Garde-fou interne. Les systèmes automatisés et les assistants IA n’opèrent que sur des vues expurgées des données personnelles ; l’accès aux données complètes n’est possible que par une procédure « bris de glace » journalisée et limitée dans le temps. Nous n’envoyons pas de données personnelles à des fournisseurs d’IA externes à des fins d’analyse.

3. Données des mineurs

• Coffre des mineurs séparé, hébergé dans l’UE. Les données identifiantes des enfants seront conservées dans une base séparée, hébergée dans l’Union européenne, isolée de la place de marché grand public.
• Cloisonnement des finalités. Ces données servent uniquement à fournir le service d’éducation ou de sport. Elles ne sont jamais utilisées à des fins de marketing, de publicité ou de profilage.
• Pseudonymisation. L’application grand public ne voit qu’un jeton opaque, jamais l’identité légale d’un enfant.
• Mise en relation contrôlée par le représentant légal — via un code de revendication à usage unique et expirant, remis physiquement par l’école ou le club, jamais auto-déclaré. Les liens sont révocables.
• Âge. L’âge minimum pour détenir un compte Caribbein est de 16 ans. Les 16–17 ans ne peuvent utiliser la plateforme qu’au travers d’un compte lié à un parent ou représentant légal.
• AIPD. Une analyse d’impact relative à la protection des données sera réalisée avant tout traitement de données de mineurs.

4. Pourquoi nous traitons vos données et sur quelle base légale

Nous ne vendons pas votre identité. Lorsque nous monétisons de la donnée, celle-ci est agrégée et anonymisée de sorte qu’elle ne vous identifie pas.

5. Qui a accès à vos données (destinataires et sous-traitants)

Nous ne partageons des données que dans la mesure nécessaire au fonctionnement du service :

• les prestataires auprès desquels vous réservez, pour les seules données nécessaires à l’exécution de votre réservation ;
• les sous-traitants techniques agissant sur nos instructions (tableau ci-dessous) ;
• les autorités, lorsque la loi l’exige.

Nous ne vendons jamais vos données personnelles à des tiers. Les outils de mesure d’audience et de mesure publicitaire listés ci-dessus ne s’exécutent qu’avec votre consentement (voir §8). Un registre public des sous-traitants et l’état des contrats de sous-traitance (DPA) restent à publier.

6. Hébergement des données et transferts internationaux

Les transferts hors de l’Espace économique européen sont encadrés par des garanties appropriées au sens du chapitre V du RGPD — clauses contractuelles types de la Commission européenne et, le cas échéant, le cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework). Vérification de l’adhésion au DPF de chaque sous-traitant et signature des CCT à finaliser.

7. Combien de temps nous conservons vos données

Un calendrier de conservation complet, catégorie par catégorie, reste à arrêter avec le DPD.

8. Cookies et stockage local

Mesure d’audience et mesure publicitaire — uniquement avec votre consentement. À votre première visite, un bandeau vous propose deux choix indépendants. Vous pouvez tout refuser en un clic (Tout refuser) ou régler chaque choix (Choisir) :

• Mesure d’audience : Google Analytics 4, chargé via Google Tag Manager (Google Ireland Ltd, avec transferts vers Google LLC aux États-Unis), et Microsoft Clarity (Microsoft Ireland Operations Ltd) : pages visitées, parcours, cartes de chaleur, relecture de sessions (les saisies sensibles y sont masquées). Cookies concernés en cas d’accord : _ga, _ga_<identifiant>, _clck, _clsk (et cookies techniques associés). Les données Google Analytics sont conservées 14 mois.
• Mesure publicitaire : balises Google Ads, Meta (Facebook / Instagram) et TikTok, que nous n’activons que lorsque nous diffusons une campagne sur la plateforme concernée, afin de savoir quelles publicités mènent à une inscription ou à une réservation. Cookies possibles : _gcl_au, _gcl_aw, _fbp, _ttp. Nous ne revendons pas ces données.

Rien de tout cela ne se charge avant votre choix. Si vous refusez ou ignorez le bandeau, aucun cookie de mesure ni publicitaire n’est déposé ; le signal Global Privacy Control de votre navigateur est traité comme un refus. Pour mémoriser votre choix et, avec votre accord uniquement, l’origine de votre visite (paramètres utm_* et identifiants de clic Google, Meta et TikTok, que nous rattachons à une demande ou une inscription), nous utilisons notre propre stockage local (clés cbn-consent-v2 et cbn-attr), ainsi que deux cookies de première partie posés sur caribbein.fr pour que votre choix et l’origine de votre visite valent aussi sur app.caribbein.fr : cbn_cv2 (votre choix, 12 mois, 6 mois en cas de refus ; exempté de consentement car il ne sert qu’à mémoriser ce choix) et cbn_attr (origine de la visite, 90 jours, uniquement avec votre accord). Votre choix est conservé 12 mois (6 mois en cas de refus), puis la question est reposée. Vous pouvez le modifier ou le retirer à tout moment : modifier mes choix cookies. Validation juridique de cette section à obtenir avant toute campagne publicitaire.

Nous utilisons par ailleurs du stockage local strictement nécessaire (localStorage, première partie), qui ne quitte jamais votre navigateur :

Vous pouvez effacer ces éléments à tout moment en vidant les données de site de votre navigateur. Conformément aux lignes directrices de la CNIL, tout outil non strictement nécessaire reste derrière ce consentement préalable ; refuser ne restreint aucune fonctionnalité du site.

9. Vos droits

En vertu du RGPD, vous disposez du droit d’accès à vos données, de rectification, d’effacement, de limitation, d’opposition, de portabilité, et de retirer votre consentement à tout moment (sans incidence sur les traitements antérieurs). Vous pouvez également définir des directives sur le sort de vos données après votre décès.

Pour exercer ces droits, écrivez à welcome@caribbein.fr. Nous répondons dans un délai d’un mois (prolongeable pour les demandes complexes). Nous traitons aujourd’hui ces demandes manuellement ; un parcours en libre-service sera ajouté à l’application.

Vous avez également le droit d’introduire une réclamation auprès de la CNIL (www.cnil.fr) ou de l’autorité de contrôle de votre pays de résidence.

10. Comment nous protégeons vos données

Nous mettons en œuvre des mesures techniques et organisationnelles : contrôles d’accès, chiffrement en transit (HTTPS obligatoire), sécurité au niveau des lignes de la base de données, vues expurgées pour les systèmes automatisés, accès « bris de glace » journalisé pour les données complètes, et journalisation d’audit. Aucun système n’est parfaitement sûr ; nous nous efforçons de limiter les incidents et d’y répondre, et nous vous notifierons, ainsi que la CNIL, toute violation de données à caractère personnel lorsque la loi l’exige.

11. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique. Nous publierons la nouvelle version avec sa date et, pour les modifications substantielles, vous en informerons via la plateforme ou par e-mail.

12. Contact

Questions ou demandes relatives à la confidentialité : welcome@caribbein.fr — Caribbein SAS (en formation), 97150 Saint-Martin, France. Voir aussi les mentions légales.