Politique de confidentialité

Jon&Coo (« nous » ou « la Société ») respecte la vie privée des utilisateurs (« vous ») de la plateforme Matsuri (le « Service »). La présente Politique de confidentialité explique comment nous collectons, utilisons, partageons et protégeons vos données personnelles conformément à la loi japonaise sur la protection des informations personnelles (APPI), au Règlement général sur la protection des données de l’UE (RGPD) et aux autres lois applicables.

1. Responsable du traitement

Société : Jon&Coo
Adresse : Shinjuku Park Tower 30F, 3-7-1 Nishi-Shinjuku, Shinjuku-ku, Tokyo 160-0023, Japan
E-mail : office@jonandcoo.org
Téléphone : +81-80-5060-5588 (jours ouvrés, 9:00–18:00 JST)

2. Champ d’application

La présente Politique s’applique à l’ensemble des services fournis via la plateforme Matsuri (site web matsuri.group et application mobile), notamment les réservations d’expériences culturelles, la participation à des événements, les inscriptions à des circuits, l’achat d’articles, les abonnements et les fonctionnalités communautaires.

3. Données que nous collectons

3.1 Données que vous nous fournissez

• Données de compte : nom, adresse e-mail, numéro de téléphone, mot de passe (stocké sous forme hachée), photo de profil
• Vérification d’identité : date de naissance, genre, adresse, nationalité (pour vérifier l’éligibilité aux expériences et aux circuits)
• Données de réservation : nombre de participants, dates souhaitées, demandes particulières, informations relatives aux allergies et à la santé (facultatif)
• Données de paiement : moyen de paiement choisi, adresse de facturation (les données de carte sensibles ne sont pas stockées sur nos serveurs)
• Communications : demandes, avis, réponses aux enquêtes

3.2 Données collectées automatiquement

• Données techniques : adresse IP, type et version du navigateur, système d’exploitation, informations sur l’appareil, résolution d’écran
• Données d’utilisation : horodatage des accès, pages consultées, URL de provenance, durée de session, historique des clics
• Données de localisation : localisation approximative déduite de l’adresse IP (les données GPS ne sont pas collectées sans votre consentement explicite)
• Cookies et identifiants : cookies de session, jetons d’authentification, identifiants publicitaires

3.3 Informations que nous recevons via Facebook Login

Si vous vous connectez avec Facebook Login, nous recevons les informations suivantes de Facebook (Meta).

• Ce que nous recevons : Votre profil public (identifiant utilisateur Facebook, nom et URL de la photo de profil) et votre adresse e-mail (si vous autorisez son partage). Nous ne demandons aucune autre information, comme votre liste d’amis ou vos publications.
• Comment nous les utilisons : Pour créer votre compte et vous identifier lors de la connexion, préremplir votre profil et vous contacter au sujet de votre compte. Votre jeton d’accès Facebook sert uniquement à vérifier la connexion et n’est pas conservé. Nous ne publions jamais rien sur Facebook en votre nom.
• Durée de conservation : Jusqu’à la suppression de votre compte. Après la suppression, elles sont effacées conformément à la section 9.
• Comment les supprimer : Supprimez votre compte dans l’application ou sur le site web, ou demandez-nous de le supprimer via notre formulaire de contact. Vous pouvez également retirer Matsuri de vos paramètres Facebook, mais la seule suppression de cette connexion n’efface pas les informations que nous détenons. Consultez les Instructions de suppression des données.

4. Finalités du traitement

• Fourniture du Service, traitement des réservations, gestion des comptes et vérification d’identité
• Facturation, traitement des remboursements et gestion des abonnements
• Assistance client et traitement des demandes
• Amélioration du Service, analyse de l’utilisation et développement de nouvelles fonctionnalités
• Notifications et communications promotionnelles (sur la base de votre consentement)
• Détection et prévention de la fraude, sécurité
• Respect des obligations légales, exercice ou défense de droits en justice

5. Base juridique (pour les utilisateurs de l’EEE et du Royaume-Uni)

• Exécution du contrat : traitement nécessaire à la réservation et à la fourniture du Service
• Intérêts légitimes : amélioration du Service, prévention de la fraude, sécurité
• Obligation légale : respect des obligations fiscales et comptables
• Consentement : e-mails marketing, cookies non essentiels

6. Traitement des paiements

Les paiements en ligne sont traités par Stripe, Inc. et PayPal Holdings, Inc. Les données de paiement sensibles (numéros de carte de crédit, etc.) ne sont jamais stockées sur nos serveurs ; elles sont chiffrées et traitées dans des environnements conformes à la norme PCI DSS. Nous recevons et conservons uniquement le résultat des transactions (réussite/échec, identifiant de transaction, montant).

7. Partage avec des tiers

Nous ne partageons des données personnelles avec des tiers que dans la mesure strictement nécessaire :

• Prestataires de paiement : Stripe, PayPal
• Prestataires d’expériences et de circuits : informations nécessaires à l’exécution de la réservation (nom, nombre de participants, coordonnées)
• Infrastructure cloud : Railway (hébergement des serveurs), Vercel (frontend)
• Mesure d’audience : Google Analytics (données anonymisées)
• Envoi d’e-mails : Mailgun (e-mails transactionnels et notifications)
• Gestion des médias : Cloudinary (optimisation des images et des vidéos)
• Demandes légales : décisions de justice, demandes légitimes des autorités publiques
• Restructuration d’entreprise : fusions, acquisitions ou cessions d’actifs

8. Transferts internationaux de données

Vos données personnelles peuvent être traitées et stockées en dehors du Japon (par exemple aux États-Unis) aux fins de la fourniture du Service. Dans ce cas, nous mettons en place des garanties appropriées (clauses contractuelles types, décisions d’adéquation, etc.).

9. Durée de conservation

• Données de compte : supprimées dans les 30 jours suivant la suppression du compte (sauf obligation légale de conservation)
• Historique des transactions : conservé jusqu’à 7 ans, conformément à la loi
• Journaux d’accès : conservés jusqu’à 12 mois à des fins de sécurité
• Dossiers d’assistance : conservés jusqu’à 3 ans après la résolution

10. Mesures de sécurité

• Chiffrement des communications (TLS 1.2 ou supérieur)
• Hachage des mots de passe (bcrypt)
• Gestion des jetons d’authentification par cookies HttpOnly / Secure / SameSite
• Contrôle d’accès fondé sur les rôles (principe du moindre privilège)
• Évaluations régulières des vulnérabilités
• Plan de réponse aux incidents

11. Cookies et traceurs

11.1 Cookies essentiels

Nous utilisons des cookies essentiels pour les sessions d’authentification, la protection CSRF et les préférences de langue. Ils ne peuvent pas être désactivés.

11.2 Cookies analytiques

Nous utilisons des outils d’analyse tels que Google Analytics pour analyser de manière anonyme l’utilisation du Service. Vous pouvez les désactiver dans les paramètres de votre navigateur ou au moyen d’outils d’opposition (opt-out).

11.3 Apple App Tracking Transparency

Notre application iOS respecte le cadre App Tracking Transparency (ATT) d’Apple et demande l’autorisation de l’utilisateur avant tout suivi.

12. Vos droits

• Droit d’accès : demander la communication des données personnelles que nous détenons
• Droit de rectification : demander la correction de données inexactes
• Droit à l’effacement : demander la suppression de vos données personnelles (suppression du compte)
• Droit à la limitation : demander la limitation du traitement
• Droit à la portabilité : recevoir vos données dans un format lisible par machine
• Droit d’opposition : vous opposer au traitement fondé sur nos intérêts légitimes
• Droit de retirer votre consentement : retirer à tout moment votre consentement à un traitement fondé sur celui-ci

Pour exercer vos droits, contactez office@jonandcoo.org. Nous vous répondrons dans un délai de 30 jours après vérification de votre identité.

La suppression du compte peut être effectuée directement depuis les paramètres de l’application ou les paramètres du compte sur le site web. Consultez les Instructions de suppression des données pour connaître la marche à suivre.

13. Protection des données des enfants

Le Service ne s’adresse pas aux enfants de moins de 16 ans. Si nous apprenons que nous avons collecté par inadvertance des données personnelles d’un enfant de moins de 16 ans, nous les supprimerons sans délai. Les parents peuvent nous contacter à l’adresse office@jonandcoo.org.

14. Modifications de la présente Politique

Nous pouvons mettre à jour la présente Politique de temps à autre. En cas de modification substantielle, nous vous en informerons par l’intermédiaire du Service ou par e-mail. La Politique mise à jour prend effet dès sa publication.

15. Nous contacter

Pour toute question ou demande relative à la protection de vos données, veuillez contacter :

Jon&Coo — Service de protection des données (personne responsable : Ko Takahashi)
Shinjuku Park Tower 30F, 3-7-1 Nishi-Shinjuku, Shinjuku-ku, Tokyo 160-0023, Japan
E-mail : office@jonandcoo.org
Téléphone : +81-80-5060-5588 (jours ouvrés, 9:00–18:00 JST)

Si notre réponse ne vous satisfait pas, vous pouvez déposer une plainte auprès de la Commission de protection des informations personnelles (Personal Information Protection Commission, Japon) ou de l’autorité de contrôle de la protection des données de votre pays.