Politique de confidentialité

Love Changes est responsable des données personnelles décrites ici et décide pourquoi et comment elles sont traitées.

Les demandes et questions relatives à la protection des données passent par le formulaire de contact du site, en choisissant le sujet « Confidentialité ou mes données ». Toute demande reçue par ce canal reçoit une réponse, y compris d’accès, de rectification et d’effacement.

Nous ne collectons que ce qu’une finalité précise exige :

• Données de don : nom, adresse e-mail, téléphone facultatif, montant, devise, fréquence, statut du don et code de référence.
• Données de paiement : traitées directement par Stripe. Nous ne voyons ni ne stockons le numéro complet de carte — nous ne conservons que les identifiants renvoyés par Stripe.
• Données de contact : le nom, l’e-mail et le message saisis dans le formulaire de contact.
• Données techniques : adresse IP, informations de navigateur et d’appareil, pages consultées, journaux d’erreurs et de sécurité générés automatiquement par nos serveurs.
• Traces de consentement : la version de cet avis que vous avez acceptée, avec la date et l’heure de l’acceptation.

Chaque catégorie sert une finalité déclarée :

• traiter les dons, émettre les reçus et gérer les contributions récurrentes ;
• envoyer les e-mails transactionnels : confirmations de don, codes de référence et avis d’échec de paiement ;
• répondre aux messages que vous nous envoyez ;
• garder le service sûr : prévention de la fraude, limitation du débit, investigation des abus et réponse aux incidents ;
• respecter nos obligations comptables, fiscales et de reddition de comptes ;
• produire des statistiques agrégées sur notre action, qui n’identifient jamais un donateur.

Au titre du RGPD (art. 6) et de la LGPD (art. 7), nous invoquons : l’exécution d’un contrat, pour traiter votre don et fournir les services associés ; le respect d’une obligation légale, pour la conservation comptable et fiscale ; l’intérêt légitime, pour la sécurité, la prévention de la fraude et l’amélioration du service ; et le consentement, pour tout ce qui est facultatif, comme les cookies non essentiels.

Lorsque la base est le consentement, vous pouvez le retirer à tout moment ; ce retrait ne remet pas en cause les traitements déjà effectués.

Nous ne vendons, ne louons ni n’échangeons de données personnelles, et nous ne les partageons pas à des fins de publicité comportementale. Nous partageons le strict nécessaire avec des sous-traitants liés par contrat :

• Stripe, Inc. — traitement des paiements et des données de carte (certifiée PCI DSS).
• Resend — acheminement des e-mails transactionnels.
• Notre hébergeur — exécution de l’application et de la base PostgreSQL, y compris les sauvegardes chiffrées.
• Supervision des erreurs — rapports de diagnostic sur les pannes applicatives, dont les identifiants personnels sont retirés avant l’envoi.

Nos prestataires exploitent des serveurs hors du Brésil et hors de l’Espace économique européen, principalement aux États-Unis et dans l’Union européenne. Les transferts sont encadrés par des clauses contractuelles types et par les garanties équivalentes exigées par l’art. 33 de la LGPD.

Nous supprimons ou anonymisons les données dès que leur finalité prend fin :

• Dons et reçus : conservés pendant la durée exigée par les règles fiscales et comptables, actuellement sept ans après le don.
• Messages de contact : jusqu’à 24 mois après la fin de l’échange.
• Journaux de sécurité, d’accès et d’erreurs : jusqu’à 12 mois.
• Traces de consentement : pendant toute la durée du traitement concerné, plus le délai de prescription applicable.

Le trafic est chiffré en TLS ; les identifiants d’administration sont stockés sous forme de hachages scrypt ; les sessions d’administration expirent et sont journalisées ; les points d’entrée de l’API sont limités en débit ; les sauvegardes de la base sont quotidiennes et conservées avec un accès restreint.

Aucun système n’est totalement à l’abri. Si une violation est susceptible de créer un risque pour vos droits, nous vous en informerons, ainsi que l’autorité compétente, dans les délais fixés par la loi applicable.

Selon votre pays de résidence, vous pouvez exercer gratuitement les droits suivants :

• confirmation que nous traitons vos données et accès à une copie ;
• rectification des données incomplètes, inexactes ou obsolètes ;
• effacement des données traitées sur la base du consentement ou devenues inutiles ;
• anonymisation ou blocage des données inutiles ou excessives ;
• portabilité de vos données vers un autre prestataire dans un format lisible par machine ;
• opposition au traitement fondé sur l’intérêt légitime et retrait du consentement ;
• information sur les entités publiques et privées avec lesquelles nous partageons des données ;
• pour les résidents de Californie : droit de savoir, de supprimer, de corriger et de refuser la vente ou le partage — que nous ne pratiquons pas — sans subir de discrimination.

Envoyez votre demande via le formulaire de contact du site, en choisissant le sujet « Confidentialité ou mes données », depuis l’adresse e-mail liée à vos données. Nous pouvons demander des informations complémentaires pour vérifier votre identité avant d’y donner suite.

Nous répondons sous 15 jours aux demandes fondées sur la LGPD et sous 30 jours à celles fondées sur le RGPD et la CCPA. Pour une demande complexe, ce délai peut être prolongé une fois, en vous en expliquant la raison.

Le site ne s’adresse pas aux enfants. Nous ne collectons pas sciemment de données de personnes de moins de 18 ans sans le consentement d’un parent ou d’un tuteur légal. Si vous pensez qu’un enfant nous a transmis des données personnelles, écrivez-nous et nous les supprimerons.

Nous utilisons le plus petit ensemble de cookies possible, et les cookies non essentiels ne sont déposés qu’après votre acceptation. La politique de cookies liste chaque cookie, sa finalité et sa durée.

Si notre réponse ne vous satisfait pas, vous pouvez saisir l’autorité brésilienne de protection des données (ANPD), l’autorité de contrôle de votre État membre européen ou l’organisme compétent de votre pays de résidence.

Lorsque cet avis change, nous mettons à jour la date de révision affichée en haut de la page et, pour les changements substantiels, nous l’annonçons sur le site avant l’entrée en vigueur de la nouvelle version.