Politique de confidentialité

Dernière mise à jour : 10 août 2026

Responsable du traitement

Allan Bologne, entreprise individuelle de droit belge — Chemin du Chera 7, BP 7, 4500 Huy, Belgique — n° d'entreprise (BCE) / TVA : BE 1033.314.274 — contact : contact@copmarket.fr. CopMarket est le nom commercial du service exploité sur copmarket.fr.

En résumé, en cinq lignes

On collecte ce qu'il faut pour te connecter, t'alerter et t'encaisser — rien de plus.
Rien n'est vendu, loué ni cédé à des annonceurs.
Quatre cookies, tous internes : ta session, ta langue, le lien par lequel tu es arrivé et ton code de parrainage. Aucun traceur publicitaire.
Si tu actives l'achat automatique Vinted, tu nous confies des jetons qui ouvrent ton compte Vinted : la section qui leur est consacrée plus bas dit exactement ce qu'ils permettent, comment ils sont protégés et comment les retirer.
Tu peux tout demander, tout corriger, tout faire effacer, à une seule adresse.

Données collectées

Compte : e-mail, pseudo, mot de passe (haché, jamais stocké en clair). Si tu passes par « Se connecter avec Discord » ou « Se connecter avec Google », on récupère de ces services ton identifiant et ton adresse e-mail — jamais ton mot de passe.

Usage du service : tes alertes, filtres, favoris, recherches, articles suivis, objectif mensuel et budget que tu renseignes. Ça fait fonctionner le radar et ça sert à améliorer la couverture du marché.

Canaux de réception que tu branches, tous facultatifs : identifiant Discord, identifiant de conversation Telegram, abonnement aux notifications mobiles (push), URL de webhook Discord, jeton d'intégration Notion et identifiant de ta base Notion si tu veux que tes alertes s'écrivent chez toi. Chacun peut être retiré depuis les réglages.

Assistant IA: si tu discutes avec l'assistant du dashboard, tes questions et une mémoire de profil (ce que tu cherches, ton budget, tes préférences) sont conservées pour que la conversation ait un sens d'une fois sur l'autre. Tu peux demander son effacement.

Technique et sécurité: date et adresse IP de connexion, journal des actions sensibles (connexion, changement d'abonnement, création et suppression d'alerte), et une empreinte courte et non réversible de tes appareils (condensé d'IP + navigateur) servant uniquement à compter combien d'appareils distincts utilisent le même compte — c'est notre détection de partage de compte, et elle ne coupe jamais un accès automatiquement.

Paiement: traité par Stripe. CopMarket reçoit un identifiant client et un identifiant d'abonnement, le statut et l'échéance, et le cas échéant le code promo utilisé. CopMarket ne voit ni ne stocke aucun numéro de carte.

Achat automatique Vinted(option PRO) : voir la section dédiée plus bas — c'est la donnée la plus sensible du service et elle mérite ses propres paragraphes.

Pourquoi, et sur quelle base légale

Données	Pourquoi	Base légale (RGPD)
Compte, alertes, favoris, canaux d'alerte	Te fournir le service auquel tu t'abonnes	Exécution du contrat (art. 6.1.b)
Paiement, facturation, comptabilité	Encaisser l'abonnement et tenir les comptes	Contrat, puis obligation légale (art. 6.1.b et 6.1.c)
Jetons de session Vinted, règles et journal d'achat	Exécuter l'achat automatique que tu as demandé	Ton consentement explicite, horodaté, révocable (art. 6.1.a)
E-mails de service (bienvenue, paiement, résiliation)	Faire fonctionner ton abonnement	Exécution du contrat (art. 6.1.b)
E-mails de contenu (guide, séquence, pépite)	T'envoyer ce que tu as demandé à recevoir	Ton consentement (art. 6.1.a)
Journal d'audit, IP, empreinte d'appareil	Sécurité du compte, lutte contre le partage et la fraude	Intérêt légitime (art. 6.1.f)
Parrainage (qui a parrainé qui, contrôles anti-fraude)	Attribuer les récompenses et empêcher l'auto-parrainage	Contrat pour l'attribution, intérêt légitime pour l'anti-fraude

Quand la base est le consentement, tu peux le retirer à tout moment, sans justification, et ça n'affecte pas ce qui a été fait avant.

Achat automatique Vinted : tes jetons de session

L'achat automatique est une option. Elle est désactivée par défaut, et tant que tu ne l'actives pas, CopMarket ne détient rien de ton compte Vinted. Si tu l'actives, tu nous transmets volontairement trois éléments de ta session Vinted : ton jeton d'accès (access_token_web), ton jeton de rafraîchissement (refresh_token_web) et ton cookie de session.

Ce que ces jetons permettent

Il faut le dire sans détour : ces jetons donnent accès à ton compte Vinted complet, pas seulement à la fonction d'achat. Qui les détient peut, techniquement, lire et écrire ta messagerie, consulter tes coordonnées et ton adresse, voir et utiliser le solde de ton porte-monnaie Vinted, acheter, vendre, modifier tes annonces. C'est l'équivalent d'être connecté à ta place. Confier ça à un service tiers — le nôtre compris — est une décision qui se prend en connaissance de cause.

Ce que CopMarket en fait

Strictement une chose : exécuter les achats correspondant aux règles que tu as toi-même définies (marque, taille, prix maximum, score minimum), dans les plafonds que tu as toi-même posés (budget par achat, plafond sur 24 h, nombre d'achats par heure et par jour). Aucune règle, aucun plafond saisi = aucun achat : les valeurs par défaut sont à zéro et zéro signifie refus. Les jetons ne servent jamais à lire ta messagerie, à consulter tes contacts, à analyser tes achats passés ni à alimenter des statistiques.

Comment ils sont protégés

Chiffrés au reposen AES-256-GCM, avec une clé qui vit dans l'environnement du serveur et non dans la base : une copie du fichier de base de données, seule, ne donne rien de lisible.
Jamais journalisés, même partiellement. Le journal d'achat enregistre les étapes, les durées et les résultats — jamais un jeton ni un en-tête d'authentification.
Jamais renvoyésdans une réponse de l'application, même tronqués : une fois transmis, un jeton ne ressort plus, ni dans l'interface, ni dans une exportation.
Jamais transmis à un tiers. Ils ne sont utilisés que pour parler à Vinted, en ton nom, sur ta demande.
Accès humain: personne ne les consulte en exploitation courante. En cas d'incident nécessitant une intervention, elle est faite par l'éditeur seul et tracée.

Aucune de ces mesures n'annule le risque de départ. Un secret confié à un tiers reste un secret sorti de chez toi : si nos serveurs étaient compromis, un attaquant chercherait exactement ces données. On préfère l'écrire que de te vendre une garantie que personne ne peut donner.

Autres données liées à cette option

Pour que les achats aboutissent et ressemblent à une utilisation normale, on conserve aussi : tes règles d'achat et tes plafonds, un identifiant de navigateur (user-agent) stable tiré pour toi, ton pays et des coordonnées approximatives servant à choisir le point relais, l'horodatage de ton consentement et sa version, et le journal des achats tentés (article, règle, prix, étape, résultat). Ce journal est ta pièce à conviction autant que la nôtre en cas de litige sur un achat.

Comment révoquer, et ce qui se passe ensuite

En coupant l'option: dès que tu désactives l'achat automatique dans tes réglages, plus aucun achat ne peut partir et les jetons chiffrés sont effacés de notre base — pas désactivés, effacés. Pour les redonner un jour, il faudra les redéposer.
En retirant ton consentement: même effet. Retirer le consentement doit être aussi simple que de le donner, et il coupe l'option et efface les jetons.
Par le bouton d'effacement dédié : tu peux supprimer tes jetons sans toucher au reste de tes réglages (règles et plafonds conservés, option inactive faute de jetons).
Depuis Vinted, et c'est le geste le plus fort : déconnecte-toi de ta session Vinted (ou change ton mot de passe). Les jetons que nous détenions deviennent immédiatement inutilisables, quoi qu'il arrive de notre côté. C'est le bouton d'arrêt d'urgence, et il ne dépend pas de nous.
À la résiliation de ton abonnement: l'option est coupée et les jetons sont effacés. Le journal des achats déjà effectués est conservé le temps nécessaire au traitement d'un éventuel litige, puis effacé.
À la suppression de ton compte : jetons, règles, plafonds et journal sont effacés.

Le risque, écrit noir sur blanc

Utiliser un outil automatisé sur ton compte Vinted est contraire aux conditions d'utilisation de Vinted. Vinted se réserve le droit de suspendre ou de fermer les comptes concernés. Cela peut signifier : la perte de ton compte, de ton historique d'évaluations, de tes annonces en ligne, de tes ventes en cours et, potentiellement, du solde de ton porte-monnaie Vinted. CopMarket ne peut ni empêcher, ni contester, ni compenser une décision de Vinted.

À ce risque s'ajoutent ceux qui tiennent à la nature même de l'automatisation : un achat déclenché sur une annonce que tu n'aurais pas achetée en la regardant (lot, contrefaçon, article non conforme), et le fait que tu restes l'acheteur juridique de chaque transaction. CopMarket n'est ni vendeur, ni intermédiaire de paiement, et ne garantit aucun gain. Si ton compte Vinted est ton outil de travail, réfléchis-y à deux fois : le radar fonctionne très bien sans cette option, et l'option restera toujours facultative.

Parrainage

Si tu utilises le parrainage, on enregistre le lien entre le compte du parrain et celui du filleul (qui a parrainé qui, à quelle date, via quel code ou quel lien), ainsi que le statut d'abonnement du filleul — c'est ce qui déclenche la récompense. Ton parrain voit ton pseudo, la date de ton inscription et le fait que tu sois abonné ou non ; il ne voit ni ton e-mail, ni tes alertes, ni quoi que ce soit de ton activité.

Pour éviter qu'on se parraine soi-même en boucle, on compare des indicateurs techniques entre parrain et filleul : adresses IP et empreintes d'appareil, et signaux de moyen de paiement fournis par Stripe (par exemple une même carte utilisée sur deux comptes). Ces contrôles peuvent conduire à refuser une récompense ou à suspendre un compte. Aucune décision n'est prise par une machine seule : un cas signalé est revu par l'éditeur avant toute conséquence, tu es informé et tu peux contester à l'adresse de contact.

Sous-traitants et destinataires

Tes données ne sont ni vendues ni louées. Elles ne sont partagées qu'avec les prestataires qui font tourner le service :

Hostinger— hébergement des serveurs et de la base, et serveur d'envoi d'e-mails (SMTP).
Stripe— paiement et gestion des abonnements. C'est Stripe qui traite les données de carte, jamais nous.
Discord — connexion « Se connecter avec Discord », rôles du serveur communautaire et envoi de tes alertes en message privé, si tu as lié ton compte.
Google — uniquement si tu utilises « Se connecter avec Google » (identité et adresse e-mail).
Telegram— uniquement si tu branches Telegram comme canal d'alerte.
Notion — uniquement si tu connectes ton espace Notion pour y recevoir tes alertes.
Anthropic— moteur de l'assistant IA du dashboard : tes questions et le contexte de marché lui sont transmis pour produire la réponse.
Services de notification mobile (Apple, Google, Mozilla selon ton appareil) — acheminement des notifications push si tu les as acceptées.
Vinted— destinataire, et non sous-traitant : quand l'achat automatique est actif, c'est ton propre compte qui agit chez Vinted, selon la politique de confidentialité de Vinted.

Certains de ces prestataires sont établis hors de l'Union européenne ou y recourent à des infrastructures situées hors UE ; les transferts correspondants s'appuient sur les garanties prévues par le RGPD (clauses contractuelles types ou décision d'adéquation).

Cookies

Quatre cookies, aucun publicitaire, aucun traceur tiers, aucune mesure d'audience externe :

session — te garde connecté (30 jours). Strictement nécessaire.
gm-src — retient par quel lien tu es arrivé, pour savoir ce qui fonctionne (30 jours, premier contact gagnant). Aucune donnée envoyée à un tiers, aucun profil publicitaire.
gm-parrain — retient le code de parrainage suivi, pour créditer la bonne personne (30 jours).
gm-lang — retient la langue que tu as choisie.

E-mails

Si tu télécharges le guide gratuit ou crées un compte, ton adresse e-mail est enregistrée avec la date et la source de ton inscription, ainsi que l'historique des envois (pour ne jamais t'écrire deux fois la même chose). Elle sert à deux choses : les e-mails de service (bienvenue, activation, paiement, résiliation), envoyés au titre du contrat ; et les e-mails de contenu (guide, séquence de découverte, pépite de la semaine), envoyés sur la base de ton consentement. Chaque e-mail de contenu contient un lien de désinscription qui prend effet immédiatement, et le bouton natif de désinscription de ta messagerie (Gmail, Outlook, Apple Mail…) fonctionne aussi. Sous-traitant e-mail : Hostinger (serveur SMTP). Une adresse qui rebondit durablement est retirée automatiquement des envois.

Durées de conservation

Compte et données d'usage: pendant toute la durée de l'abonnement, puis effacement sur demande — et au plus tard 3 ans après le dernier contact.
Jetons Vinted: jusqu'à la révocation, la coupure de l'option, la résiliation ou la suppression du compte — le premier des quatre. Ils ne survivent jamais à l'abonnement.
Journal des achats automatiques: conservé pour le traitement d'éventuels litiges, puis effacé avec le compte.
Adresse e-mail de la liste de diffusion : 3 ans après le dernier contact, ou immédiatement en cas de désinscription.
Journal de connexion et d'audit: l'adresse IP est effacée automatiquement au bout de 90 jours, la ligne d'historique restant sans adresse.
Factures et pièces comptables : conservées selon les durées légales applicables, indépendamment de la suppression du compte.

Tes droits (RGPD)

Tu disposes d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de tes données, ainsi que du droit de retirer ton consentement à tout moment (notamment pour les e-mails de contenu et pour l'achat automatique) et du droit de définir des directives sur le sort de tes données après ton décès.

Pour les exercer, écris à contact@copmarket.fr depuis l'adresse de ton compte : on répond sous 30 jours au plus tard. La suppression du compte entraîne l'effacement des données personnelles sous 30 jours, hors obligations comptables légales.

Si la réponse ne te convient pas, tu peux saisir l'autorité de contrôle compétente : en Belgique, l'Autorité de protection des données (APD / Gegevensbeschermingsautoriteit, Rue de la Presse 35, 1000 Bruxelles) ; en France, la CNIL.

Sécurité

Mots de passe hachés, sessions signées et révocables à distance, secrets conservés hors du code, jetons Vinted chiffrés en base, journal d'audit des actions sensibles. En cas de violation de données susceptible d'engendrer un risque élevé pour toi, tu es prévenu et l'autorité de contrôle est notifiée dans les délais prévus par le RGPD.

Modifications de cette politique

Toute évolution significative — nouveau traitement, nouveau sous-traitant, nouvelle finalité — est annoncée par e-mail avant son entrée en vigueur. Si elle repose sur ton consentement, elle ne s'applique qu'après que tu l'aies donné.

Voir aussi : CGV · CGU · Mentions légales