← Retour à l'accueil

Politique de confidentialité

Dernière mise à jour : 2 octobre 2026

HNGart (hngart.fr), plateforme de mise en relation entre artistes et acheteurs, traite vos données personnelles avec soin. Cette politique vous informe de nos pratiques conformément au RGPD (UE 2016/679) et à la loi Informatique et Libertés.

1. Responsable du traitement

2. Données collectées

Les données suivantes sont collectées uniquement lorsque vous les fournissez activement :

À l'inscription (compte email/mot de passe) :

• Prénom, nom, adresse e-mail
• Mot de passe (géré et chiffré par Firebase Auth — jamais accessible par HNGart)
• Rôle choisi : artiste ou acheteur
• Pour les artistes : nom d'artiste, spécialité artistique

À l'inscription ou connexion via Google :

• Adresse e-mail Google, nom d'affichage, photo de profil (transmis par Google lors du consentement OAuth)
• Rôle choisi (artiste ou acheteur) — enregistré à la première connexion uniquement

Via le formulaire de contact :

• Prénom/nom, adresse e-mail, sujet du message, contenu du message
• Niveau d'urgence (optionnel), référence commande (optionnel)
• Ces données sont transmises par email à contact@hngart.fr via Zoho Mail et ne sont pas stockées en base de données

Profil public d'artiste (visible de tous) :

• Lorsque vous enregistrez votre profil artiste ou publiez une œuvre depuis votre tableau de bord, les informations suivantes deviennent publiquement consultables sur votre page artiste : nom d'artiste, spécialité, ville, biographie, comptes Instagram et TikTok que vous avez renseignés, ainsi que les œuvres que vous publiez (titre, prix, dimensions, technique, description).
• Votre adresse e-mail, votre nom civil et vos identifiants de connexion ne sont jamais rendus publics : ils restent dans votre compte privé, accessible à vous seul.
• Vous restez maître de ces informations : vous pouvez les modifier ou les vider à tout moment depuis votre tableau de bord, ou demander la suppression de votre profil à contact@hngart.fr.
• Photos des œuvres que vous publiez : hébergées sur Firebase Storage (Google Ireland Limited) et accessibles publiquement via une URL, puisqu'elles illustrent votre fiche d'œuvre. Formats image uniquement, 10 Mo maximum. Le nom du fichier que vous envoyez n'est jamais conservé : un nom neutre est généré, afin qu'un nom de fichier personnel ne se retrouve pas dans une adresse publique.

Stockage local dans votre navigateur (localStorage) :

• Identifiants d'œuvres dans votre panier — strictement nécessaire au service
• Identifiants d'œuvres dans vos favoris — fonctionnel
• Votre rôle (artiste/acheteur) — nécessaire aux redirections après connexion
• Votre choix de consentement cookies — obligatoire CNIL

Ces données restent dans votre navigateur et ne sont pas transmises à nos serveurs, à l'exception des données d'authentification gérées par Firebase Auth.

Données bancaires : aucune. Le paiement en ligne n'est pas ouvert à ce jour ; le site ne comporte aucun formulaire de carte bancaire et ne collecte ni numéro de carte, ni date d'expiration, ni cryptogramme. Lorsque les ventes s'ouvriront, la saisie se fera directement dans les champs sécurisés de Stripe et ces données ne transiteront jamais par HNGart.

3. Finalités du traitement

• Création et gestion de compte (base légale : exécution du contrat)
• Mise en relation artistes / acheteurs (base légale : exécution du contrat)
• Traitement des demandes de contact (base légale : intérêt légitime)
• Sécurité de la plateforme et prévention des abus (base légale : intérêt légitime)
• Mesure d'audience du site avec Google Analytics 4, uniquement si vous l'acceptez dans la bannière cookies (base légale : consentement — voir points 4 et 8)
• Conservation des données de facturation — applicable au lancement commercial (base légale : obligation légale, 10 ans)

4. Sous-traitants (prestataires ayant accès à vos données)

Google Ireland Limited — Firebase Hosting, Firebase Auth, Firestore
Gordon House, Barrow Street, Dublin 4, D04 E5W5, Irlande
Rôle : hébergement du site, authentification des comptes, stockage des profils utilisateurs et des photos d'œuvres (Firebase Storage).
Conforme RGPD. DPA Google Cloud

Google Ireland Limited — Google Analytics 4 (mesure d'audience, uniquement après votre accord)
Rôle : statistiques de fréquentation du site — pages consultées, durée des visites, type d'appareil et de navigateur, localisation approximative.
Google agit en sous-traitant, dans le cadre des conditions relatives au traitement des données Google Ads. Les signaux Google (rapprochement avec les comptes Google des visiteurs) ne sont pas activés, et le partage de ces données avec Google pour ses propres produits et services est désactivé.
Cookies, durées et retrait du consentement : voir points 6 et 8. Transfert hors UE : voir point 5.
Conditions Google Ads relatives au traitement des données

Zoho Corporation Pvt. Ltd. — Zoho Mail
Serveur SMTP : smtp.zoho.eu (Europe)
Rôle : acheminement des emails transactionnels (confirmations de contact, notifications).
Seuls le nom, l'adresse e-mail et le contenu du message sont transmis pour l'acheminement ; aucune donnée n'est conservée par Zoho au-delà de la durée de transmission.
Politique de confidentialité Zoho

Anthropic — API Claude (traitement des messages par un assistant d'intelligence artificielle)
Sous-traitant — cocontractant pour l'EEE : Anthropic Ireland, Limited
Rôle : les messages reçus sur contact@hngart.fr (formulaire ou e-mail) sont analysés par un assistant d'IA interne qui les classe, les résume et prépare un projet de réponse. Aucune réponse n'est envoyée sans relecture et validation par notre équipe, et les réponses ainsi préparées le mentionnent.
Données transmises : adresse e-mail et nom de l'expéditeur, objet et texte du message. Le contenu des pièces jointes n'est pas transmis, seulement leur nom.
Anthropic s'interdit d'entraîner ses modèles sur ces contenus et les supprime de ses serveurs sous 30 jours (jusqu'à 2 ans en cas de signalement pour violation de sa politique d'utilisation).
Transfert hors UE et durée de conservation de notre copie interne : voir points 5 et 6.

Google — reCAPTCHA v3 (protection anti-robots)
Rôle : vérifier que l'envoi du formulaire de contact et l'accès aux pages de connexion et de tableau de bord proviennent d'un navigateur réel et non d'un programme automatisé. Le service est fourni via Firebase App Check.
Un script est chargé depuis www.google.com uniquement : au moment où vous envoyez le formulaire de contact, et à l'ouverture des pages de connexion et de tableau de bord. Aucune autre page du site ne le charge.
Google analyse à cette occasion des informations techniques sur votre navigateur et vos interactions avec la page, et dépose sur son propre domaine un cookie _GRECAPTCHA qu'il présente comme nécessaire à son analyse de risque.
Depuis le 2 avril 2026, Google agit pour ce service en tant que sous-traitant, dans le cadre des conditions de Google Cloud et de son avenant relatif au traitement des données : il ne détermine plus lui-même les finalités de ce traitement.
Avenant Google Cloud relatif au traitement des données

Stripe, Inc. — Paiements (prévu au lancement commercial)
Rôle : traitement des paiements et abonnements. Stripe n'est pas encore actif (mode TEST uniquement). Cette section sera complétée avant tout paiement réel.
Politique de confidentialité Stripe

5. Transferts hors Union Européenne

Firebase Hosting et Firebase Auth sont opérés par Google Ireland Limited (Irlande, Union Européenne). Zoho Mail utilise des serveurs en Europe (zoho.eu). Google reCAPTCHA peut effectuer des requêtes vers des serveurs Google situés hors UE ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne. Il ne se déclenche qu'à l'envoi du formulaire de contact et à l'ouverture des pages de connexion et de tableau de bord (voir point 4).

Google Analytics 4 (mesure d'audience — voir point 4) : uniquement si vous l'avez acceptée. Les données peuvent être traitées aux États-Unis par Google LLC, certifiée au cadre de protection des données UE–États-Unis (Data Privacy Framework), qui bénéficie d'une décision d'adéquation de la Commission européenne du 10 juillet 2023.

Anthropic (API Claude, traitement des messages reçus sur contact@hngart.fr — voir point 4) : données stockées aux États-Unis (traitement possible aux États-Unis, en Europe, en Asie et en Australie). Ce transfert est encadré par les clauses contractuelles types de la Commission européenne (avenant de traitement des données d'Anthropic).

Les polices de caractères du site (Outfit, Syne, Inter) ne sont plus chargées depuis Google. Elles sont hébergées sur hngart.fr depuis le 16 septembre 2026. Consulter une page du site ne transmet donc plus votre adresse IP à Google : jusqu'à cette date, l'affichage de n'importe quelle page provoquait un appel vers fonts.googleapis.com.

6. Durée de conservation

• Données de compte actif : pendant toute la durée du compte + 3 ans après fermeture
• Données de facturation : 10 ans (obligation légale comptable) — applicable au lancement commercial
• Données de contact (formulaire ou e-mail) : conservées dans les emails reçus pendant 3 ans à compter du dernier échange ; en cas de litige, archivage à accès restreint jusqu'à sa résolution, dans la limite du délai de prescription applicable
• Copie interne de l'assistant d'IA (classement, résumé, projet de réponse — voir point 4) : 3 ans à compter du dernier échange ; en cas de litige, archivage à accès restreint jusqu'à sa résolution, dans la limite du délai de prescription applicable
• Mesure d'audience (Google Analytics 4, uniquement si vous l'avez acceptée) : données d'événements conservées 2 mois et données rattachées à l'identifiant du cookie 14 mois au maximum, puis supprimées automatiquement par Google ; seuls subsistent au-delà des statistiques agrégées, sans identifiant
• Données localStorage : stockées dans votre navigateur jusqu'à effacement de vos données locales

Si vous supprimez votre compte, vos données Firestore sont supprimées. Votre compte Firebase Auth est désactivé. Certaines données peuvent être conservées si une obligation légale l'exige.

7. Vos droits (RGPD)

Vous pouvez exercer les droits suivants à tout moment en écrivant à contact@hngart.fr :

• Accès (art. 15 RGPD) : obtenir une copie de vos données
• Rectification (art. 16) : corriger des informations inexactes
• Suppression (art. 17) : demander l'effacement de vos données (sous réserve des obligations légales)
• Opposition (art. 21) : vous opposer à un traitement basé sur l'intérêt légitime
• Portabilité (art. 20) : recevoir vos données dans un format structuré
• Limitation (art. 18) : restreindre un traitement dans certains cas

Délai de réponse : 30 jours. En cas de désaccord, vous pouvez saisir la CNIL (3 place de Fontenoy, 75334 Paris Cedex 07).

8. Cookies et stockage local

HNGart utilise la mesure d'audience Google Analytics 4 (Google Ireland Limited), chargée uniquement après votre consentement via la bannière cookies : adresse IP non conservée par Google Analytics, aucun signal publicitaire, cookies _ga et _ga_8ZMJTK0GQH. Le refus n'a aucune conséquence sur l'usage du site. Aucun cookie marketing n'est utilisé.

Durée de vie de ces cookies : 13 mois, et elle n'est pas prolongée à chaque nouvelle visite — passé ce délai, ils disparaissent d'eux-mêmes. C'est le maximum recommandé par la CNIL pour un traceur de mesure d'audience ; Google Analytics les pose par défaut pour 2 ans, ce que nous avons volontairement ramené à 13 mois.

Les données suivantes sont également stockées dans votre navigateur :

• hngart_cookie_consent (localStorage) : votre choix de consentement et la date à laquelle vous l'avez exprimé — strictement nécessaire (c'est ce qui nous évite de vous reposer la question à chaque page), aucun consentement requis. Conservé 6 mois (voir ci-dessous)
• hng_cart (localStorage) : identifiants des œuvres dans votre panier — nécessaire au service
• hng_likes (localStorage) : vos œuvres favorites — fonctionnel
• hng_role (localStorage) : votre rôle (artiste/acheteur) — nécessaire aux redirections
• Firebase Auth tokens (IndexedDB navigateur) : jetons d'authentification — nécessaires à la connexion

Modifier ou retirer votre consentement

Vous pouvez changer d'avis à tout moment, aussi facilement que vous avez donné votre accord : le lien « Gérer mes cookies », présent en bas de chaque page du site, rouvre la bannière et vous rappelle votre choix actuel.

Si vous retirez un accord précédemment donné, les cookies _ga et _ga_8ZMJTK0GQH déjà déposés sont immédiatement supprimés et la mesure d'audience cesse sans attendre votre prochaine visite. Le retrait ne remet pas en cause la licéité de la collecte effectuée avant celui-ci (art. 7.3 du RGPD).

Cette possibilité répond à la recommandation de la CNIL n° 2020-092 du 17 septembre 2020, selon laquelle il doit être aussi simple de retirer son consentement que de le donner.

Votre choix n'est pas définitif : il est conservé 6 mois, puis la bannière réapparaît pour vous laisser confirmer ou changer d'avis. La CNIL retient cette durée comme bonne pratique : un accord — ou un refus — donné une fois ne doit pas vous engager indéfiniment. Entre-temps, la bannière ne s'affiche pas et votre choix est respecté.

Ces données restent dans votre navigateur. Vous pouvez les effacer à tout moment dans les paramètres de votre navigateur.

Protection anti-robots (Google reCAPTCHA)

La protection anti-robots décrite au point 4 ne relève pas de la bannière cookies : à la différence de la mesure d'audience, elle est mise en œuvre au seul titre de la sécurité du site et de la prévention des abus, et Google, sous-traitant pour ce service, n'en détermine pas les finalités (voir point 4). Elle ne se déclenche qu'à l'envoi du formulaire de contact et à l'ouverture des pages de connexion et de tableau de bord — aucune autre page du site ne la charge.

Le cookie _GRECAPTCHA est déposé par Google sur son propre domaine et n'est pas lisible par HNGart. Si vous ne souhaitez pas y être soumis, vous pouvez nous écrire directement à contact@hngart.fr sans passer par le formulaire de contact.

9. Sécurité

HNGart met en œuvre des mesures de protection adaptées : chiffrement TLS en transit, chiffrement au repos Firebase, règles d'accès Firestore, en-têtes HTTP de sécurité (HSTS, CSP, X-Frame-Options), protection XSS côté code.

10. Modifications

Cette politique peut être mise à jour. En cas de modification substantielle affectant vos droits, nous vous en informerons par e-mail. La date de mise à jour en tête de page fait foi.