Tipper — Politique de confidentialité

Dernière mise à jour : 7 octobre 2026.

Cette politique explique quelles données personnelles nous traitons, pourquoi, avec qui, combien de temps, et comment exercer vos droits. Elle couvre le site tipper.fr, l'application Tipper, la page de suivi des courses (app.tipper.fr), l'espace commerçant Tipper Comptoir (comptoir.tipper.fr) et nos échanges avec vous, conformément au RGPD et à la loi Informatique et Libertés.

L'essentiel

Qui : CGA FR, qui exploite la marque Tipper, à Paris. Une seule adresse pour vos données : contact@tipper.fr.
Pourquoi : mettre en relation des voisins qui rapportent des courses sur leur trajet, des commerçants et leurs clients, et faire en sorte que chaque remise se passe bien.
Votre position : elle est lue seulement quand l'application est ouverte, jamais en arrière-plan. Elle n'est conservée que si un écart doit être vérifié.
Votre visage : nous vérifions qu'il y a bien un visage sur votre photo de profil. Nous ne le comparons jamais à votre pièce d'identité et ne créons aucune donnée biométrique.
Où : vos données sont hébergées dans l'Union européenne (Paris, avec une copie de sauvegarde en Irlande). Les quelques prestataires situés aux États-Unis sont encadrés.
Jamais vendues : nous ne vendons pas vos données. Il n'y a aucun outil publicitaire ni de mesure d'audience tiers dans l'application.
Un humain décide : certaines vérifications sont automatiques. Aucun refus d'inscription ni aucune désactivation de compte n'est décidé sans un membre de l'équipe, sauf la suppression d'un compte resté 3 ans sans connexion, annoncée par e-mail 30 jours avant. Vous pouvez demander qu'une personne réexamine une décision.
Vos choix : vous supprimez votre compte depuis l'application, avec 30 jours pour changer d'avis. Vous obtenez une copie de vos données sur simple demande. Nous répondons sous un mois.

1. Qui est responsable de vos données

Cédric Galichon EI, entrepreneur individuel exerçant sous le nom commercial CGA FR, exploitant la marque « Tipper », 4 square Gabriel Fauré, 75017 Paris, France (SIREN 933 469 017). Contact : contact@tipper.fr.

Tipper est une plateforme de mise en relation : des particuliers, les Tippers, rapportent les courses d'un voisin à l'occasion d'un trajet qu'ils font déjà, en partageant les frais.

2. Si vous êtes Tipper

Ce que nous traitons	Détail
Compte et connexion	Adresse e-mail : la connexion se fait uniquement par un lien envoyé par e-mail. Numéro de téléphone, facultatif. Date de dernière connexion, nombre de connexions, jours d'activité.
Identité et documents	Nom et prénom. Pièce d'identité, passeport ou titre de séjour. Selon votre mode de transport : permis, carte grise, attestation d'assurance et informations du véhicule. Informations lues automatiquement sur ces documents (nom, date de naissance, numéro, date d'expiration).
Photo de profil	Un selfie que vous prenez dans l'application. Il est nécessaire à l'inscription : le commerçant d'une course rattachée à votre trajet voit votre photo, avec votre prénom et l'initiale de votre nom (voir « Ce que les autres voient de vous »).
Domicile, trajets, préférences	L'emplacement de votre domicile, que vous placez vous-même sur la carte, et votre rayon. Les trajets que vous déclarez (départ, destination, jours, horaires, détour accepté). Vos capacités (poids, volume).
Position	Voir ci-dessous.
Trajets réalisés	Créneaux réservés, courses rattachées, étapes franchies et horaires. Photos prises au retrait, à la remise ou en cas d'impossibilité de remettre. Scan des étiquettes. Réponses au questionnaire de fin de trajet. Signalements liés au déroulement (voir la section 11).
Participation aux frais	Sommes en attente, disponibles et versées, et pourboires reçus. Votre compte de versement est ouvert chez Stripe, qui recueille lui-même les informations nécessaires à ses propres vérifications (coordonnées bancaires, date de naissance, adresse) et les traite sous sa propre responsabilité. Pour ouvrir ce compte, nous transmettons à Stripe vos nom, prénom, e-mail et, s'il est renseigné, votre téléphone.
Notifications	Si vous les autorisez : l'identifiant de notification de votre appareil.
Utilisation de l'application	Les écrans consultés, avec la date.
Assistance et suivi	Vos demandes d'aide, nos échanges et les photos jointes. Les notes internes et étiquettes ajoutées par l'équipe à votre dossier.

Dès qu'une pièce d'identité est validée, son numéro est remplacé par une empreinte cryptographique irréversible. Elle sert uniquement à éviter qu'une même identité ouvre plusieurs comptes. Les autres informations lues sur la pièce sont alors effacées. Les images des pièces justificatives sont supprimées 6 mois après l'activation de votre compte. Les informations du permis et de la carte grise sont conservées, car elles décrivent votre véhicule.

Votre position

L'application ne lit votre position que si vous l'autorisez, et seulement lorsqu'elle est ouverte à l'écran. Elle sert à :

vous montrer les trajets proches ;
vous aider à placer votre domicile ;
confirmer votre arrivée pendant un trajet réservé.

À l'arrivée au point de retrait, votre position est comparée à l'adresse du commerce. Elle n'est conservée que dans trois cas, où elle est jointe à un signalement pour l'équipe, pendant 12 mois :

vous indiquez ne pas pouvoir confirmer votre position ;
l'écart dépasse 500 mètres ;
vous arrivez après l'heure prévue.

Sans autorisation, l'application vous demande une photo à la place.

Face ID

Le déverrouillage se fait entièrement sur votre téléphone. Nous ne recevons que le résultat (déverrouillé ou non), jamais votre visage ni aucune donnée biométrique.

Ce que les autres voient de vous

Qui	Ce qu'il voit	Quand
Le commerçant	Votre prénom, l'initiale de votre nom et votre photo de profil (si elle a été approuvée). Jamais votre nom complet, votre téléphone ni votre e-mail.	Pour une course qui lui appartient, rattachée à votre trajet
Le destinataire	Les étapes de la course, sans votre nom ni votre photo ni votre position	Pendant la course
L'équipe Tipper	Votre dossier, selon des droits limités à ce dont chacun a besoin	Tant que le compte existe

Sauf mention « facultatif », ces informations sont nécessaires pour ouvrir et utiliser un compte Tipper : sans elles, nous ne pouvons pas activer votre compte.

3. Si vous recevez des courses rapportées par un Tipper

Le commerçant chez qui vous avez commandé nous transmet ce qui est nécessaire pour que vos courses vous parviennent :

votre nom et votre adresse ;
selon le cas : étage, digicode, nom à l'interphone, consignes de remise ;
votre téléphone ;
votre e-mail, s'il le souhaite.

Ce que voit le Tipper, et quand

avant de réserver, il ne voit que la ville et un point approximatif (à environ 100 mètres près) ;
une fois la course rattachée à son trajet, il voit l'adresse ;
au moment de la remise, il voit le nom, les consignes et le téléphone ;
il ne les reçoit que pour réaliser cette course.

Suivi

Si le commerçant nous a donné votre e-mail, nous vous écrivons à chaque étape. La page de suivi montre les étapes, sans la position du Tipper. Depuis cette page, vous pouvez :

donner une note et un commentaire ;
laisser un pourboire facultatif, payé sur une page sécurisée de Stripe (nous ne voyons jamais votre carte bancaire) ;
nous écrire.

Vos notes ne servent à aucune décision concernant un Tipper.

Le Tipper peut photographier la remise ou, en votre absence, le lieu de dépôt. Le commerçant peut vous communiquer un code de remise à donner au Tipper.

Vos informations de suivi (e-mail, note, commentaire, pourboire) sont supprimées 12 mois après la course. Pour une course publiée dans Tipper Comptoir, vos nom, adresse, téléphone, e-mail et consignes sont effacés de la course 12 mois après celle-ci.

4. Si vous êtes commerçant partenaire

Nous traitons les coordonnées professionnelles de vos interlocuteurs (nom, e-mail, téléphone), l'adresse de vos points de retrait et vos informations de facturation. Les factures sont émises et réglées par l'intermédiaire de Stripe.

Avec Tipper Comptoir, nous traitons en plus :

pour chaque utilisateur : son e-mail, le nom affiché, son rôle et les journaux de connexion (connexion par un code et un lien envoyés par e-mail) ;
les commerces : nom, téléphone, SIRET, adresse, logo ;
les courses que vous publiez et votre carnet d'adresses de clients, avec les informations décrites en section 3 ;
la preuve de votre acceptation des conditions (date, version, adresse IP, navigateur) et l'historique des modifications du compte ;
votre portefeuille : rechargements payés via Stripe Checkout et, si vous le choisissez, une carte enregistrée chez Stripe pour les rechargements automatiques ;
les appareils sur lesquels vous activez les notifications.

Pour les données de vos clients, vous restez responsable de leur collecte et de leur information. Nous les utilisons uniquement pour réaliser les courses que vous publiez et en informer vos clients. Les informations du destinataire sont effacées de chaque course 12 mois après celle-ci ; une entrée de votre carnet d'adresses est effacée après 24 mois sans course, ou au plus 30 jours après que vous l'avez supprimée.

Si vous importez des clients depuis votre téléphone ou un fichier, le fichier est lu sur votre appareil : seuls les contacts que vous cochez nous sont envoyés, pour vérifier les numéros et les adresses avant de les ajouter.

Comptoir ne contient aucun outil de mesure d'audience ni de publicité.

5. Si vous visitez le site ou nous écrivez

Formulaires (contact, demande d'information, liste d'attente)

Nous traitons :

votre nom, votre e-mail, votre téléphone (facultatif) ;
votre structure ou commerce, votre ville et votre message ;
pour un commerçant, le type et l'adresse de votre commerce ;
la page depuis laquelle vous nous écrivez ;
la date de votre accord et le type de navigateur utilisé.

Nous vous envoyons un accusé de réception. Ces données servent à vous répondre et, si vous le souhaitez, à vous prévenir du lancement. Elles sont réservées à l'équipe Tipper et à nos prestataires (section 8). Elles sont anonymisées après 18 mois sans activité. Si vous avez demandé à être prévenu du lancement, votre e-mail est conservé pour cela jusqu'à votre désinscription.

Protection contre les robots

Cloudflare Turnstile reçoit votre adresse IP et des informations techniques sur votre navigateur. Nous comptons aussi brièvement les envois par adresse IP pour limiter les abus.

Mesure d'audience

Le site utilise Google Analytics 4, chargé via Google Tag Manager, seulement si vous l'acceptez dans le bandeau. Tant que vous n'avez pas accepté, Google Tag Manager n'est pas chargé et aucune donnée n'est envoyée à Google. Le détail figure dans notre politique cookies.

6. Pourquoi nous traitons vos données

Finalité	Données	Base légale (RGPD)	Durée
Créer et gérer un compte Tipper, vous connecter	Compte, connexion	Contrat, art. 6.1.b	Vie du compte
Vérifier l'identité et les documents, éviter les comptes en double et la fraude	Identité, documents, empreinte	Intérêt légitime (sécurité de la mise en relation), art. 6.1.f	Voir la section 10
Vous proposer des trajets compatibles	Domicile, trajets, préférences	Contrat, art. 6.1.b	Vie du compte
Lire la position de votre téléphone	Position	Autorisation du téléphone (art. 82 loi Informatique et Libertés), puis contrat, art. 6.1.b	Non conservée, sauf signalement (12 mois)
Suivre le déroulement d'un trajet, prouver la remise, traiter un litige	Étapes, photos, signalements	Contrat, art. 6.1.b ; intérêt légitime, art. 6.1.f	Étapes et signalements : tant que le compte existe ; photos : 12 mois ; coordonnées d'un signalement : 12 mois
Régler la participation aux frais, tenir la comptabilité	Cagnotte, versements, factures	Contrat, art. 6.1.b ; obligation légale, art. 6.1.c	10 ans
Afficher votre photo de profil au commerçant d'une course	Photo, prénom, initiale	Contrat, art. 6.1.b	Vie du compte
Vous envoyer des notifications	Identifiant d'appareil	Autorisation du téléphone ; contrat, art. 6.1.b	Jusqu'à leur désactivation ou la suppression du compte
E-mails liés au compte et aux trajets ; informations sur le service	E-mail	Contrat, art. 6.1.b ; intérêt légitime, art. 6.1.f (désinscription possible pour les informations)	Vie du compte
Communications promotionnelles	E-mail	Consentement, art. 6.1.a	Jusqu'au retrait
Améliorer l'application	Écrans consultés	Intérêt légitime, art. 6.1.f	180 jours
Répondre aux demandes d'aide	Messages, pièces jointes	Contrat, art. 6.1.b ; intérêt légitime, art. 6.1.f	12 mois après la suppression du compte
Informer le destinataire, recueillir son avis, permettre un pourboire	E-mail, étapes, note, pourboire	Intérêt légitime, art. 6.1.f ; contrat pour le pourboire, art. 6.1.b	12 mois après la course
Fournir Tipper Comptoir, prouver l'acceptation de ses conditions	Comptes, commerces, courses, carnet d'adresses ; date, IP et navigateur de l'acceptation	Contrat, art. 6.1.b ; intérêt légitime, art. 6.1.f (preuve)	Informations du destinataire d'une course : 12 mois après la course. Brouillons de course : 7 jours après la dernière modification. Carnet d'adresses : 24 mois sans course. Le reste : tant que le compte commerçant existe
Répondre aux formulaires du site	Formulaire	Consentement, art. 6.1.a	18 mois sans activité, puis anonymisées
Protéger les formulaires et l'API	IP, données techniques	Intérêt légitime, art. 6.1.f	Quelques heures
Mesurer l'audience du site	Cookies de mesure	Consentement (art. 82 loi Informatique et Libertés)	Voir la politique cookies
Prouver qu'une suppression a été faite	Trace de la demande	Obligation légale de rendre compte, art. 5.2 et 6.1.c	Le temps nécessaire pour prouver la suppression

7. Qui reçoit vos données

L'équipe Tipper, avec des accès nominatifs limités à ce dont chacun a besoin.
Les commerçants, destinataires et Tippers liés à une course, pour les seules informations décrites aux sections 2 et 3.
Nos prestataires (section 8).
Les autorités, lorsque la loi nous y oblige.

Lorsque vous ouvrez un itinéraire dans Plans, Google Maps ou Waze, l'application choisie traite les données selon sa propre politique. Nous ne vendons pas vos données.

8. Nos prestataires

Entité	Rôle	Pays
Amazon Web Services EMEA SARL	Hébergement des serveurs, de la base de données et des fichiers ; connexion ; envoi et réception des e-mails ; lecture automatique des documents (Textract)	France (Paris) ; Irlande pour les sauvegardes et la réception des e-mails
Amazon Web Services (Rekognition)	Détection de la présence d'un seul visage net sur la photo de profil, sans comparaison ni gabarit biométrique	Irlande
Amazon Web Services (Amazon Location, données Esri)	Calcul d'itinéraires et localisation d'adresses de commerces	Irlande
Stripe	Compte de versement des Tippers (responsable distinct pour ses vérifications), facturation et portefeuille des commerçants, pourboires	Irlande et États-Unis
Expo (650 Industries, Inc.)	Acheminement des notifications de l'application ; mises à jour de l'application	États-Unis
Apple	Notifications sur iPhone ; notifications web de Comptoir dans Safari ; fonds de carte de l'application (Plans)	États-Unis
Google, Mozilla, Microsoft	Notifications web de Comptoir, selon votre navigateur ; leur contenu est chiffré de bout en bout	États-Unis
Institut national de l'information géographique et forestière (IGN)	Suggestions et vérification des adresses dans Comptoir (saisie et import de clients)	France
Cloudflare (Turnstile)	Protection des formulaires du site contre les robots	Mondial, dont États-Unis
Google	Mesure d'audience du site, seulement si vous l'acceptez	Union européenne et États-Unis
Anthropic	Assistant d'intelligence artificielle utilisé par l'équipe, qui peut lire des données personnelles lors de travaux internes (par exemple le traitement d'une demande de contact ou le diagnostic d'une erreur) ; aide à la réponse aux demandes d'aide, lorsque cette fonction sera activée	États-Unis
Google Ireland Limited (Google Workspace)	Messagerie de l'équipe : reçoit les e-mails envoyés à contact@tipper.fr et à nos autres adresses, ainsi que les notifications des formulaires du site	Union européenne et États-Unis

Le moteur de mise en relation fonctionne sur nos serveurs, hébergés par Amazon Web Services à Paris.

9. Transferts hors de l'Union européenne

Certains prestataires peuvent traiter des données aux États-Unis. Ces transferts sont encadrés par :

le cadre de protection des données UE–États-Unis (Data Privacy Framework), lorsque le prestataire y adhère ;
à défaut, les clauses contractuelles types de la Commission européenne.

Vous pouvez nous demander une copie de ces garanties.

10. Combien de temps nous gardons vos données

Données	Durée
Compte Tipper (profil, domicile, trajets, préférences, documents, photo)	Tant que le compte existe, et au plus 3 ans sans connexion (e-mail d'avertissement 30 jours avant la suppression)
Images des pièces justificatives	6 mois après l'activation du compte (pour une pièce envoyée plus tard : 6 mois après son envoi). Si le compte n'est pas activé : jusqu'à la suppression du compte
Numéro de pièce d'identité	Remplacé par une empreinte dès la validation ; empreinte effacée avec le compte
Preuve que votre identité a été vérifiée (types de documents, date), sans les documents	5 ans après la suppression du compte, pour pouvoir la produire en cas de litige (intérêt légitime)
Photos prises pendant un trajet	12 mois, ou moins si le compte est supprimé avant
Coordonnées jointes à un signalement	12 mois
Écrans consultés	180 jours
Historique d'aide	12 mois après la suppression du compte
Participation aux frais, versements, factures, portefeuille commerçant	10 ans
Trace de votre demande de suppression	Le temps nécessaire pour prouver que la suppression a été faite
Données de suivi des destinataires (e-mail, note, commentaire, pourboire)	12 mois après la course
Informations du destinataire d'une course Comptoir (nom, adresse, téléphone, e-mail, consignes)	12 mois après la course
Brouillons de course Comptoir (destinataire, adresse, consignes)	7 jours après la dernière modification
Carnet d'adresses Comptoir	24 mois sans course, ou dès sa suppression par le commerçant (30 jours au plus)
Formulaires du site	18 mois sans activité, puis anonymisées
Codes de connexion Comptoir	10 minutes
Compteurs anti-abus	Quelques heures
Sauvegardes techniques	Environ 3 semaines

Supprimer votre compte Tipper

Dans l'application, ouvrez votre profil, puis « Supprimer mon compte ». La suppression a lieu au plus tôt 30 jours après la demande, et vous pouvez l'annuler jusque-là. Entre-temps :

les créneaux encore annulables sans frais sont libérés ;
les autres restent à votre nom ;
nous demandons le versement de ce qui vous revient.

À la date prévue, votre connexion est désactivée. Vos données sont effacées de nos systèmes, de notre moteur de mise en relation et de notre messagerie, et votre nom est retiré des courses des commerçants. Votre compte de versement Stripe est fermé. Restent seulement, pour les durées du tableau ci-dessus : les écritures comptables et la preuve de vérification, sous une forme qui ne vous identifie plus directement ; l'historique de vos demandes d'aide ; la trace de votre demande de suppression. Les sauvegardes techniques s'effacent d'elles-mêmes en environ 3 semaines.

Comptes inactifs

Un compte Tipper sans aucune connexion pendant 3 ans est supprimé de la même façon. Nous vous prévenons par e-mail 30 jours avant ; il suffit de vous connecter à l'application pour le conserver.

11. Décisions automatisées

Certaines étapes sont automatiques pour être rapides. Voici lesquelles, et ce qu'elles décident.

Étape	Ce qui est automatique	Intervention humaine
Offres que vous voyez	Les créneaux affichés sont calculés à partir de votre domicile et de votre rayon, des jours et horaires de vos trajets (à une heure près) et du détour que vous acceptez. Quand vous réservez, les courses du créneau se rattachent à votre trajet ; vous l'acceptez au moment de réserver. Le montant de la participation dépend de la course (distance, commerce), pas de votre profil.	Vous restez libre de réserver ou non.
Documents	Lecture automatique (Textract). Un document reconnu avec une confiance élevée est validé automatiquement. Un document expiré est refusé, et vous en fournissez un valide.	Tous les autres documents sont vérifiés par l'équipe.
Doublon d'identité	L'empreinte du numéro est comparée à celles des comptes existants.	En cas de correspondance, le dossier passe en revue humaine ; rien n'est refusé automatiquement.
Photo de profil	Détection de la présence d'un visage (Rekognition DetectFaces). Une photo sans visage ou avec plusieurs visages est refusée, et vous la reprenez. Une photo nette est approuvée automatiquement.	Les autres photos sont vérifiées par l'équipe. Aucune comparaison avec votre pièce d'identité, aucun gabarit biométrique.
Avancement de l'inscription	Passage automatique à l'étape suivante quand toutes les pièces sont validées. Retour à « documents à fournir » si une pièce redevient nécessaire.	L'activation et le refus d'un compte sont toujours décidés par l'équipe.
Mise en attente de la participation	Si un trajet se termine avec un signalement ouvert (position non confirmée, ou remise sans le code du destinataire), les sommes deviennent disponibles 48 h après la fin du trajet au lieu de tout de suite. Elles sont libérées automatiquement.	Toute retenue ou correction est décidée par une personne, qui vous contacte.
Écart de position	À l'arrivée au point de retrait, un écart de plus de 500 m avec l'adresse du commerce crée un signalement. L'étape reste validée.	Le signalement est examiné par l'équipe.
Notes des destinataires	Aucune.	Elles ne servent à aucune décision vous concernant.
Compte inactif	Un compte sans connexion pendant 3 ans reçoit un e-mail d'avertissement, puis est supprimé 30 jours plus tard si aucune connexion n'a eu lieu.	Il suffit de vous connecter pour l'éviter ; vous pouvez aussi nous écrire.

Ces traitements ne produisent pas, à eux seuls, de décision ayant un effet juridique ou un effet important comparable, au sens de l'article 22 du RGPD. Vous pouvez à tout moment demander qu'une personne réexamine une décision, présenter votre point de vue ou la contester : écrivez à contact@tipper.fr.

12. Sécurité

Hébergement dans des environnements privés dans l'Union européenne ; échanges chiffrés.
Documents et photos jamais publics, ouverts seulement par des liens temporaires.
Accès de l'équipe nominatif et limité ; actions sensibles journalisées.
Informations de connexion gardées dans l'espace sécurisé de votre téléphone.
Aucun pixel de mesure d'ouverture dans nos e-mails.

En cas de violation de données présentant un risque pour vous, nous prévenons la CNIL dans les 72 heures et, si le risque est élevé, nous vous informons directement.

13. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Vous pouvez retirer votre consentement à tout moment, demander le réexamen humain d'une décision automatisée (section 11) et définir des directives sur le sort de vos données après votre décès.

Comment les exercer :

Supprimer votre compte Tipper : dans l'application (« Supprimer mon compte »).
Obtenir une copie de vos données : écrivez-nous. Nous vous l'envoyons dans un format structuré et lisible par machine.
Commerçants, destinataires, prospects, et tout autre droit : écrivez à contact@tipper.fr.
E-mails : chaque message non essentiel contient un lien pour gérer vos préférences.

Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe ; nous vous prévenons alors. Nous pouvons vous demander de confirmer votre identité, par exemple en écrivant depuis l'adresse e-mail de votre compte.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

14. Cookies

Le détail des cookies du site, et le moyen de changer d'avis à tout moment, figurent dans notre politique cookies. L'application et Tipper Comptoir n'utilisent que le stockage nécessaire à votre connexion.

15. Modifications

Nous pouvons faire évoluer cette politique. En cas de changement important, nous vous prévenons dans l'application, dans Comptoir ou par e-mail avant qu'il s'applique. La date de dernière mise à jour figure en haut de cette page.