Politique de confidentialité

Dernière mise à jour : octobre 2026. Cet avis décrit la façon dont Puck Flip traite l’information liée à ce site, à l’espace de travail accessible après connexion et au compte eBay que vous pouvez y relier. Il tient aussi lieu d’avis de confidentialité exigé pour la participation au réseau partenaire eBay (eBay Partner Network).

Qui nous sommes

Puck Flip (puckflip.com) est exploité par David Coutu, entreprise individuelle (travailleur autonome), Québec, Canada (NEQ 2272273188). David Coutu est la personne responsable de la protection des renseignements personnels décrits ici.

Questions, demandes d’accès et demandes de suppression : support@puckflip.com.

Les renseignements que nous traitons

Compte — Vous pouvez vous connecter avec Google, avec Facebook, ou avec une adresse courriel et une clé d’accès (passkey). Google et Facebook nous transmettent une adresse courriel, un nom d’affichage, l’adresse d’une photo de profil et un identifiant propre au fournisseur. Avec une clé d’accès, nous conservons votre adresse courriel, la clé publique de la clé d’accès et le nom que vous lui donnez ; nous ne recevons jamais la clé privée. Ces renseignements servent à créer et à protéger votre compte.
Codes de vérification par courriel — Lorsque vous vous inscrivez ou vous connectez par courriel, nous conservons une empreinte du code ainsi que l’adresse IP d’où vient la demande, pour limiter les abus. Ces lignes sont supprimées après 24 heures.
Le contenu que vous créez — Annonces en brouillon et publiées, gabarits d’annonce, cartes de votre collection (avec vos notes et vos coûts d’achat), recherches enregistrées, cartes surveillées, snipes, historique de portefeuille et préférences, dont le code postal et le pays du vendeur que vous saisissez pour eBay.
Photos de cartes — Les images que vous téléversez pour identifier une carte. Voir la section qui leur est consacrée ci-dessous.
Compte eBay connecté — Les jetons d’accès et de rafraîchissement OAuth (chiffrés dans notre base), vos identifiants d’utilisateur eBay, et les données d’annonces, de commandes et de ventes que nous récupérons en votre nom : numéros de commande, montants, statut et numéros de suivi. Nous ne conservons ni le nom ni l’adresse de vos acheteurs.
Facturation — Le statut de l’abonnement, les identifiants de client et d’abonnement Stripe, et l’adresse courriel transmise à Stripe au moment du paiement. Nous ne recevons ni ne conservons jamais votre numéro de carte.
Courriels que nous vous envoyons — Les alertes que vous configurez (cartes surveillées, occasions de vente dans votre collection, fin d’un lot d’annonces) sont envoyées à l’adresse de votre compte.
Journaux d’accès — Notre serveur web enregistre l’adresse IP, le navigateur, l’adresse demandée et l’heure de chaque requête, pour la sécurité et le dépannage. Les codes de connexion et les jetons transportés dans une adresse sont masqués avant l’écriture de la ligne.
Compteurs d’usage et mesure de fréquentation — décrits à la section « Témoins et mesure ».
Courriels de soutien — Les messages que vous nous envoyez et l’adresse d’où ils proviennent.

Photos de cartes et identification par intelligence artificielle

Chaque photo téléversée est d’abord réencodée sur notre serveur : les métadonnées qu’elle contient, dont le lieu et l’appareil enregistrés par votre téléphone, sont retirées, et les photos d’iPhone (HEIC) sont converties en JPEG. Une photo qui ne peut pas être réencodée est refusée. L’image ainsi nettoyée est ensuite transmise à des services tiers pour identifier la carte et trouver des articles comparables :

Google — la photo est envoyée à l’API d’intelligence artificielle générative Gemini de Google, qui lit le joueur, la série, le numéro de carte, le parallèle et les indices d’état.
eBay — la photo est envoyée à la recherche par image de l’API Browse d’eBay pour retrouver des annonces visuellement semblables.

Les photos sont conservées sur notre serveur sous des noms de fichier générés au hasard, pour que les résultats puissent être affichés et rouverts. Elles sont servies par adresse directe, sans connexion : quiconque détient l’adresse exacte d’une photo peut l’ouvrir. Ne téléversez pas d’image montrant quoi que ce soit que vous ne voulez pas voir traité ou consultable de cette façon. Les photos rattachées à votre compte sont supprimées quand vous supprimez votre compte (celles téléversées dans les 7 derniers jours le sont par le nettoyage quotidien, sous 7 jours) ; vous pouvez aussi nous demander de les supprimer à tout moment.

Fins du traitement

Fournir les outils que vous demandez : identifier des cartes, les évaluer, gérer votre collection, préparer et publier vos annonces eBay.
Protéger les comptes, prévenir les abus et appliquer les quotas d’utilisation.
Gérer la facturation et les abonnements.
Mesurer quelles pages sont consultées et quels canaux amènent de nouveaux comptes.
Attribuer les liens affiliés vers eBay, comme l’explique notre divulgation d’affiliation.

Nous ne vendons pas de renseignements personnels et nous ne les utilisons pas pour de la publicité comportementale.

Fournisseurs de services

Les fournisseurs suivants traitent des données pour notre compte ou à titre de responsables indépendants. Cette liste reflète les fonctions actuellement en service ; les fournisseurs marqués « selon la fonction » n’interviennent que si vous utilisez la fonction correspondante.

eBay Inc. — connexion OAuth à votre compte eBay, publication d’annonces, récupération des commandes et des ventes, recherche de marché et recherche par image, attribution des liens affiliés.
Google LLC — connexion avec Google, et API d’intelligence artificielle générative Gemini, utilisée pour identifier les photos de cartes téléversées et vérifier que les annonces comparables correspondent à votre carte.
Meta Platforms — Facebook Login, si vous choisissez ce mode de connexion.
Stripe, Inc. — paiement de l’abonnement, portail de facturation et traitement des paiements.
OVHcloud — hébergement. Notre serveur d’application et notre base de données sont situés au Québec, au Canada.
Hostinger — envoi (SMTP) des courriels que nous vous adressons et de nos propres notifications d’erreur.

Les polices et les bibliothèques de scripts sont servies depuis notre propre serveur : charger une page ne contacte aucun tiers. Les vignettes des annonces eBay, partout où elles s’affichent, sont chargées directement depuis les serveurs d’images d’eBay, et votre photo de profil depuis Google ou Facebook si vous vous êtes connecté par eux.

Durées de conservation

Compte et contenu — conservés tant que votre compte existe. Supprimer votre compte les efface immédiatement.
Photos téléversées — conservées tant qu’une annonce ou une carte de collection y renvoie. Les photos auxquelles plus rien ne renvoie sont supprimées après 7 jours.
Sessions — fermées après 30 jours sans visite.
Codes de vérification par courriel — 24 heures.
Compteurs d’usage du quota d’intelligence artificielle — 12 mois.
Mesure de fréquentation des pages publiques — 13 mois.
Relevés techniques des appels à l’intelligence artificielle (modèle, volume, erreurs — aucun identifiant de compte) — 90 jours.
Journaux d’accès du serveur web — 30 jours.
Journaux de l’application — 14 jours.
Caches de données d’articles eBay (analyses de cartes, résultats d’articles vendus, filtrage des ventes par intelligence artificielle) — 7 jours, puis purge par une tâche quotidienne.
Données du moteur de prix (annonces actives observées, titres non rapprochés) — 30 jours après la dernière observation de l’annonce.
Cache de la recherche publique de cartes (résultats de l’API Browse d’eBay) — servi pendant au plus 1 heure, lignes supprimées après 7 jours.
Cache de population PSA — 7 jours.
Valeurs de référence des cartes calculées à partir des données de marché — conservées tant que la carte figure à notre catalogue. Elles décrivent des cartes, pas des personnes.
Sauvegardes — chiffrées, conservées 7 jours sur notre serveur. Les sauvegardes ne sont pas modifiées : les données que vous supprimez en sortent à mesure qu’elles expirent.

eBay n’autorise pas la conservation des données d’articles au-delà du nécessaire ; c’est pourquoi les caches ci-dessus sont purgés à échéance fixe plutôt que gardés indéfiniment.

Témoins et mesure

Tous les témoins (cookies) sont posés par ce site ; aucun ne vient d’un tiers.

PHPSESSID — témoin de session, durée de 30 jours, HttpOnly, SameSite=Lax, Secure en HTTPS. Il vous garde connecté et n’est posé qu’une fois la connexion faite.
pf_csrf — jeton anti-falsification pour les visiteurs sans session (formulaires de connexion). HttpOnly, SameSite=Lax, supprimé à la fermeture du navigateur.
dc_locale — votre langue (français ou anglais), durée de 1 an, posé quand vous changez de langue.
pf_has_account — posé à votre première connexion, durée de 1 an, HttpOnly, SameSite=Lax. Il indique seulement à la page d’accueil publique d’afficher « Ouvrir l’app » plutôt que l’invitation à s’inscrire. Il ne contient aucun identifiant.
pf_utm — posé seulement si vous arrivez par un lien portant des paramètres utm_ (une publication, une annonce, une infolettre), durée de 90 jours, HttpOnly, SameSite=Lax. Il retient les noms de la source, du support et de la campagne de cette première visite, pour que nous puissions compter quels canaux amènent de nouveaux comptes. Il ne contient aucun identifiant. Le site fonctionne de la même façon sans lui : vous pouvez le supprimer de votre navigateur à tout moment.
Stockage du navigateur — vos dernières recherches et quelques choix d’interface sont gardés dans votre propre navigateur (stockage local) et ne nous sont pas transmis.
Mesure de fréquentation des pages publiques — les pages vues et les clics sur les liens affiliés sont enregistrés sur notre serveur avec un visitor_hash : une empreinte à clé de votre adresse IP, de la date UTC du jour et de votre navigateur, calculée avec un secret qui ne quitte jamais notre serveur. L’adresse IP elle-même n’est pas conservée dans cette table et, la date entrant dans le calcul, l’empreinte change toutes les 24 heures.
Compteurs d’usage — les identifications par intelligence artificielle sont comptées avec ce même visitor_hash, puis avec votre numéro de compte une fois connecté.
Liens affiliés — quand vous suivez un lien vers eBay, eBay peut poser ses propres témoins selon sa propre politique.

Nous n’utilisons aucun traceur publicitaire ou analytique tiers, et nous n’enregistrons pas vos sessions de navigation.

Données eBay et fermeture de compte

Quand vous reliez votre compte eBay, nous conservons les jetons OAuth nécessaires pour agir en votre nom et nous traitons les annonces, les commandes et les ventes conclues que renvoient les API d’eBay. Vous pouvez vous déconnecter à tout moment depuis vos paramètres ; voir Suppression des données.

Nous exploitons le point de terminaison eBay de suppression ou de fermeture de compte, à l’adresse /ebay/marketplace-account-deletion. Lorsqu’eBay nous avise qu’un compte a été fermé, nous vérifions la signature de l’avis et nous effaçons les données correspondantes : jetons OAuth eBay, annonces et gabarits d’annonce, cartes de collection, snipes, cartes surveillées, recherches enregistrées, lots d’annonces et historique de portefeuille. Votre connexion à Puck Flip et votre abonnement sont conservés, parce qu’ils appartiennent à votre compte Puck Flip et non à eBay ; le compte revient simplement à l’état où aucun compte eBay n’est relié.

Lieu du traitement

Notre serveur et notre base de données sont hébergés au Québec, au Canada. Plusieurs des fournisseurs énumérés plus haut (en particulier eBay, Google, Meta et Stripe) exercent leurs activités hors du Québec et hors du Canada, notamment aux États-Unis et dans l’Union européenne : les renseignements décrits pour chacun d’eux leur y sont communiqués.

Vos droits

Vous pouvez demander à consulter vos renseignements personnels, à les faire corriger, à en obtenir une copie, à retirer votre consentement ou à les faire supprimer. Une partie se fait directement :

Supprimer votre compte — Paramètres → Compte → Supprimer mon compte. Voir Suppression des données.
Déconnecter eBay — Paramètres → Connexion eBay.
Télécharger vos données — Paramètres → Compte → Télécharger mes données, en fichier JSON. Votre collection s’exporte aussi en fichier CSV depuis la page de la collection.

Pour tout le reste, écrivez à support@puckflip.com. Nous répondons dans un délai de 30 jours. Nous pouvons vous demander de confirmer l’adresse courriel de votre compte avant de donner suite à une demande. Vous pouvez aussi porter plainte auprès de l’autorité compétente là où vous vivez — au Québec, la Commission d’accès à l’information.

Sécurité

L’accès à l’espace de travail exige une authentification, les témoins de session sont HttpOnly et transmis en HTTPS, les jetons eBay sont chiffrés dans notre base, les sauvegardes sont chiffrées avec une clé qui n’est pas conservée sur le serveur, les avis d’eBay et de Stripe sont vérifiés par signature, et l’accès à la base de données est réservé à l’application. Aucun moyen de transmission ou de stockage n’est parfaitement sûr ; nous ne pouvons donc pas garantir une sécurité absolue.

Enfants

Le service ne s’adresse pas aux enfants de moins de 13 ans, et nous ne recueillons pas sciemment leurs renseignements personnels.

Modifications

Nous pouvons mettre cet avis à jour. La date de « dernière mise à jour » ci-dessus change alors. Les changements importants touchant l’usage de vos données seront annoncés dans l’application.

Cette page décrit nos pratiques réelles ; elle ne constitue pas un avis juridique. Voir aussi nos conditions d’utilisation, la page Suppression des données et notre divulgation d’affiliation.