Politique de confidentialité

Site : kamplo.com — version 1.0Entrée en vigueur : 8 septembre 2026 · Dernière mise à jour : 8 septembre 2026

La présente politique a pour objet d'informer les personnes concernées, de manière concise, transparente, compréhensible et aisément accessible, des traitements de données à caractère personnel mis en œuvre dans le cadre de l'utilisation du site kamplo.com et des services associés. Elle est établie conformément au règlement (UE) 2016/679 (RGPD), en particulier ses articles 12, 13 et 14, à la loi n° 78-17 du 6 janvier 1978 modifiée, et à la directive 2002/58/CE dite « ePrivacy » s'agissant des traceurs.

1. Responsable du traitement

Identité: Aurélien MAUREL, entrepreneur individuel (EI)
Nom commercial: MAUREL LABS
Marque exploitée: Kamplo
SIREN: 108 796 863
Adresse: 28 rue Gallieni, 81300 Graulhet, France
Contact protection des données: maurel.aurelien1@gmail.com

Délégué à la protection des données : l'éditeur n'a pas désigné de délégué, la désignation n'étant pas obligatoire au regard des critères de l'article 37 du RGPD. Toute demande relative aux données personnelles est traitée directement par le responsable du traitement à l'adresse ci-dessus.

2. Qualité de l'éditeur selon les traitements

2.1 Kamplo agit en qualité de responsable du traitement

la création et la gestion des comptes des associations organisatrices ;
l'établissement des devis, la facturation, l'encaissement et la comptabilité ;
l'organisation de la production, de la logistique et de l'expédition des commandes ;
la relation client, le support et la gestion des réclamations ;
la prospection commerciale auprès des associations étudiantes ;
la sécurité, la maintenance et la mesure du bon fonctionnement du site.

2.2 Kamplo agit en qualité de sous-traitant (article 28 du RGPD)

Pour la collecte et l'hébergement des données des étudiants participant à une campagne de précommande. Ces données sont collectées pour le compte et sur instruction de l'association organisatrice, qui en est le responsable du traitement : c'est elle qui décide de lancer la campagne, qui en définit les finalités, qui communique avec ses membres et qui procède à l'encaissement.

Dans ce cadre, l'éditeur :

ne traite les données que sur instruction documentée de l'association organisatrice ;
ne les utilise pour aucune finalité propre, et notamment jamais à des fins de prospection auprès des étudiants ;
soumet ses propres sous-traitants aux mêmes obligations ;
assiste l'association dans la réponse aux demandes d'exercice des droits ;
supprime ou restitue les données au terme de la prestation.

Étudiant participant à une campagne : pour toute demande relative à vos données (accès, rectification, suppression), adressez-vous en priorité à l'association organisatrice de la campagne. Vous pouvez également écrire à maurel.aurelien1@gmail.com : votre demande sera transmise sans délai à l'association et traitée en coopération avec elle.

3. Données collectées, finalités, bases légales et durées

3.1 Compte et espace de l'association organisatrice

Personnes concernées: Membres du bureau de l'association (président, trésorier, responsable communication)
Données: Nom, prénom, adresse électronique, mot de passe (stocké sous forme de condensat chiffré, jamais en clair), numéro de téléphone, nom et type de l'association, établissement de rattachement, ville, adresse de livraison, coordonnées de facturation
Finalités: Création et gestion du compte, authentification, fourniture du service de campagne, communication de service
Base légale: Exécution du contrat ou de mesures précontractuelles — art. 6.1.b du RGPD
Durée de conservation: Durée de la relation contractuelle, puis 3 ans à compter du dernier contact actif, avant suppression ou anonymisation
Caractère obligatoire: Ces données sont nécessaires ; à défaut, le compte ne peut être créé

3.2 Précommandes des étudiants

Personnes concernées: Étudiants participant à une campagne
Données: Prénom, nom, adresse électronique, taille, quantité, couleur et options choisies, éventuellement promotion ou groupe, statut de paiement renseigné par l'association, horodatage de la précommande
Finalités: Enregistrement de la précommande, envoi de l'e-mail de confirmation, consolidation de la commande de l'association, préparation du devis et de la production
Base légale: Exécution de mesures précontractuelles à la demande de la personne (art. 6.1.b) et intérêt légitime de l'association organisatrice (art. 6.1.f)
Durée de conservation: Durée de la campagne, puis 12 mois à compter de la livraison du lot, sauf instruction contraire et documentée de l'association
Aucun paiement: Aucune donnée bancaire n'est demandée ni collectée auprès des étudiants. Aucun compte utilisateur n'est créé
Transmission au fournisseur: Le fournisseur de production ne reçoit que le fichier de design, la ventilation des tailles et l'adresse de livraison unique de l'association. Aucune donnée nominative d'étudiant ne lui est transmise

3.3 Devis, commandes et paiement

Personnes concernées: Représentants de l'association organisatrice
Données: Coordonnées de facturation, montants, historique des devis et des commandes, statut de paiement, identifiant de session Stripe, quatre derniers chiffres du moyen de paiement et type de carte le cas échéant
Finalités: Émission du devis, encaissement, comptabilité, lutte contre la fraude, suivi de commande
Base légale: Exécution du contrat (art. 6.1.b) et obligation légale de conservation des pièces comptables (art. 6.1.c)
Durée de conservation: Pièces comptables et factures : 10 ans à compter de la clôture de l'exercice (art. L. 123-22 du code de commerce). Suivi de commande : 3 ans
Données bancaires: L'éditeur ne collecte, ne traite ni ne conserve aucune donnée de carte bancaire. Le paiement est intégralement opéré sur les pages sécurisées de Stripe

3.4 Contenus téléversés (designs, logotypes)

Données: Fichiers image téléversés, pouvant incidemment contenir des données personnelles (photographie, nom, signature d'un membre)
Finalités: Prévisualisation, contrôle de conformité, fabrication
Base légale: Exécution du contrat (art. 6.1.b)
Durée de conservation: Durée de la relation contractuelle, puis 12 mois à compter de la dernière commande utilisant le fichier
Responsabilité: L'association organisatrice garantit disposer des autorisations nécessaires, y compris au titre du droit à l'image des personnes représentées

3.5 Support, contact et réclamations

Données: Nom, adresse électronique, contenu de la demande et pièces jointes, historique des échanges
Finalités: Traitement de la demande, suivi de la qualité de service, preuve en cas de litige
Base légale: Intérêt légitime (art. 6.1.f)
Durée de conservation: 3 ans à compter du dernier échange ; en cas de litige, jusqu'au terme de la prescription applicable

3.6 Prospection commerciale auprès des associations

Personnes concernées: Membres des bureaux d'associations étudiantes, sections Erasmus et ESN
Données: Nom, prénom, fonction, adresse électronique professionnelle ou associative, nom de l'association, établissement, pays, historique des échanges
Sources: Données communiquées directement par la personne, ou collectées auprès de sources publiquement accessibles (sites des associations et des établissements, annuaires associatifs, comptes publics)
Finalités: Prise de contact et proposition de services adaptés à l'activité de l'association
Base légale: Intérêt légitime à développer une activité commerciale auprès de personnes morales (art. 6.1.f), conformément à la doctrine de la CNIL en matière de prospection B2B
Durée de conservation: 3 ans à compter de la collecte ou du dernier contact émanant de la personne
Droits spécifiques: Chaque message comporte un moyen simple, gratuit et immédiat de s'opposer à toute sollicitation ultérieure

3.7 Fonctionnement technique, journalisation et sécurité

Données: Adresse IP, horodatage, pages consultées, type de navigateur et de terminal, journaux d'authentification et d'erreurs
Finalités: Sécurité du site, détection et investigation des incidents, prévention des abus, diagnostic technique
Base légale: Intérêt légitime (art. 6.1.f) et obligation de sécurité (art. 32 du RGPD)
Durée de conservation: 6 mois pour les journaux applicatifs ; 12 mois au maximum pour les journaux de sécurité

3.8 E-mails transactionnels

Les courriers électroniques de service (confirmation de précommande, récapitulatif de campagne, envoi du devis, confirmation de paiement, avis d'expédition) sont acheminés via le service d'e-mails de la plateforme Lovable, opéré par Resend. Les adresses électroniques et les métadonnées de délivrabilité (envoi, ouverture technique, échec de remise) sont conservées 12 mois.

4. Absence de traitements sensibles et de décision automatisée

L'éditeur ne collecte aucune donnée relevant des catégories particulières visées à l'article 9 du RGPD, ni aucune donnée relative à des condamnations pénales.

Aucune décision automatisée produisant des effets juridiques ou affectant de manière significative les personnes, au sens de l'article 22 du RGPD, n'est mise en œuvre : le prix final de chaque commande est fixé manuellement par l'éditeur. Aucun profilage publicitaire ou comportemental n'est réalisé.

5. Mineurs

Les services de Kamplo sont destinés aux associations étudiantes et à leurs membres, majoritairement majeurs. Conformément à l'article 8 du RGPD et à l'article 45 de la loi Informatique et Libertés, l'âge à partir duquel un mineur peut consentir seul est fixé à 15 ans en France.

L'éditeur ne collecte pas sciemment de données concernant des personnes de moins de 15 ans. Si une telle collecte était portée à sa connaissance, les données seraient supprimées sans délai. Toute demande en ce sens peut être adressée à maurel.aurelien1@gmail.com.

6. Destinataires des données et sous-traitants

Les données ne font l'objet d'aucune cession, location ou vente à des tiers à des fins commerciales. Elles sont accessibles, dans la limite de ce qui est strictement nécessaire :

au responsable du traitement lui-même ;
à l'association organisatrice, pour les seules données relatives à sa propre campagne ;
aux prestataires techniques listés ci-dessous, agissant en qualité de sous-traitants au sens de l'article 28 du RGPD ;
le cas échéant, à l'expert-comptable de l'éditeur et aux autorités administratives ou judiciaires, sur réquisition régulière.

Sous-traitant	Rôle	Localisation	Encadrement des transferts hors UE
Lovable Labs Incorporated	Hébergement de l'application	Union européenne	Clauses contractuelles types le cas échéant
Supabase (Lovable Cloud)	Base de données, authentification, stockage de fichiers, fonctions serveur	Union européenne	Clauses contractuelles types de la Commission européenne si traitement hors UE
Stripe Payments Europe, Ltd.	Traitement des paiements par carte des devis associations	Irlande (UE) ; certaines opérations peuvent impliquer Stripe, Inc. aux États-Unis	Clauses contractuelles types et, le cas échéant, EU-US Data Privacy Framework
Resend (via la plateforme Lovable)	Acheminement des e-mails transactionnels	États-Unis	Clauses contractuelles types et mesures supplémentaires

Aucun transporteur n'est à ce jour désigné de manière permanente ; le prestataire logistique retenu pour une commande est communiqué à l'association organisatrice et cette liste est mise à jour en conséquence.

Transferts hors Union européenne : lorsqu'un transfert vers un pays tiers est nécessaire, il est encadré par l'un des mécanismes prévus au chapitre V du RGPD. Une copie des garanties mises en place peut être obtenue sur demande à maurel.aurelien1@gmail.com.

7. Sécurité des données

L'éditeur met en œuvre les mesures techniques et organisationnelles appropriées, au sens de l'article 32 du RGPD, notamment :

chiffrement des communications par protocole TLS sur l'ensemble du site ;
chiffrement des données au repos par l'infrastructure d'hébergement ;
stockage des mots de passe sous forme de condensats calculés au moyen d'un algorithme de dérivation à sel ;
politiques de sécurité au niveau des lignes restreignant l'accès de chaque association à ses seules données ;
écriture des précommandes exclusivement par des fonctions serveur, jamais depuis le navigateur ;
stockage des montants côté serveur uniquement ;
authentification par identifiant et mot de passe, avec limitation du nombre de tentatives ;
restriction des accès administrateurs par rôle et principe du moindre privilège ;
journalisation des accès et des opérations sensibles ;
sauvegardes régulières assurées par l'hébergeur ;
absence totale de stockage de données bancaires, externalisées auprès d'un prestataire certifié PCI-DSS.

Violation de données : en cas de violation susceptible d'engendrer un risque pour les droits et libertés des personnes, l'éditeur notifiera la CNIL dans un délai de 72 heures conformément à l'article 33 du RGPD et, lorsque le risque est élevé, informera les personnes concernées sans délai conformément à l'article 34. Lorsqu'il agit en qualité de sous-traitant, il alertera l'association organisatrice dans les meilleurs délais.

8. Vos droits

Droit	Portée
Accès (art. 15)	Obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie
Rectification (art. 16)	Faire corriger des données inexactes ou compléter des données incomplètes
Effacement (art. 17)	Obtenir la suppression de vos données, sous réserve des obligations légales de conservation
Limitation (art. 18)	Demander le gel temporaire du traitement
Opposition (art. 21)	Vous opposer à un traitement fondé sur l'intérêt légitime, et à tout moment et sans motif en matière de prospection
Portabilité (art. 20)	Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine
Retrait du consentement (art. 7.3)	Retirer à tout moment un consentement donné, sans effet sur la licéité du traitement antérieur
Directives post mortem (art. 85 loi I&L)	Définir des directives relatives au sort de vos données après votre décès

Comment exercer vos droits

Par courrier électronique : maurel.aurelien1@gmail.com. Par voie postale : Aurélien MAUREL — EI (MAUREL LABS), 28 rue Gallieni, 81300 Graulhet, France.

Afin de traiter votre demande, il pourra vous être demandé de préciser le traitement concerné et, en cas de doute raisonnable sur votre identité, de justifier de celle-ci. Délai de réponse : un mois à compter de la réception, prorogeable de deux mois en raison de la complexité ou du nombre de demandes.

Si votre demande porte sur une précommande enregistrée dans le cadre d'une campagne associative, l'éditeur agit en qualité de sous-traitant : votre demande sera transmise à l'association organisatrice, responsable du traitement, et instruite en coopération avec elle.

Réclamation auprès de l'autorité de contrôle

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr. Les personnes résidant dans un autre État membre peuvent également saisir l'autorité de contrôle de leur pays de résidence.

9. Cookies et traceurs

Le site n'a recours qu'à des traceurs strictement nécessaires à la fourniture du service expressément demandé par l'utilisateur. En application de l'article 82 de la loi Informatique et Libertés et des lignes directrices de la CNIL, ces traceurs sont exemptés de consentement préalable. Aucun bandeau de consentement n'est donc affiché.

Traceur	Émetteur	Finalité	Durée
Jeton de session d'authentification	Supabase (première partie)	Maintien de la session de l'organisateur connecté	Durée de la session, renouvellement automatique ; expiration après 7 jours d'inactivité
Préférence de langue	Kamplo (première partie)	Mémorisation de la langue d'affichage (français / anglais)	12 mois
Traceurs de sécurité et anti-fraude	Stripe	Sécurisation de la page de paiement du devis, lors du seul règlement	Selon la politique de Stripe

Le site n'utilise aucun outil de mesure d'audience (Google Analytics, Matomo, Plausible ou équivalent), aucun pixel publicitaire et aucun traceur de réseau social.

Vous pouvez à tout moment configurer votre navigateur pour refuser les cookies ou en être averti. Le refus des cookies strictement nécessaires empêche toutefois l'accès à l'espace organisateur et le règlement d'un devis.

10. Communications électroniques

E-mails de service : les messages relatifs à l'exécution du service (confirmation de précommande, devis, confirmation de paiement, expédition) ne constituent pas de la prospection et ne peuvent faire l'objet d'un désabonnement, sauf à cesser d'utiliser le service.

Prospection : toute sollicitation commerciale adressée à une association comporte un lien ou une mention permettant de s'y opposer immédiatement et gratuitement. Le refus est enregistré et respecté pour toute sollicitation ultérieure.

11. Registre des traitements et documentation

Conformément à l'article 30 du RGPD, l'éditeur tient un registre des activités de traitement, tenu à la disposition de la CNIL sur demande. Il conserve également la documentation relative à ses sous-traitants, aux durées de conservation et aux mesures de sécurité mises en œuvre.

12. Modification de la présente politique

La présente politique peut être modifiée à tout moment afin de tenir compte de l'évolution des services, des prestataires techniques ou de la réglementation applicable. La version en vigueur est celle publiée à l'adresse https://kamplo.com/legal/privacy. En cas de modification substantielle, les titulaires d'un compte en seront informés par courrier électronique ou par une notification lors de leur connexion, préalablement à son entrée en vigueur.

Version	Date	Objet
1.0	8 septembre 2026	Version initiale

13. Contact

Responsable du traitement: Aurélien MAUREL — EI (nom commercial MAUREL LABS)
Adresse postale: 28 rue Gallieni, 81300 Graulhet, France
Adresse électronique: maurel.aurelien1@gmail.com
Autres informations légales: Mentions légales