Politique de confidentialité

Version préliminaire. Ce texte décrit nos traitements actuels de manière factuelle et exacte. Il n'a pas encore été vérifié par un juriste spécialisé en protection des données. Une relecture juridique est prévue avant toute procédure formelle.

Qui est responsable du traitement

Responsable du traitement :

1337 Media B.V., société de droit néerlandais, exploitant le site CBDviva
Laan ten Roode 2, 5711 GC Someren, Pays-Bas
Registre du commerce néerlandais (Kamer van Koophandel) : 72266589
Numéro de TVA intracommunautaire : NL859052540B01
E-mail : info@cbdviva.fr
Téléphone : +31 493 782 783

Pour toute demande concernant vos données (accès, rectification, effacement), écrivez à cette adresse avec l'objet « Demande RGPD ». Nous répondons dans un délai d'un mois, conformément à l'article 12 du RGPD.

Nous n'avons pas désigné de délégué à la protection des données (DPO). Nos activités ne remplissent aucun des critères de l'article 37 du RGPD. Les demandes sont traitées par la direction.

Quelles données nous traitons

Nous collectons uniquement ce qui est nécessaire au traitement de votre commande, à nos échanges avec vous et au fonctionnement du site.

Lors d'une commande

| Donnée | Finalité | Durée de conservation | |---|---|---| | Nom et prénom | Livraison et facturation | 7 ans (obligation fiscale néerlandaise) | | Adresse de livraison et de facturation | Livraison et facturation | 7 ans | | Adresse e-mail | Confirmation de commande et service client | 7 ans | | Numéro de téléphone (facultatif) | Suivi de livraison par le transporteur | 7 ans | | Historique de commande (produits, prix, dates) | Administration et service client | 7 ans | | Données de paiement (identifiant de transaction uniquement) | Rapprochement du paiement et facturation | 7 ans |

Nous ne conservons aucune donnée de carte bancaire ni de compte bancaire. Les paiements sont traités par Mollie ou Viva.com (voir plus bas).

Lors de la navigation sur le site

| Donnée | Finalité | Durée de conservation | |---|---|---| | cbdviva-cart-token-fr (localStorage du navigateur) | Mémoriser votre panier entre deux visites | 48 heures ; supprimé immédiatement si vous effacez les données du navigateur | | Données de commande saisies (sessionStorage du navigateur) | Pré-remplir votre adresse pendant la commande, uniquement sur votre appareil | Jusqu'à la fermeture du navigateur ; 30 minutes d'inactivité au maximum | | cbdviva-thank-you-<numéro de commande> (sessionStorage) | Afficher le récapitulatif sur la page de confirmation | Jusqu'à la fermeture du navigateur | | cbdviva-auth-token-fr et cbdviva-auth-user-fr (localStorage) | Maintenir votre connexion au compte client | 24 heures ; effacés à la déconnexion | | Adresse IP (journaux serveur) | Sécurité et détection d'erreurs | 30 jours |

Les éléments localStorage et sessionStorage ne sont pas des cookies au sens juridique, mais nous les traitons selon les mêmes règles. Voir aussi notre Politique cookies.

Lors d'un contact

Lorsque vous nous écrivez ou nous appelez, nous conservons le message et les coordonnées associées le temps de traiter votre question ou réclamation, et au maximum deux ans à des fins administratives.

Compte client (facultatif)

La création d'un compte est facultative : vous pouvez commander en tant qu'invité. Un compte conserve vos adresses et votre historique de commande pour vos achats suivants. Vous pouvez demander la suppression de votre compte par e-mail, sous réserve des durées de conservation légales ci-dessus.

Sur quelles bases légales

| Base légale (article 6 du RGPD) | Application | |---|---| | Exécution du contrat (6.1.b) | Traiter la commande, encaisser le paiement, livrer, gérer une rétractation | | Obligation légale (6.1.c) | Conservation fiscale et comptable (7 ans), administration de la TVA | | Intérêt légitime (6.1.f) | Journaux IP pour la sécurité, surveillance des erreurs, prévention de la fraude | | Consentement (6.1.a) | Aucun traitement actuellement : pas de suivi marketing, pas de newsletter |

Nous n'effectuons aucun profilage ni aucune décision entièrement automatisée.

Avec qui nous partageons vos données

Nous partageons des données uniquement lorsque c'est strictement nécessaire au traitement de votre commande ou à une obligation légale. Nos sous-traitants actuels :

Hébergement et technique

Servebolt (UE) : héberge le backend WooCommerce de 1337 Media B.V. où la commande est traitée. Centre de données à Amsterdam. Accord de sous-traitance signé.
Rocket.net (États-Unis) : héberge le frontend statique de cbdviva.fr. Aucune donnée client n'y est stockée, uniquement les fichiers publics du site (HTML, CSS, JS).
Cloudflare (États-Unis) : CDN et protection contre les robots. Les adresses IP transitent par Cloudflare pendant le routage, sur la base de clauses contractuelles types (article 46 du RGPD).

Paiements

Mollie B.V. (Amsterdam) : prestataire de paiement de la boutique. Politique de confidentialité sur mollie.com/privacy.
Viva.com Smart Checkout (UE) : prestataire de paiement pour les cartes bancaires. Politique de confidentialité sur viva.com.

Nous ne voyons jamais vos données de carte : vous les saisissez directement chez le prestataire de paiement.

Livraison

DPD : livraison en France sous 2 à 4 jours ouvrés. Reçoit votre nom, adresse, numéro de téléphone (si fourni) et e-mail pour le suivi du colis. Politique de confidentialité sur dpd.com.

Statistiques

Plausible Insights OÜ (Estonie, UE) : statistiques de fréquentation sans cookies. Plausible ne conserve aucune donnée personnelle et aucune adresse IP de façon permanente. Nous voyons des chiffres agrégés, jamais qui vous êtes.

Nous ne vendons jamais vos données. Nous ne les partageons pas à des fins publicitaires.

Transferts hors de l'Union européenne

Servebolt : Amsterdam (UE), pas de transfert
Mollie : Amsterdam (UE), pas de transfert
Viva.com : Athènes (UE), pas de transfert
Plausible : Francfort (UE), pas de transfert
Cloudflare : infrastructure mixte, clauses contractuelles types (article 46 du RGPD)
Rocket.net : États-Unis, clauses contractuelles types ; aucune donnée client n'y est stockée, uniquement les fichiers publics du site
DPD : UE, pas de transfert

Vos droits

Le RGPD et la loi Informatique et Libertés vous donnent les droits suivants :

Accès (article 15) : obtenir une copie de ce que nous conservons sur vous
Rectification (article 16) : corriger des données inexactes
Effacement (article 17) : suppression, sous réserve des obligations légales de conservation
Limitation (article 18) : suspendre un traitement
Portabilité (article 20) : recevoir un export numérique
Opposition (article 21) : vous opposer à un traitement fondé sur l'intérêt légitime
Décision automatisée (article 22) : sans objet, nous n'en effectuons aucune

Comment les exercer : envoyez un e-mail à info@cbdviva.fr avec l'objet « Demande RGPD ». Nous répondons sous un mois. Pour vérifier votre identité, nous pouvons demander un élément qui correspond à votre historique de commande, comme un numéro de commande.

Déposer une réclamation : vous pouvez saisir la CNIL (Commission nationale de l'informatique et des libertés) sur cnil.fr. Vous pouvez aussi vous adresser à l'autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens), autorité du pays où le responsable du traitement est établi.

Sécurité

Nous protégeons vos données notamment par :

le chiffrement TLS de toutes les connexions entre votre navigateur, notre frontend et le backend
des jetons de panier à durée de vie limitée (48 heures), sans mot de passe stocké dans le navigateur
l'absence totale de données de carte ou de compte bancaire sur nos serveurs
un accès interne restreint, authentifié par clés SSH
une authentification du paiement effectuée par votre banque ou le prestataire de paiement

Si une violation de données survenait malgré ces mesures, nous la notifierions sous 72 heures à l'autorité de contrôle compétente, conformément à l'article 33 du RGPD. Nous vous informerions directement en cas de risque élevé pour vos droits et libertés.

Modifications de cette politique

Nous mettons cette politique à jour lorsque nos traitements changent, en cas de nouveau sous-traitant ou lorsque la législation l'exige. En cas de modification importante, nous le signalons en haut de la page. La date de dernière mise à jour figure dans l'en-tête de la page. Les versions antérieures sont consultables sur demande.