Politique de confidentialité

Qui est responsable de ces données

Données réellement collectées par cette application

Établi à partir du modèle de données, à jour :

• Compte — nom, adresse e-mail, téléphone, mot de passe (haché, jamais lisible)
• Pièces d'identité et justificatifs de domicile — section dédiée ci-dessous
• Adresses de livraison — libellé, rue, code postal, ville
• Commandes — articles, montants, dates, statuts, moyen de paiement
• Livraisons — créneaux, heures de départ et d'arrivée, notifications envoyées
• Rendez-vous — date, durée, objet et notes de l'entretien
• Notes internes — ce que l'équipe écrit sur un compte, une commande ou une livraison ; elles font partie des données communicables au client, et figurent dans son export
• Panier — ce qui y est déposé, conservé d'une visite à l'autre, et le code promo éventuellement saisi
• Sessions — identifiant de session, agent du navigateur, date de connexion
• Telegram — identifiant de conversation, uniquement si le client lie son compte
• Position du livreur — enregistrée pendant son service, quand il met le partage en marche, à raison d'un point par minute ; visible du seul client livré pendant sa livraison. Le trajet de la journée reste consultable dans l'espace de gestion et s'efface par un geste de la propriétaire
• Consentements — acceptation des conditions de vente et accord pour recevoir des offres, horodatés, et la date de leur retrait

Chaque client peut télécharger l'ensemble de ces données depuis son espace, en un fichier. Ce fichier dit lui-même le peu qu'il ne contient pas, et pourquoi.

Vérification d'identité : la pièce que nous demandons

Nos produits sont réservés aux adultes. Avant la première commande, nous demandons une pièce d'identité et un justificatif de domicile. C'est le traitement le plus sensible de cette boutique, et le seul qui conditionne l'accès au service : sans vérification, la commande ne peut pas être validée.

• Pourquoi — contrôler la majorité de l'acheteur et la réalité de son adresse de livraison. Rien d'autre. Les pièces ne servent ni à la prospection, ni à l'analyse commerciale.
• Ce qui est conservé — le fichier envoyé (photo ou PDF), son type, sa taille, son nom d'origine et la date de dépôt ; puis la décision (vérifié ou refusé), sa date, et le motif en cas de refus.
• Qui y accède — le responsable de la boutique. Il peut ouvrir ce droit à un membre de l'équipe, nommément et un par un. Chaque consultation d'une pièce est enregistrée : qui a regardé quoi, et quand.
• Comment c'est stocké — le fichier est chiffré sur le serveur, en dehors des dossiers publics. Il n'existe aucune adresse web qui le serve tel quel : une copie de sauvegarde qui fuiterait ne livrerait que du bruit.
• Combien de temps — la pièce est gardée jusqu'à ce que la boutique la supprime. Aucune suppression ne se déclenche toute seule : c'est un geste de la main, sur l'écran de vérification. Tu peux l'exiger à tout moment, voir juste en dessous, et elle part aussitôt. Ce qui reste alors : la mention « vérifié le … », jamais la pièce.
• Suppression sur demande — un client peut demander à tout moment que ses pièces soient effacées, sans attendre l'échéance et sans avoir à se justifier. Il suffit de le demander à la boutique, qui les supprime aussitôt du serveur ; la vérification déjà obtenue reste acquise. Supprimer son compte les efface également, dans le même mouvement.

Analyse de la clientèle

La boutique dispose d'un écran qui rapproche les commandes des personnes : combien chacun a commandé, à quelle fréquence, quand remonte son dernier achat, et les trois produits qu'il prend le plus souvent. C'est un profilage au sens du règlement, et nous préférons l'écrire que le laisser deviner.

• Pourquoi — conseiller sans faire répéter, et tenir la boutique : savoir si elle repose sur trop peu de monde, repérer un client qui s'éloigne. Ces chiffres n'alimentent aucune décision automatisée : personne ne se voit refuser une commande, ni appliquer un prix différent, à cause de ce tableau.
• Ce que ça révèle — notre catalogue est classé par effet recherché (sommeil, détente…). Savoir ce qu'une personne achète, c'est donc approcher ce qu'elle cherche à apaiser. Nous traitons cette information comme telle : elle ne sort pas de l'application, n'est ni revendue ni partagée, et ne sert jamais à cibler quelqu'un sur sa santé.
• Qui y accède — le responsable de la boutique, et les membres de l'équipe à qui il ouvre expressément l'accès aux chiffres. Un partenaire ne l'a pas par défaut.
• Combien de temps — rien n'est stocké : le tableau est recalculé à chaque affichage à partir des commandes de la période. Il disparaît avec elles, et un compte effacé en sort aussitôt.
• Droit d'opposition — ce tableau repose sur notre intérêt légitime à tenir notre commerce, pas sur un consentement : chacun peut donc s'y opposer (article 21 du RGPD), en nous écrivant et sans avoir à motiver sa demande. Nous devons alors soit cesser de l'y faire figurer, soit lui exposer les raisons impérieuses qui nous en empêchent. S'opposer ne change rien au droit de commander.

Ce qui n'est pas collecté

Aucun historique de navigation, aucun traceur publicitaire, aucun profilage publicitaire, aucune revente de fichier. Le principe est la minimisation : on ne conserve que ce qui sert une finalité précise.

Le site pose quatre cookies au plus, tous nécessaires au service : celui qui maintient la connexion, celui qui retient le panier avant même d'avoir un compte, celui qui se souvient du choix « je passe à la boutique » plutôt qu'une livraison, et celui qui garde le mode « Organiser » ouvert quand on range ses blocs. Aucun ne suit qui que ce soit ailleurs ; c'est pourquoi aucune bannière ne s'affiche à l'arrivée — la loi n'en exige pas pour des cookies strictement nécessaires au service demandé.

Qui d'autre voit ces données

Trois sorties possibles, jamais plus, et chacune ne s'ouvre que si la boutique l'a activée.

• Telegram — si, et seulement si, un client lie son compte pour être prévenu de ses livraisons : le texte des messages transite par les serveurs de Telegram, hors de l'Union européenne. Aucun catalogue, aucune commande, aucune pièce d'identité n'y est transmise : seulement le message et l'identifiant de conversation. La liaison se défait depuis l'espace client.
• Le service de notifications du navigateur (Google, Mozilla ou Apple selon le téléphone) — si le client accepte les alertes sur son appareil : c'est ce service qui les achemine, il reçoit donc l'adresse technique de l'appareil et le contenu de l'alerte. Se coupe depuis l'espace client.
• Un calculateur d'itinéraire — seulement si la boutique en configure un pour estimer les tournées : il reçoit alors les coordonnées géographiques des adresses de livraison, sans nom ni téléphone. Par défaut, aucun n'est réglé et rien ne sort.

En dehors de ces trois-là, rien ne quitte l'application.

Durées de conservation

Chaque ligne dit ce que le code fait réellement, et qui déclenche la suppression.

• Factures et commandes : 10 ans. Obligation comptable. Aucune suppression automatique : passé ce délai, elles sont retirées à la main.
• Pièces d'identité : supprimées dès la décision (délai doublé tant qu'aucune décision n'est prise). Suppression automatique, décrite plus haut.
• Sessions de connexion : 7 jours. Passé ce délai la session ne vaut plus rien, et sa ligne est effacée par le ménage qui s'exécute à chaque connexion réussie sur la boutique.
• Compte client : conservé jusqu'à sa suppression, demandée par le client depuis son espace ou à la boutique. Il n'existe aujourd'hui aucune suppression automatique des comptes dormants.
• Journal des accès aux pièces d'identité : conservé sans limite de durée. C'est la trace de qui, dans l'équipe, a regardé quelle pièce et quand : elle protège les clients autant qu'elle engage l'équipe. Ces lignes ne portent que des identifiants techniques, jamais un nom ni une adresse.

Ce que devient un compte supprimé

Supprimer un compte l'anonymise : le nom, l'e-mail, le téléphone, les adresses, les sessions, la liaison Telegram, les notes internes, l'objet des rendez-vous, les commentaires écrits sur les commandes et les livraisons — tout cela disparaît, y compris le motif d'un refus de vérification. Les commandes elles-mêmes restent, avec leurs montants et leurs dates : la comptabilité l'exige. Mais plus rien n'y permet de reconnaître qui les a passées.

Droits des personnes

Accès, rectification, effacement, portabilité, limitation, opposition, retrait du consentement à tout moment. Concrètement, depuis l'espace client : télécharger toutes ses données en un fichier, supprimer son compte, retirer son accord pour les offres. Les autres demandes — opposition à l'analyse de la clientèle, suppression anticipée des pièces d'identité, rectification — se font par écrit à l'adresse indiquée en haut de cette page, et reçoivent une réponse dans le mois.

Le consentement à recevoir des offres est révocable en un clic, sans justification, et son retrait est horodaté au même titre que l'accord initial.

Réclamation auprès de la CNIL

Toute personne qui estime que ses données ne sont pas traitées correctement peut adresser une réclamation à la Commission nationale de l'informatique et des libertés, sans avoir à nous en prévenir : en ligne sur www.cnil.fr, ou par courrier à la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Nous préférons évidemment régler les choses directement — mais ce droit existe et il n'est soumis à aucune condition.