1. Responsable de traitement
Le responsable des traitements décrits dans la présente politique est :
- Société
- Kévan MOISAN (Entrepreneur individuel — micro-entreprise)
- Siège social
- 5 rue Roger Collin, 22590 Pordic, France
- Immatriculation
- Immatriculée au RNE — SIREN 109 119 883
- Contact « données personnelles »
- contact@klimya.fr
Compte tenu de la nature et du volume de nos traitements, nous ne sommes pas tenus de désigner un délégué à la protection des données au sens de l'article 37 du RGPD. Les demandes relatives à vos données sont traitées directement par la direction de la société, à l'adresse indiquée ci-dessus.
2. Données que nous collectons
Nous ne collectons que les données nécessaires aux finalités décrites plus bas. Les champs obligatoires sont signalés comme tels dans nos formulaires ; les autres sont facultatifs et leur absence n'a aucune conséquence sur le traitement de votre commande.
2.1 Données de compte
- Identité : nom, prénom, civilité si vous la renseignez.
- Coordonnées : adresse électronique, numéro de téléphone.
- Authentification: mot de passe, conservé exclusivement sous forme d'empreinte chiffrée (algorithme bcrypt) — nous n'avons jamais accès à sa valeur en clair. Si vous vous connectez via un fournisseur d'identité tiers, nous recevons uniquement votre identifiant, votre adresse électronique et votre nom.
2.2 Données de commande
- Adresses de livraison et de facturation : nom du destinataire, adresse postale complète, code postal, ville, pays et numéro de téléphone — ce dernier étant exigé par la plupart des transporteurs pour la remise du colis.
- Détail des commandes: produits, quantités, prix, réductions appliquées, date, numéro de commande, statut d'expédition et numéro de suivi.
- Données de paiement : nous ne collectons ni ne stockons aucun numéro de carte bancaire. Le paiement est traité directement par notre prestataire Stripe ; nous recevons uniquement le statut de la transaction, son identifiant, les quatre derniers chiffres de la carte et sa marque, à des fins de rapprochement comptable et de gestion des remboursements.
- Échanges avec le service client : contenu de vos messages, demandes de retour, réclamations et pièces jointes éventuelles.
2.3 Données de navigation
- Données techniques: adresse IP, type et version du navigateur, système d'exploitation, pages consultées, date et heure de connexion, site d'origine.
- Contenu du panieret produits mis en favoris, y compris avant création d'un compte.
- Mesures d'audience et données publicitaires, uniquement si vous y avez consenti — voir la section Cookies et traceurs.
Nous ne collectons aucune donnée relevant des catégories particulières de l'article 9 du RGPD (santé, opinions politiques, convictions religieuses, orientation sexuelle, données biométriques). Nous vous demandons de ne pas nous en communiquer dans vos messages au service client.
Nos services ne sont pas destinés aux mineurs de moins de 15 ans. Nous ne collectons pas sciemment de données les concernant ; si de telles données nous étaient transmises, elles seraient supprimées dès que nous en aurions connaissance.
3. Finalités et bases légales
Chaque traitement repose sur une base légale précise. Lorsque la base est le consentement, vous pouvez le retirer à tout moment, sans que cela remette en cause la licéité du traitement effectué auparavant.
| Finalité | Base légale |
|---|---|
| Créer et gérer votre compte client, vous authentifier | Exécution du contrat (art. 6.1.b RGPD) |
| Traiter et suivre vos commandes, gérer les livraisons, les retours et les remboursements | Exécution du contrat (art. 6.1.b RGPD) |
| Transmettre l'adresse de livraison au fournisseur chargé d'expédier votre commande | Exécution du contrat (art. 6.1.b RGPD) |
| Répondre à vos demandes auprès du service client | Exécution du contrat ou intérêt légitime à répondre aux prospects (art. 6.1.b et 6.1.f RGPD) |
| Émettre et conserver les factures, tenir la comptabilité | Obligation légale (art. 6.1.c RGPD) |
| Prévenir et détecter la fraude au paiement, sécuriser le site | Intérêt légitime (art. 6.1.f RGPD) |
| Vous adresser des courriels relatifs à des produits analogues à ceux déjà achetés | Intérêt légitime, avec droit d'opposition dans chaque message (art. 6.1.f RGPD ; art. L. 34-5 CPCE) |
| Vous envoyer la newsletter et des offres commerciales si vous n'êtes pas client | Consentement (art. 6.1.a RGPD) |
| Relancer un panier abandonné par courrier électronique | Consentement ou intérêt légitime selon votre qualité de client |
| Mesurer l'audience du site et améliorer nos pages | Consentement (art. 82 loi Informatique et Libertés) |
| Personnaliser la publicité et mesurer les campagnes | Consentement (art. 82 loi Informatique et Libertés) |
| Publier et modérer les avis clients | Consentement (art. 6.1.a RGPD) |
| Gérer les réclamations, constater et défendre nos droits en justice | Intérêt légitime (art. 6.1.f RGPD) |
Aucune décision produisant des effets juridiques à votre égard n'est prise sur le seul fondement d'un traitement automatisé, au sens de l'article 22 du RGPD. Les contrôles automatiques de lutte contre la fraude peuvent conduire à suspendre une commande, mais celle-ci fait alors l'objet d'un examen humain.
4. Destinataires des données
Vos données ne sont jamais vendues ni louées. Elles sont accessibles aux personnes habilitées de notre société, ainsi qu'aux catégories de destinataires suivantes, dans la stricte limite de ce que leur mission exige.
4.1 Fournisseurs et expéditeurs — information essentielle
Nous exerçons une activité de vente en ligne fonctionnant en livraison directe (dropshipping). Concrètement, les produits que vous commandez ne sont pas expédiés depuis nos propres entrepôts : nous transmettons votre commande à un fournisseur partenaire, qui prépare le colis et le remet au transporteur.
Cela implique que, pour chaque commande, votre adresse de livraison, le nom du destinataire et son numéro de téléphone sont communiqués à un fournisseur tiers, qui peut être établi hors de l'Union européenne — en pratique le plus souvent en Chine, ainsi que dans des entrepôts relais situés en Union européenne, au Royaume-Uni ou aux États-Unis. Cette transmission est strictement nécessaire à l'exécution du contrat de vente : sans elle, votre commande ne peut pas être expédiée.
Les données transmises au fournisseur sont limitées à ce qui est indispensable à l'expédition : identité du destinataire, adresse postale complète, numéro de téléphone, références et quantités des articles commandés. Aucune donnée de paiement, aucun historique d'achat et aucune donnée de navigation ne leur sont communiqués. Nous exigeons contractuellement de nos fournisseurs qu'ils n'utilisent ces données qu'aux fins d'expédition et qu'ils ne les réutilisent à aucune fin commerciale propre.
4.2 Autres destinataires
- Prestataire de paiement : Stripe Payments Europe, Ltd., qui agit en qualité de responsable de traitement autonome pour la lutte contre la fraude et le respect de ses obligations réglementaires.
- Transporteurs et services de suivi : le transporteur désigné pour votre colis, qui reçoit les données nécessaires à la livraison et à la notification de son avancement.
- Hébergeur : Netlify, Inc., qui héberge le site et sa base de données.
- Prestataire d'envoi de courriels : pour les messages transactionnels (confirmation de commande, expédition) et, le cas échéant, la newsletter.
- Outil d'assistance conversationnelle : le contenu des conversations engagées avec notre assistant en ligne est traité par un prestataire technique afin de générer les réponses.
- Expert-comptable et commissaire aux comptes, dans le cadre de leurs missions légales.
- Autorités administratives et judiciaires, sur réquisition ou en exécution d'une obligation légale.
Chaque prestataire agissant pour notre compte est lié par un contrat de sous-traitance conforme à l'article 28 du RGPD, qui encadre les finalités, la durée, les mesures de sécurité et le sort des données en fin de contrat.
5. Transferts hors Union européenne
Comme exposé ci-dessus, l'exécution de votre commande suppose de transmettre votre adresse de livraison à des fournisseurs situés hors de l'Union européenne, notamment en Chine. D'autres prestataires, en particulier certains outils d'hébergement et d'envoi de courriels, peuvent également traiter des données depuis les États-Unis.
Ces transferts sont encadrés par l'un au moins des mécanismes prévus au chapitre V du RGPD :
- une décision d'adéquationde la Commission européenne, lorsque le pays de destination en bénéficie — c'est le cas du Royaume-Uni, et des États-Unis pour les entreprises certifiées au titre du Data Privacy Framework ;
- à défaut, la signature des clauses contractuelles typesadoptées par la Commission européenne le 4 juin 2021, complétées le cas échéant par des mesures supplémentaires (minimisation des données transmises, chiffrement des flux, engagement de notification en cas de demande d'accès des autorités locales) ;
- à titre subsidiaire, la dérogation de l'article 49.1.b du RGPD, le transfert étant nécessaire à l'exécution du contrat conclu entre vous et nous.
Nous attirons votre attention sur le fait que le niveau de protection des données dans certains de ces pays n'est pas équivalent à celui garanti au sein de l'Union européenne, et que les autorités publiques locales peuvent disposer de pouvoirs d'accès étendus. C'est la raison pour laquelle nous limitons strictement les données transmises aux seules informations d'expédition. Vous pouvez obtenir une copie des garanties mises en place en écrivant à contact@klimya.fr.
6. Durées de conservation
Les données ne sont pas conservées indéfiniment. À l'issue des durées indiquées, elles sont supprimées ou anonymisées de manière irréversible, sous réserve des archivages imposés par la loi.
| Donnée | Durée de conservation |
|---|---|
| Compte client actif | Jusqu'à la suppression du compte, puis 3 ans à compter du dernier contact |
| Commandes, factures et pièces comptables | 10 ans à compter de la clôture de l'exercice (art. L. 123-22 du Code de commerce) |
| Données relatives à la livraison | Durée de traitement de la commande, puis archivage pendant la durée de la garantie légale |
| Échanges avec le service client | 3 ans à compter du dernier échange |
| Prospects sans achat | 3 ans à compter du dernier contact de votre part |
| Consentement à la newsletter | Jusqu'au retrait du consentement, puis 3 ans à titre de preuve |
| Paniers abandonnés | 13 mois |
| Avis clients publiés | Jusqu'à leur retrait, dans la limite de 3 ans après publication |
| Preuve du choix en matière de cookies | 6 mois |
| Cookies de mesure d'audience | 13 mois maximum, données associées 25 mois |
| Journaux techniques et de sécurité | 12 mois |
7. Vos droits
Le RGPD vous reconnaît les droits suivants sur vos données personnelles :
- Droit d'accès (art. 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie, accompagnée des informations sur les finalités, les destinataires et les durées de conservation.
- Droit de rectification (art. 16) : faire corriger des données inexactes ou compléter des données incomplètes. Votre espace client permet de mettre à jour vous-même vos coordonnées et adresses.
- Droit à l'effacement(art. 17) : demander la suppression de vos données lorsqu'elles ne sont plus nécessaires, que vous retirez votre consentement ou que vous vous opposez à leur traitement. Ce droit ne s'applique pas aux données que la loi nous impose de conserver, notamment les factures.
- Droit d'opposition(art. 21) : vous opposer, à tout moment et sans justification, à l'utilisation de vos données à des fins de prospection commerciale ; et, pour motif tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime.
- Droit à la portabilité(art. 20) : recevoir, dans un format structuré et lisible par machine, les données que vous nous avez fournies sur la base d'un consentement ou d'un contrat, et les faire transmettre à un autre responsable de traitement.
- Droit à la limitation(art. 18) : demander le gel temporaire de l'utilisation de vos données, notamment pendant la vérification d'une contestation.
- Droit de retirer votre consentement (art. 7.3) à tout moment, pour les traitements qui en dépendent.
- Droit de définir des directives post mortem relatives au sort de vos données après votre décès (art. 85 de la loi Informatique et Libertés).
8. Exercer vos droits
Vous pouvez exercer vos droits :
- par courrier électronique à contact@klimya.fr, en précisant le droit invoqué ;
- par courrier postal à Kévan MOISAN, 5 rue Roger Collin, 22590 Pordic ;
- depuis votre espace client, pour la mise à jour de vos coordonnées et la gestion de vos abonnements ;
- en cliquant sur le lien de désinscription présent au bas de chacun de nos courriels commerciaux.
Nous répondons à toute demande dans un délai d'un mois à compter de sa réception. Ce délai peut être prolongé de deux mois si la demande est complexe ou si nous recevons un nombre important de demandes ; vous en seriez alors informé, avec les motifs, dans le mois suivant votre demande.
En cas de doute raisonnable sur votre identité, nous pourrons vous demander un justificatif complémentaire. Cette vérification protège vos données contre les demandes frauduleuses : nous ne conservons alors le justificatif que le temps du traitement de la demande.
9. Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés :
- Adresse
- CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
- Téléphone
- 01 53 73 22 22
- En ligne
- www.cnil.fr
Vous disposez également du droit à un recours juridictionnel effectif contre une décision de l'autorité de contrôle ou contre notre société.
10. Sécurité des données
Nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque, conformément à l'article 32 du RGPD :
- chiffrement systématique des échanges entre votre navigateur et le site (TLS), avec redirection permanente vers HTTPS ;
- stockage des mots de passe sous forme d'empreintes calculées avec un algorithme de hachage lent et salé ;
- chiffrement des identifiants d'accès aux interfaces fournisseurs conservés en base ;
- cloisonnement des accès administrateur, authentification individuelle et journalisation des opérations sensibles ;
- en-têtes de sécurité restrictifs limitant les scripts exécutables et l'inclusion du site dans des cadres tiers ;
- sauvegardes régulières de la base de données et vérification périodique de leur restauration.
En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous en informerions dans les meilleurs délais, et notifierions la CNIL dans les 72 heures conformément aux articles 33 et 34 du RGPD.
12. Modifications de la présente politique
Nous pouvons être amenés à faire évoluer cette politique, notamment pour tenir compte de nouveaux traitements, de nouveaux prestataires ou d'évolutions réglementaires. La date de dernière mise à jour figure en tête de page.
En cas de modification substantielle affectant vos droits, nous vous en informerons par un moyen adapté — bandeau sur le site ou courrier électronique — avant son entrée en vigueur, et solliciterons de nouveau votre consentement lorsque celui-ci constitue la base légale du traitement concerné.