Politique de confidentialité et cookies

Dernière mise à jour : [À COMPLÉTER — date]

1. Responsable du traitement

Estève BAHIER, entrepreneur individuel (EI), enseigne « Plante Essentielle », Le Cormier, 53230 Courbeveille [À VÉRIFIER], SIREN 891 619 793. Contact pour toute question relative à vos données : [À COMPLÉTER — e-mail] ou courrier à l'adresse ci-dessus. (Aucun délégué à la protection des données n'a été désigné, cette désignation n'étant pas obligatoire pour cette activité.)

2. Données collectées, finalités, bases légales et durées

Traitement	Données	Finalité	Base légale (art. 6 RGPD)	Durée de conservation
Commandes et livraison	Nom, prénom, e-mail, téléphone, adresse de livraison (et de facturation), produits commandés, montant, statut	Traiter la commande, livrer, informer de l'expédition, service client, gestion des retours et garanties	Exécution du contrat (art. 6.1.b)	Durée de la relation commerciale puis 3 ans à compter de la dernière commande en base active ; pièces comptables et factures : 10 ans (art. L.123-22 C. com.) ; contrats ≥ 120 € : 10 ans (art. L.213-1 C. conso.)
Paiement	Référence de paiement Stripe, statut ; les données de carte sont saisies chez Stripe et ne sont jamais reçues ni stockées par l'Éditeur	Encaisser le paiement, rembourser, prévenir la fraude	Exécution du contrat ; obligation légale ; intérêt légitime (lutte contre la fraude, assurée par Stripe)	Références : 10 ans (comptabilité). Données Stripe : selon la politique de Stripe
Formulaire de contact / e-mails	Nom, e-mail, message	Répondre aux demandes	Intérêt légitime (art. 6.1.f) / mesures précontractuelles	3 ans après le dernier échange
Espace d'administration	E-mail des administrateurs, jetons de connexion, journaux de connexion	Sécuriser l'accès au back-office	Intérêt légitime (sécurité)	Jetons : quelques minutes (usage unique) ; sessions : [À COMPLÉTER — ex. 30 jours] ; journaux : 12 mois max
Mesure d'audience (Matomo)	Données de navigation pseudonymisées (pages vues, durée, type d'appareil, pays), adresse IP tronquée	Statistiques anonymes de fréquentation	Intérêt légitime ; traceurs exemptés de consentement (art. 82 loi I&L) — voir § 5	Traceurs : 13 mois max ; données : 25 mois max
Sécurité et journaux techniques de l'hébergeur	Adresse IP, horodatage, URL, navigateur	Sécurité, prévention des abus, débogage	Intérêt légitime	Selon la politique de l'hébergeur (Vercel) — [À COMPLÉTER durée]
Prospection	Aucune newsletter n'est prévue à ce jour. [Si ajoutée : consentement, case non pré-cochée, désinscription dans chaque e-mail ; ou soft opt-in pour produits analogues avec opposition simple — art. L.34-5 CPCE]	—	—	—

Les données obligatoires sont signalées par un astérisque dans les formulaires ; à défaut, la commande ne peut être traitée. Aucune décision automatisée ni profilage n'est mis en œuvre. Les données ne sont jamais vendues.

3. Destinataires et sous-traitants

Les données sont accessibles uniquement à l'Éditeur et, dans la limite de leurs missions, aux prestataires suivants (sous-traitants au sens de l'art. 28 RGPD, ou responsables distincts pour leurs propres obligations) :

Prestataire	Rôle	Localisation des données	Garanties en cas de transfert hors UE
Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA)	Hébergement du site, exécution du code, journaux techniques	Région d'exécution à configurer dans l'UE [À COMPLÉTER — ex. cdg1 Paris ou fra1 Francfort] ; réseau mondial (CDN)	DPA Vercel (vercel.com/legal/dpa) ; clauses contractuelles types et/ou EU-US Data Privacy Framework [À VÉRIFIER certification DPF]
Neon (Databricks, Inc.)	Base de données (commandes, clients, catalogue) et stockage des photos	UE — AWS Francfort (eu-central-1)	Données stockées dans l'UE ; accès support éventuel depuis les USA couvert par DPA / DPF (Databricks est certifié DPF)
Stripe Payments Europe, Ltd. (Dublin, Irlande)	Paiement en ligne, prévention de la fraude	UE et USA	Responsable de traitement pour ses obligations propres (lutte anti-blanchiment, fraude) ; règles d'entreprise contraignantes / CCT / DPF — voir stripe.com/fr/privacy
[À COMPLÉTER — ex. Resend (Plus Five Five, Inc., San Francisco, USA)]	Envoi des e-mails transactionnels (confirmation, expédition)	[À COMPLÉTER — région d'envoi UE si disponible]	DPA + CCT / DPF [À VÉRIFIER]
[À COMPLÉTER — ex. La Poste / Colissimo]	Livraison	France	—
Matomo — [À COMPLÉTER : instance auto-hébergée chez … / Matomo Cloud (InnoCraft, serveurs UE)]	Mesure d'audience	UE	—
Comptable / expert-comptable [À COMPLÉTER]	Tenue de la comptabilité	France	—

Les données peuvent aussi être communiquées aux autorités habilitées sur réquisition légale.

4. Sécurité

Connexion chiffrée (HTTPS) ; paiement entièrement délégué à Stripe (certifié PCI-DSS) ; accès à l'administration par lien de connexion à usage unique réservé à une liste d'adresses autorisées ; accès aux bases de données restreint par identifiants secrets ; sauvegardes [À COMPLÉTER].

5. Cookies et traceurs

5.1. Traceurs strictement nécessaires (sans consentement)

• Panier : enregistrement du contenu du panier (stockage local du navigateur ou cookie de session) — durée : [À COMPLÉTER — ex. 30 jours].
• Session d'administration : cookie sécurisé (HttpOnly, Secure) réservé aux administrateurs.
• Paiement : lors du passage sur la page de paiement hébergée par Stripe, Stripe dépose des traceurs nécessaires à la sécurité du paiement et à la lutte contre la fraude.

5.2. Mesure d'audience Matomo — exemptée de consentement

Le Site utilise Matomo configuré conformément aux conditions d'exemption de la CNIL (« Cookies : solutions pour les outils de mesure d'audience », recommandations mises à jour en juillet 2025, et guide de configuration Matomo pour la CNIL). C'est pourquoi aucun bandeau de consentement n'est affiché. Cette exemption n'est valable que si toutes les conditions suivantes sont respectées :

1. Finalité strictement limitée à la mesure d'audience pour le compte exclusif de l'Éditeur : performances, détection de problèmes de navigation, optimisation technique/ergonomique, estimation de la capacité serveur, analyse des contenus consultés (ex. produits les plus vus).
2. Production de statistiques anonymes uniquement : adresse IP anonymisée (au moins 2 octets masqués), pas d'User ID, pas de rattachement à l'e-mail ou au numéro de commande du client, pas de fonction « visitor log » nominative exploitée.
3. Aucun recoupement avec d'autres traitements (fichier clients, CRM, publicité) et aucune transmission de données non anonymes à des tiers.
4. Pas de suivi multi-sites (pas de suivi cross-domain, pas de cookie tiers, instance propre à l'Éditeur).
5. Pas de finalité marketing : pas de suivi des campagnes publicitaires, des canaux d'acquisition ou de conversion à visée marketing, pas de cohortes, pas de test A/B. [Conséquence technique : ne pas activer le module « E-commerce/Objectifs » ni le suivi de campagnes dans Matomo.]
6. Durée de vie des traceurs ≤ 13 mois, sans prolongation automatique à chaque visite ; conservation des données ≤ 25 mois (744 jours recommandé par Matomo).
7. Information des personnes (la présente politique) et possibilité de s'opposer : module d'opposition (opt-out) ci-dessous.
8. Mode « conformité CNIL » activé dans l'interface Matomo et configuration vérifiée avec l'outil d'auto-évaluation CNIL.

[À INTÉGRER : module d'opt-out Matomo — case « Vous n'êtes pas exclu(e). Décochez cette case pour ne plus être suivi(e) »]

Le Site fonctionne en mode sans cookie de mesure d'audience lorsque c'est possible (« cookieless » : option disableCookies de Matomo) ; dans ce cas, aucun cookie Matomo n'est déposé et seule une empreinte technique non persistante est utilisée pour compter les visites.

5.3. Contenus tiers

Le Site n'intègre pas de boutons de partage ni de contenus de réseaux sociaux déposant des traceurs. Un simple lien vers la page Facebook « Plante Essentielle » est proposé ; Facebook ne dépose de traceurs que si vous cliquez dessus et quittez le Site. [Si des polices sont chargées depuis Google Fonts, les auto-héberger (next/font le fait par défaut) afin qu'aucune adresse IP ne soit transmise à Google.]

6. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition (notamment au traitement fondé sur l'intérêt légitime) et de portabilité de vos données, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès (art. 85 loi I&L). Pour les exercer : [À COMPLÉTER — e-mail] ou courrier à l'adresse du responsable, en précisant votre demande. Une réponse vous sera apportée dans un délai d'un mois (prorogeable de deux mois si nécessaire). Un justificatif d'identité ne pourra être demandé qu'en cas de doute raisonnable sur votre identité. Vous pouvez introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

7. Modification

Cette politique peut être mise à jour pour refléter l'évolution du Site ou de la réglementation. La date de mise à jour figure en tête de page.