Politique de confidentialité

1. Responsable du traitement

2. Quelles données sont collectées

a) Tableau de bord (exploitants de boutique)

Lors de l’inscription et de l’utilisation du tableau de bord, nous traitons :

• L’adresse e-mail (pour la connexion par lien magique)
• Le nom (facultatif, pour une communication personnalisée)
• Les données de la boutique (nom, domaine)
• Les informations de paiement (traitées directement par Stripe)

b) Widget (clients finaux / consommateurs)

Lorsqu’un consommateur soumet une rétractation via le widget, les données suivantes sont traitées :

• Le nom du client (obligatoire)
• Le moyen de contact – adresse e-mail ou numéro de téléphone (obligatoire)
• La référence de commande (facultatif)
• Un message en texte libre (facultatif, max. 2 000 caractères)
• L’adresse IP (stockée sous forme hachée, jamais en clair, uniquement à des fins de protection contre les abus)
• L’agent utilisateur du navigateur (pour le débogage technique)
• La date et l’heure de la rétractation

3. Base juridique du traitement

Le traitement des données à caractère personnel repose sur les bases juridiques suivantes :

• Art. 6, § 1, point b) du RGPD (exécution d’un contrat) : le traitement des données de compte des exploitants de boutique est nécessaire à la fourniture de notre service SaaS.
• Art. 6, § 1, point f) du RGPD (intérêts légitimes) : la conservation d’adresses IP hachées sert à la protection contre les abus (limitation du débit).
• Art. 6, § 1, point c) du RGPD (obligation légale) : le traitement des données de rétractation est effectué pour satisfaire aux obligations légales de l’art. 356a du Code civil allemand (BGB).

4. Sous-traitance

Lors du traitement des données de rétractation des clients finaux, WiderrufButton agit en tant que sous-traitant au sens de l’art. 28 du RGPD pour le compte de l’exploitant de boutique concerné (le responsable du traitement).

Nous proposons à tous les exploitants de boutique un contrat de sous-traitance (CST/DPA) conformément à l’art. 28 du RGPD. Il est disponible dans son intégralité sur la page dédiée et peut être enregistré ou imprimé au format PDF ; il est réputé conclu lors de l’inscription.

Vous trouverez de plus amples informations sur notre page de sous-traitance.

5. Hébergement

Nos services sont hébergés sur les serveurs de Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne.

Toutes les données sont traitées et stockées exclusivement dans des centres de données allemands. L’hébergement n’entraîne aucun transfert vers des pays tiers.

Hetzner traite les données pour notre compte. Un contrat de sous-traitance a été conclu.

6. Envoi d’e-mails

Pour l’envoi d’e-mails transactionnels (accusés de réception, notifications, connexion par lien magique), nous utilisons le service SMTP d’IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Allemagne. Un contrat de sous-traitance a été conclu ; le traitement a lieu dans des centres de données allemands.

Seules les données nécessaires à l’envoi (e-mail du destinataire, objet, contenu) sont transmises. Il n’y a ni suivi des e-mails, ni mesure du taux d’ouverture, ni suivi des liens. La base juridique est l’art. 6, § 1, points b) et c) du RGPD (exécution d’un contrat ainsi que l’obligation légale de preuve de l’accusé de réception conformément à l’art. 356a du BGB).

7. Traitement des paiements

Pour le traitement des paiements, nous utilisons Stripe, Inc. (510 Townsend Street, San Francisco, CA 94103, États-Unis). Stripe est certifié en tant que prestataire de services de paiement selon la norme PCI DSS.

Les données de paiement (numéros de carte de crédit, IBAN) sont traitées exclusivement par Stripe et ne sont pas stockées sur nos serveurs. Stripe ne nous transmet qu’un numéro de client, le statut du paiement et la formule en cours.

Stripe traite également des données aux États-Unis. La politique de confidentialité de Stripe s’applique. Stripe a adhéré au cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework).

8. Cookies

WiderrufButton utilise exclusivement des cookies de session techniquement nécessaires, requis pour l’authentification dans le tableau de bord.

Nous n’utilisons aucun cookie de suivi, d’analyse ou de marketing.

Le widget WiderrufButton ne place aucun cookie et n’utilise ni le localStorage ni le sessionStorage. Il est pleinement conforme à la loi allemande sur la protection des données dans les télécommunications et les télémédias (TTDSG).

Aucun cookie de suivi et aucun service d’analyse américain tel que Google Analytics ou Facebook Pixel n’est utilisé.

Lorsqu’il est activé, nous utilisons exclusivement l’outil d’analyse respectueux de la vie privée et sans cookie Plausible Analytics (Plausible Insights OÜ, Estonie, UE ; hébergement dans l’UE). Plausible ne recueille que des statistiques d’audience agrégées et anonymes (pages vues, sources de trafic) sans cookies, sans localStorage et sans suivi personnel des visiteurs individuels. La base juridique est l’art. 6, § 1, point f) du RGPD (intérêt légitime à une mesure d’audience minimisant les données).

9. Mesure de la performance publicitaire (Google Click ID)

Si vous accédez à notre site web via une annonce Google, la barre d’adresse contient généralement le paramètre gclid (Google Click ID). Nous lisons cette valeur dans l’URL et la stockons exclusivement en local dans votre navigateur (dans le localStorage propriétaire). Aucun cookie n’est placé à cette fin.

La valeur mise en cache sert uniquement à mesurer le succès publicitaire lors d’une inscription ultérieure (mesure des conversions hors ligne). Seuls le Google Click ID et la date de la conversion sont traités ; aucune autre donnée à caractère personnel n’est collectée ou transmise à cette fin.

Aucun cookie de suivi intersites n’est placé. La base juridique est l’art. 6, § 1, point f) du RGPD (intérêt légitime à mesurer l’efficacité de notre publicité).

10. Durée de conservation

• Données de compte (exploitants de boutique) : conservées tant que la relation contractuelle existe (base juridique : art. 6, § 1, point b) du RGPD). Après la fin ou la résiliation du compte, les données sont supprimées dans un délai de 30 jours, sauf obligation légale de conservation contraire.
• Données de rétractation (clients finaux) : conservées conformément aux obligations légales (base juridique : art. 6, § 1, point c) du RGPD), en règle générale pendant 6 ans conformément à l’art. 257 du Code de commerce allemand (HGB), en tant qu’accusé de réception infalsifiable.
• Empreintes IP (pseudonymisées) : pour la prévention des abus sur la base de l’art. 6, § 1, point f) du RGPD ; suppression automatique après 90 jours.

11. Chiffrement SSL

Pour des raisons de sécurité, ce site utilise un chiffrement SSL ou TLS. Vous reconnaissez une connexion chiffrée au fait que la barre d’adresse du navigateur passe de « http:// » à « https:// » et au symbole de cadenas dans la barre de votre navigateur. Toutes les données que vous nous transmettez ne peuvent pas être lues par des tiers.

12. Vos droits en tant que personne concernée

Vous disposez à notre égard des droits suivants concernant vos données à caractère personnel :

• Droit d’accès (art. 15 du RGPD) – vous pouvez demander des informations sur les données vous concernant que nous conservons.
• Droit de rectification (art. 16 du RGPD) – vous pouvez demander la rectification de données inexactes.
• Droit à l’effacement (art. 17 du RGPD) – vous pouvez demander l’effacement de vos données, sauf obligation légale de conservation contraire.
• Droit à la limitation (art. 18 du RGPD) – vous pouvez demander la limitation du traitement.
• Droit à la portabilité des données (art. 20 du RGPD) – vous pouvez demander la remise de vos données dans un format lisible par machine.
• Droit d’opposition (art. 21 du RGPD) – vous pouvez vous opposer au traitement de vos données.

Pour exercer vos droits, veuillez nous contacter à l’adresse : info@ateliernodus.com

13. Droit de réclamation auprès d’une autorité de contrôle

Sans préjudice de tout autre recours administratif ou juridictionnel, vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle, notamment dans l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu où la violation présumée a été commise, si vous estimez que le traitement des données à caractère personnel vous concernant constitue une violation du RGPD.