Politique de confidentialité — boutique de kits Oc-Cornucopia

1. Responsable du traitement

Hamadou FALL (Axel Fall), entrepreneur individuel (EI), exploitant sous le nom commercial Oc-Cornucopia. SIREN 520 241 613 — RCS Perpignan. Siège : 24 rue Louis Pasteur, 66660 Port-Vendres. Contact : contact@oc-cornucopia.fr.

Cette boutique est distincte du club associatif ; les données collectées ici ne sont jamais partagées avec lui.

2. Données que nous collectons

• À la commande : adresse e-mail ; nom ou raison sociale ; adresse de facturation ; SIREN/SIRET (facultatif) ; type d'établissement (facultatif).
• Techniques / preuve : adresse IP sous forme hachée, horodatage et contenu des consentements (CGV, livraison immédiate, renonciation au droit de rétractation), détails de la commande et de la facture.
• Préférence de contact : votre choix de recevoir ou non nos informations produits.

À la commande en boutique, nous ne demandons ni mot de passe (pas de compte), ni numéro de téléphone. Le SIREN ou le nom saisi est envoyé à l'API publique recherche-entreprises.api.gouv.fr (DINUM) pour préremplir la fiche entreprise. Si cette recherche échoue, la commande continue avec les champs saisis.

Demande d'échantillon

La page de demande d'échantillon est distincte de la commande. Nous y collectons les informations saisies dans le formulaire :

• Prénom et nom, nom de l'établissement, profil de l'établissement et adresse e-mail.
• Facultatifs, et décochés ou vides tant que vous ne les renseignez pas : ville, département, numéro de téléphone, kit d'intérêt, le choix d'être rappelé 15 minutes et, si vous le demandez, le créneau préféré, ainsi que le choix de recevoir les nouveautés.
• La preuve de votre acceptation : la case cochée et l'horodatage de cet envoi.
• L'origine de la visite, lorsque l'adresse de la page la contient (source et paramètres de campagne).

Finalité.Vous envoyer l'échantillon demandé et assurer le suivi commercial de cette demande. Si vous demandez un rappel, le numéro de téléphone sert à vous appeler.

Base légale.Mesures précontractuelles prises à votre demande (article 6.1.b du RGPD) pour l'échantillon, le suivi et le rappel éventuel. Votre consentement (article 6.1.a) pour les nouveautés : cette case reste facultative, et la demande d'échantillon peut être envoyée sans elle. Notre intérêt légitime (article 6.1.f) pour noter la source et les paramètres de campagne de la visite, afin de savoir quelle annonce vous a amené.

Durée. 3 ans après le dernier contact, puis suppression.

Destinataires. Nous, et Brevo(Brevo SAS) pour l'enregistrement du contact et l'envoi des e-mails, y compris la notification interne adressée à contact@oc-cornucopia.fr. L'hébergement du formulaire reste celui de Netlify, décrit plus bas.

Renoncement au contrat

La page « Renoncer au contrat ici » collecte le nom, l'adresse e-mail d'achat et, si vous les indiquez, le numéro de commande et un motif. Nous les utilisons pour accuser réception de la déclaration (article L.221-21) et l'examiner. Base légale : obligation légale (article 6.1.c). Destinataires : vous, et contact@oc-cornucopia.fr, via Brevo. Ces e-mails sont le support de la déclaration : elle n'est pas copiée dans une table de la base. Durée : le temps du traitement, puis la durée déjà indiquée pour les preuves de commande lorsqu'un contrat existe.

3. Finalités et bases légales

Nos e-mails sont envoyés par Brevo (Brevo SAS, 17 rue Salneuve, 75017 Paris). Pour chaque e-mail, Brevo enregistre s'il a été ouvert, au moyen d'une petite image invisible, et si un lien a été cliqué, les liens passant d'abord par un serveur de Brevo. Ces informations sont rattachées à votre adresse e-mail. Nous ne les utilisons que pour vérifier que nos e-mails vous parviennent et pour cesser d'écrire aux adresses qui ne les ouvrent plus ; elles ne servent ni à vous profiler ni à de la publicité. Vous pouvez empêcher la mesure des ouvertures en bloquant l'affichage des images dans votre messagerie, et vous opposer à ce suivi à tout moment en écrivant à contact@oc-cornucopia.fr.

Mesure publicitaire. Si vous cliquez sur « Accepter » dans le bandeau, une balise Google Ads (Google Ireland Limited) se charge sur nos pages d'annonces, sur la page des leçons et sur la page de leçon d'essai. Elle enregistre les pages vues ainsi que les demandes d'échantillon et de leçon d'essai, et les rattache, le cas échéant, au clic sur notre annonce (identifiant « gclid » transmis par Google dans l'adresse de la page ; nous ne le conservons pas avec votre demande), afin de mesurer l'efficacité de nos annonces. Elle dépose ou lit pour cela des cookies de Google, sur ce site (_gcl_au, _gcl_aw) et sur les domaines googleadservices.com, doubleclick.net et google.com, pour la durée fixée par Google (policies.google.com/technologies/cookies), et échange avec les serveurs googletagmanager.com, googleadservices.com, doubleclick.net et google.com, y compris aux États-Unis (cadre UE-États-Unis de protection des données). Elle ne sert pas à vous proposer des publicités personnalisées. Tant que vous n'avez pas choisi, ou si vous refusez, aucun traceur publicitaire n'est déposé et le gclid n'est ni lu ni conservé. Votre choix est enregistré dans votre navigateur pendant 6 mois ; vous pouvez le modifier à tout moment par le lien « Mesure publicitaire » en bas de page, ce qui efface aussi les cookies _gcl de ce site (les cookies posés sur les domaines de Google s'effacent depuis les réglages de votre navigateur). L'hébergement (Netlify), la protection anti-robot de certains formulaires (Cloudflare Turnstile) et le paiement (SumUp) n'utilisent que les traceurs strictement nécessaires au service que vous demandez.

Vidéos. Sur certaines fiches, l'image d'aperçu des vidéos est chargée depuis les serveurs de YouTube (Google, i.ytimg.com) : votre navigateur leur transmet alors votre adresse IP et l'adresse du site, sans cookie. Le lecteur YouTube, en mode « confidentialité renforcée » (youtube-nocookie.com), ne se charge que si vous cliquez sur la vidéo ; YouTube peut alors utiliser ses propres traceurs, selon sa politique de confidentialité (policies.google.com/privacy).

4. Destinataires et sous-traitants

Vos données sont traitées par nous et par des prestataires techniques agissant pour notre compte :

• SumUp Limited (établissement de monnaie électronique agréé, Irlande — Block 8, Harcourt Centre, Dublin 2) — finalité : traitement du paiement. SumUp agit comme sous-traitant pour les données clients traitées pour notre compte et comme responsable de traitement indépendant pour l'exécution du paiement et ses propres obligations légales (sécurité, lutte contre la fraude et le blanchiment).
• Stripe Payments Europe Limited (SPEL, Irlande) — finalité : traitement du paiement par carte lorsque Stripe est utilisé. Le centre de confidentialité Stripe (stripe.com/legal/privacy-center) indique que, hors Amériques, le contrat de traitement est conclu avec SPEL, et que Stripe Technology Company, Limited (STC, Irlande) est l'établissement principal en Europe. Stripe agit aussi comme responsable pour ses propres obligations.
• Netlify, Inc. (États-Unis) — finalité : hébergement du site.
• Supabase, Inc. (société établie aux États-Unis) — finalité : base de données. Le projet est en région eu-west-3 (Paris).
• Brevo (Brevo SAS, 17 rue Salneuve, 75017 Paris, RCS Paris 498 019 298) — finalité : envoi des e-mails (transactionnels, accusé de rétractation et, le cas échéant, d'information) et, pour une demande d'échantillon, enregistrement du contact.
• Google LLC (États-Unis) — finalité : prise de rendez-vous. Le bouton « Réserver un appel de 15 min » ouvre une page Google Agenda, hors de ce site. Google reçoit le nom, l'adresse e-mail et le créneau que vous y indiquez, puis nous les transmet pour organiser l'appel. Le formulaire d'échantillon n'envoie pas ces informations à Google.

Nous ne vendons ni ne louons vos données, et ne les utilisons pas pour acheter ou enrichir des fichiers.

5. Transferts hors Union européenne

Netlify (hébergement, États-Unis). Sa politique de confidentialité (netlify.com/privacy) prévoit les clauses contractuelles types publiées par la décision d'exécution (UE) 2021/914, et, section 13, la certification de Netlify, Inc. au Data Privacy Framework UE–États-Unis. Son accord de traitement (netlify.com/pdf/netlify-dpa.pdf), article 14.3, soumet le transfert aux clauses types lorsque le Data Privacy Framework ne s'applique pas ; l'article 14.3.1 vise le module 2 lorsque le client est responsable de traitement, et le module 3 lorsqu'il est sous-traitant.

Supabase (base de données). La région du projet, lue sur le projet Supabase, est eu-west-3. L'accord de traitement (supabase.com/legal/customer-resources/data-processing-addendum) annexe les clauses contractuelles types de la décision (UE) 2021/914 ; le module 2 (responsable vers sous-traitant) s'applique lorsque nous sommes responsables et Supabase sous-traitant. Lorsque le client choisit une région, les données y sont stockées et principalement traitées. Le guide GDPR de Supabase (supabase.com/docs/guides/security/gdpr-compliance) précise que les sauvegardes, les journaux, l'exécution des edge functions et les sous-traitants peuvent sortir de cette région. Ces pages ne mentionnent pas de certification Data Privacy Framework de Supabase.

Brevo (envoi d'e-mails). La politique de confidentialité (brevo.com/legal/privacypolicy) indique que Brevo, Inc. est certifiée au Data Privacy Framework UE–États-Unis, à son extension Royaume-Uni et au Data Privacy Framework Suisse–États-Unis. Les conditions d'utilisation (brevo.com/legal/termsofuse), annexe de traitement, prévoient pour un traitement hors EEE les clauses contractuelles types et des mesures supplémentaires, et la possibilité de s'appuyer sur le Data Privacy Framework UE–États-Unis tant qu'il est valide. L'annexe cite notamment un hébergement Google Cloud Platform en France et en Belgique.

Google (prise de rendez-vous via Google Agenda, États-Unis). La page policies.google.com/privacy/frameworks indique que Google LLC est certifiée au Data Privacy Framework UE–États-Unis, à son extension Royaume-Uni et au Data Privacy Framework Suisse–États-Unis, et qu'elle s'appuie sur les clauses contractuelles types lorsque le transfert n'est pas couvert par une décision d'adéquation. La fiche publique dataprivacyframework.gov indique une certification active de Google LLC. Ce bouton n'est pas, à lui seul, un contrat de sous-traitance entre Oc-Cornucopia et Google : les informations saisies sur la page de rendez-vous suivent la politique de Google, qui nous les transmet pour organiser l'appel.

Stripe. Le DPA (stripe.com/legal/dpa) prévoit un transfert vers Stripe, LLC aux États-Unis et, comme mécanismes, le Data Privacy Framework et les clauses contractuelles types de l'EEE (décision (UE) 2021/914, modules 1, 2 et 3 selon les rôles). SumUp. Son DPA (sumup.com/en-ie/terms/dpa) indique un traitement dans l'Espace économique européen et au Royaume-Uni. Un transfert vers un pays tiers sans niveau de protection adéquat passe par les clauses contractuelles types ou un autre mécanisme approprié.

6. Durées de conservation

7. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, du droit de retirer votre consentement et de définir des directives post-mortem. Exercice : contact@oc-cornucopia.fr. Vous pouvez aussi réclamer auprès de la CNIL (cnil.fr).